احراز هویت دومرحله‌ای دقیقاً چه کاری می‌کند
اگر فقط رمز عبور داشته باشید، همه‌چیز به یک نقطه بسته است. اگر حدس زده شود، در سایتی که بعدها دچار نشت اطلاعات می‌شود تکرار شده باشد یا در یک صفحه ورود جعلی و قانع‌کننده تایپ شود، هر کسی که آن را در دست دارد می‌تواند به‌جای شما وارد شود. احراز هویت دومرحله‌ای که به‌اختصار 2FA نامیده می‌شود، بررسی دومی اضافه می‌کند که ربطی به چیزی که می‌دانید ندارد: چیزی که دارید، مانند گوشی یا کلید فیزیکی، یا چیزی که هستید، مانند اثر انگشت.
نتیجه این است که رمز عبور سرقت‌شده دیگر کافی نیست. مهاجمی که رمز عبور شما را دارد باز هم به کد برنامه احراز هویت، لمس کلید امنیتی یا تأیید روی دستگاه مورد اعتماد شما نیاز دارد. بسیاری از حمله‌ها به حساب‌های معمولی خودکار و فرصت‌طلبانه‌اند؛ بنابراین این مرحله اضافه شما را از گروه اهداف آسان بیرون می‌برد و تصاحب حساب را بسیار دشوارتر می‌کند.
2FA جای رمز عبور خوب را نمی‌گیرد. بهترین نتیجه وقتی است که روی رمز عبور طولانی و یکتایی که در مدیر رمز عبور نگه می‌دارید سوار شود. این دو نقطه‌ضعف یکدیگر را می‌پوشانند: رمز یکتا آسیب نشت‌های جای دیگر را محدود می‌کند و عامل دوم وقتی رمز عبور به هر حال لو رفته از شما محافظت می‌کند.
انواع اصلی عامل دوم
برنامه‌های احراز هویت از رازی که سرویس هنگام اسکن کد QR با برنامه به اشتراک می‌گذارد، هر بار کدی کوتاه و تازه می‌سازند؛ معمولاً شش‌رقمی و معمولاً هر سی ثانیه. این برنامه‌ها بدون اینترنت کار می‌کنند، معمولاً رایگان‌اند و بیشتر پلتفرم‌های بزرگ از آن‌ها پشتیبانی می‌کنند؛ همین ویژگی‌ها آن‌ها را برای بیشتر مردم به انتخاب پیش‌فرض معقولی تبدیل می‌کند.
کلیدهای امنیتی سخت‌افزاری دستگاه‌های کوچک USB، NFC یا بلوتوث هستند که هنگام ورود لمس یا وصلشان می‌کنید. گذرکلیدها (passkey) اصل مشابهی دارند اما روی گوشی یا رایانه شما ذخیره می‌شوند و با اثر انگشت، چهره یا پین دستگاه باز می‌شوند. هر دو به نشانی واقعی وب‌سایت گره خورده‌اند و به صفحه فیشینگ شبیه‌سازی‌شده پاسخ نمی‌دهند. به همین دلیل قوی‌ترین گزینه‌های در دسترس کاربران عادی‌اند.
اعلان‌های تأیید از شما می‌خواهند ورود را روی دستگاهی که قبلاً وارد شده تأیید کنید. کدهای پیامکی و صوتی یک کد یک‌بارمصرف به شماره تلفن شما می‌فرستند. کدهای پشتیبان فهرستی از کدهای یک‌بارمصرف‌اند که برای مواقع اضطراری، وقتی روش همیشگی در دسترس نیست، در نظر گرفته شده‌اند. بیشتر سرویس‌ها اجازه می‌دهند بیش از یک روش فعال کنید و شما هم باید همین کار را بکنید: یک روش اصلی و دست‌کم یک روش جایگزین.
چرا کدهای پیامکی ضعیف‌ترین گزینه‌اند
کدهای پیامکی خیلی بهتر از نداشتن عامل دوم‌اند، اما به شماره تلفن شما وابسته‌اند و شماره تلفن شما کاملاً در کنترل شما نیست. در سیم‌سوآپ، مجرم یکی از کارکنان اپراتور موبایل را قانع یا رشوه می‌کند تا شماره شما را به سیم‌کارتی که خودش دارد منتقل کند. از آن لحظه هر کدی که برای شما فرستاده می‌شود به گوشی او می‌رسد.
کدهای پیامکی هم مثل رمز عبور در معرض فیشینگ‌اند: صفحه ورود جعلی کد را می‌خواهد و مهاجم آن را ظرف چند ثانیه به سایت واقعی می‌رساند. دسترسی را به شیوه‌های عادی‌تر هم می‌توان از دست داد؛ مثلاً وقتی بدون رومینگ سفر می‌کنید، اپراتور عوض می‌کنید یا شماره اعتباری شما منقضی می‌شود و بعدها به شخص دیگری واگذار می‌شود.
اگر سرویسی برنامه احراز هویت، کلید امنیتی یا گذرکلید ارائه می‌دهد، به یکی از آن‌ها بروید و پیامک را فقط به‌عنوان روش جایگزین نگه دارید یا اگر سرویس اجازه می‌دهد کاملاً حذفش کنید. اگر پیامک تنها گزینه است، از خود شماره محافظت کنید: بسیاری از اپراتورها اجازه می‌دهند برای حساب پین یا قفل انتقال بگذارید که جابه‌جایی غیرمجاز شماره را دشوارتر می‌کند.
احراز هویت دومرحله‌ای را درست راه بیندازید
از حساب‌هایی شروع کنید که قفل همه‌چیز دیگر را باز می‌کنند. اول ایمیل اصلی شما، چون پیوندهای بازنشانی رمز عبور را دریافت می‌کند، بعد حساب Apple، Google یا Microsoft، مدیر رمز عبور و هر حسابی که پول یا داده باارزش دارد. وقتی این‌ها محافظت شدند، سراغ شبکه‌های اجتماعی، پیام‌رسان‌هایی مانند Telegram و Discord و بقیه بروید.
این گزینه معمولاً در تنظیمات امنیتی حساب و با نامی مثل تأیید دومرحله‌ای، احراز هویت دومرحله‌ای یا تأیید ورود قرار دارد. گزینه برنامه احراز هویت یا کلید امنیتی را انتخاب کنید، کد QR را با برنامه اسکن کنید و کدی را که نشان می‌دهد وارد کنید تا مطمئن شوید همه‌چیز کار می‌کند. اگر سرویس از گذرکلید پشتیبانی می‌کند، افزودن آن روی گوشی و رایانه روش ورودی به شما می‌دهد که هم راحت است و هم در برابر فیشینگ مقاوم.
پیش از بستن صفحه تنظیمات، کدهای پشتیبان را ذخیره کنید، اگر ممکن است روش دومی اضافه کنید و بررسی کنید ایمیل و شماره تلفن بازیابی به‌روز و متعلق به خودتان باشد. بعد یک بار خارج و دوباره وارد شوید تا پیش از آنکه واقعاً به آن نیاز پیدا کنید، بدانید درخواست تأیید چه شکلی است.
کدهای پشتیبان: بخشی که بیشتر مردم از آن می‌گذرند
کدهای پشتیبان راه بازگشت شما هستند وقتی گوشی گم، خراب یا بازنشانی شده است. هر کد فقط یک بار کار می‌کند و در بسیاری از سرویس‌ها ساخت مجموعه تازه، مجموعه قبلی را باطل می‌کند. با آن‌ها مثل کلید یدک خانه رفتار کنید: وقتی لازمشان دارید ضروری‌اند، اگر پیدایشان نکنید بی‌فایده‌اند و اگر غریبه‌ای به آن‌ها برسد خطرناک.
جاهای خوب نگهداری آن‌ها شامل نسخه چاپی نزد مدارک مهم یا یادداشت رمزگذاری‌شده در مدیر رمز عبور است که بدون گوشی حاوی برنامه احراز هویت هم بتوانید بازش کنید. جاهای بد شامل صندوق ایمیل، برنامه یادداشت بدون قفل، اسکرین‌شات در گالری تصاویر یا فایلی روی همان دستگاهی است که کدهای شما را می‌سازد؛ چون با از دست رفتن همان یک دستگاه کاملاً بیرون می‌مانید.
هر کد را پس از مصرف خط بزنید و وقتی کم آمد مجموعه تازه بسازید. اگر گمان می‌کنید کسی کدهای شما را دیده، بی‌درنگ آن‌ها را دوباره بسازید تا فهرست قبلی از کار بیفتد.
ایمن کردن حسابی که تازه دریافت کرده‌اید
اگر حسابی را از دیگری گرفته‌اید، چه همکاری که حساب یک پروژه را تحویل می‌دهد چه خریدی در بازار کالاهای دیجیتال، فرض کنید دارنده قبلی ممکن است هنوز دسترسی داشته باشد. هدف این است که فقط شما بتوانید وارد شوید. همیشه حساب را مطابق شرایط استفاده برند به کار ببرید.
به این ترتیب پیش بروید: رمز عبور را به رمز یکتای تازه‌ای تغییر دهید، ایمیل و تلفن بازیابی را به مواردی که کنترلشان با شماست عوض کنید، هر برنامه احراز هویت، کلید امنیتی یا دستگاه مورد اعتمادی را که خودتان اضافه نکرده‌اید حذف کنید، سپس 2FA را با برنامه خودتان روشن کنید و کدهای پشتیبان تازه بسازید. در پایان نشست‌های فعال را مرور کنید و از همه دستگاه‌ها جز دستگاه خودتان خارج شوید.
در rStock محتوای تحویل‌شده به‌صورت گزارش تحویل مرتبط با سفارش در صفحه سفارش شما نمایش داده می‌شود؛ پس می‌توانید جزئیات را از همان‌جا مستقیم به مدیر رمز عبورتان کپی کنید. پول شما نگه داشته می‌شود و در همان لحظه به دست فروشگاه نمی‌رسد، و اگر حساب تحویل‌شده آن‌طور که در آگهی آمده کار نکرد می‌توانید در مهلتی محدود پس از تحویل اختلاف باز کنید. فروشگاه ابتدا پاسخ می‌دهد و اگر توافق نشد می‌توان ناظر را فراخواند. ایمن‌سازی و بررسی به‌موقع حساب کمک می‌کند تا مشکل را وقتی که هنوز مهلت باقی است متوجه شوید. rStock با هیچ برندی که در این مقاله نام برده شده وابستگی ندارد.
اشتباه‌های رایجی که باید از آن‌ها دوری کنید
تأیید کردن اعلانی که خودتان شروع نکرده‌اید راه شناخته‌شده‌ای برای شکست 2FA است. اگر درخواستی آمد در حالی که وارد نمی‌شوید، آن را رد کنید و رمز عبور را عوض کنید، چون کسی از قبل آن را دارد. همین در مورد هر کسی که زنگ می‌زند یا می‌نویسد و از شما می‌خواهد کدی را بخوانید صدق می‌کند: سرویس‌های مشروع نیازی ندارند که شما کد یک‌بارمصرف را با کسی در میان بگذارید.
اشتباه دیگر این است که حساب را با 2FA محافظت کنید ولی یک راه بازیابی قدیمی و ضعیف را باز بگذارید؛ مثلاً نشانی ایمیل رهاشده یا شماره‌ای که دیگر استفاده نمی‌کنید. مهاجم‌ها اگر در ضعیف‌تری باز باشد، قوی‌ترین در را دور می‌زنند؛ پس هر وقت گوشی یا ارائه‌دهنده ایمیل را عوض کردید، گزینه‌های بازیابی را مرور کنید.
و در آخر، صبر نکنید تا گوشی جدید برسد و بعد به فکر انتقال باشید. پیش از تعویض یا بازنشانی دستگاه، کدهای برنامه احراز هویت را منتقل کنید، مطمئن شوید روی دستگاه جدید کار می‌کنند و فقط بعد دستگاه قدیمی را پاک کنید. چند دقیقه آمادگی می‌تواند ساعت‌ها بازیابی حساب را کم کند.