احراز هویت دو مرحله‌ای (2FA) چیست و کدام روشش امن‌تر است؟

احراز هویت دو مرحله‌ای (Two-Factor Authentication یا به اختصار 2FA) یعنی برای ورود به حساب یا برداشت از آن، دانستن رمز کافی نباشد و یک چیز دوم هم لازم شود؛ معمولاً کدی که فقط گوشی شما می‌سازد یا دریافت می‌کند. فایده‌اش ساده است: اگر رمزتان لو برود، دزد هنوز پشت در دوم مانده است.

رمزتان هر قدر هم سخت باشد، همه جاهایی که آن را نگه می‌دارند دست شما نیستند. ممکن است اطلاعات سایتی که پنج سال پیش در آن ثبت‌نام کرده‌اید لو برود، یا رمز یک فروشگاه اینترنتی را برای ایمیلتان هم به کار برده باشید. عامل دوم برای همین روزهاست.

ولی همه روش‌ها به یک اندازه محکم نیستند. کد پیامکی را می‌شود با تصاحب شماره‌تان دزدید، و اگر کد را خودتان در سایت جعلی بزنید، هیچ اپی نجاتتان نمی‌دهد. پایین‌تر همین‌ها را یکی‌یکی باز کرده‌ایم.

«عامل دوم» دقیقاً یعنی چه؟

هر چیزی که با آن ثابت می‌کنید خودتان هستید، در یکی از این سه دسته جا می‌گیرد:

• چیزی که می‌دانید: رمز، پین، جواب سؤال امنیتی.
• چیزی که دارید: گوشی، سیم‌کارت، کلید امنیتی سخت‌افزاری.
• چیزی که هستید: اثر انگشت یا چهره.

احراز هویت دو مرحله‌ای وقتی واقعاً کار می‌کند که دو عامل از دو دسته متفاوت باشند. قدیمی‌ترین نمونه‌اش را همه‌مان در جیب داریم: کارت بانکی را «دارید» و رمز اولش را «می‌دانید». کسی که فقط رمز را بداند یا فقط کارت را پیدا کند، نمی‌تواند از عابربانک پول بگیرد.

رمز و سؤال امنیتی کنار هم دو مرحله‌اند، ولی هر دو از یک دسته‌اند. کسی که با یک صفحه جعلی رمزتان را گرفته، به احتمال زیاد جواب سؤال را هم همان‌جا از شما گرفته است.

در فارسی «دو مرحله‌ای» و «دو عاملی» را تقریباً به یک معنا به کار می‌برند و هر اپ هم اسمی رویش گذاشته است. سواپ‌ولت به آن «شناسایی دوعاملی» می‌گوید و تلگرام «تأیید دومرحله‌ای». البته پایین‌تر می‌بینید که عامل دوم تلگرام اصلاً کد نیست، رمز است.

روش‌های احراز هویت دو مرحله‌ای، از ضعیف به قوی

فرق اصلی روش‌ها در این است که عامل دوم از کجا می‌آید و چه کسی می‌تواند وسط راه به آن دست پیدا کند. ردیف‌های این جدول کمابیش از ضعیف به قوی چیده شده‌اند:

ستون آخر را جدی بگیرید. چهار روش اول در برابر رمز دزدیده‌شده خوب کار می‌کنند، ولی اگر کسی شما را به صفحه جعلی بکشاند، کد را خودتان دستش می‌دهید.

پیامک: بهتر از هیچ، ولی ضعیف‌ترینشان

کد پیامکی به شماره شما فرستاده می‌شود، نه به گوشی‌تان. پس هر کس شماره را در دست بگیرد، کد را هم می‌گیرد. حمله معروفش «سیم‌سواپ» (SIM swap) است: کلاهبردار کارمند اپراتور را فریب می‌دهد یا با او دست‌به‌یکی می‌کند تا شماره شما را روی سیم‌کارتی بیاورد که دست خودش است. مثل این است که کس دیگری المثنی سیم‌کارت شما را بگیرد.

این خطر خیالی نیست. پلیس فدرال آمریکا (FBI) در اطلاعیه‌ای در بهمن ۱۴۰۰ گفت فقط در سال ۲۰۲۱ میلادی ۱٬۶۱۱ شکایت سیم‌سواپ در آمریکا ثبت شده و ضرر این پرونده‌ها از ۶۸ میلیون دلار گذشته است. کلاهبردارها بعد از گرفتن شماره، کد «فراموشی رمز» حساب‌های قربانی را می‌گیرند و رمزها را عوض می‌کنند.

اولین نشانه‌اش این است که گوشی بی‌دلیل آنتن نمی‌دهد و فقط تماس اضطراری می‌گیرد. اگر چنین شد و جای دیگری هم آنتن برنگشت، همان روز با یک خط دیگر به اپراتور زنگ بزنید.

مؤسسه ملی استاندارد و فناوری آمریکا (NIST) هم در راهنمای احراز هویتش پیامک و تماس صوتی را روشی «محدودشده» (restricted) می‌داند و از سرویس‌ها می‌خواهد روش دیگری هم کنارش بگذارند. با همه این‌ها، پیامک از هیچ خیلی بهتر است. کسی که فقط رمزتان را از یک نشت اطلاعات به دست آورده، بدون شماره‌تان کاری از پیش نمی‌برد.

ایمیل: به اندازه خود ایمیلتان محکم است

کد ایمیلی وقتی به درد می‌خورد که ایمیل رمز جدا و قوی داشته باشد. اگر رمز ایمیل همان رمز صرافی است، با یک بار لو رفتن رمز هر دو در باز می‌شود و عامل دوم عملاً همان عامل اول شده است.

ایمیل از یک جهت دیگر هم مهم است: لینک بازیابی رمز تقریباً همه حساب‌هایتان به آن می‌آید. پس اگر امروز فقط وقت دارید یک حساب را امن کنید، از ایمیل اصلی‌تان شروع کنید.

اپ Authenticator: کد بدون پیامک و بدون اینترنت

اپ‌هایی مثل Google Authenticator کد را روی خود گوشی می‌سازند. چیزی از شبکه اپراتور رد نمی‌شود که کسی وسط راه بگیرد، و سیم‌سواپ هم به کار دزد نمی‌آید. گوگل می‌گوید این اپ بدون اینترنت و بدون آنتن هم کد می‌سازد.

این روش دو ضعف دارد: اگر کد را در صفحه جعلی بزنید، درست مثل کد پیامکی دزدیده می‌شود؛ اگر هم گوشی را بدون پشتیبان گم کنید، خودتان پشت در می‌مانید. راه چاره هر دو را پایین‌تر آورده‌ایم.

اعلان تأیید: هر «تأیید»ی را نزنید

بعضی سرویس‌ها به‌جای کد، روی گوشی می‌پرسند «خودتان دارید وارد می‌شوید؟» و شما فقط تأیید می‌زنید. این روش راحت است، ولی کسی که رمزتان را دارد می‌تواند آن‌قدر پشت سر هم درخواست ورود بفرستد که شما آخر شب، فقط برای خلاص شدن از دست اعلان‌ها، یکی را تأیید کنید.

NIST به این حمله «خستگی از احراز هویت» (authentication fatigue) می‌گوید و اعلانی را که فقط دکمه تأیید دارد دیگر کافی نمی‌داند. در روش‌های تازه‌تر باید عددی را که در صفحه ورود می‌بینید در گوشی بزنید، یا برعکس. قاعده ساده است: اعلانی که خودتان درخواستش نکرده‌اید یعنی کسی رمزتان را دارد. ردش کنید و همان لحظه رمز را عوض کنید.

پس‌کی و کلید امنیتی: محکم‌ترین گزینه

پس‌کی (Passkey) به‌جای کد، با کلیدی کار می‌کند که روی گوشی یا لپ‌تاپ شما ذخیره شده و با اثر انگشت، چهره یا پین باز می‌شود. کلید امنیتی سخت‌افزاری هم همین کار را می‌کند، فقط در یک وسیله کوچک که با USB یا NFC وصل می‌شود. در هر دو، چیزی تایپ نمی‌کنید که بشود از شما گرفت.

مهم‌ترین مزیتشان این است که به آدرس (دامنه) سایت گره خورده‌اند؛ یعنی روی سایتی با آدرس دیگر اصلاً کار نمی‌کنند. NIST هم WebAuthn را، که پس‌کی بر پایه آن ساخته شده، از روش‌های مقاوم در برابر فیشینگ می‌داند. تلگرام هم حالا ورود با پس‌کی را پشتیبانی می‌کند.

ضعفشان این است که هنوز همه سرویس‌ها از آن‌ها پشتیبانی نمی‌کنند. اگر هم فقط یک کلید سخت‌افزاری دارید، با گم شدنش پشت در می‌مانید؛ پس یک روش دوم را هم روشن نگه دارید.

پس کدام را انتخاب کنید؟ اگر سرویسی پس‌کی دارد، آن را روشن کنید و اگر ندارد، سراغ اپ Authenticator بروید. پیامک را فقط وقتی بگذارید که تنها گزینه است، یا به‌عنوان راه دوم کنار یکی از این دو.

کد Google Authenticator چطور ساخته می‌شود؟

اگر بدانید این کد از کجا می‌آید، نصف مشکلات رایجش خودبه‌خود حل می‌شود. در تصویر زیر ببینید گوشی و سرور چطور بی‌آنکه با هم حرف بزنند به یک کد می‌رسند.

موقع فعال‌سازی، سایت یک کلید مخفی می‌سازد و آن را در قالب کد QR نشانتان می‌دهد. Authenticator با اسکن این QR همان کلید را برمی‌دارد و نگه می‌دارد. از آن به بعد گوشی و سرور هر کدام جداگانه، با همان کلید و ساعت فعلی، یک کد شش‌رقمی حساب می‌کنند.

به این روش TOTP می‌گویند، یعنی کد یک‌بارمصرفی که به زمان بسته است. طبق استاندارد RFC 6238، زمان به‌طور پیش‌فرض به بازه‌های ۳۰ ثانیه‌ای تقسیم می‌شود و برای همین کد هر ۳۰ ثانیه عوض می‌شود. این کار دو نتیجه عملی دارد:

• ساعت گوشی باید خودکار باشد. اگر ساعت گوشی چند دقیقه جلو یا عقب باشد، کد بازه دیگری را می‌سازد و سرور ردش می‌کند. سرورها کمی اختلاف را تحمل می‌کنند، ولی نه چند دقیقه: در مثال خود استاندارد، اگر سرور دو بازه قبلی را هم بپذیرد، تا حدود ۸۹ ثانیه اختلاف جبران می‌شود. Google Authenticator اندروید هم از نسخه ۷ گزینه تصحیح زمان را برداشته و فقط به ساعت خود گوشی تکیه می‌کند.
• کد QR خودش عامل دوم است. هر کس عکسی از آن QR یا از کلید راه‌اندازی کنارش داشته باشد، تا وقتی 2FA را از نو تنظیم نکرده‌اید، همان کدهای شما را می‌سازد. از آن اسکرین‌شات نگیرید و در گالری یا پیام‌های ذخیره‌شده تلگرام نگهش ندارید. اگر پشتیبان می‌خواهید، کلید راه‌اندازی را روی کاغذ بنویسید و جای امنی بگذارید.

کد Authenticator قبول نمی‌شود؟

این‌ها را به همین ترتیب چک کنید:

1. تاریخ و ساعت گوشی را روی حالت خودکار بگذارید. بیشتر وقت‌ها مشکل همین است.
2. اگر چند حساب در اپ دارید، ببینید کد را از ردیف همان سایت و همان حساب برداشته‌اید.
3. اگر شمارش معکوس کد رو به تمام شدن است، صبر کنید تا کد تازه بیاید و آن را بزنید.
4. اگر تازه گوشی عوض کرده‌اید، مطمئن شوید کدها از گوشی قدیمی درست منتقل شده‌اند.

انتقال Google Authenticator به گوشی جدید

بیشتر کسانی که پشت در حسابشان می‌مانند، همین‌جا گیر می‌افتند: گوشی قدیمی را برای فروش ریست می‌کنند و تازه یادشان می‌آید که همه کدها روی همان بود.

اگر در Google Authenticator با حساب گوگل وارد شده باشید، کدها با ورود به همان حساب در گوشی جدید خودبه‌خود می‌آیند. اگر بدون حساب گوگل از آن استفاده می‌کنید، در گوشی قدیمی از منوی اپ Transfer codes و بعد Export codes را بزنید تا اپ یک QR بسازد. بعد در گوشی جدید با Import codes همان QR را اسکن کنید. قدم‌به‌قدمش در راهنمای گوگل آمده است.

همگام‌سازی با حساب گوگل راحت است، ولی یک چیز را عوض می‌کند: از آن به بعد کلید همه کدهایتان در حساب گوگل نگه‌داری می‌شود. پس آن حساب باید رمز جدا و احراز هویت دو مرحله‌ای خودش را داشته باشد.

تا وقتی با کد گوشی جدید یک بار وارد همه حساب‌های مهم نشده‌اید، گوشی قدیمی را پاک نکنید. راهنمای سواپ‌ولت هم همین را می‌گوید: پیش از پاک کردن گوشی قدیمی، مطمئن شوید Authenticator در گوشی جدید کد درست می‌سازد.

خیلی از سرویس‌ها موقع فعال‌سازی یک فهرست کد پشتیبان یک‌بارمصرف هم می‌دهند. آن را چاپ کنید یا روی کاغذ بنویسید؛ روزی که گوشی گم شود، همین کاغذ راه برگشت شماست.

اگر گوشی‌تان گم یا دزدیده شد

1. اول با اپراتور تماس بگیرید و سیم‌کارت را مسدود کنید تا کسی نتواند کدهای پیامکی را بگیرد.
2. اگر کد پشتیبان یا روش دوم (مثلاً ایمیل) دارید، با آن وارد شوید، گوشی قدیمی را از حساب بیرون کنید و Authenticator را روی گوشی جدید از نو راه بیندازید.
3. اگر هیچ راهی ندارید، باید از مسیر بازیابی خود سرویس بروید که معمولاً با بررسی هویت همراه است و زمان می‌برد. در سواپ‌ولت با پشتیبانی تماس بگیرید؛ ممکن است برای امنیت حساب، مالکیتتان دوباره بررسی شود.
4. اگر گوشی قفل صفحه نداشت، رمز حساب‌های مهم را عوض کنید، به‌خصوص رمز ایمیل را.

فیشینگ لحظه‌ای: 2FA را چطور دور می‌زنند؟

احراز هویت دو مرحله‌ای را معمولاً با حدس زدن کد دور نمی‌زنند؛ کد را از دست خود شما می‌گیرند. در تصویر زیر ببینید چرا همان چند ثانیه اعتبار کد برای کلاهبردار کافی است.

شما لینکی را باز می‌کنید که شبیه صفحه ورود صرافی است و رمز را می‌زنید. پشت صحنه، رباتی همان رمز را در سایت اصلی وارد می‌کند. سایت اصلی کد می‌خواهد، صفحه جعلی هم از شما کد می‌خواهد، و شما کدی را که واقعاً به گوشی‌تان آمده می‌زنید. کد هنوز اعتبار دارد و کلاهبردار وارد می‌شود.

NIST دقیقاً به همین دلیل هیچ روشی را که کدش دستی تایپ می‌شود مقاوم در برابر فیشینگ نمی‌داند: کد به سایتی که در آن تایپ می‌شود گره نخورده است. این سه کار شما را از این حمله در امان نگه می‌دارد:

• کد را فقط در اپ یا سایتی بزنید که خودتان باز کرده‌اید، نه در صفحه‌ای که از لینک پیامک یا تلگرام باز شده. نشانه‌های سایت فیشینگ را یک بار با دقت ببینید.
• هیچ پشتیبان واقعی کد تأیید را تلفنی یا در پیام خصوصی نمی‌خواهد. هر کس آن را خواست، کلاهبردار است؛ حتی اگر عکس پروفایلش لوگوی سواپ‌ولت باشد. کلاهبرداری‌های رایج کریپتو را هم ببینید.
• هر جا پس‌کی هست، روشنش کنید. از روش‌هایی که گفتیم، فقط پس‌کی و کلید امنیتی خودشان جلوی این ترفند را می‌گیرند.

احراز هویت دو مرحله‌ای خطر را خیلی کم می‌کند، ولی حساب را نفوذناپذیر نمی‌کند. اگر به کسی اجازه دهید با برنامه‌ای مثل AnyDesk گوشی‌تان را از راه دور کنترل کند، کد را هم خودش از روی صفحه برمی‌دارد.

تأیید دومرحله‌ای تلگرام یک رمز است

ورود به تلگرام به‌طور پیش‌فرض فقط یک کد می‌خواهد که به شماره یا اپ تلگرامتان می‌آید. «تأیید دومرحله‌ای» تلگرام یک رمز اضافه است که خودتان انتخاب می‌کنید و از «تنظیمات › حریم خصوصی و امنیت › تأیید دومرحله‌ای» روشن می‌شود. به گفته صفحه سؤالات متداول تلگرام، بعد از روشن کردنش برای ورود هم کد لازم است و هم این رمز.

پس دنبال کد Authenticator برای تلگرام نگردید. رمزی بگذارید که جای دیگری از آن استفاده نکرده‌اید و یک ایمیل بازیابی هم اضافه کنید که خودش رمز قوی و 2FA دارد. ترفند معروف کلاهبردارهای تلگرام همین پیام است: «یک کد اشتباهی برایت آمده، بفرستش برایم.» اگر این رمز را نگذاشته باشید، همان کد برای بردن حسابتان کافی است. اگر کار از کار گذشته، راهنمای پس گرفتن اکانت هک‌شده تلگرام را قدم‌به‌قدم دنبال کنید.

شناسایی دوعاملی در سواپ‌ولت

در سواپ‌ولت، بعد از روشن کردن شناسایی دوعاملی، هر درخواست برداشت و انتقال رمزارز باید با یک کد یک‌بارمصرف تأیید شود. پس کسی که فقط رمز ورود شما را دارد، نمی‌تواند برداشت تتر یا بیت‌کوینتان را تأیید کند.

سه روش در اختیارتان است: پیامک، ایمیل و Google Authenticator. خود سواپ‌ولت پیشنهاد می‌کند دست‌کم دو تا را روشن کنید تا اگر روزی به یکی دسترسی نداشتید، راه دیگری داشته باشید.

پیش از شروع، مطمئن شوید به شماره موبایل و ایمیلی که در حساب ثبت کرده‌اید دسترسی دارید، Google Authenticator را از Google Play یا App Store نصب کرده‌اید و ساعت و تاریخ گوشی روی حالت خودکار است. بعد این مراحل را بروید:

1. از نوار پایین وارد «پروفایل» شوید و در بخش «امنیت و تنظیمات» روی «امنیت» بزنید.
2. «شناسایی دوعاملی» را انتخاب کنید و روشی را که می‌خواهید با دکمه کنارش روشن کنید.
3. برای پیامک یا ایمیل، کدی را که برایتان فرستاده می‌شود وارد کنید.
4. برای Google Authenticator، در اپ روی «+» بزنید و QR را که سواپ‌ولت نشان می‌دهد اسکن کنید، یا کلید راه‌اندازی را دستی وارد کنید. بعد کد شش‌رقمی اپ را در سواپ‌ولت بزنید.
5. فعال‌سازی را تأیید کنید و مطمئن شوید آن روش روشن شده است.

یک نکته را از قبل بدانید: بعد از تنظیم شناسایی دوعاملی، دکمه برداشت تا پایان یک محدودیت امنیتی ۲۴ ساعته غیرفعال می‌ماند. پس آن را یک ساعت پیش از برداشتی که لازم دارید روشن نکنید؛ ولی این را بهانه هم نکنید و عقبش نیندازید. این مکث به نفع خود شماست: اگر روزی کسی با رمز دزدیده‌شده شناسایی دوعاملی را روی گوشی خودش تنظیم کند، همان لحظه نمی‌تواند برداشت کند.

شناسایی دوعاملی جای رمز قوی را نمی‌گیرد؛ رمز حساب سواپ‌ولت را جای دیگری به کار نبرید. اگر هم به گوشی یا اپ سازنده کد دسترسی ندارید، موضوع را با پشتیبانی سواپ‌ولت در میان بگذارید.

از کدام حساب شروع کنید؟

اگر امروز فقط نیم ساعت وقت دارید، به همین ترتیب جلو بروید. هر حسابی که در حساب‌های بیشتری را باز می‌کند، بالاتر آمده است:

1. ایمیل اصلی. لینک بازیابی رمز بقیه حساب‌ها به آن می‌آید. برایش Authenticator یا پس‌کی روشن کنید و رمزی بگذارید که هیچ جای دیگر به کار نبرده‌اید.
2. حساب‌هایی که پولتان در آن‌هاست، مثل صرافی و بانک. در سواپ‌ولت دو روش شناسایی دوعاملی را روشن کنید.
3. تلگرام. رمز تأیید دومرحله‌ای بگذارید و ایمیل بازیابی اضافه کنید.
4. حساب گوگل یا اپل. اگر کدهای Authenticator یا پس‌کی‌هایتان با آن همگام می‌شوند، این حساب حالا کلید بقیه حساب‌هاست.
5. بقیه حساب‌ها، مثل اینستاگرام، فروشگاه‌های اینترنتی و هر جای دیگری که اسم و شماره‌تان در آن ثبت است.

برای هر کدام، همان لحظه کد پشتیبان یا کلید راه‌اندازی را روی کاغذ بنویسید. فردا یادتان نمی‌ماند.