آشنایی با گوگل آتنتیکیتور: کدهای 2FA آن چگونه کار می‌کنند
تقریباً هر ۳۰ ثانیه، عددی کوتاه روی گوشی‌تان تغییر می‌کند و وب‌سایتی که هرگز گوشی را به آن نشان نداده‌اید، به‌نحوی می‌داند عدد جدید چه باید باشد. این اتفاق جادویی به نظر می‌رسد، اما ترفندی ساده بر پایه یک راز مشترک است.
گوگل آتنتیکیتور و برنامه‌های مشابه این‌طور کار می‌کنند. در ادامه می‌بینیم کدها چگونه تولید می‌شوند، چرا بدون اتصال به اینترنت کار می‌کنند، این برنامه چه ارتباطی با قابلیت تأیید دومرحله‌ای گوگل دارد و از چه چیزهایی می‌تواند یا نمی‌تواند محافظت کند.
کدها چگونه تولید می‌شوند
وقتی حسابی را به برنامه احراز هویت اضافه می‌کنید، سرویس یک راز در اختیارتان می‌گذارد که معمولاً به شکل کد QR یا کلید راه‌اندازی است و برنامه آن را ذخیره می‌کند. از آن پس، سرویس و گوشی شما هر دو همان راز را در اختیار دارند. برای تولید کد، برنامه آن راز را با زمان فعلی ترکیب می‌کند و سرویس نیز همین محاسبه را در سمت خود انجام می‌دهد. اگر دو نتیجه با هم مطابقت داشته باشند، کد پذیرفته می‌شود.
این روش یک استاندارد منتشرشده به نام TOTP است که کوتاه‌شدهٔ «گذرواژه یک‌بارمصرف مبتنی بر زمان» است و در IETF RFC 6238 تعریف شده است. این روش بر پایه روشی قدیمی‌تر و مبتنی بر شمارنده ساخته شده و در آن شمارنده با مقداری برگرفته از زمان جایگزین می‌شود. طبق این استاندارد، برنامه و سرویس باید از بازه زمانی یکسانی استفاده کنند و مقدار پیش‌فرض پیشنهادی ۳۰ ثانیه است؛ به همین دلیل کد معمولاً حدود دو بار در دقیقه تازه می‌شود.
چرا بدون اتصال به اینترنت کار می‌کند
کد با استفاده از راز ذخیره‌شده و ساعت گوشی، روی خود گوشی محاسبه می‌شود؛ بنابراین لازم نیست چیزی به گوشی فرستاده شود. در توضیحات رسمی برنامه گوگل آمده است که کدها حتی بدون اتصال به شبکه یا تلفن همراه هم تولید می‌شوند. سرویس فقط باید هنگام واردکردن کد، همان محاسبه را انجام دهد.
نتیجه این است که زمان اهمیت دارد. اگر ساعت گوشی‌تان با زمان واقعی اختلاف زیادی داشته باشد، دو محاسبه با هم مطابقت نمی‌کنند و کد رد می‌شود، حتی اگر برنامه طبق روال خودش کار کند.
ارتباط آن با قابلیت تأیید دومرحله‌ای گوگل
اشتباه‌گرفتن این دو آسان است. تأیید دومرحله‌ای قابلیتی در حساب گوگل است که هنگام ورود، از شما می‌خواهد مرحله دومی را انجام دهید. گوگل آتنتیکیتور برنامه‌ای است که می‌تواند آن مرحله را فراهم کند و به گفته گوگل، برای وب‌سایت‌ها و برنامه‌های دیگری هم که تأیید با برنامه‌های احراز هویت را پشتیبانی می‌کنند، کد تولید می‌کند. چندین برنامه احراز هویت دیگر هم از همین استاندارد پیروی می‌کنند؛ بنابراین خود کدها به یک شرکت خاص وابسته نیستند.
می‌توانید از برنامه با حساب گوگل یا بدون آن استفاده کنید. با ورود به حساب، کدهایتان بین دستگاه‌ها همگام‌سازی می‌شوند و گوگل می‌گوید حتی بدون حساب هم می‌توانید آن‌ها را به‌صورت دستی به دستگاه جدید منتقل کنید. کدهای همگام‌سازی‌شده به آن حساب گوگل وابسته‌اند؛ بنابراین محافظت از خود حساب اهمیت بیشتری پیدا می‌کند. گوگل همچنین پیشنهاد می‌کند روش‌های دیگری برای تأیید دومرحله‌ای هم راه‌اندازی کنید تا دسترسی‌تان به حساب قطع نشود.
از چه چیزهایی محافظت می‌کند و از چه چیزهایی نه
به گفته CISA، کدهای برنامه احراز هویت از پیامک بهترند، اما همچنان در برابر فیشینگ آسیب‌پذیر هستند. یک صفحه ورود جعلی و قانع‌کننده می‌تواند کدی را که وارد می‌کنید ثبت کند و بلافاصله از آن استفاده کند؛ فقط روش‌های مبتنی بر FIDO، مانند کلیدهای امنیتی و گذرکلیدها، در برابر این نوع حمله مقاوم‌اند. بررسی نشانی وب‌سایت پیش از واردکردن کد هم بخشی از محافظت است.
راز پشت کدهایتان نیز حساس است. هرکسی که کد QR یا کلید راه‌اندازی را داشته باشد می‌تواند همان کدها را تولید کند؛ بنابراین باید با تصویر صفحه از آن‌ها مثل گذرواژه برخورد کنید. همچنین، برنامه احراز هویت از حساب‌هایی محافظت می‌کند که از طریق یک سرویس وارد آن‌ها می‌شوید. این برنامه نمی‌تواند از عبارت بازیابی یا کلید خصوصی کیف پول محافظت کند.
یادآوری WEEX: با کلید راه‌اندازی مثل گذرواژه رفتار کنید
WEEX به کاربران یادآوری می‌کند که هرگز کد یک‌بارمصرف، کد QR یا کلید راه‌اندازی را با هیچ‌کس به اشتراک نگذارند؛ حتی با افرادی که ادعا می‌کنند پشتیبانی هستند، چون یک سرویس معتبر هرگز به آن‌ها نیاز ندارد. پیش از واردکردن کد، نشانی وب‌سایت را بررسی کنید و هر کلید پشتیبان یا کد بازیابی را در مکانی امن و آفلاین نگه دارید، نه به‌صورت تصویر صفحه یا یادداشت در فضای ابری. هیچ‌یک از مطالب اینجا توصیه مالی نیست.
جمع‌بندی
گوگل آتنتیکیتور با استفاده از رازی که با سرویس به اشتراک گذاشته شده و زمان فعلی، کدی کوتاه‌مدت تولید می‌کند؛ به همین دلیل آفلاین کار می‌کند و ساعت اهمیت دارد. این برنامه یکی از چندین برنامه‌ای است که از همین استاندارد استفاده می‌کنند؛ از پیامک بهتر است، اما همچنان در معرض فیشینگ قرار دارد و باید با راز راه‌اندازی آن به‌اندازه یک گذرواژه بااحتیاط برخورد کرد. استفاده از آن در کنار گذرواژه‌های قوی و عادت‌های محتاطانه، تسلط بر حساب را برای دیگران دشوارتر می‌کند.
پرسش‌های متداول
۱. گوگل آتنتیکیتور چیست؟
این برنامه کدهای یک‌بارمصرفی تولید می‌کند که هنگام ورود، برای حساب‌های گوگل و وب‌سایت‌ها و برنامه‌های دیگری که تأیید با برنامه احراز هویت را پشتیبانی می‌کنند، به‌عنوان مرحله دوم استفاده می‌شوند.
۲. گوگل آتنتیکیتور چگونه بدون اینترنت کد تولید می‌کند؟
این برنامه کدها را با استفاده از یک راز ذخیره‌شده و زمان فعلی، روی گوشی شما محاسبه می‌کند. سرویس برای بررسی کد همین محاسبه را انجام می‌دهد؛ بنابراین لازم نیست چیزی به گوشی‌تان فرستاده شود.
۳. برای استفاده از گوگل آتنتیکیتور به حساب گوگل نیاز دارم؟
خیر. گوگل می‌گوید می‌توانید بدون حساب هم از آن استفاده کنید. با ورود به حساب، کدهایتان بین دستگاه‌ها همگام‌سازی می‌شوند و بدون حساب می‌توانید آن‌ها را به‌صورت دستی به دستگاه جدید منتقل کنید.
۴. آیا گوگل آتنتیکیتور همان قابلیت تأیید دومرحله‌ای گوگل است؟
خیر. تأیید دومرحله‌ای قابلیتی در حساب گوگل است و این برنامه یکی از راه‌های انجام مرحله دوم به شمار می‌رود. این برنامه با وب‌سایت‌های دیگری هم کار می‌کند که کدهای برنامه‌های احراز هویت را پشتیبانی می‌کنند.
۵. آیا گوگل آتنتیکیتور از کدهای پیامکی امن‌تر است؟
به گفته CISA، کدهای برنامه احراز هویت از پیامک بهترند، اما همچنان می‌توان آن‌ها را از طریق فیشینگ به‌دست آورد. کلیدهای امنیتی و گذرکلیدها محافظت قوی‌تری در برابر فیشینگ فراهم می‌کنند.
سودده‌ها
