مصادقة VPN المفقودة: استبدالها دون تعطيل المصادقة متعددة العوامل

يفقد أحدهم هاتفه فتصل التذكرة بعنوان «VPN معطّل». هذا التأطير خاطئ مرتين: الحساب ما زال موجوداً، والبوابة ما زالت تثق بمزوّد الهوية، لذا الجزء المعطّل الوحيد هو عامل واحد لم يعد الشخص يملكه. تعامل مع الأمر كاسترداد لا كانقطاع خدمة: تحقّق من مقدّم الطلب، وسجّل بديلاً، وأوقف الطريقة المفقودة، ثم أثبت أن الحساب يعمل. كل ذلك يفترض أن الخطة كُتبت قبل الفقدان، لأن ابتكارها أثناء المكالمة هو الطريق الذي ينتهي به الأمر إلى إيقاف المصادقة متعددة العوامل للجميع.

الخطوة 1: اقرأ العوامل المسجّلة من سجل، لا من الذاكرة

السؤال الأول ليس أي جهاز فُقد، بل ما الذي يستطيع الحساب استخدامه أيضاً. قد يحمل الحساب كلمة مرور مع دفع، ورمزاً زمنياً، ومفتاحاً مادياً، ورموز استرداد مطبوعة، وفقدان واحد منها حدث مختلف تماماً عن فقدان العامل الوحيد. اقرأ قائمة الأساليب من نظام الهوية بدلاً من مطالبة المستخدم بتذكّرها، وفي مستأجر Microsoft Entra يكون الاستعلام سطراً واحداً:

Get-MgUserAuthenticationMethod -UserId [email protected]

ثم اكتب سجل الاسترداد بينما يعمل الحساب: معرّف الحساب، والعوامل المسجّلة، وأين توجد رموز الاسترداد، ومن يستطيع التحقق من مقدّم الطلب باستقلال، والأنظمة التي يصل إليها الحساب. احتفظ به في الجرد المحمي الذي يستخدمه الفريق بالفعل، ولا تضعه أبداً في ملاحظة تحتوي أيضاً على رموز حيّة. هذه الحقول الخمسة تحوّل مكالمة مذعورة إلى قائمة تحقق، ويعامل إرشاد NIST لدورة حياة المصادقة الاستردادَ جزءاً من الاعتماد لا استثناءً منه.

سجّل قناة التحقق حقلاً مستقلاً، لأن هذا هو الجزء الذي يتخطاه الناس. رقم هاتف مرتبط بالحساب ليس قناة مستقلة عندما يتحكم الشخص الطالب في الهاتف أيضاً.

الخطوة 2: تحقّق من مقدّم الطلب خارج المسار المعطّل

أجرِ التحقق من الهوية عبر قناة لا تعتمد على الـ VPN أو صندوق البريد أو الجهاز المفقود. الاتصال برقم من سجل الموارد البشرية، أو التحقق حضورياً مع مدير موجود أصلاً في الدليل، كلاهما يعمل؛ أما رسالة دردشة تُرسل من الحساب الخاضع للاسترداد فلا تعمل. التحقق يتعلق بالشخص، لا بقدرته على الإجابة عن أسئلة تخص الحساب، لأن تفاصيل الحساب تتسرّب. سجّل من تحقّق من الطلب ومتى، لأن المراجع التالي سيريد الاثنين.

حين يصل الطلب بإلحاح وضغط لتخطي التحقق، فذلك هو وقت التمهّل. احتيال الاسترداد يبدو تماماً كزميل مفيد مستعجل.

الخطوة 3: سجّل البديل، ثم أوقف العامل القديم

سجّل المصادقة الجديدة عبر مسار التسجيل المعتاد، لا عبر تجاوز إداري أبداً. ثم أزل الطريقة المفقودة صراحةً، لأن تسجيل بديل يترك المصادقة السابقة مصرّحاً بها حتى يوقفها أحدهم. إذا كان الجهاز القديم قد يكون في يد شخص آخر، فتعامل مع الإزالة كأمر عاجل واتبع عملية الحوادث لا عملية الاسترداد. ألغِ الجلسات القائمة في نفس المرور، لأن جلسة أُنشئت قبل التغيير قد تعيش بعده:

Revoke-MgUserSignInSession -UserId [email protected]

إزالة العامل عن الجميع، أو تخفيف فحوص شهادة البوابة، يقايض استرداد شخص واحد بانقطاع يمسّ النشر كله. أبقِ التغيير محصوراً في الحساب الواحد واصعد الأمر إذا أشارت الأدلة إلى اختراق أوسع. دوّن في التذكرة أي عامل أُوقف وأي عامل حلّ محله.

الخطوة 4: أثبت أن الحساب يعمل في الاتجاهين

سجّل الدخول مرة واحدة بالعامل الجديد عبر عميل مدعوم، ثم تأكد أن الحساب ما زال يصل إلى الموارد التي كان يصل إليها قبل الفقدان. اختبر مورداً يحتاج النفق ومورداً لا يحتاجه، كي يشير أي فشل إلى الطبقة الصحيحة. جرّب تسجيل الدخول بالعامل المُوقف وتوقّع رفضاً لا طلباً، وهو ما يثبت أن الإزالة نفذت. تحدٍّ يفشل من جهاز مسجّل قائم مشكلة في الطلب لا سبب لإعادة تسجيل كل شيء.

ثم اطلب من المستخدم إتمام تسجيل الدخول نفسه دون إرشاد. اختبارك الناجح يثبت الإعداد؛ ومحاولته تثبت التسليم.

أغلق التذكرة بطابع زمني لتسجيل الدخول الناجح وباسم العامل المستخدم الآن. حدّث سجل الاسترداد في نفس المرور، كي يبدأ الفقدان التالي من جرد دقيق لا من جرد قديم.

الخطوة 5: أزل الشرط الذي جعل هذا مؤلماً

كل مكالمة استرداد دليل على تصميم التسجيل. إذا كان للحساب عامل واحد فقط، فاطلب عاملاً ثانياً لكل من في تلك المجموعة. إذا كانت رموز الاسترداد على الحاسوب المحمول الذي فُقد، فغيّر مكان وجودها. إذا احتاج التحقق إلى مدير كان في إجازة، فسمِّ بديلاً. كل إصلاح يستغرق عصراً ويزيل أسوأ ساعة في الحادث التالي.

ثم أعد قراءة سجل الخطوة الأولى مقابل الواقع. هل يسرد العوامل الموجودة فعلاً، وهل ما زالت قناة التحقق تصل إلى إنسان؟ دليل التشغيل الذي لا يحدّثه أحد يتحول إلى مستند يتجاهله الناس أثناء المكالمة التي كُتب من أجلها.