المواعيد النهائية للتشفير ما بعد الكمومي (PQC) ومفاتيح المرور Passkeys: خارطة الامتثال السيبراني 2026

نهاية عصر التوجيهات الاستشارية وبداية المواعيد القانونية الملزمة

يشهد قطاع الأمن السيبراني العالمي في عام 2026 تحولين متوازيين يعيدان صياغة بنية الثقة الرقمية بالكامل: الأول هو انتقال التشفير ما بعد الكمومي (Post-Quantum Cryptography - PQC) من مجرد أوراق بحثية وخطط استرشادية إلى التزامات قانونية وتعاقدية صارمة ذات تواريخ نهائية محددة، والثاني هو التبني القياسي لمفاتيح المرور غير المعتمدة على كلمات السر (Passkeys / FIDO2). ووفقاً للتقرير التشريعي والتقني الصادر عن مؤسسة OpenSSL Corporation والدليل الشامل للمصادقة الحديثة المنشور على Security Boulevard، فإن المؤسسات التقنية والمالية لم تعد تملك رفاهية التأجيل.

ففي الأسبوع الأخير من شهر يونيو 2026، صدرت في الولايات المتحدة ثلاث وثائق تاريخية خلال ثلاثة أيام فقط حولت الانتقال الكمومي إلى التزام تنفيذي: الأمر التنفيذي الرئاسي EO 14412 في 22 يونيو، واستراتيجية التشفير ما بعد الكمومي لوزارة الدفاع في 23 يونيو، ومذكرة مكتب الإدارة والميزانية OMB M-26-15 في 24 يونيو. وتفرض هذه القرارات الانتهاء من ترقية أنظمة تبادل المفاتيح في الأصول عالية القيمة بحلول 31 ديسمبر 2030، والتوقيعات الرقمية بحلول 31 ديسمبر 2031، مع حظر خوارزميات RSA و ECC الكلاسيكية تدريجياً بحلول 2035.

لماذا تسارعت المواعيد النهائية للتشفير الكمومي في 2026؟

جاء هذا التسارع التشريعي في واشنطن وأوروبا وآسيا استجابةً لانخفاض حاد في التقديرات العلمية لعدد البتات الكمومية (Qubits) اللازمة لكسر التشفير الحالي؛ ففي مارس 2026 أعلنت شركة جوجل تقديم موعد ترقية بنيتها التحتية بالكامل إلى التشفير ما بعد الكمومي ليكون في عام 2029، ونشر باحثوها دراسة تثبت إمكانية كسر تشفير المنحنيات الإهليلجية (ECC) باستخدام عدد أقل بنحو عشرين ضعفاً من الكيوبتات الفيزيائية مقارنة بالتقديرات السابقة، بالتزامن مع أبحاث شركة Oratomic التي قدرت الحاجة بنحو 10 آلاف كيوبت ذري قابل لإعادة التشكيل مقارنة بتقديرات المليون كيوبت القديمة، وخارطة طريق IBM لإطلاق حاسوب Starling المتسامح مع الأخطاء في 2029:

• تهديد «احصد الآن وفك التشفير لاحقاً» (Harvest Now, Decrypt Later): يقوم المهاجمون والدول باعتراض وتخزين البيانات المشفرة المتداولة عبر الإنترنت اليوم، بانتظار لحظة نضج الحواسيب الكمومية لفك تشفيرها بأثر رجعي؛ وبخلاف كلمات المرور المسروقة، فإن البيانات المشفرة التي تم اعتراضها لا يمكن تدويرها أو إبطالها بعد خروجها.
• المعايير القياسية المعتمدة من NIST: يتركز العمل الهندسي على الخوارزميات الثلاث التي اعتمدها المعهد الوطني للمعايير والتقنية في أغسطس 2024 وهي: FIPS 203 (ML-KEM) لتغليف وتبادل المفاتيح، وFIPS 204 (ML-DSA) للتوقيعات الرقمية الشبكية، وFIPS 205 (SLH-DSA) للتوقيعات المعتمدة على الدوال التلبيدية، بينما يظل التشفير المتماثل للبيانات المخزنة عبر AES-256 آمناً ولا يتطلب إعادة تشفير.
• التحرك العالمي والعربي المتزامن: حددت خارطة طريق الاتحاد الأوروبي (NIS Cooperation Group) وبريطانيا وأستراليا وكندا واليابان وكوريا الجنوبية نافذة 2030–2035 لإتمام الانتقال، بينما أطلقت دولة الإمارات العربية المتحدة برنامجاً وطنياً متكاملاً للانتقال ما بعد الكمومي ووقعت في مايو 2026 اتفاقيات لنشر أدوات الاكتشاف التشفيري ومؤشر الجاهزية الوطني عبر القطاعات الحيوية.
• الجاهزية الفورية على الإنترنت العام: أصبحت مكتبة OpenSSL 3.5 تفعل تبادل المفاتيح الهجين (X25519MLKEM768) افتراضياً في بروتوكول TLS 1.3، وتشير بيانات Cloudflare Radar إلى أن أكثر من ثلثي حركة متصفحات الويب المارة عبر شبكتها تستخدم بالفعل التشفير ما بعد الكمومي الهجين.

ثورة مفاتيح المرور Passkeys ومعيار NIST SP 800-63-4

على مستوى مصادقة المستخدمين والأفراد، لا يزال 80% من اختراقات البيانات ناتجاً عن كلمات المرور الضعيفة أو المسروقة مع تداول أكثر من 24 مليار بيانات اعتماد في الويب المظلم وبلوغ متوسط تكلفة الاختراق 9.36 مليون دولار. وهنا جاء تحديث NIST SP 800-63-4 ليغير قواعد اللعبة رسمياً من خلال النقاط التالية:

• الاعتراف الرسمي بمفاتيح المرور المتزامنة (Synced Passkeys): اعتمد المعهد مفاتيح المرور المبنية على معيار FIDO2/WebAuthn والمخزنة في مديري كلمات المرور السحابية (مثل Apple iCloud Keychain و Google Password Manager و Windows Hello) كوسيلة مصادقة تلبي المستوى الثاني من الضمان (AAL2)، مع اشتراط مفاتيح الأمان الفيزيائية غير القابلة للتصدير (مثل YubiKey) للمستوى الثالث (AAL3).
• إقصاء رسائل SMS OTP من مستوى الأمان AAL2: أصبح توفير مصادقة مقاومة للتصيد الاحتيالي (Phishing-Resistant MFA) شرطاً إلزامياً وليس مجرد توصية لتحقيق معيار AAL2، مما يعني أن رموز التحقق المرسلة عبر الرسائل النصية القصيرة (SMS) لم تعد مقبولة امتثالياً نظراً لضعفها أمام هجمات تبديل شرائح الاتصال (SIM Swapping) والتصيد العكسي.
• أرقام تبني قياسية وعائد استثماري مباشر: تجاوز عدد الحسابات الداعمة لمفاتيح المرور عالمياً حاجز 15 مليار حساب في عام 2026، وحققت عمليات تسجيل الدخول عبر Passkeys نسبة نجاح بلغت 93% مقارنة بنحو 75% فقط لكلمات المرور التقليدية، مع تقليص تكاليف الدعم الفني وتذاكر إعادة تعيين كلمات السر بنسبة تصل إلى 40% وفق بيانات منصة MojoAuth.

خطوات عملية للمؤسسات والمطورين قبل نهاية 2026

تؤكد الدراسات الميدانية أن ترقية البنية التشفيرية في المؤسسات المتوسطة والكبيرة تستغرق ما بين 8 إلى 15 عاماً بسبب دورات تجديد الشهادات الرقمية (PKI) والأجهزة المدمجة؛ ولذلك فإن المطلب الأول في جميع التشريعات الدولية الحالية (بما في ذلك متطلبات قائمة مكونات التشفير CBOM التي تطورها CISA و NIST) هو إجراء حصر تشفيري شامل (Cryptographic Inventory) لمعرفة أماكن استخدام خوارزميات RSA و ECC داخل أنظمة الشركة. بالتوازي مع ذلك، يجب على مطوري المنصات الرقمية تفعيل تسجيل مفاتيح المرور Passkeys تدريجياً للمستخدمين عقب تسجيل الدخول الناجح، ودمجها مع سياسات حماية الجلسات لمنع هجمات سرقة الكوكيز وتجاوز المصادقة الثنائية.

القاعدة الاستراتيجية لعام 2026: المؤسسة التي تمتلك سجلاً دقيقاً ومفصلاً لكل خوارزميات التشفير المستخدمة في أنظمتها وتعتمد مفاتيح المرور Passkeys لبوابات الدخول، هي في موقع أمني وتشريعي أقوى بكثير من مؤسسة تنتظر حلول عام 2030 لتبدأ رحلة البحث.

إن الجمع بين تبني مفاتيح المرور الفوري لحماية الهويات الحالية، وتفعيل التشفير الهجين ما بعد الكمومي لحماية حركة البيانات المستقبلية، يشكل حجر الزاوية لأي بنية تحتية رقمية حديثة في العالم العربي والعالمي.