قصة الموظف الذي رأى ملفًا ليس من المفترض أن يراه
كان سامر يعمل في قسم المبيعات.
في أحد الأيام، وصل إلى لوحة داخلية للشركة.
سجل الدخول باستخدام حسابه بشكل طبيعي.
لم يحدث أي شيء غريب.
لكن أثناء تصفحه، لاحظ رابطًا يحتوي على رقم:
/customer/1045
بدافع الفضول، غيّر الرقم إلى:
/customer/1046
ظهرت بيانات عميل آخر.
توقف سامر.
هو لم يخترق كلمة مرور أحد.
ولم يحاول تجاوز تسجيل الدخول.
لقد استخدم حسابه الطبيعي.
لكن التطبيق سمح أن يراها.
هنا ظهرت مشكلة مهمة في:
🛡️ Authorization
المصادقة Authentication كانت ناجحة.
النظام يعرف أن سامر مستخدم حقيقي.
لكن Authorization لم تتحقق بشكل صحيح من أن سامر يملك صلاحية الوصول إلى ذلك العميل تحديدًا.
وهذا يوضح لماذا لا يكفي أن يكون نظام تسجيل الدخول قويًا.
يمكن أن يكون لديك:
🔐 Password قوية
📱 MFA
🔒 جلسات محمية
ومع ذلك قد توجد مشكلة في الصلاحيات.
يجب أن يسأل التطبيق في كل عملية حساسة:
هل هذا المستخدم يستطيع تنفيذ هذا الإجراء؟
هل يستطيع قراءة هذا المورد؟
هل يستطيع تعديله؟
هل يستطيع حذفه؟
وهنا ظهر درس آخر:
لا يجب أن تعتمد الأنظمة على إخفاء الروابط أو معرفات البيانات كوسيلة حماية.
إذا كان المستخدم لا يملك صلاحية الوصول إلى مورد معين، فيجب على الخادم التحقق من ذلك.
ليس كافيًا أن تقول:
"المستخدم لن يعرف رقم العميل الآخر."
الأمن الجيد لا يعتمد على أن المهاجم لن يجرب.
بل يعتمد على أن النظام نفسه يرفض الوصول غير المصرح به.
وهكذا اكتشف سامر مشكلة صغيرة في واجهة الموقع، لكنها كشفت مفهومًا كبيرًا في الأمن:
Authentication تخبر النظام من أنت.
Authorization تحدد ما يمكنك الوصول إليه.
والفرق بينهما قد يكون أهم مما يبدو لأول مرة.