إن SMS OTP - كلمة المرور لمرة واحدة - عبارة عن رمز رقمي قصير يتم إرساله عبر رسالة نصية للتحقق من أن كل من يحاول تسجيل الدخول أو إكمال عملية دفع أو إعادة تعيين كلمة المرور لديه بالفعل حق الوصول إلى رقم الهاتف الموجود في الملف. يتم استخدامه مرة واحدة وتنتهي صلاحيته بعد فترة وجيزة، عادة في غضون خمس إلى خمس عشرة دقيقة.
كيف يعمل
- يحاول المستخدم اتخاذ إجراء حساس مثل تسجيل الدخول وإجراء الدفع وإعادة تعيين كلمة المرور.
- يقوم النظام بإنشاء رمز عشوائي يستخدم لمرة واحدة ويرسله عبر رسالة نصية قصيرة إلى رقم الهاتف المرتبط بالحساب.
- يقوم المستخدم بإدخال هذا الرمز مرة أخرى في التطبيق أو موقع الويب ضمن نافذة انتهاء الصلاحية.
- يؤكد النظام تطابق الكود ويسمح بمتابعة الإجراء.
لماذا الرسائل القصيرة على وجه التحديد
يعمل SMS OTP بمثابة عامل التحقق الثاني لأنه يعتمد على شيء يمتلكه المستخدم فعليًا - هاتفه - منفصل عن شيء يعرفه، مثل كلمة المرور. حتى في حالة سرقة كلمة المرور أو تخمينها، لا يتمكن المهاجم الذي ليس لديه إمكانية الوصول الفعلي إلى الهاتف (أو التحكم في رقمه) من إكمال عملية تسجيل الدخول. يتم استخدام الرسائل القصيرة عبر القنوات الأخرى بشكل أساسي لأنها لا تحتاج إلى تطبيق ولا اتصال بالإنترنت وتعمل على كل هاتف تقريبًا.
الاستخدامات الشائعة
- المصادقة الثنائية لتسجيلات الدخول
- تأكيد الدفع أو تغيير تفاصيل الحساب
- التحقق من رقم الهاتف أثناء تسجيل الحساب
- السماح بإعادة تعيين كلمة المرور
هل الرسائل النصية القصيرة لمرة واحدة (OTP) آمنة؟
يعد SMS OTP تحسينًا أمنيًا كبيرًا مقارنة بكلمة المرور وحدها، ولكنه ليس العامل الثاني الأقوى الممكن - فقد يكون عرضة للاحتيال في مبادلة بطاقة SIM، حيث يقنع المهاجم شركة الاتصالات بنقل رقم الضحية إلى بطاقة SIM جديدة، أو للاعتراض على شبكات سيئة التأمين. بالنسبة لمعظم التطبيقات الاستهلاكية، يظل هذا المعيار عمليًا ومنخفض الاحتكاك؛ تقوم حالات الاستخدام ذات الأمان العالي بإقرانها بشكل متزايد بتطبيقات المصادقة أو مفاتيح الأجهزة أو استبدالها بها.
أفضل الممارسات للشركات التي ترسل كلمة مرور لمرة واحدة (OTP).
- أبقِ فترة انتهاء الصلاحية قصيرة — من خمس إلى عشر دقائق نموذجيًا.
- قم بتوجيه حركة مرور OTP عبر مسار إرسال مخصص ذي أولوية عالية بدلاً من نفس قائمة الانتظار مثل الرسائل التسويقية.
- الحد الأقصى لعدد المرات التي يمكن فيها طلب رمز لنفس الرقم، لمنع إساءة الاستخدام.
- لا تقم مطلقًا بتضمين أي شيء يتجاوز الرمز والتعليمات القصيرة - تعد رسائل OTP هدفًا شائعًا للتصيد الاحتيالي للنصوص المشابهة.