المصادقة

قيد التطوير

يعمل إنشاء الحساب وتسجيل الدخول عبر OPAQUE، والتحقق من البريد الإلكتروني، ومدد صلاحية الرموز المذكورة أدناه، وتسجيل الدخول بخطوتين، وقائمة الأجهزة في خادم المزامنة والتطبيقات. تُرسَل رسائل البريد الإلكتروني عن الأجهزة الجديدة. تتجدد رموز التحديث عند كل استخدام، لكنها لم تُربط بمفتاح جهاز بعد، أما إثبات العمل فمخطط له.

يسجّل Octa Pass دخولك باستخدام OPAQUE (RFC 9807)، وهو تبادل مفاتيح غير متماثل موثَّق بكلمة مرور. يثبت جهازك أنه يعرف سرًا مشتقًا من كلمة المرور الرئيسية والمفتاح السري دون إرسال ذلك السر، أو تجزئة له، إلى الخادم.

ترسل معظم برامج إدارة كلمات المرور تجزئة لكلمة المرور. أما OPAQUE فيذهب أبعد من ذلك: حتى الخادم الخبيث، أو من يكسر TLS، لا يتلقى أبدًا أي شيء يمكن استخدامه لتسجيل الدخول أو لكسر كلمة المرور دون اتصال.

إنشاء الحساب

1. ينشئ جهازك المفتاح السري، وملح الحساب، ومفتاح الحساب (ASK)، وأزواج المفاتيح، ومفتاح الاسترداد.
2. يشتق auth_secret (راجع التشفير) وينفّذ عملية التسجيل في OPAQUE.
3. يرفع سجل OPAQUE، ومفتاح الحساب المغلَّف، والمفاتيح الخاصة المغلَّفة، والمفاتيح العامة، ومفتاح الحساب المغلَّف بمفتاح الاسترداد.
4. تؤكد بريدك الإلكتروني برمز من 6 أرقام.

تسجيل الدخول

1. يمنح تسجيل الدخول عبر OPAQUE جهازك والخادم مفتاح جلسة مشتركًا.
2. يصدر الخادم رمز وصول صالحًا لمدة 15 دقيقة ورمز تحديث. يتجدد رمز التحديث عند كل استخدام، وإعادة استخدام رمز قديم تُنهي الجلسة. أما ربطه بمفتاح Ed25519 خاص بكل جهاز، حتى لا تكون هناك فائدة من رمز مسروق وحده، فمخطط له.

الأجهزة الجديدة

يحتاج الجهاز الجديد إلى بريدك الإلكتروني وكلمة المرور الرئيسية والمفتاح السري، إضافة إلى الخطوة الثانية إذا كان تسجيل الدخول بخطوتين مفعّلًا. في كل مرة يسجّل فيها جهاز جديد الدخول، تصلك رسالة بريد إلكتروني بعنوان New sign-in تتضمن اسم الجهاز ومنصته والوقت (بتوقيت UTC). ولا تتضمن موقعًا: فالخادم لا يبحث عن مكان عنوان IP. إذا لم تكن أنت من سجّل الدخول، فسجّل خروج ذلك الجهاز من الإعدادات ← الأجهزة وغيّر كلمة المرور الرئيسية.

لا تُرسل رسالة بريد إلكتروني في الحالات التالية:

• عندما يسجّل الدخول من جديد جهاز سبق أن سجّلت الدخول عليه باستخدام رمز الجهاز الموثوق (راجع أدناه)،
• عندما يسجّل جهازك الأول الدخول مباشرة بعد إنشاء الحساب،
• عند استخدام رمز استرداد: يرسل تسجيل الدخول هذا رسالته الخاصة بدلًا من ذلك.

تسجيل الدخول بخطوتين

يحمي تسجيل الدخول بخطوتين الوصول إلى بياناتك المشفَّرة. وهو منفصل عن التشفير نفسه، الذي يعتمد على كلمة المرور الرئيسية والمفتاح السري فقط: تشغيله أو إيقافه لا يغيّر أي مفتاح، ولا يستطيع الخادم استخدامه لفك تشفير أي شيء.

كيف يعمل:

1. يُنفَّذ تسجيل الدخول عبر OPAQUE أولًا. ولا يطلب الخادم الخطوة الثانية إلا بعد إثبات كلمة المرور، لذلك لا تكشف كلمة المرور الخاطئة أبدًا ما إذا كان تسجيل الدخول بخطوتين مفعّلًا.
2. يثبت الجهاز واحدًا مما يلي:
   • رمز TOTP (RFC 6238: SHA-1، و6 أرقام، و30 ثانية) من تطبيق مصادقة. يعمل كل رمز مرة واحدة.
   • مفتاح أمان WebAuthn أو مفتاح مرور: يتحقق الخادم من التحدي، وأصل خزنة الويب، ومعرّف الطرف المعتمِد، وحضور المستخدم، والتوقيع، وعدّاد التوقيع. مفاتيح ES256 وEd25519 مدعومة.
   • رمز استرداد يُستخدم مرة واحدة (10 رموز، في كل منها 50 بت عشوائية).
3. ينشئ الخادم بعد ذلك جلسة الجهاز كالمعتاد، في المعاملة نفسها التي تستهلك الرمز، ويعطي الجهاز رمز الجهاز الموثوق. عند إرساله مع تسجيل دخول لاحق من الجهاز نفسه، يتخطى الخطوة الثانية مرة واحدة ويُستبدل. الثقة مرتبطة بالجهاز: تنتهي عندما يخرج الجهاز من قائمة أجهزتك (بتسجيل خروجه، أو بعد 30 يومًا دون استخدام)، ولا يتجاوز عمرها 30 يومًا أبدًا. ويؤدي تشغيل تسجيل الدخول بخطوتين، أو اطلب الرمز مجددًا في الإعدادات، إلى إنهائها لكل جهاز آخر؛ وكذلك اكتشاف رمز تحديث مسروق.

ما يخزّنه الخادم: سر تطبيق المصادقة، مختومًا بـ XChaCha20-Poly1305 تحت مفتاح مشتق من سر الخادم نفسه (نسخة من قاعدة البيانات وحدها لا تكشفه)؛ ورموز الاسترداد على هيئة HMAC؛ والمفاتيح العامة لمفاتيح الأمان؛ ورموز الأجهزة الموثوقة على هيئة تجزئات SHA-256.

يحتاج تشغيله، وإيقافه، وإضافة طريقة أو إزالتها، وإنشاء رموز استرداد جديدة، جميعها إلى تحقق جديد من كلمة المرور الرئيسية (رمز إعادة مصادقة يُستخدم مرة واحدة). يُسجَّل كل تغيير في سجل الأمان؛ وتشغيله أو إيقافه، واستخدام رمز استرداد، يرسل إليك أيضًا رسالة بريد إلكتروني.

تسجيل الدخول الموحّد

تستطيع المؤسسة أن تطلب من أعضائها اجتياز موفّر الهوية لديها أيضًا، بعد كلمة المرور الرئيسية. هذه خطوة تُضاف ولا تحل محل أي خطوة: يأتي تحقق OPAQUE على الخادم أولًا، ولا يدخل أي شيء من الموفّر في أي مفتاح. وتظل كلمة المرور والمفتاح السري هما ما يفتح الخزنة. راجع تسجيل الدخول الموحّد.

تحديد المعدل

• حدود لكل حساب ولكل عنوان IP، مع إبطاء أُسّي
• الخطوة الثانية: تنهي خمس محاولات خاطئة محاولة تسجيل الدخول؛ وتوقف عشر محاولات خاطئة لحساب واحد الخطوة الثانية مؤقتًا (محاولة إضافية واحدة كل 5 دقائق)، وتُسجَّل ويُرسل بريد إلكتروني عنها إلى المالك مرة واحدة في الساعة على الأكثر
• تحديات إثبات العمل بعد الفشل المتكرر، بدلًا من CAPTCHA (مخطط لها)
• تسجيل خروج أي جهاز عن بُعد من قائمة الأجهزة