كيف تعمل مفاتيح المرور في Singpass ومن يستطيع استخدامها؟

أما مع مفتاح المرور، فلا يكتب المستخدم كلمة مرور أو رمز OTP ولا يُرسَل أي منهما أثناء المصادقة. يثبت المستخدم محلياً أنه يسيطر على الجهاز، عادةً عبر القياسات الحيوية أو رمز المرور، لكن الموقع لا يحصل على بيانات الوجه أو بصمة الإصبع ولا على المفتاح الخاص. وبدلاً من ذلك، يتلقى استجابة تشفيرية يمكن التحقق منها، ولكن لا يمكن استخدامها لاحقاً ككلمة مرور.

كيف يعمل زوج المفتاحين؟

عند التسجيل، ينشئ جهاز iPhone زوجاً فريداً من المفاتيح العامة والخاصة:

• المفتاح الخاص: يبقى على الجهاز المسجَّل ويُستخدم لإنشاء توقيع رقمي.
• المفتاح العام: يُسجَّل لدى Singpass للتحقق من صحة هذا التوقيع.
• ترسل Singpass تحدياً جديداً عند كل محاولة تسجيل دخول.
• يوقّع الهاتف هذا التحدي فقط بعد موافقة المستخدم عبر Face ID أو Touch ID أو رمز الدخول إلى تطبيق Singpass.
• تتحقق Singpass من الاستجابة باستخدام المفتاح العام المخزَّن لديها.

ومن الناحية التقنية، فهذا استخدام للمصادقة القائمة على تشفير المفتاح العام والخاص، وليس مجرد «تبادل لمفتاح تشفير». فالمفتاح الخاص لا يغادر الهاتف، كما أن المفتاح العام وحده لا يكفي لانتحال هوية المستخدم.

وتصف معايير FIDO هذا النموذج بأنه مصادقة مرتبطة بمصدر الخدمة؛ إذ يرتبط الاعتماد بنطاق Singpass الشرعي. لذلك لا يستطيع موقع مزيّف يشبه صفحة Singpass بصرياً الحصول على استجابة صالحة للعمل مع الخدمة الأصلية.

لهذا السبب تقل قيمة صفحة تسجيل الدخول المنسوخة بالنسبة إلى مستخدم مفاتيح المرور. فلن يجد المحتال كلمة مرور قابلة لإعادة الاستخدام أو رمز OTP أو موافقة QR يمكن جمعها وإعادة تمريرها.

من يستطيع استخدام الميزة حالياً؟

لا يزال الإطلاق الأولي محدوداً ضمن مراحل تجريبية:

• مستخدمو iPhone وiOS: يمكنهم استخدام الميزة منذ 1 يوليو 2026 عبر متصفحات الهاتف المدعومة.
• مستخدمو Android: من المقرر دعمهم في مرحلة لاحقة.
• أجهزة الكمبيوتر المحمولة والمكتبية: لم يتوافر تسجيل الدخول عبر متصفحات سطح المكتب عند الإطلاق، وأُجّل إلى مرحلة لاحقة.

ويعني ذلك أن امتلاك iPhone لا يضمن ظهور خيار مفتاح المرور في كل خدمة من خدمات Singpass فوراً؛ فإتاحة الميزة تعتمد أيضاً على الخدمة والجهاز والمرحلة التي يشملها الطرح التدريجي.

كيف يسجل المستخدم مفتاح مرور؟

في المرحلة الأولى الخاصة بـ iPhone، تتم عملية التسجيل من تطبيق Singpass باتباع الخطوات الآتية:

1. تحديث تطبيق Singpass إلى أحدث إصدار.
2. فتح التطبيق واختيار لافتة مفتاح المرور الظاهرة على الشاشة الرئيسية.
3. اتباع التعليمات المعروضة لإكمال إنشاء المفتاح.

بعد التسجيل، تتم المصادقة محلياً باستخدام Face ID أو Touch ID أو بصمة الإصبع، أو باستخدام رمز تطبيق Singpass المؤلف من ستة أرقام، بحسب الجهاز وإعداداته. ولا يحتاج المستخدم إلى كتابة كلمة مرور Singpass في الموقع المشارك.

ما أهمية Bluetooth عند استخدام جهاز آخر؟

تظهر مخاطرة مختلفة عندما يبدأ تسجيل الدخول من جهاز منفصل، مثل استخدام الهاتف للدخول إلى بوابة مفتوحة على جهاز آخر. فقد يحاول المحتال إقناع الضحية بالموافقة على تسجيل دخول يجري على كمبيوتر أو هاتف يسيطر عليه هو.

في هذه الحالات، يمكن لـ Singpass إجراء فحص قرب قصير المدى عبر Bluetooth للتأكد من أن الهاتف المسجَّل، والذي يحمل مفتاح المرور، قريب فعلياً من الجهاز الذي يطلب تسجيل الدخول.

لا يحل فحص القرب محل التحقق بواسطة زوج المفاتيح، بل يضيف دليلاً على وجود الهاتف في المكان نفسه. وهذا يجعل سيناريو الموافقة عن بُعد أصعب، مثل أن يرسل المحتال رمز QR ثم يوجّه الضحية خطوة بخطوة للموافقة بينما يدير هو الجهاز من مكان آخر.

لماذا لا تزال كلمات المرور ورموز QR متاحة؟

مفاتيح المرور طريقة إضافية خلال المرحلة التجريبية، وليست بديلاً شاملاً فورياً. لذلك تبقى طرق الدخول الحالية ضرورية للأشخاص الذين لا يملكون iPhone مؤهلاً، ولمن لم يسجلوا مفتاح مرور، وللخدمات أو الأجهزة التي لم يشملها الطرح بعد.

وتظل هذه الطرق مفيدة من ناحية إتاحة الوصول وتغطية أكبر عدد من المستخدمين، لكن أمنها يعتمد بدرجة أكبر على سلوك المستخدم. فقد يُخدع شخص للكشف عن كلمة مرور أو رمز OTP، أو لمسح رمز QR مزيف، أو للموافقة على طلب دخول غير متوقع. وتواصل شرطة سنغافورة التحذير من مشاركة كلمات مرور Singpass أو تفاصيل المصادقة الثنائية 2FA مع أشخاص مجهولين.

وتقلل مفاتيح المرور كمية بيانات الاعتماد التي يمكن اصطيادها، لكنها لا تلغي كل أساليب الاحتيال. فما زال بإمكان المحتال انتحال صفة مؤسسة، أو الضغط على المستخدم لكشف معلومات شخصية، أو محاولة استغلال إجراءات استعادة الحساب أو الاستيلاء عليه.

ما علاقتها بمعايير FIDO؟

يتوافق تصميم الميزة مع نموذج تشفير المفتاح العام المرتبط بالمصدر، وهو النموذج الذي تستند إليه معايير FIDO وWebAuthn. ويُعد FIDO2 معياراً مفتوحاً للمصادقة، صُمم لتوفير بيانات اعتماد تشفيرية مقاومة للتصيد بدلاً من الأسرار التقليدية القابلة للسرقة وإعادة الاستخدام.

وتكمن أهمية هذا النهج في أن مفاتيح المرور مبنية على معايير مفتوحة قابلة للتشغيل البيني ضمن منظومة المصادقة الأوسع، لا على صيغة تسجيل دخول مملوكة لجهة واحدة. وتعرّف تحالف FIDO مفاتيح المرور بأنها بيانات اعتماد مرتبطة بحساب المستخدم في موقع أو تطبيق، ويمكن استخدامها عبر هاتف أو كمبيوتر أو مفتاح أمان مادي، بحسب ما تدعمه كل خدمة ومرحلة من مراحل الإطلاق.

أما الفائدة العملية في Singpass فتتمثل في ربط الاعتماد بنطاق الخدمة: إذ يُفترض أن يستجيب جهاز المصادقة للموقع الشرعي، لا لنطاق تصيد يشبهه في الشكل.

أرقام التصيد التي تقف وراء التغيير

سجّلت سنغافورة 37,308 حالات احتيال وخسائر بلغت نحو 913.1 مليون دولار سنغافوري خلال 2025. وتشمل هذه الأرقام جميع أنواع الاحتيال، وليس التصيد وحده.

وتشير الإحصاءات السنوية الرسمية إلى تسجيل 6,264 حالة تصيد وخسائر قدرها 39.9 مليون دولار سنغافوري بسبب التصيد خلال العام نفسه. وهذا يجعل التصيد جزءاً مهماً من مشكلة الاحتيال الأوسع، لكن هذه الأرقام لا تعني أن جميع الخسائر نتجت عن سرقة بيانات Singpass.

لذلك تستهدف الميزة مرحلة محددة من الهجوم: جعل التقاط بيانات تسجيل الدخول عبر صفحات التصيد أقل فائدة بكثير. ومع ذلك، يظل على المستخدم التحقق من عنوان الموقع، ورفض طلبات الدخول غير المتوقعة، وعدم مشاركة بيانات Singpass، خصوصاً مع استمرار إتاحة طرق المصادقة الأقدم.