این روزها استفاده از اپلیکیشن احراز هویت دوعاملی برای امنیت اکانت ها حیاتی است. در این مقاله، با طرز کار Google Authenticator آشنا می شوید.
دنیایی را تصور کنید که در آن هر هکر مبتدی و تازه کاری می تواند به راحتی تمام حرکاتتان را زیرنظر بگیرد، به تماس هایتان گوش کند، متن پیامک هایتان را بخواند و حساب های بانکی تان را در چند دقیقه خالی کند؛ تازه بدون اینکه نیاز باشد از خانه خارج شود و حتی شاید یک قاره آن طرف تر از شما زندگی کند. البته نیازی به تصور و خیال پردازی نیست؛ چون خیلی وقت است در چنین دنیایی زندگی می کنیم؛ آن هم به دلیل حفره ی امنیتی در پروتکلی به نام SS7 (سیستم سیگنالینگ شماره ۷) که تمام کشورهای دنیا در شبکه ی موبایل خود از آن استفاده می کنند.
زمانی تصور می شد استفاده از رمزهای پویا که ازطریق پیامک فرستاده می شوند، از بیشترین درجه ی امنیت برخوردارند؛ اما هکرها به کمک حفره ی امنیتی در پروتکل SS7 یا روش های دیگر می توانند به متن پیامک های کاربران دسترسی پیدا کنند و با استفاده از رمز پویا، کنترل حساب بانکی و اکانت های شما در شبکه های اجتماعی را به دست بگیرند.
از این رو، متخصصان حوزه ی امنیت سایبری به فکر راه حلی برای محافظت از کدهایی افتادند که ازطریق SMS فرستاده می شود. در این روش، رمز پویا دیگر به کاربر پیامک نمی شود؛ بلکه ازطریق اپلیکیشن روی گوشی نمایش داده می شود و تنها راه دسترسی هکر به این کد، دسترسی فیزیکی به گوشی است.
اپلیکیشن های متعددی برای ارسال رمزهای پویا یا همان کدهای «احراز هویت دوعاملی» توسعه یافته اند که در بین آن ها، اپلیکیشن های جعلی نیز به وفور یافت می شود؛ به ویژه حالا که توییتر برای ارسال پیامک تأیید هویت دومرحله ای، هزینه دریافت می کند و نیاز افراد به استفاده از این اپلیکیشن ها بیش از هروقت دیگر است.
یکی از مطمئن ترین و ساده ترین اپلیکیشن های احراز هویت دوعاملی، Google Authenticator است که در این مقاله، آن را به طور کامل معرفی خواهیم کرد. اگر هم پولی شدن ارسال پیامک توییتر شما را آزرده خاطر کرده است، اصلاً ناراحت نباشید! اتفاقاً ایلان ماسک با این تصمیم به ما یادآوری کرد که چرا اصلاً از اول هم نباید سراغ این روش نا امن می رفتیم! در این مقاله نشان می دهیم که چطور با گوگل آتنتیکیتور و به طور کاملاً رایگان کماکان از احراز هویت دو عاملی برای امنیت اکانت توییتر یا اصلاً تمام شبکه های اجتماعی خود استفاده کنید.
Google Authenticator چیست؟
احراز هویت دو عاملی (2FA) همان طور که از نامش برمی آید، روشی است که در آن کاربر برای ورود به حساب آنلاین یا اپلیکیشن مدنظر، علاوه بر همان رمز عبور همیشگی، باید عامل دیگری نیز برای تأیید هویت خود وارد کند. متخصصان امنیت سایبری عوامل احراز هویت را به سه گروه تقسیم بندی می کنند: ۱- چیزی که می دانید (مثلاً رمز عبور)؛ ۲- چیزی که دارید (مثلاً گوشی موبایل)؛ ۳- چیزی که هستید (مثلاً اثر انگشت یا هر روش زیست سنجی دیگر). در روش 2FA، به جای یک عامل (چیزی که می دانید)، دو عامل (چیزی که می دانید + چیزی که دارید)، یعنی رمز عبور و دسترسی به گوشی، در نظر گرفته می شود تا بدین ترتیب خطر نفوذ هکرها به حساب های آنلاین را کاهش دهد.
به بیان ساده تر، احراز هویت دو عاملی لایه ی امنیتی اضافه ای است که در آن، کدی منحصر به فرد در اپلیکیشنی خاص روی گوشی موبایل یا سایر دستگاه های هوشمند کاربر نمایش داده می شود. داشتن این کد به همراه رمز عبور و نام کاربری، برای ورود به حساب هایی ضروری است که روش 2FA در آن ها فعال شده است.
یکی از اپلیکیشن های برتر این حوزه گوگل آتنتیکیتور (Google Authenticator) است که شرکت نام آشنای گوگل آن را طراحی و منتشر کرده و برای هر وب سایت یا خدماتی کاربردی است که قابلیت احراز هویت دو عاملی داشته باشد. برای مثال، تمام شبکه های اجتماعی و وب سایت های بزرگ و مطرح مانند توییتر، اینستاگرام، فیسبوک، جیمیل و شماری از حساب های رمز ارز مانند کوین بیس و بایننس از 2FA پشتیبانی می کنند و فعال کردن این روش برای محافظت از این حساب ها حیاتی است.
اپلیکیشن Google Authenticator رمز عبور یک بار مصرف شش رقمی تولید می کند که هر ۳۰ ثانیه تجدید می شود. محدودیت زمانی این کد بدین معنی است که اگر مجرم سایبری موفق شد به طریقی به کد یک بار مصرف شما دسترسی پیدا کند، این کد تنها ۳۰ ثانیه اعتبار دارد و بعد از گذشت این زمان دیگر اثری نخواهد داشت.
گوگل آتنتیکیتور و اپلیکیشن های نظیر آن هیچ گونه دسترسی به حساب هایتان ندارند و بعد از انتقال اولیه کد، ارتباطی با سایت مدنظر برقرار نمی کنند. کار این اپلیکیشن فقط تولید کد است و برای این کار به خدمات مخابرات یا حتی اینترنت نیازی ندارد؛ پس اگر در شرایطی بودید که به اینترنت دسترسی نداشتید یا با مشکل آنتن دهی گوشی مواجه شدید، جای نگرانی نیست؛ گوگل آتنتیکیتور کدها را برای شما ارسال خواهد کرد.
علاوه بر این، از آنجا که پروتکل استفاده شده در این اپلیکیشن ها مبتنی بر استاندارد یکسانی است، می توان کدی را که در Google Authenticator ایجاد شده، برای ورود به هر حسابی از جمله مایکروسافت یا تمام شبکه های اجتماعی که از روش 2FA پشتیبانی می کنند، استفاده کرد. به عبارت دیگر، این کدها فقط به محصولات گوگل محدود نیستند و در هر وب سایت یا خدماتی از 2AF پشتیبانی می کنند، کاربردی هستند.
Google Authenticator چطور کار می کند؟
تا پیش از به روزرسانی اخیر، گوگل آتنتیکیتور تنها از دو قابلیت ساده، یعنی تولید کد 2AF و اکسپورت اطلاعات اکانت ها به گوشی دیگر بهره می برد؛ اما حالا قابلیت اکسپورت حذف شده و به جای آن، بکاپ گیری کدها در فضای ابری اضافه شده است.
کار با Google Authenticator بسیار ساده است. کافی است با نام کاربری و رمز عبور خود طبق معمول وارد اکانت مورد نظرتان شوید. سپس به بخش مربوط به فعال کردن قابلیت 2AF بروید و کد QR نمایش داده شده را با اپلیکیشن گوگل آتنتیکیتور اسکن کنید. با این کار، اکانت شما به اپلیکیشن متصل می شود و از این پس برای ورود به اکانتتان باید کدی را وارد کنید که در اپلیکیشن ظاهر می شود.
برای راحتی کار، نحوه فعال کردن 2FA را برای اکانت گوگل به طور ساده در ادامه توضیح داده ایم. وب سایت های دیگر نیز از مراحل تقریباً مشابهی پیروی می کنند و تنها کافی است بخش مربوط به فعال کردن Two-factor Authentication را پیدا کنید که معمولاً در بخش Security (امنیت) اکانت قرار دارد.
حتی اگر فعال کردن 2FA کار خسته کننده ای به نظر می آید، بهتر است این قابلیت را برای هر اکانتی که می توانید، فعال کنید. اگر این کار را نکنید، ممکن است هکری که به رمز عبور اکانتتان دسترسی پیدا کرده ، این کار را انجام دهد. در این حالت، اگرچه بازیابی اکانت غیر ممکن نیست، مطمئنا زمان بیشتری از شما می گیرد و تا زمانی که کنترل اکانتتان در دست هکر است، احتمال دارد دردسرهای زیادی برایتان ایجاد کند.
بکاپ گیری از کدها در فضای ابری می تواند امنیت اکانت های متصل را به خطر بیندازد
تا مدت ها گوگل آتنتیکیتر برخلاف دیگر اپلیکیشن های احراز هویت دو عاملی از کدهای 2FA در فضای ابری بکاپ نمی گرفت تا بدین ترتیب، امنیت اطلاعات کاربران افزایش یابد. اما این موضوع باعث به روز مشکلاتی شده بود، چرا که تنها راه دسترسی به اکانت های متصل، دسترسی به اپلیکیشن روی همان دستگاهی بود که با آن به اکانت ها برای اولین بار متصل شده بودید و در مواقعی که به گوشی دسترسی نداشتید، نمی توانستید به اکانتتان وارد شوید.
گوگل فعلاً از رمزنگاری سرتاسری برای کدهای 2FA استفاده نمی کند!
اما توجه کنید که ذخیره کردن کدهای یک بار مصرف در فضای ابری که به اکانت گوگل تان متصل است می تواند شما را در برابر حمله ی هکرها آسیب پذیر کند؛ اگر هکری اختیار اکانت گوگل شما را به دست بگیرد، می تواند به راحتی به تمام کدهای 2FA ذخیره شده در آن دسترسی پیدا کند، چراکه این کد ها درحال حاضر از رمزنگاری سرتاسری پشتیبانی نمی کند. پیشنهاد ما این است که تا جای ممکن اکانت گوگل خود را به اپلیکیشن متصل نکنید؛ در عوض، اپلیکیشن را روی گوشی دیگری نیز نصب یا از اکانت های متصل کدهای بکاپ دریافت کنید.
اپلیکیشن Google Authenticator هم برای اندروید و هم برای iOS موجود است و می توانید آن را به طور رایگان از اپ استور یا گوگل پلی روی گوشی خود دانلود و نصب کنید.
نصب و راه اندازی Google Authenticator
مراحل راه اندازی اپلیکیشن Google Authenticator بسیار ساده است. بعد از اتمام دانلود و نصب اپلیکیشن روی گوشی هوشمند یا تبلت، نیازی نیست اپلیکیشن را باز کنید.
۱. ابتدا ازطریق کامپیوتر یا گوشی یا تبلت دیگری، وارد صفحه ی مربوط به فعال کردن احراز هویت دو عاملی (two-factor verification) یا احراز هویت دو مرحله ای (two-step authentication) وب سایت مدنظر شوید و این قابلیت را فعال کنید. این قابلیت معمولاً در بخش Security (امنیت) اکانت قرار دارد.
۲. بعد از این مرحله، دنبال گزینه ی استفاده از اپلیکیشن احراز هویت (authenticator app) بگردید و روی آن کلیک کنید.
۳. هنگام راه اندازی 2FA، معمولاً از شما خواسته می شود کد QR را اسکن کنید؛ به همین دلیل، به کامپیوتر یا گوشی یا تبلت دیگری نیاز دارید تا بتوانید این قابلیت را روی اکانتتان فعال کنید. اگر به دستگاه دیگری دسترسی ندارید یا دوربین گوشی تان کار نمی کند، می توانید گزینه ی نمایش کلید راه اندازی (setup key) را به جای کد QR انتخاب کنید.
۴. حالا اپلیکیشن Google Authenticator را باز کنید. گزینه ی Get Started را فشار دهید تا به صفحه ی «Setup your first account» (اولین اکانتتان را راه اندازی کنید) هدایت شوید.
۵. روش راه اندازی را انتخاب کنید. این مرحله به وب سایتی بستگی دارد که قصد دارید 2FA را برای آن فعال کنید. گزینه ی اسکن کد QR متداول ترین روش راه اندازی است. اگر هنگام فعال سازی روش 2FA در وب سایتی با کد QR رو به رو شدید، روی اپلیکیشن گزینه Scan a QR code را انتخاب کنید.
۶. اگر با رشته ای از حروف موسوم به «setup key» (کلید راه اندازی) رو به رو شدید، از اپلیکیشن، گزینه Enter a setup key را انتخاب کنید.
۷. حالا کد QR نمایش داده شده روی وب سایت را با گوشی تان اسکن کنید.
۸. برای گزینه Enter a setup key، ابتدا برای اکانتتان نامی به دلخواه انتخاب و در نوار زیرین، کلید را به طور دستی وارد کنید. سپس، دکمه ی add را فشار دهید.
۸. بعد از تأیید، اکانت مدنظر به اپلیکیشن گوگل آتنتیکیتور متصل می شود.
۹. از این پس هر بار اپلیکیشن را باز کنید، با کد شش رقمی رو به رو می شوید. این کد برای تکمیل مرحله لاگین به اکانت متصل شده لازم است. توجه کنید این کد هر ۳۰ ثانیه یک بار عوض می شود. اگر هنگام تایپ کد ارقام نمایش داده شده روی اپلیکیشن تغییر کرد، کد نوشته شده را پاک و از کد جدید استفاده کنید.
۱۰. برای اضافه کردن اکانت های جدید به اپلیکیشن، دکمه ی «+» در انتهای صفحه را فشار دهید و گزینه Scan a QR code (برای اسکن کد QR) یا Enter a setup key (برای وارد کردن کلید راه اندازی) را انتخاب کنید.
۱۱. اگر بخواهید، می توانید با وارد شدن به اکانت گوگل خود در اپلیکیشن، قابلیت بکاپ گیری از کدها در فضای ابری را فعال کنید. با این قابلیت دیگر لازم نیست نگران گم کردن گوشی و درنتیجه، از دست دادن کامل دسترسی به اکانت های متصل به Google Authenticator را داشته باشید؛ اما دقت کنید که این کار ممکن است امنیت اکانت های شما را به خطر بیندازد، پس مسئولانه این گزینه را فعال کنید.
آموزش استفاده از Google Authenticator برای اکانت گوگل
شاید مهم ترین اکانتی که باید همین امروز به فعال سازی 2FA آن اقدام کنید، اکانت گوگلتان باشد؛ چون احتمالاً از آدرس جیمیلتان برای ساخت اکانت در وب سایت های بسیاری استفاده کرده اید و هک شدن اکانت جیمیل امنیت اکانت های متصل به آن را نیز به خطر می اندازد. در اینجا، مراحل فعال کردن احراز هویت دوعاملی برای اکانت گوگل را گام به گام توضیح می دهیم. سایر اکانت ها هم از مراحل کم و بیش مشابهی پیروی می کنند.
۱. ابتدا وارد بخش امنیت (Security) وب سایت گوگل شوید و گزینه ی Authenticator را انتخاب کنید.
۲. در پنجره ی جدید از شما می خواهد که اپلیکیشن Google Authenticator را از پلی استور یا اپ استور دانلود کنید و بعد روی گزینه ی Set up authenticator کلیک کنید.
۳. حالا اپلیکیشن Google Authenticator را با گوشی باز کرده و کدی را که در پنجره ی جدید در حال نمایش است با انتخاب گزینه ی Scan a QR code اسکن کنید. اگر نمی توانید اسکن کنید، گزینه ی Can’t scan it را که در زیر کد QR آمده، انتخاب کنید. در این مرحله گزینه Enter a setup key را انتخاب و کد نمایش داده شده را دستی وارد کنید.
۴. در پنجره ی جدید، کد شش رقمی را که در اپلیکیشن نمایش داده می شود، وارد کنید و روی گزینه ی Verify کلیک کنید.
۵. در این مرحله به شما می گوید که اپلیکیشن آتنتیکیتور به اکانت گوگل اضافه شده است.
۶. همان طور که مشاهده می کنید، گزینه ی Authenticator برای اکانت گوگل شما فعال شده است.
اکنون قابلیت احراز هویت دو عاملی برای اکانت گوگلتان فعال شده است. از این پس، اگر هکری با داشتن رمز عبورتان قصد داشته باشد به اکانت گوگلتان وارد شود، در مرحله ی بعد نیاز دارد اپلیکیشن Google Authenticator را باز و کد شش رقمی را وارد کند که اکانتتان روی آن تأیید شده است؛ اما چون هکر خوشبختانه به گوشی تان دسترسی ندارد، نمی تواند به اکانت وارد شود.
راه اندازی Google Authenticator برای اکانت توییتر
چند وقت پیش، توییتر با اعلام پولی شدن تأیید هویت دو مرحله ای از طریق SMS، کاربرانی را که نمی خواهند یا نمی توانند برای سرویس توییتر Blue هزینه ی اشتراک پرداخت کنند، به شدت نگران و آزرده خاطر کرد. اما واقعیت این است که این خبر خوبی است؛ چراکه همان طور که توضیح دادیم، امنیت ارسال کد از طریق SMS به شدت پایین است و بهتر است به جای آن از اپلیکیشن های 2FA نظیر Google Authenticator یا Authy یا Microsoft Authenticator استفاده کنید. تازه، استفاده از این اپلیکیشن ها کاملاً رایگان است!
توییتر از ۱۹ مارس ۲۰۲۳ ارسال کد احراز هویت ازطریق پیامک را پولی کرد
در ادامه با روش راه اندازی Google Authenticator برای اکانت توییتر آشنا خواهید شد.
۱- وب سایت توییتر را در دسکتاپ یا اپلیکیشن آن را در گوشی خود باز کنید.
۲- روی سه نقطه سایدبار سمت چپ صفحه کلیک کنید و بعد Settings and Support > Settings and Privacy را انتخاب کنید.
۳- روی Security and account access > Security > Two-factor authentication کلیک کنید.
۴- گزینه ی Authentication app را انتخاب و در مرحله ی بعدی، رمز عبور اکانت توییتر خود را وارد کنید.
۵- روی Get Started کلیک کنید. در پنجره ی بعدی، با کد QR رو به رو خواهید شد.
۶- حالا اپلیکیشن Google Authenticator را از روی گوشی باز کنید، اسکنر کد QR آن را انتخاب و کد نمایش داده شده روی صفحه کامپیوتر را اسکن کنید. بدین ترتیب، اکانت توییتر شما به اپلیکیشن متصل می شود.
۷- به وب سایت توییتر برگردید. روی Next کلیک کنید، کد شش رقمی اپلیکیشن را وارد و روی Confirm کلیک کنید.
۸- در پنجره ی بعدی، توییتر کد بکاپ یک بار مصرفی را در اختیار شما می گذارد. حتماً حتماً این کد را جایی یادداشت کنید تا اگر زمانی به گوشی یا اپلیکیشن دسترسی نداشتید، بتوانید کماکان به اکانت توییترتان دسترسی داشته باشید.
مزایای استفاده از Google Authenticator
اگرچه تمام وب سایت ها از احراز هویت دو عاملی پشتیبانی نمی کنند، بهتر است این قابلیت امنیتی را روی هر وب سایتی که از آن پشتیبانی می کند، فعال کنید. درست است با این کار یک مرحله به فرایند ورود به اکانت های آنلاینتان اضافه می شود، به یاد بسپارید که با این کار دارید از اکانتتان در برابر سوءاستفاده ی هکرها محافظت می کنید. اگر هم نمی خواهید این قابلیت را برای همه اکانت هایتان فعال کنید، پیشنهاد می کنیم حتماً آن را برای اکانت های ایمیلتان فعال کنید. تا زمانی که امنیت ایمیلتان به خطر نیفتاده است، اکثر اکانت هایتان امن خواهند بود.
استفاده از Google Authenticator به دلیل حذف ارسال کد ازطریق پیامک که هکرها می توانند آن را بخوانند ، امنیت اطلاعات حساستان را به مراتب افزایش می دهد. همان طور که در این مقاله مشاهده کردید، راه اندازی و استفاده از آن بسیار آسان است و با چند مرحله ساده می توانید دسترسی هکرها به اکانت هایتان را تقریباً غیر ممکن کنید. در ضمن، این اپلیکیشن برای ایجاد کد به آنتن دهی یا شبکه اینترنت نیازی ندارد و در حالت هواپیما هم کاربردی است.
اگر همچنان به اهمیت این روش امنیتی تردید دارید، بهتر است ماجرای اتفاقی را بخوانید که سال ۲۰۱۲ برای مت هانن، نویسنده ارشد WIRED، پیش آمد و در مدت یک ساعت، کل زندگی دیجیتالش نابود شد. اول اکانت گوگل او هک و کامل پاک شد و سپس اکانت توییتر. در آخر هکرها با ورود به اکانت اپل آیدی او، اطلاعات آیفون و آیپد و مک بوک او را از راه دور پاک کردند.
دلیل این اتفاق هم آن بود که تمام این اکانت ها به هم متصل بودند. هکرها با ورود به اکانت آمازون هانن، به اطلاعات اکانت اپل آیدی او دست پیدا کردند و از آن طریق وارد جیمیل او شدند که به آن ها اجازه دسترسی به اکانت توییترش را داد.
به گفته هانن، اگر احراز هویت دو عاملی را برای اکانت گوگلش فعال کرده بود، هیچ کدام از این اتفاق ها پیش نمی آمد؛ چون هدف اصلی هکرها به دست آوردن نام کاربری سه حرفی اکانت توییترش بود و اطلاعات اکانت های دیگر او برای این منظور پاک شده بود که به هیچ وجه نتواند کنترل توییترش را دوباره به دست بگیرد.
از زمانی که استفاده از قابلیت 2FA برای تمام کاربران اینترنت فراهم شده است، یک دهه می گذرد؛ اما همچنان بسیاری از افراد به همان رمز عبور ساده بسنده می کنند که در بیشتر مواقع ۱۲۳۴۵۶ است و حتی برای چندین اکانت از رمز عبور مشابه استفاده می کنند. چنین عادت های نادرستی امنیت سایبری و اطلاعات حساس کاربران را به راحتی به خطر می اندازد و زندگی هکرها را به شدت آسان می کند. فعال کردن احراز هویت دو عاملی با اپلیکیشن هایی نظیر Google Authenticator روش مطمئنی برای جلوگیری از نفوذ هکرها به اکانت هایتان است.
نکات مثبت
رمزنگاری قدرتمند
دانلود رایگان
پشتیبانی از اندروید و iOS
بی نیاز از آنتن دهی گوشی
بی نیاز از وای فای
راه اندازی و استفاده آسان
قابلیت بکاپ گیری در فضای ابری
نکات منفی
نبود پشتیبانی از رمزنگاری سرتاسری (قرار است در آینده اضافه شود)
منبع: زومیت.