Broken Access: On the Challenges of Screen Reader Assisted Two-Factor and Passwordless Authentication
تقدم هذه الورقة إطار التقييم AWARE لتحليل المصادقة بمساعدة قارئ الشاشة بشكل منهجي، كاشفةً أن الأساليب الحالية للمصادقة الثنائية واللاكلمة تحتوي على عيوب جسيمة في إمكانية الوصول تعرض المستخدمين المكفوفين وضعاف البصر لمختلف الثغرات الأمنية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول دخول مبنى عالي التأمين. لديك مفتاح خاص (كلمة المرور الخاصة بك) ومفتاح ثانٍ (رمز يُرسل إلى هاتفك). بالنسبة لمعظم الناس، هذا أمر سهل: يقرؤون الشاشة، يكتبون الرمز، ثم يدخلون.
لكن بالنسبة للمكفوفين وضعاف البصر، هم لا "يرون" الشاشة. بدلاً من ذلك، يستخدمون قارئ الشاشة. فكر في قارئ الشاشة كأنه مرشد سياحي آلي يجلس على أكتافهم، يقرأ كل شيء على الشاشة بصوت عالٍ ليعرفوا أين يذهبون وماذا يفعلون.
هذه الورقة هي بمثابة "تقرير درجات" حول مدى جودة أداء هؤلاء "المرشدين السياحيين الآليين" عندما يتعلق الأمر بالأمن. وجد الباحثون أنه بينما يبرع المرشدون في قراءة المقالات الإخبارية، إلا أنهم سيئون للغاية في قراءة التعليمات الأمنية، مما يترك المستخدمين المكفوفين عرضة للاختراق.
إليك تفصيل الدراسة بكلمات بسيطة:
1. المشكلة: المرشد مرتبك
قام الباحثون بإنشاء أداة اختبار جديدة تسمى AWARE (تقييم ومراجعة إمكانية الوصول لتدفقات العمل الخاصة بالمصادقة). فكر في AWARE كأنه مفتش مراقبة الجودة لهؤلاء المرشدين السياحيين الآليين.
لقد اختبروا طرقاً أمنية شائعة (مثل Google وMicrosoft وDuo) لمعرفة ما إذا كان بإمكان المرشدين شرح الخطوات بوضوح للمستخدم الكفيف.
- النتيجة: غالباً ما كان المرشدون يتمتمون، أو يتخطون كلمات مهمة، أو يقرؤون أشياء خاطئة.
- التشبيه: تخيل مرشداً سياحياً يحاول أن يقول لك "انعطف يساراً عند الباب الأحمر"، ولكنه يقول بدلاً من ذلك "انعطف يساراً عند... آه... الشيء الأحمر". قد تنعطف يساراً عند الباب الخطأ وتجد نفسك في المبنى الخطأ.
2. الأعطال المحددة
وجدت الدراسة ثلاث طرق رئيسية يفشل بها "المرشدون السياحيون":
- "المسألة الحسابية" (NPO): عندما يكون الرمز الأمني هو "1234"، لا ينبغي للمرشد أن يقول "ألف ومائتان وأربعة وثلاثون". بل يجب أن يقول "واحد، اثنان، ثلاثة، أربعة". الكثير من المرشدين يقولون النسخة الطويلة، وهو أمر مستح المستحيل كتابته بسرعة قبل انتهاء صلاحية الرمز.
- "الغرفة الصامتة" (UCO): في بعض الأحيان، يظهر الرمز الأمني على الشاشة، لكن المرشد ببساطة يرفض قراءته بصوت عالٍ لأن التطبيق "مغلق أو معزول". يترك المستخدم ينتظر صوتاً لن يأتي أبداً.
- "الكلام المزدوج" (CBI): تخيل أن المرشد يقرأ التعليمات، وفجأة يرن هاتفك بمكالمة أمنية. يتوقف المرشد عن الكلام، يرن الهاتف، ثم يحاول المرشد البدء مجدداً لكنه يصاب بالارتباك. يفقد المستخدم التعليمات الهامة.
3. الكوابيس الأمنية
بسبب ارتباك المرشدين، يصبح المستخدمون المكفوفون عرضة لأنواع معينة من الهجمات:
- فخ "التصيد الاحتيالي" (Phishing): ينشئ المخترقون مواقع ويب مزيفة تبدو حقيقية. الشخص المبصر يرى أن الرابط هو
bankofamerica.comمقابلbankofamerica-scam.com. أما الكفيف فيعتمد على المرشد لقراءة الرابط. وجدت الدراسة أن المرشدين غالباً ما يقرؤون هذه الروابط المزيفة بطريقة تجعلها تبدو متطابقة مع الروابط الحقيقية. إنه يشبه شخصاً محتالاً يرتدي تنكراً يجعل صوته يبدو تماماً مثل صوت صديقك. - هجوم "الإجهاد" (Fatigue): يغرق المخترقون المستخدم بمئات الإشعارات التي تسأل "هل توافق على تسجيل الدخول؟". الشخص المبصر قد يشعر بالانزعاج ويتوقف. أما الكفيف، الذي يعتمد على المرشد، فقد يشعر بالإرهاق من الضجيج وقد يضغط "نعم" لمجرد جعل الضجيج يتوقف.
- خطر "النظر من فوق الكتف" (Shoulder Surfing): إذا كان الشخص الكفيف يستخدم جهاز كمبيوتر وهاتفاً في نفس الوقت (للحصول على رمز)، فقد يرتدي سماعات الرأس للكمبيوتر لكنه يترك الهاتف على مكبر الصوت. يمكن للمخترق الواقف بالقرب منه سماع الرمز وهو يُقرأ بصوت عالٍ عبر مكبر صوت الهاتف.
4. منطقة خطر "الجهازين"
وجدت الدراسة أن الوضع الأكثر خطورة هو عندما يتعين على المستخدم استخدام جهاز كمبيوتر وهاتف في آن واحد.
- التشبيه: الأمر يشبه محاولة الاستماع إلى محطتين إذاعيتين مختلفتين في نفس الوقت. يبدأ "المرشدون السياحيون" على كلا الجهازين بالتحدث فوق بعضهم البعض، مما يخلق فوضى عارمة حيث لا يستطيع المستخدم سماع التعليمات الأمنية بوضوح. وهذا ما يجعل من السهل جداً على المخترق التسلل.
5. ما الذي يمكن فعله؟
الباحثون لا يكتفون بالإشارة إلى المشكلات فحسب؛ بل يقدمون مخططاً للإصلاحات:
- لمصممي التطبيقات: توقفوا عن استخدام التخطيطات المرئية المربكة. تأكدوا من أن "المرشدين الآليين" يمكنهم قراءة الأزرار والرموز الأمنية بوضوح.
- لمطوري المرشدين: برمجوا المرشدين ليكونوا أكثر ذكاءً. إذا اكتشفوا موقعاً مزيفاً، يجب أن يصرخوا محذرين! إذا سمعوا إشعارات في وقت واحد، يجب أن ينبهوا المستخدم.
- أفضل خيار متاح حالياً: تقترح الدراسة أن استخدام مفاتيح الأمان FIDO (مفاتيح USB فيزيائية) مع قارئ شاشة محدد (NVDA) هو حالياً الطريقة الأكثر أماناً وسهولة في الوصول، لأنها تعتمد على الأفعال الفيزيائية أكثر من الاعتماد على قراءة النصوص المربكة.
الخلاصة
في الوقت الحالي، يبني العالم الرقمي أبواباً عالية التأمين، لكن "المفاتيح" للمكفوفين غالباً ما تكون مكسورة أو مفقودة. هذه الورقة هي صرخة تحذير: لا يمكن أن يوجد أمن بدون إمكانية وصول. إذا لم نصلح كيفية تحدث هؤلاء "المرشدين السياحيين الآليين" إلى المستخدمين المكفوفين، فإننا نترك الباب الأمامي مفتوحاً لهم بينما نغلقه للآخرين.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.