راهنمای کامل احراز هویت دومرحله‌ای؛ از پیامک تا کلید امنیتی
احراز هویت دومرحله‌ای چگونه کار می‌کند، کدام روش‌ها امن‌ترند و چطور بدون قفل‌شدن بیرون حساب‌های‌تان، لایهٔ دوم ورود را درست راه بیندازید؛ راهنمای عملی برای همهٔ حساب‌ها.
رمز عبور، چیزی است که «می‌دانید»؛ اما می‌تواند لو برود، حدس زده شود یا دزدیده شود. احراز هویت دومرحله‌ای (2FA) با افزودن یک چیز دیگر به ورود، این ضعف را جبران می‌کند: چیزی که «دارید» (گوشی یا کلید فیزیکی) یا چیزی که «هستید» (اثر انگشت و چهره). نتیجه عملی این است که حتی با لو رفتن رمز، نفوذگر بدون آن مدرک دوم وارد حساب شما نمی‌شود و بخش بزرگی از هک حساب‌ها همین‌جا خنثی میشود.
در این راهنمای تکمیلی، مفهوم سادهٔ احراز هویت دومرحله‌ای را عملی می‌کنیم: روش‌ها را از نظر امنیت مقایسه می‌کنیم، فعال‌سازی حساب‌های اصلی را مرور می‌کنیم و از اشتباه‌هایی می‌گوییم که کاربر را از حسابش بیرون می‌کند. اگر هنوز رمزهای قوی ندارید، اول از رمزهای عبور قوی و مدیر رمز عبور شروع کنید.
سه خانوادهٔ روش دومرحله‌ای
همهٔ روش‌های لایهٔ دوم یکسان ساخته نشده‌اند؛ امنیت‌شان به سختی جعل‌شدن‌شان بستگی دارد:
- پیامک (SMS): رایج اما ضعیف‌ترین حلقه؛ در برابر برداشت سیمکارت و فریب کاربر برای خواندن کد، مقاومت کمی دارد. بهتر از هیچ است، اما هدف نهایی نیست.
- اپ تولید کد (TOTP): برنامه‌هایی مثل Google Authenticator یا Aegis هر سی ثانیه یک کد تازه می‌سازند؛ بدون اینترنت و بدون اپراتور کار می‌کنند و جعل‌شان سخت است. تعادلِ خوبِ امنیت و سهولت.
- کلید امنیتی و پاسکی (FIDO2/Passkey): قوی‌ترین روش؛ مدرک دوم روی دستگاه شما امضا میشود و به سمت سایت فرستاده نمی‌شود که کسی بتواند بدزددش. در برابر فیشینگ هم تقریباً مصون است.
قدم‌به‌قدم برای حساب‌های اصلی
ترتیب اهمیت، از حسابی شروع میشود که بازیابی بقیه از طریق آن است:
- ایمیل اصلی: هر حملهای به آن، کل قلعه را می‌گیرد؛ پس ایمیل باید اولین حسابی باشد که لایهٔ دوم می‌گیرد.
- شبکه‌های اجتماعی و پیام‌رسان‌ها: حساب‌های هک‌شده ابزار فیشینگ آشنایان‌اند؛ فعال‌سازی روی جیمیل و تلگرام نمونهٔ آموزش قدم‌به‌قدم دارد.
- حساب‌های مالی: بانک، کیف پول و درگاه پرداخت؛ اگر بانک‌تان فقط پیامک دارد، حداقل سیمکارت را با رمز پین قفل کنید تا برداشتش ساده نباشد.
از خودتان بیرون نمانید
لایهٔ دوم دقیقاً همان‌جایی که نفوذگر را می‌بندد، می‌تواند شما را هم قفل کند؛ این‌ها چتر نجات شماست:
- کدهای پشتیبان را موقع فعال‌سازی ذخیره کنید: بیشتر سرویس‌ها ۸ تا ۱۰ کد یک‌بارمصرف می‌دهند؛ آن‌ها را چاپ یا در گاوصندوق مدیر رمز عبور بگذارید.
- شمارهٔ بازیابی را از دست ندهید: مالکیت شمارهٔ بازیابی را حفظ کنید و بعد از تعویض سیمکارت، آن را در همهٔ سرویس‌ها به‌روزش کنید.
- منتقل‌کردن اپ تولید کد: موقع تعویض گوشی، اول سرویس‌ها را منتقل کنید و بعد گوشی قدیمی را ریست کنید؛ عجله در همین مرحله، رایج‌ترین دلیل قفل‌شدن است.
جعلی‌ترین دام‌های دومرحله‌ای
کلاهبردارها همیشه یک قدم جلوتر راه تازه‌ای می‌سازند:
- درخواست کد از شما: هیچ پشتیبانی واقعی، کد تأیید شما را نمی‌خواهد. اگر کد رسید که خودتان درخواست نکرده‌اید، یعنی کسی رمز شما را دارد و فقط به مدرک دوم نیاز دارد؛ رمز را عوض کنید.
- صفحهٔ ورود قلابی: کد را فقط روی صفحه‌ای وارد کنید که خودتان از bookmark یا اپ رسمی باز کرده‌اید، نه از لینکی که در پیام رسیده.
- فشار زمانی: کدها معمولاً ۳۰ ثانیه اعتبار دارند؛ این فشار، فرصت فکر‌کردن را می‌گیرد. یک نفس عمیق بگیرید، مسیر رسمی را باز کنید و بعد وارد شوید.
سؤالات پرتکرار
پیامک را کامل کنار بگذارم؟
اگر سرویستان اپ تولید کد یا پاسکی دارد، بله؛ همان را انتخاب کنید. اما اگر تنها گزینهٔ یک سرویس مهم، پیامک است، فعالکردنش هنوز بهمراتب بهتر از نبودِ لایهٔ دوم است. برای کاهش ریسک پیامک، سیمکارت را با رمز پین قفل کنید و به تماسهای درخواست «خواندن کد» حساس باشید.
پاسکی (Passkey) با کد اپ چه فرقی دارد؟
کد اپ، عددی است که شما وارد سایت میکنید و در سایتهای قلابی هم میتوانید فریب بخورید و آن را وارد کنید. پاسکی امضای رمزنگاریشدهای است که فقط برای دامنهٔ واقعی ساخته میشود؛ صفحهٔ تقلبی اصلاً نمیتواند آن را از شما بگیرد. به همین دلیل پاسکی هم راحتتر است (نه حفظکردن رمز، نه تایپ کد) و هم در برابر فیشینگ مقاوم‌تر.
اگر گوشی‌ام گم شد چه میشود؟
اگر کدهای پشتیبان را ذخیره کرده باشید، از دستگاه دیگری با همان کدها وارد شوید و روش‌ها را بازسازی کنید. اگر ذخیره نکرده‌اید، مسیر بازیابی هر سرویس (ایمیل پشتیبان، شمارهٔ بازیابی) راه شماست؛ به همین دلیل موقع فعال‌سازی، همیشه راه بازیابی را هم تنظیم کنید. برای ایمیل اصلی، پاسکی روی دستگاه پشتیبان، محکم‌ترین چتر نجات است.
این مطلب برایتان مفید بود؟
با پسندیدن، به ما کمک میکنید مطالب بهتری منتشر کنیم.
