شرح إخفاقات المصادقة (OWASP A07) — 2026

إخفاقات التعريف والمصادقة (المرتبة السابعة في OWASP Top 10) تغطّي الطرق المتعددة التي يختلّ بها تسجيل الدخول وإدارة الجلسات — فتتيح للمهاجمين انتحال شخصية مستخدمين شرعيين. ولأن المصادقة هي الباب الأمامي، فإن الخطأ فيها كارثي.

الفكرة الجوهرية

المصادقة تثبت من أنت. وإذا أمكن تخمين هذا الإثبات أو سرقته أو تجاوزه أو إعادة استخدامه، يصبح المهاجم أنت — دون حاجة إلى أي استغلال. (ملاحظة: المصادقة هي «من أنت؟»؛ أما التفويض فهو «ماذا يحقّ لك أن تفعل؟» — وذلك هو التحكم المعطوب في الوصول.)

الإخفاقات الشائعة

• سياسات كلمات مرور ضعيفة — السماح بكلمات مرور تافهة أو شائعة.
• حشو بيانات الاعتماد (Credential Stuffing) — يعيد المهاجمون استخدام كلمات مرور تسرّبت في اختراقات أخرى؛ فإن أعاد مستخدموك استخدام كلماتهم، صار الطريق مفتوحًا.
• القوة الغاشمة (Brute Force) — لا يوجد تحديد لمعدّل محاولات تسجيل الدخول.
• غياب المصادقة متعددة العوامل (MFA) — كلمة مرور مسروقة واحدة = وصول كامل.
• سوء إدارة الجلسات — رموز يمكن التنبؤ بها، وجلسات لا تنتهي أبدًا، ورموز مكشوفة في الروابط (URLs).
• استرداد كلمة المرور غير الآمن — عمليات «نسيت كلمة المرور» الضعيفة التي يسهل مهاجمتها أكثر من تسجيل الدخول نفسه.

كيف تمنع ذلك

1. افرض المصادقة متعددة العوامل (MFA) — الإجراء الأعلى أثرًا على الإطلاق. حتى كلمة المرور المُصطادة تفشل غالبًا دون العامل الثاني.
2. افرض كلمات مرور قوية — الطول أهم من التعقيد؛ واحجب كلمات المرور المعروف تسرّبها.
3. حدِّد المعدّل واقفل الحساب — لإيقاف القوة الغاشمة وحشو بيانات الاعتماد.
4. أمّن الجلسات — رموز عشوائية وطويلة بما يكفي؛ اجعلها تنتهي؛ استخدم ملفات تعريف ارتباط بخاصيتَي HttpOnly وSecure؛ وأعِد توليدها عند تسجيل الدخول.
5. صلّب عمليات الاسترداد — فهي مسار تجاوز شائع.
6. استخدم مصادقة مُثبَتة — أطر عمل ومزوّدون (OAuth/OIDC) بدلًا من كود تسجيل دخول محلي الصنع.

لماذا المصادقة متعددة العوامل هي العنوان الأبرز

معظم عمليات الاستيلاء على الحسابات تعود إلى كلمات المرور — بالتخمين أو إعادة الاستخدام أو التصيّد. المصادقة متعددة العوامل تكسر هذه السلسلة. إن فعلت شيئًا واحدًا، فَفعِّل MFA في كل مكان.

كيف تُكتشف

يفحص المختبِرون وجود سياسات ضعيفة، وغياب تحديد المعدّل، وجلسات يمكن التنبؤ بها، واسترداد قابل للتجاوز — ضمن اختبار اختراق مُصرّح به. وهذه مشكلات منطق وإعداد، لذا يفيد فيها الاختبار البشري والاختبار المدعوم بالذكاء الاصطناعي معًا.

ذات صلة: الإخفاقات التشفيرية (كيف ينبغي تخزين كلمات المرور). تعلّم أمان المصادقة مجانًا في أكاديمية Pentevo.