ورود دومرحله‌ای

رمز لو رفت، در باز نشد

مثلا فرض کنید یه صبح ایمیلی میاد که «یه نفر از یه شهر دیگه با رمز درست وارد حساب شما شده، ولی کد مرحله‌ی دوم رو نداشت و ورودش رد شد». یعنی رمزتون لو رفته بود، شاید از یه سایت دیگه که هک شده، و کلاهبردار همه‌ی کارش رو درست انجام داده بود؛ ولی پشت یه در دوم موند که کلیدش فقط توی جیب شما بود.

این کار همون ورود دومرحله‌ایه. درس‌های قبل گفتن رمز خوب چه شکلیه و مدیر رمز چطور کمک می‌کنه. ولی هر چقدر هم رمز خوب باشه، ممکنه لو بره: با فیشینگ، با هک شدن یه سایت، با برنامه‌ی مخرب. ورود دومرحله‌ای برای همون روزه. این درس می‌گه چطور کار می‌کنه، کدوم نوعش امن‌تره، با کدوم برنامه‌ی رایگان روشنش کنید، و اگه گوشی گم شد، چطور قفل خودتون پشت در نمونید.

اسم‌هاش

این کار رو با اسم‌های مختلف می‌بینید و همه‌شون تقریبا یه چیزن: ورود دومرحله‌ای، تایید دومرحله‌ای، احراز هویت دومرحله‌ای یا دوعاملی. به انگلیسی Two-Factor Authentication، کوتاهش 2FA، یعنی «احراز هویت با دو عامل»؛ یا 2-Step Verification، کوتاهش 2SV، یعنی «تایید دومرحله‌ای»، که گوگل این اسم رو استفاده می‌کنه. یه اسم کلی‌تر هم هست، MFA، کوتاه‌شده‌ی Multi-Factor Authentication، یعنی «احراز هویت چندعاملی»، برای وقتی که بیشتر از دو مدرک خواسته بشه.

کد شش رقمی‌ای که مرحله‌ی دوم می‌خواد هم اسم‌های زیادی داره: کد تایید، کد یک‌بارمصرف، رمز یک‌بارمصرف. به انگلیسی OTP، کوتاه‌شده‌ی One-Time Password، یعنی «رمز یک‌بارمصرف». درس کد یک‌بارمصرف فقط درباره‌ی همین کدهاست و اینکه کلاهبردارها چطور ازتون می‌گیرنش.

چرا پیامک ضعیف‌تره

کد پیامکی به شماره‌ی تلفن فرستاده می‌شه، نه به گوشی شما. اگه کسی بتونه شماره‌ی شما رو بگیره، کد هم به اون می‌رسه. راه معروفش اینه که کلاهبردار با مدارک جعلی یا همدستی یه فروشنده، یه سیم‌کارت تازه با شماره‌ی شما بگیره. به این کار می‌گن سیم‌سواپ (SIM Swap)، و درس سیم‌سواپ کامل درباره‌شه. نشونه‌ش اینه که گوشی یهو بی‌آنتن می‌شه.

راه دوم، ساده‌تر و رایج‌تره: کلاهبردار به خود شما زنگ می‌زنه یا پیام می‌ده و یه بهونه میاره که «کدی که براتون اومده رو بخونید». درس کلاهبرداری تلفنی همینو گفت. راهنمای گوگل صاف می‌گه کدهایی که با پیامک یا تماس فرستاده می‌شن، در برابر هک‌هایی که از راه شماره‌ی تلفنن، آسیب‌پذیرن. با همه‌ی این‌ها، پیامک خیلی بهتر از نداشتن هیچ مرحله‌ی دومیه، چون کلاهبردار باید یه کار سخت‌تر هم بکنه.

اعلان روی گوشی

بعضی سرویس‌ها، مثل گوگل و مایکروسافت، به جای کد، یه اعلان روی گوشی می‌فرستن: «دارید وارد می‌شید؟ بله یا نه»، با اسم دستگاه و جای تقریبی ورود. گوگل توی راهنماش اینو بعد از پس‌کی پیشنهاد می‌کنه، چون راحت‌تر از تایپ کده و به شماره‌ی تلفن وابسته نیست.

ولی یه ترفند هست که بهش می‌گن «خستگی اعلان»، به انگلیسی MFA Fatigue. کلاهبرداری که رمز رو داره، پشت سر هم درخواست ورود می‌فرسته؛ گوشی شما ده‌ها بار، نصفه‌شب، اعلان می‌ده. بعضی‌ها آخرش از خستگی یا اشتباهی «بله» رو می‌زنن. گاهی هم کلاهبردار همون وسط پیام می‌ده که «از پشتیبانی هستیم، یه مشکل فنیه، لطفا تایید کنید». سال ۲۰۲۲، یه شرکت بزرگ دنیا دقیقا با همین ترفند هک شد. قانونش ساده‌ست: اعلانی که خودتون همون لحظه درخواستش نکردید، همیشه «نه». و اگه اعلان‌های این‌جوری اومد، یعنی رمزتون لو رفته؛ همون موقع عوضش کنید.

کد رو به هیچ‌کس ندید

اگه فقط یه جمله از این درس یادتون بمونه، این باشه: کد مرحله‌ی دوم مال خود شماست و فقط توی صفحه‌ای که خودتون باز کردید زده می‌شه. راهنمای گوگل هم صاف نوشته هیچ‌وقت کدهای تایید رو به کسی ندید، و گوگل هیچ‌وقت برای تایید یه کد بهتون زنگ نمی‌زنه. همین برای بانک، اپراتور، پیام‌رسان‌ها و تیم سفید هم درسته.

کلاهبردارها برای گرفتن کد بهونه‌های جورواجور دارن: «اشتباهی کدم رو به شماره‌ی شما فرستادم، می‌شه بخونیدش؟»، «برای شرکت توی قرعه‌کشی، کدی که اومده رو بفرستید»، «از پشتیبانی هستیم و برای امن کردن حسابتون کد لازمه». همه‌ی این‌ها یه معنی دارن: یکی رمز شما رو داره و فقط همین کد مونده. متن خود پیامک کد رو بخونید؛ معمولا نوشته این کد برای چه کاریه، مثلا «ورود به حساب» یا «عوض کردن شماره».

برنامه‌های تایید رایگان

برنامه‌ی تایید، به انگلیسی Authenticator App، برنامه‌ایه که کدهای شش رقمی رو می‌سازه. همه‌ی برنامه‌های تایید با همون روش TOTP کار می‌کنن، پس هر کدوم رو انتخاب کنید، با تقریبا همه‌ی سایت‌ها کار می‌کنه. این‌ها رایگانن و از جای رسمی‌شون معرفی می‌کنیم:

• Google Authenticator. برای اندروید و آیفون. طبق راهنمای گوگل، بی اینترنت هم کد می‌سازه، و اگه بخواید، کدها رو رمزگذاری‌شده توی حساب گوگلتون نگه می‌داره که با عوض کردن گوشی گم نشن؛ یا می‌تونید بی حساب گوگل ازش استفاده کنید.
• Microsoft Authenticator. برای اندروید و آیفون، رایگان. طبق راهنمای مایکروسافت، فقط برای گوشیه، نه کامپیوتر، به دلیل امنیتی. برای حساب‌های مایکروسافت، اعلان ورود هم داره.
• Aegis Authenticator. فقط برای اندروید، رایگان و متن‌باز، بی تبلیغ. کدها رو قفل‌شده نگه می‌داره، با اثر انگشت باز می‌شه، و پشتیبان‌گیری خودکار رمزگذاری‌شده داره، که برای عوض کردن گوشی خیلی به کار میاد.

از برنامه‌هایی که توی فروشگاه با اسم «Authenticator» و پر از تبلیغ یا با اشتراک پولی میان، دوری کنید؛ برنامه‌ی تایید هیچ کاری نمی‌کنه که پول بخواد. و برنامه‌ی تایید رو فقط از فروشگاه رسمی گوشی بگیرید.

روشن کردن، قدم‌به‌قدم

روشن کردن ورود دومرحله‌ای با برنامه‌ی تایید، تقریبا توی همه‌ی سایت‌ها یه شکله:

1. برنامه‌ی تایید رو روی گوشی نصب کنید.
2. توی سایت، برید به تنظیمات حساب، بخش امنیت (Security)، و دنبال «ورود دومرحله‌ای» یا «Authenticator app» بگردید.
3. سایت یه کیوآرکد نشون می‌ده. توی برنامه‌ی تایید، دکمه‌ی اضافه کردن (معمولا +) رو بزنید و کیوآرکد رو با دوربین بخونید.
4. برنامه یه کد شش رقمی نشون می‌ده. همونو توی سایت بزنید تا سایت مطمئن بشه برنامه درست تنظیم شده.
5. سایت چند تا کد بازیابی می‌ده. همین الان، پیش از بستن صفحه، نگهشون دارید (بخش «کدهای بازیابی»).
6. یه بار از حساب خارج بشید و دوباره وارد بشید تا مطمئن بشید کار می‌کنه.

مثال: حساب تیم سفید

اگه توی تیم سفید حساب دارید، می‌تونید همین الان تمرینش کنید. ورود به حساب ما معمولا با کد پیامکیه؛ ولی توی صفحه‌ی حساب، بخش ورود دومرحله‌ای، می‌تونید برنامه‌ی تایید رو جای پیامک بذارید. این‌طوری کار می‌کنه:

1. یه کیوآرکد فقط یه بار نشون داده می‌شه؛ با برنامه‌ی تایید بخونیدش.
2. کد شش رقمی برنامه رو بزنید. تا وقتی کد درست زده نشه، چیزی روشن نمی‌شه.
3. هشت تا کد بازیابی نشون داده می‌شه، فقط همون یه بار. هر کدوم فقط یه بار کار می‌کنه.
4. از اون به بعد، ورود با شماره‌ی شما، به جای پیامک، کد برنامه رو می‌خواد و هیچ پیامکی فرستاده نمی‌شه.

پشت پرده هم چند تا کار انجام می‌دیم که خوبه بدونید هر سایت درستی باید بکنه: راز کیوآرکد رمزگذاری‌شده نگه داشته می‌شه، هر کد فقط یه بار قبول می‌شه، از کدهای بازیابی فقط چکیده نگه داشته می‌شه، و بعد از چند کد اشتباه، تا مدتی کد قبول نمی‌شه. اگه گوشی و کدهای بازیابی، هر دو، گم شدن، تیم ما می‌تونه بعد از اطمینان، ورود دومرحله‌ای رو خاموش کنه.

حساب گوگل

چون حساب گوگل کلید ایمیل، مدیر رمز و خیلی چیزهای دیگه‌ست، اول اینو روشن کنید. طبق راهنمای گوگل:

1. حساب گوگلتون رو باز کنید (myaccount.google.com).
2. بخش Security & sign-in رو بزنید.
3. زیر «How you sign in to Google»، گزینه‌ی Turn on 2-Step Verification رو بزنید و قدم‌های روی صفحه رو برید.
4. اگه جای گزینه‌ها فرق داشت، توی تنظیمات حساب دنبال همین اسم‌ها بگردید.

دو تا نکته از همین راهنما: اگه یه شماره‌ی تازه برای مرحله‌ی دوم اضافه کنید، ممکنه تا هفت روز طول بکشه تا گوگل بهش اعتماد کنه؛ این صبر برای اینه که اگه یه کلاهبردار شماره‌ی خودش رو اضافه کرد، شما وقت داشته باشید جلوش رو بگیرید. و اگه با پس‌کی وارد بشید، مرحله‌ی دوم پرسیده نمی‌شه، چون خود پس‌کی نشون می‌ده دستگاه دست شماست. درس حساب گوگل بقیه‌ی تنظیمات امنیتیش رو می‌گه.

کدهای بازیابی

کد بازیابی (Backup Code یا Recovery Code) کلید یدکی در دومه. وقتی ورود دومرحله‌ای رو روشن می‌کنید، سایت چند تا کد یک‌بارمصرف می‌ده که اگه گوشی در دسترس نبود، جای کد برنامه کار می‌کنن. گوگل مثلا ده تا کد هشت رقمی می‌ده؛ هر کدوم یه بار کار می‌کنه، و هر وقت ده تای تازه بگیرید، قبلی‌ها باطل می‌شن.

• کدها رو چاپ کنید یا روی کاغذ بنویسید و جای امن توی خونه نگه دارید، کنار نسخه‌ی کاغذی رمز اصلی مدیر رمز.
• اگه مدیر رمز دارید، یه نسخه هم اونجا نگه دارید، ولی فقط اگه مدیر رمز روی همون گوشی نیست که ممکنه گم بشه.
• هیچ‌وقت توی گالری گوشی، یادداشت گوشی یا ایمیل همون حساب نگهشون ندارید؛ اگه گوشی گم بشه، کلید یدکی هم باهاش رفته.
• وقتی یکیش رو استفاده کردید، خطش بزنید؛ وقتی کم شدن، تازه بگیرید.

«دیگه روی این دستگاه نپرس»

خیلی از سایت‌ها موقع زدن کد، یه تیک دارن: «Don't ask again on this device»، یعنی «دیگه روی این دستگاه نپرس». اگه بزنیدش، اون مرورگر یا گوشی «دستگاه مطمئن» حساب می‌شه و دفعه‌های بعد فقط رمز می‌خواد. روی گوشی و کامپیوتر خودتون، این تیک کار رو راحت می‌کنه و امنیت زیادی هم کم نمی‌کنه، چون کلاهبرداری که از راه دور میاد، روی دستگاه شما نیست.

ولی روی کامپیوتر مشترک، محل کار یا کافی‌نت، هیچ‌وقت این تیک رو نزنید. و وقتی یه گوشی یا کامپیوتر رو می‌فروشید یا می‌دید به کسی، از تنظیمات امنیت حساب، اون دستگاه رو از فهرست دستگاه‌های مطمئن پاک کنید.

اگه گوشی گم شد

بزرگ‌ترین ترس آدم‌ها از ورود دومرحله‌ای اینه که گوشی گم بشه و خودشون پشت در بمونن. برای همین آماده بودن از قبل مهمه:

1. با یکی از کدهای بازیابی وارد حساب‌های مهم بشید.
2. اگه کدهای برنامه‌ی تایید همگام‌سازی می‌شدن، مثلا توی Google Authenticator با حساب گوگل، روی گوشی تازه برنامه رو نصب کنید و با همون حساب وارد بشید.
3. اگه یه دستگاه دیگه، مثل تبلت یا کامپیوتر، هنوز وارد حساب‌هاست، از همون‌جا ورود دومرحله‌ای رو روی گوشی تازه تنظیم کنید.
4. اگه هیچ‌کدوم نبود، از راه بازیابی رسمی خود سرویس برید؛ معمولا چند روز طول می‌کشه و مدرک می‌خواد. درس وقتی حساب از دست رفت قدم‌هاش رو می‌گه.
5. سیم‌کارت رو هم از اپراتور مسدود کنید و یه سیم‌کارت تازه با همون شماره بگیرید.
6. بعد از اینکه برگشتید، ورود دومرحله‌ای رو با گوشی تازه دوباره تنظیم کنید و کدهای بازیابی تازه بگیرید.

عوض کردن گوشی

یه اشتباه خیلی رایج: آدم گوشی تازه می‌خره، گوشی قدیمی رو پاک می‌کنه و می‌فروشه، و تازه بعدش می‌فهمه همه‌ی کدهای برنامه‌ی تایید روی همون گوشی قدیمی بوده. ترتیب درست:

1. برنامه‌ی تایید رو روی گوشی تازه نصب کنید.
2. کدها رو منتقل کنید: Google Authenticator یا با همگام‌سازی حساب گوگل، یا با انتقال دستی از گوشی قدیمی که کیوآرکد می‌سازه؛ Aegis با فایل پشتیبان رمزگذاری‌شده.
3. روی چند حساب امتحان کنید که کدهای گوشی تازه قبول می‌شن.
4. فقط بعد از اون، گوشی قدیمی رو پاک کنید.

اگه یه سایت توی انتقال جا موند، با کد بازیابیش وارد بشید و ورود دومرحله‌ای رو از اول برای گوشی تازه تنظیم کنید.

همگام‌سازی کدها، آره یا نه

بعضی برنامه‌های تایید می‌تونن کدها رو توی یه حساب ابری نگه دارن، که با عوض کردن یا گم کردن گوشی، کدها گم نشن. این یه انتخاب بین راحتی و جداییه. اگه همگام‌سازی روشن باشه، کسی که به اون حساب ابری برسه، به کدها هم رسیده؛ پس اون حساب خودش باید رمز قوی و ورود دومرحله‌ای داشته باشه. اگه خاموش باشه، کدها فقط روی گوشی‌ان و امن‌ترن، ولی باید خودتون حواستون به پشتیبان و انتقال باشه.

برای بیشتر آدم‌ها، خطر گم کردن گوشی از خطر هک شدن حساب ابری بیشتره؛ پس همگام‌سازی، با یه حساب ابری محکم، انتخاب خوبیه. فقط کدهای بازیابی رو هیچ‌وقت فراموش نکنید.

کلید امنیتی

کلید امنیتی (Security Key) یه وسیله‌ی کوچیکه، اندازه‌ی یه فلش، که به گوشی یا کامپیوتر وصل می‌شه یا نزدیکش گرفته می‌شه، و مرحله‌ی دوم رو انجام می‌ده. مثل پس‌کی، نشانی سایت رو خودش چک می‌کنه، پس روی سایت جعلی کار نمی‌کنه. گوگل برای کسایی که بیشتر از بقیه هدف حمله‌ان، مثل روزنامه‌نگارها، یه برنامه‌ی «محافظت پیشرفته» (Advanced Protection) داره که بر پایه‌ی همین کلیدهاست.

کلید امنیتی یه وسیله‌ی سخت‌افزاریه و باید خریده بشه، برای همین اینجا معرفیش نمی‌کنیم که بخرید. برای بیشتر آدم‌ها، پس‌کی که رایگانه و روی خود گوشی ساخته می‌شه، همون محافظت رو می‌ده. درس پس‌کی می‌گه چطور.

اول کدوم حساب‌ها

1. ایمیل اصلی، چون با اون بقیه‌ی رمزها عوض می‌شن.
2. مدیر رمز، یا حساب گوگل یا اپل اگه مدیر رمزتون اوناست.
3. پیام‌رسان‌ها، که توشون عکس و حرف‌های خصوصیه و کلاهبردار ازشون برای فریب دوستاتون استفاده می‌کنه.
4. شبکه‌های اجتماعی، به‌خصوص اگه صفحه‌ی کاری دارید.
5. هر جایی که کارت بانکی یا کیف پول توشه.
6. حساب‌های کاری، مثل پنل سایت یا هاست.

پیام‌رسان‌ها

پیام‌رسان‌ها یه فرق دارن: ورودشون از اول با کد پیامکیه، چون حساب به شماره‌ی تلفن بسته‌ست. پس اگه کسی شماره رو بگیره یا کد رو از شما بگیره، می‌تونه وارد بشه. برای همین، بیشتر پیام‌رسان‌ها یه قفل دوم دارن که اسمش رو «تایید دومرحله‌ای» گذاشتن، ولی در واقع یه رمز یا یه عدد اضافه‌ست که خودتون انتخاب می‌کنید و بعد از کد پیامکی پرسیده می‌شه.

این قفل رو حتما روشن کنید، و رمزش رو جای امن نگه دارید، چون اگه فراموشش کنید، بازیابیش سخته؛ برای همینه که یکی از رایج‌ترین جستجوها «تایید دومرحله‌ای رو فراموش کردم»ه. درس‌های واتساپ و تلگرام قدم‌به‌قدم و از روی راهنمای رسمی خودشون می‌گن چطور روشنش کنید و اگه یادتون رفت چی کار کنید.

رمز پویای بانک

توی ایران، احتمالا اولین ورود دومرحله‌ای‌ای که دیدید، رمز دوم پویای کارت بانکی بوده: برای خرید اینترنتی، به جای رمز دوم ثابت، یه رمز یک‌بارمصرف از پیامک یا برنامه‌ی بانک می‌گیرید که فقط چند دقیقه کار می‌کنه. این همون ایده‌ست؛ رمز ثابتی که ممکن بود لو بره، جاش رو به یه رمز یک‌بارمصرف داده.

و همون قانون اینجا هم هست، حتی جدی‌تر: رمز پویا رو هیچ‌وقت به هیچ‌کس نگید، هر کی باشه و هر بهونه‌ای بیاره. متن پیامکش رو بخونید که مبلغ و اسم پذیرنده همونیه که خودتون می‌خواید پرداخت کنید. کلاهبرداری که رمز پویا رو ازتون می‌گیره، تقریبا همیشه همون لحظه داره یه پرداخت دیگه با کارت شما انجام می‌ده.

از کجا اومد

ایده‌ی دو مدرک خیلی قدیمیه: کارت بانکی و رمزش، همون «چیزی که دارید» و «چیزی که می‌دونید»ه. توی دهه‌ی ۱۹۸۰، شرکت‌ها به کارمندهاشون وسیله‌های کوچیکی می‌دادن که روشون یه عدد شش رقمی بود و هر دقیقه عوض می‌شد؛ همون ایده‌ای که امروز برنامه‌ی تایید روی گوشی انجام می‌ده. سال ۲۰۱۱ روش TOTP به‌عنوان یه استاندارد باز منتشر شد، و از همون حدود، سرویس‌های بزرگ مثل گوگل ورود دومرحله‌ای رو برای همه‌ی کاربرها آوردن.

امروز داستان داره یه قدم جلوتر می‌ره: پس‌کی، که رمز و مرحله‌ی دوم رو با هم یکی می‌کنه، و دیگه چیزی برای لو رفتن یا دادن به کلاهبردار نمی‌ذاره.

اشتباه‌های رایج

• «ورود دومرحله‌ای دارم، پس رمزم مهم نیست.» هنوز مهمه؛ مرحله‌ی دوم هم با فیشینگ یا سیم‌سواپ می‌شکنه.
• «از پشتیبانی زنگ زدن و کد خواستن.» هیچ شرکتی برای گرفتن کد زنگ نمی‌زنه؛ کد رو ندید.
• «اعلان اومد، زدم بله که ساکت بشه.» درخواستی که خودتون ندادید، همیشه نه؛ و رمز رو عوض کنید.
• «کدهای بازیابی رو نگه نداشتم.» روزی که گوشی گم بشه، پشت در می‌مونید.
• «گوشی قدیمی رو پاک کردم، بعد سراغ کدها رفتم.» اول منتقل کنید، بعد پاک کنید.
• «از کیوآرکد ورود دومرحله‌ای عکس گرفتم که بعدا لازم بشه.» اون عکس کلید همه‌ی کدهاست؛ پاکش کنید.

آخرین بررسی راهنمای رسمی گوگل، مایکروسافت و Aegis: ۲۴ مهر ۱۴۰۵.