احراز هویت دوعاملی (2FA) به زبان ساده: چیست و چرا یک رمز عبور کافی نیست

رمز عبور رازی است که در جاهای بیشتری از آنچه بیشتر مردم تصور می‌کنند وجود دارد. آن را در وب‌سایت‌ها وارد می‌کنیم، در حساب‌های مختلف دوباره به کار می‌بریم و گاهی در نشت داده‌های دیگران افشا می‌شود؛ به همین دلیل، رمز عبور به‌تنهایی راهی شکننده برای محافظت از هر چیز ارزشمندی است.

احراز هویت دوعاملی نوع دومی از مدرک را اضافه می‌کند که با مدرک اول متفاوت است؛ بنابراین، رمز عبورِ به‌سرقت‌رفته به‌تنهایی کافی نیست. در ادامه می‌خوانید که این روش چیست، انواع رایج عامل دوم کدام‌اند، چرا مفید است و چه جاهایی کارایی ندارد.

احراز هویت دوعاملی چیست

احراز هویت دوعاملی که معمولاً به‌اختصار 2FA نامیده می‌شود، یعنی هویت خود را با دو نوع مدرک متفاوت اثبات کنید. دستورالعمل‌های هویت دیجیتال NIST سه نوع عامل احراز هویت را معرفی می‌کنند: چیزی که می‌دانید، مانند رمز عبور؛ چیزی که در اختیار دارید، مانند تلفن یا کلید امنیتی؛ و چیزی که هستید، مانند اثر انگشت.

دو عامل باید از دو نوع متفاوت باشند. NIST اشاره می‌کند که رمز عبور و PIN دو عامل محسوب نمی‌شوند، زیرا هر دو چیزی هستند که می‌دانید. ممکن است این روش را با نام‌های احراز هویت چندعاملی، MFA یا تأیید دومرحله‌ای هم ببینید. CISA در کاربرد روزمره این نام‌ها را به یک معنا می‌داند: یک مرحله اضافی برای تأیید اینکه واقعاً همان کسی هستید که ادعا می‌کنید.

انواع رایج عامل دوم

آشناترین عامل دوم، یک کد یک‌بارمصرف است که یا از طریق پیامک ارسال می‌شود یا اپلیکیشن احراز هویت روی تلفن همراهتان آن را تولید می‌کند. گزینه دیگر، کلید امنیتی فیزیکی یا کلید عبور است که از رمزنگاریِ تعبیه‌شده در یک دستگاه استفاده می‌کند. اثر انگشت یا اسکن چهره هم می‌تواند نقش داشته باشد؛ NIST می‌گوید داده‌های زیست‌سنجی فقط به‌عنوان بخشی از احراز هویت چندعاملی و در کنار یک دستگاه فیزیکی به حساب می‌آیند.

این روش‌ها قدرت یکسانی ندارند. به گفته CISA، احراز هویت مبتنی بر استانداردهای FIDO، مانند کلیدهای امنیتی و کلیدهای عبور، قوی‌ترین شکل است و در برابر فیشینگ مقاومت می‌کند. کدهای اپلیکیشن احراز هویت از پیامک بهترند، اما همچنان ممکن است در حملات فیشینگ به سرقت بروند؛ پیامک هم ضعیف‌ترین گزینه رایج است. مقایسه جزئی این روش‌ها موضوعی جداگانه است.

چرا یک رمز عبور کافی نیست

CISA توضیح می‌دهد که رمز عبور، یعنی چیزی که می‌دانید، ممکن است دوباره استفاده شود، راحت‌تر شکسته شود یا به سرقت برود. اگر یک رمز عبور برای چند حساب استفاده شود، یک نشت اطلاعات می‌تواند دسترسی به همه آن‌ها را ممکن کند. با وجود عامل دوم، مهاجمی که رمز عبور را در اختیار دارد همچنان به جزء دیگر هم نیاز دارد؛ CISA می‌گوید این موضوع احتمال هک‌شدن حساب شما را به‌طور چشمگیری کاهش می‌دهد.

توصیه CISA این است که احراز هویت چندعاملی را در هر جایی که ارائه می‌شود فعال کنید و از حساب‌های مهم‌تر شروع کنید: ابتدا ایمیل، سپس خدمات مالی و بعد شبکه‌های اجتماعی و فروشگاه‌های آنلاین. همچنین استفاده از رمزهای عبور قوی و منحصربه‌فرد و یک مدیر رمز عبور را در کنار آن پیشنهاد می‌کند، زیرا این دو روش حفاظتی مکمل یکدیگرند.

احراز هویت دوعاملی چه کاری انجام نمی‌دهد

عامل دوم تصاحب یک حساب را دشوارتر می‌کند، اما آن را غیرقابل‌نفوذ نمی‌سازد. یک صفحه ورود جعلی و متقاعدکننده می‌تواند کد را به دست آورد و فوراً از آن استفاده کند؛ پیامک هم ممکن است رهگیری یا تغییر مسیر داده شود، برای مثال از طریق تعویض سیم‌کارت. به همین دلیل روش انتخابی شما اهمیت دارد و بررسی اینکه پیش از واردکردن هر کدی در وب‌سایت واقعی هستید، بخشی از محافظت است.

این روش از همه‌چیز هم محافظت نمی‌کند. 2FA از حسابی محافظت می‌کند که از طریق یک سرویس وارد آن می‌شوید، اما نمی‌تواند از کلید خصوصی یا عبارت بازیابی کیف پول رمزارزی محافظت کند، زیرا این‌ها اصلاً حساب نیستند. همچنین جایگزین رمز عبور قوی و منحصربه‌فرد یا روش امنی برای بازیابی دسترسی در صورت گم‌کردن تلفن همراهتان نمی‌شود.

یادآوری WEEX: آن را فعال کنید و از کدها محافظت کنید

WEEX به کاربران یادآوری می‌کند احراز هویت دوعاملی را در هر جایی که ارائه می‌شود فعال کنند و از ایمیل و حساب‌های مالی شروع کنند. کدهای پشتیبان یا بازیابی را در جایی امن و آفلاین نگه دارید و پیش از واردکردن کد، نشانی وب‌سایت را بررسی کنید. هرگز کد یک‌بارمصرف یا عبارت بازیابی را با هیچ‌کس، از جمله افرادی که می‌گویند از بخش پشتیبانی هستند، به اشتراک نگذارید؛ زیرا یک سرویس معتبر به هیچ‌کدام از آن‌ها نیاز ندارد.

جمع‌بندی

احراز هویت دوعاملی دو نوع مدرک متفاوت می‌خواهد؛ بنابراین، رمز عبورِ به‌سرقت‌رفته برای ورود کافی نیست. قدرت انواع عامل دوم متفاوت است: کلیدهای امنیتی و کلیدهای عبور در بالاترین سطح قرار دارند و پیامک در پایین‌ترین سطح. هیچ‌کدام هم جایگزین رمزهای عبور مناسب، عادت‌های محتاطانه یا محافظت از کلیدهای خصوصی کیف پول نمی‌شوند. فعال‌کردن این روش یکی از ساده‌ترین راه‌ها برای دشوارترکردن تصاحب حساب است.

پرسش‌های متداول

1. احراز هویت دوعاملی چیست؟
روشی برای ورود به حساب است که به‌جای رمز عبور به‌تنهایی، دو نوع مدرک متفاوت می‌خواهد؛ برای مثال، رمز عبور به‌علاوه کدی که تلفن همراهتان تولید می‌کند.

2. آیا 2FA همان MFA و تأیید دومرحله‌ای است؟
در کاربرد روزمره، این نام‌ها تقریباً به یک معنا هستند. از نظر دقیق، MFA به معنای استفاده از بیش از یک نوع عامل متمایز است و 2FA دقیقاً به معنای استفاده از دو عامل است.

3. آیا احراز هویت دوعاملی یک حساب را غیرقابل‌هک می‌کند؟
خیر. این روش تصاحب حساب را دشوارتر می‌کند، اما یک صفحه ورود جعلی می‌تواند کد را به دست آورد و پیامک‌ها هم ممکن است رهگیری شوند؛ بنابراین، هم روش انتخابی و هم عادت‌های شما اهمیت دارند.

4. آیا استفاده از رمز عبور به‌علاوه PIN احراز هویت دوعاملی است؟
خیر. هر دو چیزی هستند که می‌دانید؛ بنابراین، طبق دستورالعمل‌های NIST یک عامل واحد به حساب می‌آیند.

5. ابتدا باید احراز هویت دوعاملی را برای کدام حساب‌ها فعال کرد؟
CISA پیشنهاد می‌کند از ایمیل شروع کنید، سپس سراغ خدمات مالی و بعد شبکه‌های اجتماعی و فروشگاه‌های آنلاین بروید. ایمیل در اولویت است، زیرا اغلب برای بازنشانی رمز عبور حساب‌های دیگر استفاده می‌شود.