/نوشته‌ها

احراز هویت دو عاملی به زبان ساده

تلگرام واتس‌اپ فیسبوک توییتر
06 09 2018

تصور کنید هکری بدون اطلاع شما، رمز عبور یکی از حساب‌های کاربری مهم شما را متوجه شود. چه مانعی بین او و از دست رفتن تمامی اطلاعات شما و سواستفاده‌های احتمالی وجود دارد؟ احراز هویت دو عاملی (Two-factor authentication) در پاسخ به این سوال آمده است.

احراز هویت دو عاملی چیست؟

احراز هویت دو عاملی یک ویژگی ساده است که از شما چیزی بیشتر از تنها یک رمز عبور می‌خواهد. احراز هویت دو عاملی از دو عاملِ «چیزی که می‌دانید» (مانند رمز عبور) و «چیزی که دارید» (مانند تلفن همراه) یا «کسی که هستید» (مثل الگوی شبکیه‌ی چشم و یا اثر انگشت شما) تشکیل شده است. مطمئنا شما بارها از احراز هویت دو عاملی در زندگی خود استفاده کرده‌اید؛ مثلا هنگامی که در کنار ورود رمز حساب بانکی خود باید حتما کارت بانکی (که تنها در اختیار شما هست) را وارد کنید و یا وقتی که بعد از وارد کردن رمز گوشی خود از اسکن اثرانگشت و اسکن شبکیه چشمتان برای ورود استفاده می‌کنید.

Two Factor Authentication

در صورت محیا بودن این ویژگی، هنگامی که شما رمز عبور خود را در جایی وارد می‌کنید، رمز موقت دیگری (Time-based One Time Password) در اختیار شما قرار می‌گیرد که تنها شما به آن دسترسی دارید و تنها شما با استفاده از آن قادر به ورود به حسابتان هستید. این رمز موقت می‌تواند به ایمیل شما ارسال شود، به شما پیامک شود، به صورت تماس تلفنی به اطلاع شما برسد و یا به صورت خودکار توسط یک نرم‌افزار و یا سخت‌افزار که در اختیار شماست تولید شود.

رئیس جمهور ایالات متحده در سال ۲۰۱۶ در برنامه‌ای به نام «برنامه‌ی اقدام ملی برای امنیت سایبری» بر اهمیت این روش احراز هویت تاکید کرده:

«شهروندان ایالات متحده را در ایمن ساختن حساب‌هایی آنلاین خود با افزودن لایه‌های امنیتی ورای رمز عبور، تقویت کنید. امریکایی‌ها می‌توانند با ترکیبی از رمز عبورهای قوی و عامل دیگری مانند اثر انگشت و یا رمز موقتی که با پیامک دریافت می‌شود، حساب‌های خود را ایمن‌تر سازند. رئیس جمهور از شهروندان ایالات متحده می‌خواهد که علاوه بر رمز عبور، از احراز هویت چند عاملی برای ورود به حساب‌های آنلاین خود استفاده کنند.» برنامه‌ی اقدام ملی برای امنیت سایبری، دبیر مطبوعاتی کاخ سفید

تفاوت احراز هویت دو عاملی با دومرحله‌ای چیست؟

در احراز هویت دو مرحله‌ای، هر دو عامل ورود از نوع عامل اول یعنی «چیزی که می‌دانید» است. به طور مثال برای ورود به حساب خود علاوه بر رمز عبور نیاز به پاسخ به یک سوال شخصی (مثل تاریخ تولد) خواهید داشت. این روش نسبت به احراز هویت دو عاملی از امنیت کمتری برخوردار است زیرا این عامل نیز به راحتی توسط مهندسی اجتماعی و یا حملات فیشینگ قادر به هک شدن هستند.

احراز هویت دو عاملی چقدر امن است؟

امنیت مطلق نیست. با وجود اینکه احراز هویت دو عاملی یک لایه‌ی امنیتی قدرتمند دیگر به حساب‌های شما اضافه می‌کند، اما مصون از حملات هکرها نیست. به طور مثال در سال ۲۰۱۱ شرکت RSA اعلام کرد که توکن‌های احراز هویت آن موسوم به SecurID هک شده است. برای هک سیستم‌های احراز هویت دو عاملی نیاز به دسترسی به عامل دوم (مثلا تلفن همراه یا اثر انگشت شما) و یا مکانیزم تولید رمز موقت است.

image-rightمطالب دیگر وبلاگ با موضوع امنیت را بخوانید:
حریم خصوصی به زبان ساده

آیا استفاده از آن سخت است؟

احراز هویت دو عاملی یک مرحله‌ی دیگر به پروسه‌ی ورود شما به حسابتان اضافه می‌کند. اینکه آیا یک مرحله بیشتر برای ورود به حساب، به امنیت بیشتر شما می‌ارزد یا خیر، بستگی به خودتان دارد!

چگونه از احراز هویت دوعاملی استفاده کنم؟

بسته به سرویسی که از آن استفاده می‌کنید، در صورت محیا بودن احراز هویت دو عاملی، به طور معمول شما حداقل نیاز به یکی از این موارد را دارید: راه تماس تلفنی و یا ارسال پیامک، آدرس ایمیل، نرم‌افزار و یا سخت‌افزار تولید توکن.

مزیت استفاده از نرم‌افزار نسبت به پیامک، تماس تلفنی و ایمیل این است که دیگر نیازی به اتصال به شبکه‌ی مخابراتی و اینترنت نیست و تنها با باز کردن نرم‌افزار، می‌توانید رمز موقت خود برای ورود را دریافت کنید. بعلاوه احتمال شنود پیامک و سواستفاده از رمز‌های ورود محتمل است.

از جمله نرم‌افزارهای احراز هویت دو عاملی می‌توان به Authy، Google Authenticator و FreeOTP اشاره کرد. نرم‌افزارهای مدیریت رمز عبور مانند 1Password، LastPass و Dashlane نیز از این امکان پشتیبانی می‌کنند.

در پروسه‌ی فعالسازی احراز هویت دو عاملی، کد QR و یا رمزی در اختیار شما قرار می‌گیرد که با اسکن و یا وارد کردن آن در این نرم‌افزارها، حساب شما فعال شده و رمز عبور موقتی در اختیار شما قرار می‌گیرد که برای احراز هویت دو عاملی قابل استفاده است. در نهایت یک کد پشتیبانی (یا ریکاوری) برای مواقعی که دسترسی به نرم‌افزار را ندارید در اختیار شما قرار می‌گیرد. این کد های پشتیبانی را در محلی ایمن نگهداری کنید تا در صورت از دست رفتن دسترسی به نرم‌افزار، کماکان قادر به ورود به سرویس‌های مورد نظر باشید.

سخت‌افزارهای احراز هویت دو عاملی، کلیدهای امنیتی Universal 2nd Factor (به اختصار U2F) و یکی از ایمن‌ترین روش‌های احراز هویت دو عاملی هستند که با اتصال به درگاه USB کامپیوتر شما و یا با کمک NFC، توکن‌ها را در اختیار سرویس‌هایی که از این پروتکل پیشتیبانی می‌کنند، قرار می‌دهند. از جمله این دستگاه‌ها می‌توان به YubiKey اشاره کرد.

مشاهده در Youtube مشاهده در آپارات

چه سرویس‌هایی از احراز هویت دو عاملی پشتیبانی می‌کنند؟

بیشتر سرویس‌های نام آشنا حداقل از یک روش احراز هویت دو عاملی پشتیبانی می‌کنند. بخشی از این سرویس‌ها به طور خلاصه برای شما گردآوری شده و به صفحه‌ی راهنمای راه‌اندازی لینک شده‌اند. سرویس‌هایی که از پیامک، تماس تلفنی، ایمیل، نرم‌افزاری و سخت‌افزاری پشتیبانی می‌کنند با آیکون‌های مربوطه مشخص شده‌اند.

شبکه‌های اجتماعی

سرویس متد سرویس متد سرویس متد
500px Facebook Google+
Instagram LinkedIn Pinterest
Reddit Snapchat Twitter
Tumbler

پیام‌رسان‌ها

سرویس متد سرویس متد سرویس متد
Signal Skype Telegram
WhatsApp

سرویس‌های ایمیل

سرویس متد سرویس متد سرویس متد
Gmail Outlook ProtonMail
Yahoo Mail Yandex.Mail

بانک‌ها

سرویس متد سرویس متد سرویس متد
بانک آینده بانک پاسارگاد بانک توسعه تعاون
بانک گردشگری بانک ملت بانک ملی

فضاهای ابری

سرویس متد سرویس متد سرویس متد
Apple iCloud Dropbox Google Drive
OneDrive Sync

سرویس‌های مدیریت رمز عبور

سرویس متد سرویس متد سرویس متد
1Password Dashlane LastPass

سایر سرویس‌ها

سرویس متد سرویس متد سرویس متد
Adobe ID Amazon ابرآروان
Cloudflare Epic Games Firefox
GitHub GitLab هاست‌ایران
آیدی پی Office 365 PlayStation
Steam Twitch Uplay
Wikipedia Xbox Live YouTube

سرویسی را می‌شناسید که از احراز هویت دو عاملی پشتیبانی کرده و در لیست بالا موجود نیست؟ لطفا در بخش نظرات و یا به حساب توییتری voxxp@ معرفی کنید تا به مطلب اضافه شود.



تلگرام واتس‌اپ فیسبوک توییتر