تایید هویت 2عامل 2FA چیست و چگونه آن را فعال سازی کنیم
تایید هویت 2عامل 2FA چیست و چگونه آن را فعال سازی کنیم
تایید هویت دو عاملی چیست؟
در اینترنتی که بر تمام دنیا سایه افکنده است، امنیت حرف اول را می زند. سالانه هزاران سرقت اینترنتی در جهان رخ می‌دهد که بیشتر این سرقت‌ها به دلیل نبود امنیت اطلاعات و یا سهل‌انگاری در حفظ آنها می‌باشد. به همین دلیل افراد زیادی به دنبال راه‌حل‌هایی برای حفظ امنیت دارایی‌های دیجیتال هستند. تایید هویت دو عاملی یکی از گزینه های امنیتی در دنیای وب است که امنیت حساب های شما را به شدت افزایش می دهد.
تایید هویت دو عاملی (Two-factor authentication ) که به اختصار 2FA گفته می‌شود، روشی برای ورود به یک حساب کاربری است که در آن سیستم برای اینکه مطمئن شود کسی که قصد ورود دارد خودِ کاربر است (و مثلا یک هکر نیست)، از کاربر دو عامل مختلف برای تایید هویت طلب می‌کند.
این دو عامل عبارتند از:
- چیزی که سیستم آن را می‌داند؛ یعنی آن را قبلا در مراحل ثبت‌نام از کاربر دریافت کرده است؛ مانند کلمه عبور
- چیزی که ثابت می‌کند، این کلمه عبور را خود صاحب حساب وارد کرده است و نه فرد دیگری. این عامل می‌تواند رمز یکبار مصرف، تایید ایمیل یا تایید پیامکی باشد. در این روش، سیستم برای اینکه مطمئن شود شخص واقعا صاحب حساب کاربری است. بعد از وارد کردن نام کاربری و کلمه عبور به جای دسترسی سریع به حساب، از او می‌خواهد اطلاعات اضافه دیگری را وارد کند.
عامل دوم تایید هویت دو عاملی می‌تواند به چند روش مختلف انجام بگیرد که مهم‌ترین آنها به شرح زیر هستند:
1. استفاده از اطلاعاتی که فقط خود کاربر می‌داند
در این روش از احراز هویت دو عاملی، سیستم از کاربر اطلاعاتی می‌خواهد که او حتما آنها را می‌داند. برای مثال، کاربر می‌تواند به سوالات خصوصی پاسخ دهد، یا با ضربه زدن بر روی یک کلید خاص هویت خود را تایید کند.
2. سوال در مورد امکاناتی که در اختیار کاربر قرار دارند
در این روش احراز هویت دو عاملی کاربر می‌تواند به کمک یکی از تجهیزات الکترونیکی که در اختیار دارد هویت خود را تایید کند. این ابزار الکترونیکی می‌تواند کارت اعتباری، تلفن هوشمند و یا توکن‌های سخت‌افزاری باشد.
3. اطلاعات فیزیکی و ژنتیکی که کاربر دارد
در این نوع از تایید هویت دو عاملی از الگوهای بیومتریکی مانند اثر انگشت، اسکن عنبیه چشم و سایر برای تایید هویت استفاده می‌شود. این روش‌ها معمولا ایمن‌تر و پیشرفته‌تر هستند.
چرا استفاده از تایید هویت دوعاملی واجب است؟
همانطور که می دانید، تایید هویت دو عاملی به امنیت بیشتر شما کمک می کند. شما می توانید با فعال نمودن تایید هویت دوعاملی، امنیت حساب کاربری خود را بیشتر کنید. با بیشتر شدن امنیت حساب کاربری، خیالتان راحت است که مشکلی برای شما در لحاظ نفوذ هکران و… پیش نمی آید. همیشه باید به یاد داشته باشید که خطر در کمین شما است. پس زمانی که تایید هویت دوعاملی خود را فعال کردید دیگر نباید بیخیال امنیت حسابتان شوید زیرا ممکن است هکران و یا دیگر افراد با روش های مختلف اقدام به گرفتن تایید دو مرحله ای شما کنند. بعضی از اوقات ممکن است که هکران با استفاده از روش های مختلف، تایید هویت دوعاملی شما را متوجه شوند.
در ادامه به چند مورد از دلایلی که نشان می‌دهد چرا استفاده از رمز عبور نمی‌تواند امنیت ۱۰۰ درصدی را برای کاربران فراهم کند، اشاره می‌شود.
این روش ها می تواند شامل: 1. پیاده سازی مهندسی اجتماعی بر روی شما،2. در صورت انتخاب ساده یک رمز عبور رمز عبور تایید دو مرحله ای شما را کرک کنند و یا اینکه حدس بزنند.
مهندسی اجتماعی
مهندسی اجتماعی طوری است که به عنوان مثال یک راه همانند حمله فیشینگ برایتان پیاده سازی می کنند و از این طریق شما را گول خواهند زد. حتی اگر رمز عبور شما قدرتمند باشد و یا تایید دو مرحله قوی ای برای حساب خود در نظر گرفته باشید، بازهم ممکن از طریق پیاده سازی مهندسی اجتماعی گول بخورید و اطلاعات خود را فاش کنید.
- رمزعبورهای ساده و قابل حدس
بر اساس تحقیقاتی که اخیرا انجام شده، ۱.۴ میلیارد از پسوردهای هک شده، عبارت‌های بسیار ساده‌‍‌ای بودند که امکان حدس زدن آنها توسط هر شخصی فراهم بود.
در میان این عبارت‌های ساده به عنوان پسورد، استفاده از عبارت‌هایی مانند «۱۱۱۱۱۱»، «۱۲۳۴۵۶»، «۱۲۳۴۵۶۷۸۹» بسیار احمقانه و قابل حدس بودند.
کرک کردن (Cracking) یکی از راه‌های رایج برای بدست آوردن کلمه عبور حساب‌های مختلف است. در این روش کرکرها با استفاده از نرم‌افزارهای مخصوص و تست کردن تعداد زیادی کلمه عبور، به حساب‌های مختلف دسترسی پیدا می‌کنند.
- بدافزارها و مهندسی اجتماعی
حتی اگر از ترکیبات پیچیده و غیرقابل حدس برای رمزعبور حساب‌های خود استفاده کنید که کرکرها نتوانند آنها را تست کنند، باز هم خطر دست‌یابی به کلمه عبورتان از دست نمی‌رود.
بدافزارهایی مثل رت، تروجان و کی‌لاگر پس از آلوده کردن سیستم قربانی، به راحتی می‌توانند از کلمات عبوری که قربانی هنگام ورود به حسابش وارد کرده است، نسخه برداری کنند. فرقی نمی‌کند از چه کلمه عبوری استفاده کنید، یک بدافزار آن را به طور کامل کپی می‌کند و به هکر می‌دهد.
همچنین ممکن است از طریق مهندسی اجتماعی (مثل فیشینگ) گول بخورید و خودتان با دستان خودتان کلمه عبور را در اختیار یک هکر یا کلاهبردار قرار دهید.
با احراز هویت دو عاملی حتی اگر یک نفر کلمه عبور شما را هم بداند، نمی‌تواند به حسابتان وارد شود.
متداول‌ترین روش‌های تایید هویت دو عاملی
امروزه روش‌های متفاوتی برای احراز هویت دو عاملی مورد استفاده قرار می‌گیرد. برخی از این روش‌ها از امنیت بیشتری برخوردارند و استفاده از با آنها پیچیده‌تر می‌باشد؛ اما همه این روش‌ها امنیت حساب کاربری را نسبت به حالتی که فقط از رمزعبور استفاده شود، افزایش می‌دهند.
- تایید هویت دو عاملی با استفاده از تجهیزات سخت‌افزاری
استفاده از تجهیزات سخت‌افزاری قدیمی‌ترین روش احراز هویت دو عاملی است. این تجهیزات الکترونیکی ابعاد کوچکی دارند و هر چند ثانیه یک کد جدید ایجاد می‌کنند؛ کاربرانی که از این روش استفاده می‌کنند، هنگام وارد شدن به حساب کاربری خود باید به این دستگاه نگاه کنند و کد 2FA نمایش داده شده روی آن را در سایت یا اپلیکیشن وارد کنند و تنها با وارد کردن کد عددی این دستگاه می‌توانند وارد حساب کاربری خود شوند. کدهای تولید شده در این روش مدت زمان محدودی (معمولا 60 ثانیه) اعتبار دارند.
اگرچه از سال‌ها پیش بانک‌های کشور این توکن‌های سخت افزاری را برای آن دسته از کاربرانی که می‌خواستند امنیت حساب بانکی خود را بالا ببرد ارائه می‌داند. اما امروزه با گسترش تلفن‌های هوشمند و شکل‌گیری راه‌حل‌های آسان‌تر با امنیت بیشتر کاربرد این روش بسیار کم شده است.
- تایید هویت دوعاملی با استفاده از پیام متنی و صوتی
در روش احراز هویت دو عاملی به کمک پیام متنی، کاربر با استفاده از گوشی همراه و پیامکی که به آن ارسال می‌شود احراز هویت را انجام می‌دهد. او پس از وارد کردن نام کاربری و رمز عبور، برای وارد شده به حساب کاربری خود باید رمز یکبار مصرف منحصر بفردی که از طریق پیامک برای گوشی موبایل او ارسال شده است را در سایت یا اپلیکیشن وارد کند. نحوه انجام این روش احراز هویت دو عاملی کاملا مشابه روش تجهیزات سخت افزاری می‌باشد.
به صورت مشابه، در احراز هویت دو عاملی با استفاده از پیام صوتی، کد 2FA از طریق یک تماس صوتی که با کاربر گرفته می‌شود در اختیار او قرار می‌گیرد. اگرچه این روش دیگر متداول نیست، اما در کشورهایی که گوشی هوشمند گران است و خدمات تلفن نیز هزینه زیادی دارد همچنان مورد استفاده قرار می‌گیرد.
اگرچه استفاده از پیامک متنی یا صوتی برای فعالیت‌های آنلاینی که به حساسیت زیادی احتیاج ندارند می‌تواند مناسب باشد و امنیت کاربر را تامین کند. اما در مورد وبسایت‌هایی که اطلاعات شخصی کاربر را در اختیار دارند و مستقیما با دارایی آنها مرتبط هستند مانند بانک‌ها و صرافی‌های ارز دیجیتال، استفاده از این دو روش به اندازه کافی ایمن نیست. به همین دلیل شرکت‌ها و صرافی‌های زیادی مانند همتاپی تلاش می‌کنند روش‌های امن‌تری برای احراز هویت دو عاملی به کاربران خود ارائه کنند.
- تایید هویت دو عاملی با استفاده از نرم‌افزارها
محبوب‌ترین شکل از تایید دو مرحله ای که به عنوان جایگزینی برای احراز هویت با استفاده از پیام‌های متنی و صوتی مورد استفاده قرار می‌گیرد، استفاده از نرم‌افزارهایی است که کد یکبار مصرف تولید می‌کنند.
برای استفاده از این روش، ابتدا کاربر باید یکی از اپلیکیشن‌های 2FA مثل (google authenticator) را دانلود کرده و بر روی تلفن همراه یا لپ‌تاپ خود نصب کند. سپس می‌تواند از این اپلیکیشن در هر وبسایتی که از این نوع احراز هویت دو مرحله‌ای پشتیبانی می‌کند، استفاده کند.
هنگام ورود به سایت، کاربر در ابتدا نام‌کاربری و رمز عبور خود را وارد می‌کند، و سپس کدی که در اپلیکیشن 2FA نمایش داده شده را وارد می‌کند تا به حساب کاربری خود دسترسی پیدا کند.
مشابه تجهیزات سخت‌افزاری که هر کدی که تولید می‌کرد، فقط یک مدت کوتاه (معمولا ۳۰ یا ۶۰ ثانیه) اعتبار داشت، در مورد اپلیکیشن‌های احراز هویت دو مرحله‌ای هم همین امر صادق است. یعنی هر کدی که در اپلیکیشن نمایش داده می‌شود فقط به اندازه ۱ دقیقه اعتبار دارد و در نتیجه کاربر فقط ۱ دقیقه فرصت دارد تا آن را وارد کند.
از آنجایی که در این روش کد در تلفن همراه خود کاربر ایجاد شده و نمایش داده می‌شود، دیگر نگرانی بزرگی که در رابطه با روش احراز هویت دو مرحله‌ای با استفاده از پیام متنی یا پیام صوتی داشتیم، وجود ندارد و شانس هکرها برای پیگیری کد2FA در این روش از بین می‌رود.
مهم‌تر از همه، از آنجایی که اپلیکیشن‌های 2FA، هم برای موبایل و هم دسکتاپ در دسترس‌اند و حتی بدون نیاز به اتصال به اینترنت هم کار می‌کنند، احراز هویت کاربران با این روش تقریبا در همه جا و هر شرایطی در دسترس است.
اگر بخواهیم به صورت مختصر به مزایای استفاده از اپلیکیشن‌ها برای احراز هویت دو مرحله ای، اشاره کنیم:
- امنیت بالاتری نسبت به سایر روش‌های 2FA دارند.
- هم نسخه موبایل دارند و هم دسکتاپ.
- به صورت آفلاین و بدون نیاز به اینترنت هم کار می‌کنند.
با گسترش فیشینگ حساب‌های بانکی در ایران، بانک‌های ایرانی هم به دنبال طرحی برای ایجاد رمز دوم یکبار مصرف هستند که در آن به کاربر هنگام خرید اینترنتی یک رمز دوم یکبار مصرف داده می‌شود تا در صورت لو رفتن رمز دوم، پس از چند ثانیه رمز قبلی نامعتبر شود و امکان سوءاستفاده نباشد.
چگونه تایید هویت دو عاملی را فعال کنیم؟
هر وب‌سایت یا نرم‌افزار می‌تواند روش خاص خود را برای تایید هویت دو عاملی داشته باشد اما معمولا بیشتر پلتفرم‌های معتبر از نرم افزار google authenticator پشتیبانی می‌کنند. به این صورت که کاربر باید نرم افزار را دانلود کرده و از سپس از بخش امنیت (Security) در حساب کاربری خود، با اسکن یک کد QR این قابلیت را فعال کند.
این وب‌سایت‌ها یک کلید اختصاصی به کاربر می‌دهند که اگر تلفن همراه خود را گم کرد یا به هر طریقی نرم افزار از گوشی آنها پاک شد، بتوانند حساب خود را بازیابی کنند. بنابراین از این کلید به خوبی باید محافظت شود.
در اینجا به بررسی احراز هویت دومرحله‌ای در صرافی بایننس که بیشتر معامله‌گران ایرانی با آن کار می‌کنند، می‌پردازیم.
- پس از ورود به حساب کاربری در سایت بایننس به بخش Security وارد شوید. سپس روی گزینه Setup قسمت 2FA کلیک نمائید.
در نهایت با استفاده از گزینه Google Verification وارد مراحل فعال سازی تائید دو مرحله ای خواهید شد. پس از اولین ورود به حساب کاربری نیز پیامی مبنی بر فعال سازی ورود دو مرحله ای نمایش داده می شود که می توانید از همین پیام گزینه Google Verification را انتخاب کنید.
- نصب نرم افزار Google Authenticator
پس از نصب نرم افزار ، در سایت بایننس روی گزینه Next کلیک نمائید.
- اسکن کد QR
کد QR نمایش داده شده را توسط نرم افزار Google Authenticator اسکن نمائید. در صورت عدم موفقیت در اسکن می توانید کد نمایش داده شده را به صورت دستی در نرم افزار وارد کنید. پس از انجام این مرحله روی Next کلیک کنید.
- کلید بک آپ Google Authenticator
در این مرحله کلید نمایش داده شده را در یک مکان خارج از گوشی خود ذخیره نمائید تا در صورت از دست رفتن گوشی قادر به بازیابی رمز باشید. پس از انجام این مورد روی Next کلیک کنید.
- کد تائید ایمیل و رمز یک بار مصرف
در مرحله نهایی با کلیک روی گزینه Send کد تائید ایمیل را در ادرس ایمیل خود دریافت نمائید و در باکس اول وارد کنید. سپس رمز یک بار مصرف را نیز از نرم افزار Google Authenticator مشاهده و در باکس دوم وارد کنید. در نهایت روی گزینه Submit کلیک نمائید.
فعال سازی تائید دو مرحله ای با Google Authenticator در صرافی بایننس با موفقیت انجام شده است. از این پس در هر بار ورود علاوه بر رمز اصلی ، رمز یک بار مصرف را نیز از نرم افزار مشاهده و وارد نمائید. با فعال سازی این ویژگی امنیت حساب کاربری شما تا حد زیادی افزایش یافته است.
یکی دیگر از روش های احراز هویت دو مرحله‌ای با استفاده از پیام کوتاه یا SMS است که هم امنیت پایین‌تری نسبت به روش قبل دارد و هم در سایت‌هایی مانند بایننس که ایران را در لیست تحریم خود قرار داده‌اند، امکان احراز هویت با این روش و توسط شماره تلفن‌های ایران امکان‌پذیر نیست.
جمع بندی
در پایان به این نتیجه رسیدیم که تایید هویت دو عاملی یکی از ویژگی های مهم در هر نرم افزار می باشد. اگر حساب های کاربری مالی شما تایید هویت دوعاملی ندارد، هرچه زود آن را فعال کنید تا از افتادن هر اتفاقی توانسته باشید جلوگیری کنید. اگر حساب مالی شما همانند کیف پول های ارز دیجیتال و یا هر حساب مالی دیگری ویژگی تایید هویت دو عاملی نداشته باشد قطعا با اولین حمله هکران حسابتان هک می شود و ممکن است سرمایه تان از دست برود.