NIST SP 800-63B-4: إرشادات المصادقة وكلمات المرور

نُشر NIST SP 800-63B-4 في 31 يوليو 2025، وهو الإرشاد الحالي الصادر عن المعهد الوطني الأمريكي للمعايير والتكنولوجيا بشأن المصادقة وإدارة وسائل المصادقة. ويتبنى نهجًا يستند إلى الأثر والمخاطر وقوة الأدلة التي يقدمها المشترك، بدلًا من افتراض أن على كل خدمة تطبيق قواعد تسجيل الدخول نفسها.

تقدم الوثيقة إرشادات تقنية، وليست قانونًا يسري على الجميع. ولا يزال على المؤسسات مراعاة اللوائح المعمول بها والتهديدات وفئات المستخدمين عند تطبيق هذه الإرشادات.

مستويات ضمان المصادقة

AAL1

يوفر AAL1 درجة أساسية من الثقة بأن الشخص الذي يصل إلى حساب يتحكم في وسيلة مصادقة مرتبطة به. ويسمح بالمصادقة بعامل واحد. ويمكن لكلمة المرور أن تفي بهذا المستوى إذا نُفّذت وفق متطلبات جهة التحقق، لكن ينبغي للخدمات الأعلى مخاطرة ألا تفترض أن AAL1 كافٍ.

AAL2

يتطلب AAL2 عاملَي مصادقة مختلفين. ويجب أن تتيح الخدمة خيارًا واحدًا على الأقل يقاوم التصيد الاحتيالي. ويمكن أن توفر كلمة المرور مع رمز من تطبيق مصادقة عاملين، لكن الرمز الذي يُستخدم لمرة واحدة ويُدخل يدويًا لا يقاوم التصيد الاحتيالي في حد ذاته، لأن موقعًا وسيطًا يبدو مقنعًا يمكنه تمريره. ويمكن لمفاتيح المرور المرتبطة بجهاز مناسب أو مفاتيح الأمان FIDO أن توفر مقاومة أقوى للتصيد الاحتيالي.

AAL3

يوفر AAL3 درجة عالية جدًا من الثقة، ويتطلب مصادقة مقاومة للتصيد الاحتيالي باستخدام مفتاح تشفير غير قابل للتصدير. ويجب أن يقاوم البروتوكول ووسيلة المصادقة انتحال هوية جهة التحقق، وأن تستخدم عملية المصادقة عاملين مختلفين. وتُستخدم عادةً في هذا المستوى وسائل مصادقة تشفيرية مدعومة بعتاد مادي.

المتطلبات الحديثة لكلمات المرور

صُممت إرشادات NIST لكلمات المرور على أساس السلوك الفعلي للمستخدمين والمهاجمين:

• الطول: يجب ألا يقل طول كلمة المرور المستخدمة كعامل مصادقة وحيد عن 15 محرفًا. أما كلمة المرور المستخدمة فقط ضمن المصادقة متعددة العوامل، فيُسمح بأن يكون حدها الأدنى ثمانية محارف. وينبغي لجهات التحقق أن تسمح بحد أقصى للطول لا يقل عن 64 محرفًا.

• عدم فرض قواعد اعتباطية لتركيب كلمة المرور: ينبغي للخدمات ألا تشترط الجمع بين الأحرف الكبيرة والأرقام والرموز. فهذه القواعد غالبًا ما تؤدي إلى أنماط يمكن توقعها.

• عدم فرض تغيير دوري: ينبغي ألا تُغيَّر كلمات المرور وفق جدول زمني ثابت، ما لم توجد أدلة على تعرض وسيلة المصادقة للاختراق.

• التحقق من القيم المخترقة: يجب مقارنة كلمة المرور المقترحة كاملةً بقائمة حظر تتضمن قيمًا شائعة أو متوقعة أو مخترقة.

• سهولة الاستخدام: ينبغي السماح باستخدام برامج إدارة كلمات المرور والملء التلقائي واللصق. وينبغي قبول المسافات ومجموعة واسعة من المحارف.

• مقاومة التخمين عبر الإنترنت: يجب على جهات التحقق تقييد معدل المحاولات الفاشلة.

يمكن لفحص التسريبات الذي يحافظ على الخصوصية أن يساعد في استيفاء متطلب قائمة الحظر. وينبغي فحص كلمة المرور المقترحة بطريقة لا تكشف نصها الصريح أو قيمة تجزئتها كاملةً لمزوّد خدمة البحث.

دورة حياة وسائل المصادقة والاسترداد

لا يقتصر أمان المصادقة على شاشة تسجيل الدخول. فالخدمة تحتاج إلى إجراءات منضبطة لربط وسيلة مصادقة جديدة، واستبدال جهاز مفقود، وإلغاء وسيلة مصادقة مسروقة، وإصدار رموز الاسترداد، واستعادة الوصول من دون جعل موظفي الدعم منفذًا سهلًا لتجاوز ضوابط الأمان. وينبغي أن تؤدي عمليات الاسترداد إلى إرسال إشعارات، وأن تخضع التغييرات عالية المخاطر لتدقيق إضافي.

إدارة الجلسات

بعد المصادقة، تصبح الجلسة بمثابة بيانات الاعتماد. وينبغي للخدمات حماية أسرار الجلسات، واستخدام حدود زمنية مناسبة للخمول وللمدة الإجمالية للجلسة، وإعادة المصادقة عند تنفيذ إجراءات حساسة، وإنهاء الجلسات عند الإبلاغ عن اختراق أو فقدان وسيلة مصادقة. ولا يمكن لتسجيل دخول قوي أن يعوّض عن رمز جلسة مكشوف وطويل العمر.

ما ينبغي للمؤسسات تغييره

• استبدال قواعد تركيب كلمات المرور وتغييرها الدوري بمتطلبات الطول، والتحقق من كلمات المرور المخترقة، وتقييد معدل المحاولات.

• إتاحة مصادقة مقاومة للتصيد الاحتيالي وإعطاؤها الأولوية للمسؤولين والمعاملات ذات الأثر الكبير.

• مراجعة الاسترداد واستبدال وسائل المصادقة وإلغاء الجلسات بوصفها أجزاءً من تصميم واحد لضمان المصادقة.

• توثيق مستوى AAL المطلوب لكل خدمة وأسباب اختياره؛ وعدم وصف كل مسار يجمع بين كلمة مرور ورمز بأنه مقاوم للتصيد الاحتيالي.

تتوفر المتطلبات المعيارية الكاملة وملاحظات التنفيذ في منشور SP 800-63B-4 الرسمي.