امنیت به زبان ساده: احراز هویت دو مرحله ای چیست و چطور کار می کند؟

درحالی که چشم‌انداز تهدیدات امنیتی خطرناک‌تر از همیشه شده است،‌ اکنون زمانش رسیده که از تکنیک‌های سرراست اما پیچیده برای محافظت از خودتان و حریم شخصی‌تان استفاده کنید.

تهدیدات امنیتی نه‌تنها اشخاص حقیقی، بلکه کسب‌وکارها را نیز بیشتر از همیشه به خطر می‌اندازند. در ماه آپریل ۲۰۲۰ گزارش شد که در بازه یک سال قبلی، ۱۶.۵ میلیون نفر از شهروندان بریتانیا قربانی جرایم سایبری و کسب‌وکارها ضرری ۱.۴ میلیارد پوندی متحمل شدند. خطر جرایم سایبری نه‌تنها کاهش نمی‌یابد، بلکه روز به روز بیشتر می‌شود و اکنون هکرها دارند از اجبار کسب‌وکارها به دورکاری به خاطر پاندمی کووید-۱۹، نهایت استفاده را می‌برند.

به همین خاطر، باید با تمام تدابیر امنیتی ممکن از خودتان یا کسب‌وکارتان مراقبت کنید، حتی اگر هزینه‌ای کلان روی دست‌تان گذاشته شود. هرچه نباشد هزینه‌های منفعل بودن به مراتب بیشتر خواهد بود. یکی از ساده‌ترین و موثرترین راه‌ها برای محافظت از کسب‌وکارها، پیاده‌سازی احراز هویت دو مرحله‌ای (Two Factor Authentication) است.

پسووردها قرار است از داده شما و هویت شما در برابر هکرها محافظت کنند، اما در سال‌های اخیر بسیاری از کاربران عادت به استفاده دوباره و دوباره از پسووردهای یکسان روی اکانت‌های مختلف کرده‌اند و به این ترتیب، با لو رفتن پسوورد یک اکانت، تمام اکانت‌های دیگرتان نیز به خطر می‌افتند. برای مثال در ماه نوامبر ۲۰۲۰، هکرها توانستند با استفاده از اطلاعات لاگین به دست آمده در رخنه‌های امنیتی پیشین، به ۲۵۰ هزار اکانت اسپاتیفای دسترسی پیدا کنند.

اگرچه این کار قطعا از به یاد سپردن دو پسوورد مختلف آسان‌تر است، اما استفاده از پسووردهای یکسان روی سرویس‌های مختلف -چه موضوع صحبت حساب بانکی باشد، چه ایمیل آدرس و چه اکانت شبکه‌های اجتماعی- باعث می‌شود اشخاص در برابر سوء استفاده‌های احتمالی آسیب‌پذیر باشند. با بهره‌گیری از احراز هویت دو مرحله‌ای، در واقع یک مانع میان خودتان و هر شخص ثالثی که در صدد دسترسی به اکانت‌تان باشد به وجود می‌آورید.

در این بین، احراز هویت دو مرحله‌ای از سوالات امنیتی نیز امن‌تر به حساب می‌آید. این سوالات معمولا خواستار اطلاعاتی مانند نام حیوان خانگی یا شهر تولدتان می‌شوند و هکرها چنین اطلاعاتی را به راحتی از طریق ترفندهای فیشینگ یا سرک کشیدن در اکانت‌های شبکه‌های اجتماعی به دست می‌آورند.

بنابراین احراز هویت دو مرحله‌ای مبتنی بر پیامک یا ایمیل یا یک اپلیکیشن مخصوص، یک لایه امنیتی بسیار قدرتمندتر به حساب می‌آید. اگرچه سر و کله زدن با دیوایس‌های مختلف، هر بار که قصد ورود به حساب کاربری‌تان را دارید به مرور زمان خسته‌کننده خواهد شد، اما از مزایای این کار هرچه بگوییم کم گفته‌ایم.

احراز هویت دو مرحله‌ای چیست؟

احراز هویت دو مرحله‌ای یا چند مرحله‌ای که گاهی به اختصار تحت عنوان 2FA نیز شناخته می‌شود، یک پروسه سرراست برای تایید هویت شما است، آن هم پیش از اینکه امکان دسترسی به یک حساب کاربری یا سرویس مهیا گردد.

اگر بخواهیم خیلی کلی صحبت کنیم، احراز هویت در قالب سه دسته‌بندی مختلف انجام می‌شود: احراز هویت مبتنی بر دانش، احراز هویت مالکیتی و احراز هویت ذاتی. ورژن متکی بر دانش معمولا به این معناست که شخص باید چیزی مثل یک پین یا پسوورد را به خاطر بسپارد. ورژن مالیکیتی اما یعنی باید به یک دیوایس ثانویه مثل یک موبایل‌ هوشمند دسترسی داشته باشید.

از سوی دیگر نیز احراز هویت ذاتی ذاتی را داریم که با مشخصه‌های منحصر به فرد هر شخص انجام می‌شود و معمولا از طریق اسکنرهای اثر انگشت، عنبیه چشم یا تشخیص صدا صورت می‌گیرد. این متد کمتر در زندگی شخصی یا کسب‌وکارها به کار گرفته می‌شود، اما در شرایطی که نیاز به امنیت بالا است، حسابی به کار می‌آید.  احراز هویت دو یا چند مرحله‌ای از یک یا دو مورد از این متدها استفاده می‌کند تا هویت شخص با دقت بیشتری احراز گردد.

احراز هویت دو مرحله‌ای چطور کار می‌کند؟

همانطور که از نامش پیداست، احراز هویت دو مرحله‌ای از یک دستگاه ثانویه و مستقل بهره می‌گیرد و نقش سپر محافظ را برای اکانت شما ایفا می‌کند.

برخی سرویس‌ها کلید مخصوص خودشان را ساخته و در اختیار مشتریان می‌گذارند، اما در سال‌های اخیر اکثر کمپانی‌ها ترجیح داده‌اند اپلیکیشن مخصوص خودشان را برای موبایل‌های هوشمند بسازند یا خیلی ساده پیامک بفرستند. ایده کلی اینست که تنها مالک دستگاه به کلید دسترسی خواهد داشت و می‌تواند تلاش برای ورود به یک حساب را تایید کند.

این لایه امنیتی معمولا زمانی فعال می‌شود که کاربر نام کاربری و پسوورد خود را وارد کرده است. به محض اینکه سیستم وجود یک اکانت را تایید می‌کند، از کاربر می‌خواهد که مرحله دوم احراز هویت را به جریان بیندازد. از احراز هویت دو مرحله‌ای عمدتا برای سرویس‌های آنلاینی استفاده می‌شود که اطلاعاتی حساس در خود جای داده‌اند، مثلا سرویس‌های بانکداری اینترنتی یا بازرگانی الکترونیکی.

چگونگی ظاهر شدن لایه امنیتی اضافه، می‌تواند در هر سرویس با سرویس دیگر متفاوت باشد. برای مثال اکثر بانک‌ها ژتون امنیتی خودشان را برای سیستم بانکداری آنلاین دارند که در قالب عددی اتفاقی ظاهر می‌شود و از طریق یک اپلیکیشن به دست کاربران می‌رسد. برخی دیگر هم شروع به استفاده از سرویس احراز هویت دو مرحله‌ای گوگل کرده‌اند که می‌تواند از هزینه‌هایشان بکاهد و نیاز به توسعه یک اپلیکیشن جداگانه را از بین ببرد.

عبور از یک لایه امنیتی اضافه، کندترین بخش از پروسه ورود به یک سرویس به حساب می‌آید، اما در عین حال راهی موثر برای مقابله با افرادی است که می‌خواهند راهشان را به اکانت‌هایتان باز کرده و اطلاعات‌تان را به سرقت ببرند.

آیا احراز هویت دو مرحله‌ای امن است؟

علی‌رغم تمام مزایایی که به همراه می‌آورد، باید اشاره کرد که احراز هویت چند مرحله‌ای به طور ۱۰۰ درصدی امن نیست. مایکروسافت اخیرا به کسب‌وکارها هشدار داد که از استفاده از سیستم‌های متکی بر صدا یا پیامک دست بکشند، زیرا در این متدها از هیچگونه رمزنگاری استفاده نمی‌شود و هکرها به آسانی قادر به دستیابی به کدها هستند.از طرف دیگر، امکان استفاده از تکنیک‌های مهندسی اجتماعی هم برای به دست آوردن اطلاعات ورود وجود دارد.

برای مثال بدافزارهای پیچیده‌ای که کامپیوترها و دیوایس‌های موبایل را آلوده می‌کنند قادر به ارسال پیام‌های احراز هویت برای هکرها هستند و به این ترتیب، احراز هویت دو مرحله‌ای دور زده می‌شود. امن‌ترین متد برای احراز هویت دو مرحله‌ای، استفاده از کلیدهای سخت‌افزاری، مانند Google Titan Hardware Key است که هکرها راهی برای دور زدن آن نخواهند داشت، مگر اینکه کلید فیزیکی را از او بربایند. محصول گوگل برای مثال از رمزنگاری برای شناسایی هویت کاربر استفاده می‌کند و یک لینک جداگانه برای ورود به حساب‌های کاربری به وجود می‌آورد تا حتی اگر هکرها به نام کاربری و پسوورد دسترسی داشتند هم قادر به ورود به اکانت نباشند.