Summary

  • سمح BrowserID، الذي أصبح اسمه Persona، بالدخول اعتماداً على عنوان بريد مُتحقَّق منه. وحصل الموقع على معرّف حساب مباشر من دون تخزين كلمة مرور أخرى لذلك الدخول.
  • انتهى دعم Mozilla في 30 نوفمبر 2016 وأُغلقت الخدمة المستضافة بنهاية العام. واقترح دليل الانتقال أن يثبت المستخدم القديم هويته عبر Persona مرة أخيرة قبل إنشاء كلمة مرور محلية، إن اختار الموقع هذا المسار.

وجود عنوان بريد في قاعدة بيانات الموقع يحدد الحساب المطلوب، لكنه لا يثبت أن الشخص الذي كتبه أمام الشاشة هو صاحبه. كانت Persona تسد هذه المسافة بخدمة تحقق. وعندما توقفت، لم تُمحَ الحسابات القديمة؛ إنما انتقلت مسؤولية إثبات صلة الزائر بها إلى كل موقع.

وصفت Mozilla BrowserID في 2011 بأنه بروتوكول هوية وخدمة مصادقة معاً، وقدّرت حينذاك أن قرابة ألف موقع يعتمد عليه. الرقم تقدير صادر عنها في ذلك الوقت، وليس حصيلة عند الإغلاق. وفي إعلان النسخة التجريبية من Persona سنة 2012 صاغت العرض للمواقع: لا حاجة إلى كلمة مرور أخرى، مع بقاء عنوان البريد وعلاقة الموقع المباشرة بمستخدمه.

غير أن التحقق لم يكن يحدث وحده. يشرح عرض Mozilla التقني لعام 2013 كيف كانت Persona تبحث عن مزود عنوان البريد. فإذا كان يدعم النظام تولى المصادقة؛ وإلا تدخلت خدمة احتياطية تديرها Mozilla، بواسطة جسر إلى دخول قائم أو رسالة تأكيد بالبريد. يتناول النص ثغرة أُصلحت في أحد الجسور، لكنه يفيد هنا في رسم بنية الاعتماد. ولا يثبت أن تلك الثغرة سببت الإغلاق اللاحق.

بدأ الانسحاب تدريجياً. تسجل محاضر اجتماع Mozilla في مارس 2014 نقل قيادة المشروع إلى المجتمع، مع استمرار الدعم التشغيلي من Mozilla ووقف تمويل مزايا جديدة. ثم يلخص دليل الإغلاق الموجه إلى المواقع التزامات التشغيل والأمن في 2014 و2015. وعزت Mozilla قرار النهاية إلى استخدام قليل ومتراجع وكلفة تشغيل خدمة دخول تتطلب أمناً وتوافراً دائمين. توقف الدعم في 30 نوفمبر 2016 وأُغلقت الخدمة المستضافة مع نهاية العام.

حدد الدليل ما سيُطفأ: موقع persona.org، وشيفرة JavaScript التي تستخدمها المواقع، ومزود الهوية الاحتياطي، والجسور، وخدمة التحقق المستضافة. احتفظت Mozilla بالنطاق حتى لا تؤول طلبات المواقع المتأخرة إلى مشترٍ آخر، وأعلنت إتلاف بيانات المستخدمين المخزنة لديها. بقاء الشيفرة مفتوحة لا يجعل خادم التحقق المغلق يجيب عن طلب دخول جديد.

برزت فائدة قرار قديم: كانت Persona تعطي الموقع عنوان البريد، لا رقماً غامضاً لا يفهمه سواها. إذا أثبت نظام جديد ملكية العنوان نفسه، أمكن وصل الزائر بحسابه الموجود. اقترحت Mozilla، للموقع الذي يختار كلمات مرور محلية، مصادقة أخيرة عبر Persona للتحقق من البريد ثم ضبط كلمة المرور. وذكرت أيضاً روابط الدخول المرسلة بالبريد والمصادقة المفوضة. كان تشغيل المنظومة كاملة داخل الموقع ممكناً نظرياً، لكنها حذرت معظم المواقع من تعقيدها ومن غياب تحديثات أمنية مستقبلية منها.

لم يكن الدخول الأخير مراسم وداع، بل فرصة لربط الشخص بحسابه قبل انقطاع الدليل القديم. بعد الإغلاق بقي عنوان البريد، وصار على الموقع توفير إثبات آخر أو مسار لاستعادة الحساب. لا تحصي الوثائق عدد المواقع التي أكملت الانتقال أو الحسابات التي فقدت الوصول؛ يلزم لذلك سجل الانتقال والدخول لدى كل موقع.

السجلات الأصلية