لم يخترقوا iCloud. لقد خمّنوا اسم كلبك فقط.

لم يخترقوا iCloud. لقد خمّنوا اسم كلبك فقط.

في أواخر أغسطس 2014، بدأت صور خاصة لعشرات الممثلات وعارضات الأزياء المشهورات بالظهور على موقع 4chan، ثم Reddit، ثم في كل مكان. قالت العناوين إن iCloud "تعرض للاختراق". حققت Apple وأصدرت بياناً كان أدقّ — وأكثر إقلاقاً — من العناوين: الحسابات تم اختراقها عبر "هجوم موجّه للغاية على أسماء المستخدمين وكلمات المرور وأسئلة الأمان".

اقرأ ذلك مرة أخرى. ليس اختراقاً لتشفير Apple. وليس خللاً في السحابة. أسماء المستخدمين، وكلمات المرور، وأسئلة الأمان.

لم يخلعوا القفل. لقد سألوا البوّاب الأسئلة الصحيحة، فسلّمهم المفتاح بيده.

المفتاح الاحتياطي تحت السجادة

كل حساب على الإنترنت له بابان. الباب الأمامي — كلمة مرورك، وربما المصادقة الثنائية، الشيء الذي تفكر فيه عندما تفكر في "الأمان". ثم هناك الباب الجانبي: استعادة الحساب. نسيت كلمة المرور؟ أجب عن بعض الأسئلة. تحقق من بريدك الاحتياطي. استلم رسالة نصية.

الباب الجانبي موجود لأن الشركات تعرف أن الناس ينسون كلمات المرور. إنها ميزة لخدمة العملاء. وهي، هيكلياً، أضعف جزء في النظام كله — لأنها يجب أن تكون كذلك. فعملية استعادة يستطيع المستخدم الشرعي إتمامها في يوم سيئ، من هاتف مستعار، بذاكرة ضبابية، هي أيضاً عملية يستطيع المهاجم إتمامها بقليل من البحث.

فكّر فيما تسألك عنه "أسئلة الأمان" فعلياً. اسم عائلة والدتك قبل الزواج. اسم أول حيوان أليف. الشارع الذي نشأت فيه. طراز أول سيارة. صُممت هذه الأسئلة في عصر كانت فيه مثل هذه الحقائق خاصة — أشياء لا يعرفها سواك أنت وعائلتك. ذلك العصر انتهى تقريباً عندما بدأ فيسبوك.

اسم عائلة والدتك موجود على مواقع الأنساب. اسم أول حيوان أليف موجود في تعليقات إنستغرام من 2016. الشارع الذي نشأت فيه موجود في مجموعة لمّ شمل مدرستك. سيارتك الأولى موجودة في صورة نشرتها قبل عقد. إجابات "أسئلتك السرية" أصبحت، لمعظم الناس، على بعد ثلاثين دقيقة من البحث. أما بالنسبة للمشاهير — الذين وثّق آلاف الغرباء سيرتهم — فالأمر أقرب إلى ثلاث دقائق.

عندنا مثل عربي قديم يقول: *"سرّك أسيرك، فإن تكلّمتَ به صرتَ أسيرَه"*. أسئلة الأمان تطلب منك أن تهمس بسرّك لآلة — والآلة لا تعرف كيف تحفظ السر.

ماذا فعل مهاجمو 2014 فعلياً

تصف التقارير العلنية عن حادثة 2014 عملية صبورة وغير برّاقة. أرسل بعض المهاجمين رسائل تصيّد متنكرة في صورة تنبيهات أمنية من Apple وGoogle، توجّه الضحايا إلى صفحات تسجيل دخول مزيفة. واستغل آخرون حقيقة أن خدمة "Find My iPhone" من Apple، في ذلك الوقت، لم تحدّ من عدد محاولات تخمين كلمة المرور — مما سمح لبرامج آلية بتجربة آلاف كلمات المرور الشائعة ضد معرّفات Apple معروفة دون أن تُقفل.

كل هذا لم يتطلب كسر التشفير. ولم يتطلب وصولاً داخلياً. تطلّب معرفة أن الباب الأمامي له باب جانبي، وأن الباب الجانبي يحرسه أسئلة إجاباتها علنية.

كان رد Apple معبّراً. لم يعلنوا عن تشفير أقوى — فالتشفير كان سليماً. بدأوا بإشعار المستخدمين كلما تم الوصول إلى iCloud من جهاز جديد، ودفعوا بالمصادقة الثنائية. بعبارة أخرى: حاولوا جعل الباب الجانبي أعلى صوتاً، لتسمعه وهو يُفتح.

لكن الباب الجانبي ما زال موجوداً. ولا بد أن يكون. فكل خدمة سحابية تقدم "نسيت كلمة المرور" لديها واحد.

مفارقة الاستعادة

إليك المفارقة التي لا يستطيع أي مزود سحابي حلّها: كلما كان الحساب أسهل في الاستعادة، كان أسهل في السرقة. هاتان خاصية واحدة. فعملية الاستعادة هي، بالتعريف، طريقة للدخول دون كلمة المرور. وكل خطوة تجعلها ألطف معك — أسئلة أقل، إعادة تعيين أسرع، دعم عملاء متعاون — تجعلها ألطف مع من ينتحل شخصيتك.

الأمر ليس حجة ضد السحابة. فالخدمات السحابية أدوات استثنائية، وفي معظم الأشياء تستحق الراحةُ المقايضةَ. لكن يجدر أن تكون واضحاً بشأن المقايضة التي تقوم بها: أي شيء تحميه وصلة "نسيت كلمة المرور" تحميه عملية مصممة لإدخال الغرباء، بشرط أن يحكوا قصة مقنعة.

ما الذي يستحق مكاناً بلا باب جانبي

معظم حياتك الرقمية يمكن أن تتحمل هذا الخطر. قائمة مشاهداتك، وسجل تسوقك، ومحادثاتك الجماعية — لو دخلها أحدهم، سيكون الأمر مزعجاً، لا كارثياً.

لكن لكل إنسان فئة من الأشياء لا تناسبها كلمة "مزعج". صور عائلية لا يمكن إعادة التقاطها. مذكرات. أرشيف عملٍ قضيتَ فيه عمرك. أشياء لا تُعوَّض، وفي بعض الحالات أشياء تفضّل ألا يراها أحد أبداً. بالنسبة لتلك الأشياء، السؤال ليس ما إذا كان الباب الأمامي قوياً. بل ما إذا كان هناك باب جانبي أصلاً.

أقوى قفل ليس وعداً أفضل. إنه غياب الباب.

قرص صلب دون اتصال، مشفّر بيدك، جالس في خزنة بلا اتصال بالشبكة، ليس له وصلة "نسيت كلمة المرور". لا يوجد موظف دعم عملاء يمكن استمالته لإعادة تعيين وصولك. لا يوجد سؤال أمان عن اسم كلبك، لأنه لا توجد شاشة تسجيل دخول أصلاً. الطريقة الوحيدة للدخول هي كلمة المرور في رأسك — وإذا ضاعت، ضاعت البيانات معها. هذه هي الكلفة الصادقة للترتيب، وتستحق أن تُقال بوضوح.

لقد تعلمنا أن الناس لا يريدون "غير قابل للاختراق" فعلياً. إنهم يريدون التوقف عن الحسابات القلقة — ماذا لو، ماذا لو، ماذا لو — في كل مرة يقرأون فيها عن اختراق جديد. والهدوء الذي يأتي من معرفة أنه ببساطة لا يوجد طريق عن بُعد إلى أكثر أشيائك خصوصية... هذا الهدوء هو كل ما في الأمر.