تایید دو مرحله‌ای چیست چه اپلیکیشن‌هایی در این زمینه بهترین هستند؟

عصر احراز هویت از طریق اثر انگشت و اسکن چهره تقریباً فرا رسیده است. اما در روزگاری که Face ID اپل و Hello ویندوز ۱۰ را داریم، هنوز گذرواژه‌ها در وارد شدن به اکثر حساب‌ّهای کاربری ما نقش کلیدی دارند. به همین خاطر تایید دو مرحله‌ای (۲FA) هنوز خیلی مهم است.

تایید دو مرحله‌ای چیست؟

گویا آی تی: تایید دو یا چند مرحله‌ای یک کد اضافه برای حساب کاربری شماست، خط دفاعی ثانویه‌ای که از اطلاعات حساس‌تان محافظت می‌کند. به روش‌های مختلفی می‌توان از این کدهای کوتاه استفاده کرد. در این مطلب می‌خواهیم نگاهی به محبوب‌ترین روش‌های استفاده از تایید دو مرحله‌ای بیندازیم. اما قبل از آن، ابتدا بگذارید به طور اجمالی ببینیم تایید دو مرحله‌ای واقعاً چیست.

 

ایده‌ی اصلی این روش این است که گذرواژه به تنهایی برای محافظت کردن از اطلاعات مهم‌تان کافی نیست. اگر گذرواژه‌ی شما حدس زده شود، یا هکرها پایگاه داده‌هایی که رمزنگاری ندارند را سرقت کنند، حساب شما بی‌دفاع باقی می‌ماند. تایید دو مرحله‌ای آمده تا با استفاده از یک کد ثانویه – که معمولاً طول آن شش نویسه است و توسط تلفن همراه شما تولید می‌شود – از این مشکل جلوگیری کند. در این صورت حتی اگر هکرها گذرواژه‌ی شما را بدانند، هنوز برای وارد شدن به حساب کاربری‌تان به یک کد ثانویه نیاز خواهند داشت.

 

با این حال، ۲FA هم بی‌نقص نیست. اگر کدهای ۲FA را از طریق پیامک دریافت می‌کنید، محققان شرکت Positive Technologies نشان داده‌اند که امکان دزدیدن این کد توسط هکرها وجود دارد. به همین خاطر بهتر است از یک راهکار نرم‌افزاری یا سخت‌افزاری استفاده کنید و کد را برای دستگاه شخصی‌تان بفرستید.

 

همه‌ی سرویس‌هایی که از روش تایید دو مرحله‌ای پشتیبانی می‌کنند با اپلیکیشن‌های زیر سازگاری دارند، به استثنای Steam که کد ۲FA خود را فقط برای اپلیکیشن مخصوص خودش می‌فرستد.

 

Google Authenticator: ساده‌ترین روش

 

 

یکی از رایج‌ترین روش‌های استفاده از تایید دو مرحله‌ای Google Authenticator است. این اپلیکیشن رایگان توسط گوگل طراحی شده و برای هر دو سیستم عامل اندروید و iOS در دسترس می‌باشد.

 

استفاده از این برنامه خیلی ساده است و برای افراد مبتدی توصیه می‌شود. تنها کاری که باید بکنید این است که قابلیت تایید دو مرحله‌ای را روی سرویس مورد نظر خود، مثلاً فیسبوک، جیمیل، دراپ باکس یا غیره، فعال کنید. سپس آن سرویس از شما می‌خواهد که با اپلیکیشن مذکور از یک کد QR عکس بگیرید. کاربران اندروید برای استفاده از Google Authenticator باید یک اپلیکیشن اسکن کد QR هم داشته باشند.

 

زمانی که کد QR خوانده شد، Google Authenticator شروع به ساختن کد می‌کند و سرویس مذکور از شما می‌خواهد تا با وارد کردن کد تایید کنید که ۲FA درست کار می‌کند. می‌توانید از اپلیکیشن Google Authenticator برای هر سرویسی که از ۲FA پشتیبانی می‌کند استفاده کنید.

 

LastPass Authenticator: کمی پیشرفته

 

 

اپلیکیشن رایگان احراز هویت LastPass از قابلیتی موسوم به نوتیفیکیشن یک بار لمس استفاده می‌کند که می‌گذارد به جای وارد کردن کد با یک کلیک ساده از روی کامپیوتر وارد سایت‌های انتخابی خود شوید. LastPass با انتشار ویدیویی در یوتیوب نحوه‌ی عملکرد این قابلیت را نشان داده است.

 

ورودهای یک بار لمس با خود LastPass و همچنین با پنج سایت شخص ثالث از جمله آمازون (به جز دامنه‌ی AWS)، گوگل، دراپ‌باکس، فیسبوک و Evernote کار می‌کند. برای استفاده از قابلیت یک بار لمس باید افزونه‌ی LastPass را روی مرورگر خود نصب کرده باشید. یعنی حداقل باید یک حساب کاربری رایگان LastPass داشته باشید. این ورودهای یک بار لمس روی هر مرورگر فرق می‌کند، یعنی مثلاً اگر با یک بار لمس وارد کروم شدید، برای استفاده از مایکروسافت اج دوباره باید وارد شوید.

 

ممکن است به نظرتان عجیب بیاید، اما با ما همراه باشید تا با هم ببینیم در پشت صحنه‌ی ورودهای یک بار لمس چه اتفاقی می‌افتد. وقتی کاربر وارد سایتی می‌شود که با این قابلیت سازگاری دارد، افزونه‌ی مرورگر LastPass برای موبایل کاربر یک نوتیفیکیشن می‌فرستد و اعلام می‌کند که کسی قصد دارد وارد حساب شما شود. کاربر Allow را از روی موبایل خود لمس می‌کند، و برای افزونه‌ای که شامل کد ۲FA است یک پیام تایید فرستاده می‌شود. افزونه این اطلاعات را دریافت می‌کند، آن را در اختیار سایت قرار می‌دهد و کاربر وارد حسابش می‌شود.

 

LastPass Authenticator با چندین سایت که تحت مالکیت شرکت والد این مدیر گذرواژه یعنی LogMeln است سازگاری دارد و سیستم ورود یک بار لمس مشابهی را برای آن‌ها ارائه می‌کند. این سایت‌ها شامل LastPass، LogMeln Pro/Central، GotoAssist، LogMeln Rescue و Xively می‌باشند.

 

Microsoft Authenticator

 

 

مایکروسافت هم یک اپلیکیشن احراز هویت رایگان برای اندروید، iOS و ویندوز ۱۰ موبایل دارد. این برنامه مثل سایر برنامه‌ها با اسکن کد QR روی سایت‌هایی مثل فیسبوک و دراپ‌باکس کار می‌کند. اما برنامه‌ی مذکور برای حساب‌ّهای شخصی مایکروسافت از سیستمی مشابه نوتیفیکیشن یک بار لمس LastPass استفاده می‌نماید.

 

از این قابلیت می‌توان برای وارد شدن به حساب کاربری بر روی هر دستگاهی استفاده کرد. تنها کاری که باید بکنید این است که مثل وارد کردن همان کد کوتاه ورودهای خود را تایید نمایید. این کار از نظر صرفه‌جویی در زمان خیلی تفاوتی ندارد، ولی نسبتاً راحت‌تر است.

 

Authy: بهترین راهکار چند دستگاهی

 

 

اگر از ۲FA استفاده کرده باشید می‌دانید که یکی از ایرادات آن این است که اگر موبایل جدید بخرید دوباره باید کدهای احراز هویت خود را فعال کنید.

 

اگر ۱۰ حساب کاربری ۲FA داشته باشید، یعنی دوباره باید ۱۰ کد QR را اسکن کنید. اگر خوره‌ی موبایل هستید و هر چند هفته یک بار دستگاه خود را عوض می‌کنید، این قضیه برای شما خیلی حادتر می‌شود.

 

سرویس رایگان Authy آمده تا با ذخیره کردن همه‌ی توکن‌های دو مرحله‌ای شما – داده‌هایی که در پشت صحنه باعث عملکرد کدهای ۲FA می‌شوند – در فضای ابری سرورهایش خیالتان را از این بابت راحت کند. برای استفاده از این ویژگی ابتدا باید پشتیبان‌های رمزنگاری شده را فعال کنید تا توکن‌ها درون سرورهای Authy ذخیره شود.

 

با این روش وقتی وارد اپلیکیشن Authy می‌شوید، چه بر روی تلفن هوشمند، تبلت، ویندوز یا مک باشید، به همه‌ی کدهایتان دسترسی خواهید داشت. این سرویس حتی برای کاربران کروم هم افزونه‌ی مخصوصی تدارک دیده است.

 

دسترسی چند دستگاهی به کدهای ۲FA فوق العاده است، ولی یک مشکل دارد. Authy می‌گوید پشتیبان‌های شما را بر اساس گذرواژه‌ای که قبل از فعال کردن قابلیت فضای ابری به این سرویس داده‌اید رمزنگاری می‌کند. یعنی تنها راهی که برای رمزگشایی این اطلاعات وجود دارد همین گذرواژه است؛ گذرواژه‌ای که در Authy ذخیره نمی‌شود. پس اگر آن را فراموش کنید، دسترسی شما به حساب‌هایتان قطع می‌شود، چون دیگر کدهای ۲FA را در اختیار ندارید. در آن حالت بازیابی حساب‌های کاربری شما به سیاست‌های سرویس مذکور وابسته خواهد بود.

 

اگر تجربه‌ی زیادی در استفاده از ۲FA ندارید شاید بهتر باشد که از این اپ استفاده نکنید، مگر این که قدم‌های لازم را برای جلوگیری از به وجود آمدن چنین مشکلاتی برداشته باشید؛ مثلاً آن را جایی بنویسید و در محلی امن ذخیره کنید.

 

Yubico Authenticator

 

 

آخرین مورد گزینه‌ی مورد علاقه‌ی من است. Yubico YubiKey یک راهکار ۲FA مبتنی بر سخت‌افزار است. Yubico دستگاه کوچکی به شکل کارت‌های اعتباری است که یک طرف آن به پورت USB وصل می‌شود. معمولاً در این دستگاه برای احراز هویت به جای وارد کردن کد باید یک دکمه را فشار دهید.

 

البته این روش یک بار لمس فقط با اکانت‌هایی مثل گوگل و GitHub که از استاندارد FIDO U2F استفاده می‌کنند کار می‌کند. برای سایر سرویس‌ها می‌توان از توکن‌های معمولی ۲FA و نمایش کد بر روی اپلیکیشن Yubico Authenticator استفاده نمود.

 

به دست آوردن کد ۲FA با استفاده از Yubico Authenticator به این بستگی دارد که از نسخه‌ی کامپیوتر آن استفاده کنید یا نسخه‌ی اندروید. در دسکتاپ، کافی است دستگاه را به پورت USB وصل کنید تا کد کوتاه شما بلافاصله نشان داده شود و امکان افزودن کدهای جدید را داشته باشید. با جدا کردن دستگاه هم کدها فوراً محو می‌شوند. نسخه‌ی دسکتاپ Yubico Authenticator با اکثر مدل‌های YubiKey به جز کلید پایه‌ی FIDO U2F کار می‌کند.

 

در اندروید فقط می‌توانید از YubiKey Neo استفاده کنید، چون این تنها کلیدی است که در حال حاضر از NFC پشتیبانی می‌کند. برای استفاده از Neo کافی است Authenticator را از روی موبایل باز کرده و کلید مورد نظر را به چیپ NFC نزدیک کنید تا کد نشان داده شود.

 

درست مثل Authy، زیبایی YubiKey هم در این است که به راحتی به شما اجازه می‌دهد تا کدهای احراز هویت خود را از یک دستگاه به دستگاه دیگر خود منتقل کنید. اما ایرادش این است که اگر YubiKey شما شکسته شود یا آن را گم کنید، باید متد تایید دو مرحله‌ای خود را تغییر دهید.

 

تایید دو مرحله‌ای حتی الامکان برای حفاظت از اطلاعات حساب‌های حساس شما قدم مهمی محسوب می‌شود. شاید در ابتدا فکر کنید که این کار کمی سخت است، ولی این هزینه‌ای است که برای حفظ امنیت حساب‌ّهای آنلاین خود باید بپردازید.

نظر شما در این رابطه چیست؟ دیدگاه های خود را با ما در میان بگذارید و این مطلب را در شبکه های اجتماعی به اشتراک بگذارید.

منبع