روش‌های تأیید دو مرحله‌ای: پیامک، برنامه، کلید امنیتی و پسکی
فهرست مطالب
تأیید دو مرحله‌ای یعنی برای ورود به حساب، علاوه بر رمز عبور، یک مدرک دوم هم لازم است. اما «تأیید دو مرحله‌ای» یک روش واحد نیست: کدهای پیامکی، برنامه‌های احراز هویت و کلیدهای امنیتی یا پسکی‌ها سطوح متفاوتی از امنیت و راحتی را ارائه می‌دهند. در این مقاله روش‌های تأیید دو مرحله‌ای را با هم مقایسه می‌کنیم و توضیح می‌دهیم که کدام روش برای کدام حساب منطقی است.
چرا تأیید دو مرحله‌ای مهم است؟
رمز عبور ممکن است از طریق نشت اطلاعات، صفحات فیشینگ یا استفاده مجدد از آن در چند سایت لو برود. مرحله دوم باعث می‌شود باز کردن حساب فقط با داشتن رمز عبور دزدیده‌شده سخت‌تر شود. بنابراین هر تأیید دو مرحله‌ای از نداشتن آن بهتر است. پرسش واقعی این نیست که «آیا باید آن را فعال کنم؟»، بلکه این است که «کدام روش را انتخاب کنم؟»
وقتی روشی را ارزیابی می‌کنید، به سه موضوع توجه کنید: چقدر در برابر جعل هویت و فیشینگ مقاوم است، هر روز استفاده از آن چقدر آسان است، و اگر تلفنتان را گم کنید چطور می‌توانید دوباره وارد حساب شوید.
روش ۱: کدهای پیامکی
یک کد شش‌رقمی به شماره تلفن شما ارسال می‌شود و شما آن را وارد می‌کنید. این ساده‌ترین روش برای راه‌اندازی است، به برنامه اضافی نیاز ندارد و همه با نحوه کارش آشنا هستند.
مزایا: راه‌اندازی بسیار ساده، در تقریباً همه سرویس‌ها قابل استفاده، و بدون نیاز به دانش فنی.
معایب: امنیت آن به کسی بستگی دارد که شماره‌تان را کنترل می‌کند. انتقال شماره به کارت دیگری در اپراتور (تعویض سیم‌کارت یا SIM swap)، پیام‌های فریبنده برای گرفتن کد و اینکه کسی را متقاعد کنید کد را برایش بخوانید، مهم‌ترین خطرها هستند. ممکن است در خارج از کشور یا در جایی که آنتن ندارید هم کدها به دستتان نرسد.
پیامک بسیار بهتر از هیچ است و گاهی تنها گزینه موجود است. اما برای حساب‌های مهم نباید اولین انتخاب شما باشد.
روش ۲: برنامه‌های احراز هویت (TOTP)
یک برنامه روی گوشی کدهایی تولید می‌کند که هر ۳۰ ثانیه عوض می‌شوند. این کدها روی خود دستگاه ساخته می‌شوند، بنابراین به پیامک یا اتصال شبکه نیاز ندارند.
مزایا: حتی اگر شماره تلفنتان به دست دیگری بیفتد، کدها به مهاجم نمی‌رسند. بدون اینترنت هم کار می‌کند. بسیاری از سرویس‌ها از آن پشتیبانی می‌کنند.
معایب: اگر گوشی گم شود یا ریست شود، دسترسی به کدها هم از بین می‌رود، پس کدهای پشتیبان یا قابلیت پشتیبان‌گیری برنامه ضروری است. اگر کد را خودتان در یک صفحه ورود جعلی وارد کنید، باز هم خطر وجود دارد، بنابراین کاملاً در برابر فیشینگ ایمن نیست.
برای بیشتر افراد، این روش بهترین تعادل میان امنیت و راحتی است.
روش ۳: کلیدهای امنیتی و پسکی‌ها
کلید امنیتی (یک دستگاه فیزیکی که از طریق USB یا NFC کار می‌کند) و پسکی (اعتبارنامه‌ای که روی گوشی، رایانه یا مدیر رمز عبور ذخیره می‌شود و با اثر انگشت یا چهره باز می‌شود) در یک خانواده قرار دارند. شما کدی تایپ نمی‌کنید؛ دستگاه با نشانی واقعی سرویسی که به آن وارد می‌شوید ارتباط برقرار می‌کند.
مزایا: مقاوم‌ترین روش در برابر فیشینگ، چون روی یک سایت جعلی کار نمی‌کند. چون کدی برای تایپ وجود ندارد، سریع و راحت است.
معایب: همه سرویس‌ها از آن پشتیبانی نمی‌کنند. اگر کلید فیزیکی را گم کنید یا دسترسی به حسابی را از دست بدهید که پسکی‌تان در آن ذخیره شده، به یک برنامه بازیابی نیاز دارید. کلید فیزیکی هزینه دارد و توصیه می‌شود یک کلید یدکی هم تهیه کنید.
جدول مقایسه
| روش | مقاومت در برابر فیشینگ | خطر تعویض سیم‌کارت | راحتی | اگر دستگاه را گم کنید |
|---|---|---|---|---|
| کد پیامکی | کم | بله | خیلی زیاد | با بازپس‌گیری شماره قابل جبران است |
| برنامه احراز هویت | متوسط | خیر | زیاد | به کدهای پشتیبان یا پشتیبان‌گیری برنامه نیاز دارد |
| کلید امنیتی | خیلی زیاد | خیر | متوسط تا زیاد | داشتن کلید یدکی ضروری است |
| پسکی | خیلی زیاد | خیر | خیلی زیاد | به حسابی که با آن همگام می‌شود بستگی دارد |
این امتیازها گرایش‌های کلی را نشان می‌دهند؛ جزئیات پیاده‌سازی ممکن است از یک سرویس به سرویس دیگر فرق کند.
برای کدام حساب کدام روش؟
- ایمیل، بانک، ارز دیجیتال، مدیر رمز عبور: در صورت امکان پسکی یا کلید امنیتی؛ در غیر این صورت برنامه احراز هویت. ایمیل شما کلید بازیابی همه چیز دیگر است، پس باید بهترین محافظت را داشته باشد.
- شبکه‌های اجتماعی و پیام‌رسان‌ها: برنامه احراز هویت یا پسکی. پیامک فقط وقتی که گزینه دیگری نیست.
- خرید، اشتراک‌ها، بازی: برنامه احراز هویت کافی است؛ اگر پسکی ارائه شد از آن استفاده کنید.
- حساب‌های موقت و یک‌بارمصرف: پیامک قابل قبول است، به شرط اینکه همان رمز عبور را جای دیگری استفاده نکنید.
اگر حسابی اجازه ثبت بیش از یک روش را بدهد، یکی را روش اصلی و دیگری را پشتیبان تنظیم کنید.
شماره‌های مجازی و تأیید دو مرحله‌ای
شماره‌های مجازی یک‌بارمصرف که برای دریافت کدهای تأیید استفاده می‌شوند، مالکیت دائمی به شما نمی‌دهند. به همین دلیل نمی‌توان آنها را پایه تأیید دو مرحله‌ای پیامکی حسابتان قرار داد، چون بعداً نمی‌توانید دوباره از آنها استفاده کنید. اگر حسابی را با شماره مجازی باز کرده‌اید، بلافاصله پس از راه‌اندازی یک برنامه احراز هویت یا پسکی اضافه کنید و یک ایمیل بازیابی تعریف کنید.
برخی پلتفرم‌ها ممکن است شماره‌های مجازی را نپذیرند؛ در این صورت باید شرایط استفاده آن سرویس را رعایت کنید. اگر کدی نرسید، دلیل نرسیدن کد پیامکی را بخوانید. برای سرویس‌ها و کشورهای فعلی، صفحه قیمت‌ها را ببینید.
یک چک‌لیست کوتاه برای راه‌اندازی
- ابتدا قوی‌ترین روش را روی حساب ایمیلتان فعال کنید.
- سپس آن را روی بانک، شبکه‌های اجتماعی و مدیر رمز عبورتان فعال کنید.
- برای هر حساب حداقل یک روش پشتیبان ثبت کنید.
- کدهای پشتیبان را آفلاین و در جای امنی نگه دارید؛ از آنها اسکرین‌شات در فضای ابری نگیرید.
- هنگام تعویض گوشی، تا مطمئن نشده‌اید برنامه احراز هویت به دستگاه جدید منتقل شده، گوشی قدیمی را پاک نکنید.
- گاهی فهرست «دستگاه‌های مورد اعتماد» و «نشست‌های فعال» را در تنظیمات حسابتان بررسی کنید.
اشتباهات رایج
حتی یک روش خوب هم با برخی عادت‌ها ضعیف می‌شود:
- نداشتن برنامه پشتیبان: قفل شدن دائمی حساب پس از گم شدن گوشی، رایج‌ترین مشکل است.
- نگه‌داشتن کدهای پشتیبان به صورت اسکرین‌شات در فضای ابری: اگر حساب هک شود، کدها هم همراه آن از دست می‌روند.
- گفتن کد به دیگران: هر روشی که باشد، با به اشتراک گذاشتن کد، محافظت از بین می‌رود.
- استفاده از یک رمز عبور در همه جا: مرحله دوم کمک می‌کند، اما جای رمز عبور قوی را نمی‌گیرد.
- تأیید عادتی درخواست‌های تأیید: هرگز درخواست تأییدی را که وقتی وارد حساب نشده‌اید می‌آید، قبول نکنید.
سؤالات متداول
آیا هرگز نباید از تأیید دو مرحله‌ای پیامکی استفاده کرد؟
نه. پیامک بسیار امن‌تر از نداشتن مرحله دوم است. وقتی تنها گزینه است آن را فعال کنید و وقتی روش قوی‌تری در دسترس قرار گرفت، به آن منتقل شوید.
آیا پسکی جای رمز عبور را می‌گیرد؟
در بسیاری از سرویس‌ها، پسکی به شما اجازه می‌دهد به جای رمز عبور وارد شوید و همزمان به‌عنوان مرحله دوم هم عمل می‌کند. بسته به سرویس، ممکن است رمز عبور کنارش باقی بماند؛ بنابراین تنظیمات را بررسی کنید.
اگر گوشی‌ام را گم کنم چطور دوباره وارد حسابم شوم؟
با کدهای پشتیبانی که قبلاً ذخیره کرده‌اید، با یک دستگاه دوم ثبت‌شده یا با یک کلید امنیتی یدکی. آماده کردن این موارد هنگام راه‌اندازی مهم‌ترین کار است.
آیا برنامه احراز هویت و پیامک می‌توانند همزمان فعال باشند؟
در بیشتر سرویس‌ها بله. اما تا زمانی که گزینه پیامک فعال باشد، مهاجمان ممکن است از آن مسیر استفاده کنند؛ بنابراین اگر می‌توانید، پیامک را فقط به‌عنوان آخرین راه نگه دارید.