💻 computer science

A Lightweight QR-assisted Zero-knowledge Identification Protocol For Secure Authentication

تقترح هذه الورقة بروتوكول مصادقة يعتمد على المعرفة الصفرية بمساعدة رمز الاستجابة السريعة (QR code) وخفيف الوزن، يستند إلى مخطط "شنور" (Schnorr)، والذي يؤمن الأنظمة المحمولة والأنظمة ذات الموارد المحدودة ضد هجمات إعادة التشغيل مع الحفاظ على أداء بمستوى الميلي ثانية وحجم إثبات مدمج يبلغ 0.5 كيلوبايت.

المؤلفون الأصليون: Hüseyin Bodur

نُشر 2026-05-19

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Hüseyin Bodur

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول إثبات معرفتك بكلمة مرور سرية لحارس أمن، لكنك لا تريد نطق الكلمة نفسها بصوت عالٍ. إذا همست بها فقط، فقد يسمعها أي شخص قريب منك ويسرقها. وإذا كتبتها على ورقة، فقد يقوم شخص ما بتصويرها واستخدامها لاحقاً.

تقترح هذه الورقة حلاً ذكياً لهذه المشكلة باستخدام مزيج من السحر الرياضي، وأكواد الـ QR، ومهلة زمنية. إليك كيف يعمل الأمر، مقسماً إلى مفاهيم بسيطة:

1. الفكرة الجوهرية: "الخدعة السحرية" (إثبات المعرفة الصفرية - Zero-Knowledge Proof)

فكر في إثبات المعرفة الصفرية كخدعة سحرية تثبت فيها أنك تملك السر دون أن تظهر السر نفسه أبداً.

الطريقة القديمة: تسلم الحارس مفتاحك. إذا فقده، يمكن لأي شخص استخدامه.
الطريقة الجديدة: تقف خلف ستارة. يطلب منك الحارس حل لغز رياضي محدد لا يستطيع حله إلا من يملك المفتاح. تقوم بحل اللغز فوراً. يرى الحارس الحل، ويعرف أنك تملك المفتاح، لكنه لا يرى المفتاح نفسه أبداً.

2. المكون السري: بروتوكول شناور (Schnorr Protocol)

تستخدم الورقة طريقة رياضية محددة تسمى بروتوكول شناور.

التشبيه: تخيل صندوقاً مغلقاً (المفتاح العام) يمكن للجميع رؤيته. داخل هذا الصندوق يوجد رقم سري (مفتاحك الخاص) لا يعرفه أحد غيرك.
يطلب منك النظام خلط رقمك السري مع رقم عشوائي تقوم بتوليده في تلك اللحظة. ثم ترسل النتيجة إليه.
يمكن للحارس التحقق من حساباتك باستخدام الصندوق المغلق. إذا كانت الرياضيات صحيحة تماماً، فسيعرف أنك بالتأكيد تملك الرقم السري. أما إذا كنت تخمن، فستفشل العملية الرياضية.

3. وسيلة التوصيل: كود الـ QR

بدلاً من كتابة هذا اللغز الرياضي في جهاز كمبيوتر أو الاتصال عبر شبكة Wi-Fi، تقترح الورقة وضع الإجابة داخل كود QR (ذلك الرمز المربع الذي تمسحه به هاتفك).

كيف يعمل: يقوم هاتفك بتوليد "الإثبات" (الإجابة الرياضية)، ثم يحولها إلى كود QR، وأنت تعرضه على كاميرا.
لماذا هو جيد: إنه يشبه تسليم ظرف مختوم. تقرأ الكاميرا ما بداخل الظف، وتتحقق من الحسابات، ثم تقرر ما إذا كنت أنت الشخص الذي تدعي أنه أنت. لا يحتاج النظام إلى اتصال إنترنت معقد ليعمل.

4. شبكة الأمان: منع "المقلدين" (هجمات إعادة التشغيل - Replay Attacks)

هذه هي المشكلة الأكبر في أكواد الـ QR: من السهل نسخها. إذا التقطت صورة لكود الـ QR الخاص بي، فقد أمسحها لاحقاً وأدعي أنني أنا. هذا ما يسمى بـ "هجوم إعادة التشغيل".

تحل الورقة هذه المشكلة بآليتين للأمان:

الطابع الزمني (تاريخ انتهاء الصلاحية): يحتوي كل كود QR على "طابع زمني" مكتوب بداخله، مثل "صالح لمدة 5 ثوانٍ فقط". إذا مسح الحارس كوداً تم إنشاؤه قبل 10 دقائق، فسيتم رفضه فوراً. إنه يشبه التذكرة التي تنتهي صلاحيتها بمجرد بدء الفيلم.
الرقم العشوائي (الرقم لمرة واحدة - Nonce): في كل مرة تقوم فيها بالمسح، يولد النظام رقماً عشوويداً فريداً يسمى "nonce". حتى لو حاولت مسح نفس كود الـ QR مرتين، سيعامل النظام كل عملية كحدث مختلف. إذا لم تتطابق الأرقام مع اللحظة الحالية، يصبح الكود بلا فائدة.

5. ما مدى سرعته؟ (الأداء)

اختبر الباحثون هذا النظام على جهاز كمبيوتر لمعرفة الوقت الذي يستغرقه.

السرعة: إنه سريع للغاية. يستغرق توليد الإثبات حوالي 0.00015 ثانية (أسرع من طرفة العين). ويستغرق التحقق من الإثبات حوالي 0.0005 ثانية.
الحجم: "الإثبات" صغير جداً، حوالي 0.5 كيلوبايت. هذا الحجم صغير بما يكفي ليناسب بسهولة كود QR قياسي دون جعله معقداً جداً في المسح.

الملخص

تقدم هذه الورقة نظاماً يمكنك من خلاله إثبات هويتك باستخدام كود QR دون الكشف عن كلمة مرورك السرية أبداً. يستخدم النظام رياضيات متقدمة (شناور) للقيام بالعمل الشاق، ويستخدم القيود الزمنية والأرقام العشوائية لمنع الأشرار من نسخ الكود الخاص بك واستخدامه لاحقاً.

يزعم المؤلفون أن هذا النظام مثالي للهواتف المحمولة والأجهزة ذات الطاقة المنخفضة (مثل أقفال الأبواب البسيطة أو تسجيل الدخول في الفعاليات) لأنه سريع، وصغير، ولا يحتاج إلى جهاز كمبيوتر قوي ليعمل. لقد اختبروا ذلك في محاكاة ووجدوا أنه يعمل تماماً كما كانوا يأملون.

ملخص تقني: بروتوكول تعريف قائم على المعرفة الصفرية ومعزز بـ QR خفيف الوزن للمصادقة الآمنة

بيان المشكلة
تواجه المصادقة الآمنة في البيئات المحمولة، والموزعة، والمحدودة الموارد تحديات كبيرة. فالطرق التقليدية، مثل الأنظمة القائمة على كلمات المرور والبنى التحتية للشهادات، غالبًا ما تعتمد على أطراف ثالثة وتؤدي إلى مخاطر مثل سرقة الهوية، وتسريب البيانات، وهجمات إعادة التشغيل (Replay Attacks). وبينما توفر بروتوكولات المعرفة الصفرية (ZKP)، لا سيما تلك القائمة على مخطط "شناور" (Schnannor) للتعريف، أمنًا قويًا من خلال السماح للمستخدم بإثبات معرفته بسر ما دون الكشف عنه، إلا أن نشرها العملي في البيئات المحمولة خفيفة الوزن لا يزال محدودًا. علاوة على ذلك، غالبًا ما تعاني أنظمة المصادقة الحالية القائمة على رموز الاستجابة السريعة (QR code) من ثغرات حيث يمكن أن تسهل النسخ أو إعادة استخدام الأكواد هجمات إعادة التشغيل، خاصة عندما يعتمد التحقق بشكل كبير على خوادم مركزية.

المنهجية
تقترح الدراسة بروتوكول مصادقة غير تفاعلي وخفيف الوزن يدمج المعرفة الصفرية القائمة على "شناور" مع نقل بيانات رمز الـ QR. يعمل النظام على الأساس الحسابي لمشكلة اللوغاريتم المنفصل (DLP).

تصميم البروتوكول: يستخدم البروتوكول تحويل "فيات-شمير" (Fiat-Shamir) لتحويل بروتوكول "شناور" التفاعلي إلى بروتوكول غير تفاعلي.
- جانب المُثبِت (Prover): يقوم المُثبِت، الذي يمتلك مفتاحًا خاصًا $x$ ومفتاحًا عامًا مقابلًا $y = g^x \mod p$ ، بتوليد قيمة عشوائية $r$ لحساب الالتزام $t = g^r \mod p$ . يتم اشتقاق التحدي $c$ بشكل حتمي عن طريق هاش (Hash) للالتزام، والمفتاح العام، والرمز (Nonce)، والطابع الزمني ($c = Hash(t || y || nonce || timestamp) $). تُحسب الاستجابة$ s $كالتالي:$ s = r + cx \mod (p-1) $. يتم ترميز مجموعة الإثبات الناتجة$ \pi = (t, s, nonce, timestamp)$ في تنسيق JSON ودمجها داخل رمز QR.
- جانب المُحقِّق (Verifier): يقوم المُحقِّق بفك تشفير رمز QR، والتحقق من الطابع الزمني لضمان الحداثة، وإعادة حساب التحدي $c$ ، والتحقق من المعادلة $g^s = t \cdot y^c \mod p$ .
آليات الأمن: لمواجهة الخطر المتأصل في هجمات إعادة التشغيل لرموز QR المرئية، يدمج النظام طابعًا زمنيًا ورمزًا (Nonce). يضمن الطابع الزمني أن الإثبات صالح فقط ضمن نافذة زمنية محددة ( $\Delta$ )، بينما يضمن الرمز تنوع الإثبات لكل جلسة.
قناة النقل: يعمل رمز QR كوسيط نقل أحادي الاتجاه وغير تلامسي. هو لا يوفر أمنًا تشفيريًا في حد ذاته، ولكنه يحافظ على سلامة بيانات الإثبات، مع الاعتماد على البروتوكول التشفيري الأساسي للأمن.

المساهمات الرئيسية
تحدد الورقة ثلاث مساهمات رئيسية:

تصميم بروتوكول مصادقة معرفة صفرية خفيف الوزن وغير تفاعلي مهيأ خصيصًا للنقل عبر رموز QR.
تنفيذ آلية تحقق قائمة على الطابع الزمني للتخفيف من مخاطر هجمات إعادة التشغيل المتأصلة في رموز QR الثابتة أو القابلة للنسخ.
تقييم مدى توافق حجم الإثبات مع قيود سعة رموز QR القياسية.

النتائج
تم تقييم البروتوكول باستخدام بيئة محاكاة قائمة على لغة بايثون (Python) بمستوى أمان 256 بت.

الأداء: وُجد أن كلاً من وقت توليد الإثبات ووقت التحقق يقعان في نطاق الميلي ثانية. وتحديدًا، تراوحت أوقات التوليد بين 0.00014 و0.00018 ثانية تقريبًا، بينما تراوحت أوقات التحقق بين 0.00030 و0.00078 ثانية. أظهرت عملية التوليد الأولية زمن استجابة أعلى قليلاً بسبب تهيئة المعلمات، لكن عمليات التشغيل اللاحقة ظلت عالية الكفاءة.
حجم البيانات: ظل حجم بيانات الإثبات الناتجة، المرمزة بتنسيق JSON، ثابتًا عند حوالي 491–495 بايت (حوالي 0.5 كيلوبايت). هذا الحجم يقع تمامًا ضمن سعة رموز QR القياسية، حتى تلك ذات الإصدارات المنخفضة، مما يسهل عملية النقل.

الأهمية والادعاءات
يدعي المؤلفون أن النموذج المقترح يقدم حلاً للمصادقة آمنًا وقابلًا للتطبيق في البيئات ذات الموارد الحسابية المنخفضة والمتطلبات الدنيا للبنية التحتية. ومن خلال الجمع بين أمن المعرفة الصفرية القائمة على "شناور" وعملية رموز QR، يتيح النظام التحقق دون الكشف عن المفتاح السري مع الحفاظ على القدرة على مواجهة هجمات إعادة التشغيل.

يضع البحث هذا النهج كحل مناسب بشكل خاص لـ:

أنظمة بوابات إنترنت الأشياء (IoT).
آليات التحكم في الوصول المؤقت.
تطبيقات المصادقة المحمولة.

تخلص الورقة إلى أن النموذج يوازن بين الأمن التشفيري القوي والعبء الحسابي المنخفض، مما يجعله مناسبًا للنشر العملي في سيناريوهات التحكم في الوصول المادي والسيناريوهات المحمولة. ويشير المؤلفون إلى أن العمل المستقبلي سيركز على دمج هذا النموذج مع إدارة الهوية القائمة على البلوكشين (Blockchain)، وإجراء تحليلات القابلية للتوسع، وإجراء اختبارات تجريبية على أجهزة حقيقية.