احراز هویت دو مرحله‌ای (2FA) با درخواست دو چیز متفاوت هنگام ورود از حساب شما محافظت می‌کند: چیزی که می‌دانید، مثل رمز عبور، و چیزی که دارید، مثل یک کد شش‌رقمی از برنامه احراز هویت (Authenticator) روی گوشی‌تان. حتی اگر کسی رمز شما را بدزدد، بدون عامل دوم نمی‌تواند وارد شود.
این یکی از مؤثرترین اقدامات امنیتی است که یک فرد عادی می‌تواند انجام دهد و راه‌اندازی آن معمولاً فقط چند دقیقه طول می‌کشد. این راهنما توضیح می‌دهد 2FA چطور کار می‌کند، کدام روش‌ها را انتخاب کنید و چطور از قفل شدن خودتان جلوگیری کنید.
چرا رمز عبور به تنهایی کافی نیست؟
رمزهای عبور به روش‌های زیادی لو می‌روند. مردم یک رمز را در چند سایت تکرار می‌کنند، سایت‌ها هک می‌شوند و صفحات فیشینگ افراد را فریب می‌دهند تا اطلاعات ورودشان را در یک فرم جعلی تایپ کنند. وقتی رمزی لو رفت، هر کسی می‌تواند آن را روی ایمیل، شبکه‌های اجتماعی یا حساب فروشگاه آنلاین شما امتحان کند.
2FA یک قفل دوم اضافه می‌کند. رمز دزدیده‌شده به تنهایی دیگر کافی نیست، چون مهاجم به کد دستگاه شما هم نیاز دارد. این کار بسیاری از تصاحب‌های رایج حساب را خیلی سخت‌تر می‌کند، به‌خصوص آن‌هایی که به رمزهای تکراری یا لورفته متکی‌اند.
انواع اصلی عامل دوم
همه عامل‌های دوم به یک اندازه قوی نیستند. رایج‌ترین گزینه‌ها:
- برنامه‌های احراز هویت. برنامه‌هایی مثل Google Authenticator، Microsoft Authenticator و دیگر برنامه‌های سازگار، هر ۳۰ ثانیه یک کد شش‌رقمی جدید می‌سازند. کدها روی گوشی شما ساخته می‌شوند، پس از طریق شبکه مخابراتی جابه‌جا نمی‌شوند.
- کدهای پیامکی. کد با پیامک فرستاده می‌شود. خیلی بهتر از نداشتن 2FA است، اما پیامک‌ها ممکن است رهگیری یا تغییر مسیر داده شوند؛ برای مثال از طریق کلاهبرداری تعویض سیم‌کارت (SIM swap)، که در آن مجرم اپراتور را قانع می‌کند شماره شما را به سیم‌کارت او منتقل کند.
- اعلان‌های پوش. برخی سرویس‌ها اعلانی به یک برنامه روی گوشی شما می‌فرستند و می‌پرسند «آیا این شما هستید؟». راحت است، اما هرگز اعلانی را که انتظارش را نداشتید تأیید نکنید.
- کلیدهای امنیتی و پس‌کی‌ها (Passkey). کلیدهای فیزیکی یا پس‌کی‌های ذخیره‌شده روی دستگاه از قوی‌ترین گزینه‌ها هستند، چون برای مقاومت در برابر فیشینگ طراحی شده‌اند. پشتیبانی از آن‌ها در سرویس‌های مختلف متفاوت است.
برای بیشتر مردم، برنامه احراز هویت انتخابی قوی و کاربردی است. اگر سرویسی فقط پیامک ارائه می‌دهد، باز هم آن را فعال کنید. همچنان پیشرفت بزرگی نسبت به فقط رمز عبور است.
برنامه‌های احراز هویت چگونه کار می‌کنند؟
وقتی 2FA را با برنامه احراز هویت فعال می‌کنید، سایت یک کیو آر کد به شما نشان می‌دهد. آن کیو آر کد یک کلید مخفی در خود دارد. یک بار آن را با برنامه احراز هویت اسکن می‌کنید و از آن به بعد، برنامه و سایت هر دو با استفاده از آن رمز مشترک و زمان فعلی، همان کد شش‌رقمی را محاسبه می‌کنند.
چون کد هر ۳۰ ثانیه عوض می‌شود، کدی که کسی از پشت سرتان ببیند کمی بعد بی‌فایده است. و چون کدها روی گوشی شما محاسبه می‌شوند، برنامه حتی بدون اتصال به اینترنت هم کار می‌کند.
یک نکته مهم: کیو آر کد راه‌اندازی حساس است. هر کسی آن را اسکن کند می‌تواند کدهای شما را بسازد. از آن اسکرین‌شات نگیرید، آن را با کسی به اشتراک نگذارید و روی صفحه‌ای که دیگران می‌بینند رهایش نکنید.
راه‌اندازی 2FA قدم به قدم
منوها در سرویس‌های مختلف فرق دارند، اما روند معمولاً یکسان است:
- یک برنامه احراز هویت روی گوشی‌تان نصب کنید.
- وارد حسابی که می‌خواهید از آن محافظت کنید شوید و تنظیمات امنیتی آن را باز کنید.
- دنبال «احراز هویت دو مرحله‌ای»، «تأیید دو مرحله‌ای» یا «ورود دو مرحله‌ای» بگردید و گزینه برنامه احراز هویت را انتخاب کنید.
- کیو آر کدی را که روی صفحه نمایش داده می‌شود با برنامه احراز هویت اسکن کنید.
- کد شش‌رقمی برنامه را وارد کنید تا مطمئن شوید کار می‌کند.
- کدهای پشتیبانی را که سرویس به شما می‌دهد ذخیره کنید (بخش بعد را ببینید).
- از حساب خارج شوید و دوباره وارد شوید تا مطمئن شوید همه چیز کار می‌کند.
از حساب‌هایی شروع کنید که بیشترین اهمیت را دارند: ایمیل اصلی (چون می‌تواند رمزهای دیگر را بازنشانی کند)، بانکداری، شبکه‌های اجتماعی، فضای ابری و هر حسابی که اطلاعات پرداخت در آن ذخیره است. در QR-TH می‌توانید از تنظیمات حساب، ورود دو مرحله‌ای با برنامه احراز هویت را فعال کنید تا کیو آر کدها و لینک‌های کوتاه شما توسط کس دیگری تغییر داده نشوند.
کدهای پشتیبان: راه بازگشت شما
رایج‌ترین مشکل 2FA هک شدن نیست؛ گم کردن گوشی است. اگر گوشی‌تان گم، دزدیده، خراب یا عوض شود، به راه دیگری برای ورود نیاز دارید.
کدهای پشتیبان برای همین‌اند. بیشتر سرویس‌ها هنگام فعال‌سازی 2FA فهرستی از کدهای یک‌بارمصرف به شما می‌دهند. هر کد را می‌توان یک بار به جای کد برنامه استفاده کرد.
آن‌ها را امن نگه دارید:
- آن‌ها را چاپ کنید و کاغذ را جایی امن در خانه نگه دارید، یا
- آن‌ها را در یک برنامه مدیریت رمز عبور معتبر ذخیره کنید، و
- آن‌ها را فقط روی همان گوشی‌ای که برنامه احراز هویت روی آن است نگه ندارید.
هر کد پشتیبان فقط یک بار کار می‌کند. وقتی یکی را استفاده کردید، آن را خط بزنید. اگر کدهایتان رو به اتمام است، بیشتر سرویس‌ها اجازه می‌دهند مجموعه تازه‌ای بسازید که کدهای قدیمی را باطل می‌کند.
تعویض گوشی بدون قفل شدن
قبل از اینکه گوشی قدیمی را ریست کنید، بفروشید یا معاوضه کنید، کدهای احراز هویت را به گوشی جدید منتقل کنید. برخی برنامه‌های احراز هویت قابلیت انتقال یا پشتیبان‌گیری ابری دارند؛ برخی دیگر لازم دارند 2FA را برای هر حساب از نو راه‌اندازی کنید.
یک روش امن:
- گوشی قدیمی را تا وقتی همه حساب‌ها روی گوشی جدید تأیید نشده‌اند، سالم نگه دارید.
- برای حساب‌هایی که قابل انتقال نیستند، وارد شوید، 2FA را خاموش و دوباره روشن کنید و کیو آر کد جدید را با گوشی جدید اسکن کنید.
- قبل از پاک کردن دستگاه قدیمی، هر حساب را امتحان کنید.
اشتباهات رایج در 2FA
- به اشتراک گذاشتن کدها. هیچ بانک، فروشگاه یا تیم پشتیبانی واقعی از شما نمی‌خواهد کد 2FA را بخوانید. هر کسی چنین درخواستی کند به احتمال زیاد کلاهبردار است.
- تأیید اعلان‌های غیرمنتظره. اگر درخواست ورودی دریافت کردید که خودتان شروع نکرده‌اید، آن را رد کنید و رمزتان را عوض کنید.
- وارد کردن کد در صفحاتی که از لینک داخل پیام به آن رسیده‌اید. سایت‌های فیشینگ هم می‌توانند کد شما را بخواهند. به جای آن مستقیم به سایت بروید.
- نادیده گرفتن کدهای پشتیبان. ذخیره آن‌ها یک دقیقه وقت می‌گیرد و می‌تواند شما را از روزها دردسر بازیابی حساب نجات دهد.
برای محافظت روزمره بیشتر، نکات امنیت موبایل ما را بخوانید و یاد بگیرید چطور کلاهبرداری‌های کیو آر کد را که برای دزدیدن اطلاعات ورود طراحی شده‌اند تشخیص دهید.
سوالات متداول
آیا احراز هویت دو مرحله‌ای واقعاً لازم است؟
برای حساب‌های مهمی مثل ایمیل، بانکداری و شبکه‌های اجتماعی، بله. جلوی بسیاری از حملاتی را می‌گیرد که به رمزهای دزدیده‌شده یا تکراری متکی‌اند.
آیا برنامه احراز هویت از پیامک امن‌تر است؟
به طور کلی بله. کدهای برنامه احراز هویت روی گوشی شما ساخته می‌شوند، در حالی که کدهای پیامکی ممکن است رهگیری یا از طریق کلاهبرداری تعویض سیم‌کارت تغییر مسیر داده شوند. با این حال پیامک هنوز بهتر از نداشتن 2FA است.
اگر گوشی‌ام را گم کنم چه می‌شود؟
با یکی از کدهای پشتیبان ذخیره‌شده وارد شوید، سپس 2FA را روی گوشی جدید دوباره راه‌اندازی کنید. بدون کدهای پشتیبان، باید از روند بازیابی حساب آن سرویس استفاده کنید.
اگر کسی کد 2FA من را داشته باشد می‌تواند حسابم را هک کند؟
هر کد فقط مدت کوتاهی معتبر است، اما کلاهبرداری که شما را فریب دهد تا کد را همان لحظه به او بدهید می‌تواند از آن استفاده کند. هرگز کدهایتان را با کسی به اشتراک نگذارید.
احراز هویت دو مرحله‌ای چند دقیقه وقت می‌گیرد و نفوذ به حساب‌هایتان را بسیار سخت‌تر می‌کند. همین امروز آن را برای ایمیل و بانکداری فعال کنید، سپس از حساب QR-TH خود هم با ورود دو مرحله‌ای محافظت کنید. می‌توانید اطلاعات بیشتر را در سوالات متداول بخوانید.