احراز هویت دو مرحله‌ای چیست؟ راهنمای ساده
احراز هویت دو مرحله‌ای (2FA) ورودی است که برای اثبات اینکه همان کسی هستید که ادعا می‌کنید، دو نوع مدرک متفاوت می‌خواهد — معمولاً چیزی که می‌دانید، مثل رمز عبور، به‌همراه چیزی که دارید، مثل گوشی یا کلید امنیتی. اگر مجرمی رمز عبور شما را بدزدد یا حدس بزند، بدون عامل دوم باز هم نمی‌تواند وارد شود. این یکی از ساده‌ترین راه‌ها برای محافظت از حساب‌هایی است که اهمیت دارند.
چرا وقتی با هوش مصنوعی می‌سازید مهم است
وقتی از یک سازنده‌ی هوش مصنوعی «ورود» می‌خواهید، معمولاً ایمیل و رمز عبور می‌گیرید. این شروع خوبی است، اما رمزها دوباره استفاده می‌شوند، با فیشینگ به دست می‌آیند و لو می‌روند. اگر اپ شما چیز ارزشمندی دارد — سوابق مشتری، فاکتور، کنترل‌های مدیریتی، تنظیمات پرداخت — یک رمز عبور دزدیده‌شده می‌تواند همه‌ی آن را در معرض قرار دهد.
2FA همچنین روی تصمیم‌هایی اثر می‌گذارد که شاید در ابتدا به آن فکر نکنید:
- چه کسی باید از آن استفاده کند. برای همه اختیاری باشد، برای مدیران الزامی باشد، یا برای همه الزامی باشد؟
- چه روش‌هایی را پشتیبانی می‌کنید. کدهای اپ، پیامک، پسکی، کلیدهای امنیتی.
- وقتی کسی قفل می‌شود چه پیش می‌آید. گوشی گم‌شده رایج‌ترین درخواست پشتیبانی برای هر اپی با 2FA است.
- کجا اجرا می‌شود. بررسی باید روی سرور انجام شود. صفحه‌ی 2FA که فقط در مرورگر صفحه را پنهان می‌کند، قابل دورزدن است.
لازم نیست خودتان رمزنگاری را بسازید — کتابخانه‌های آزمون‌شده و ارائه‌دهندگان احراز هویت این کار را انجام می‌دهند. اما باید بدانید چه چیزی بخواهید.
یک تشبیه روزمره
یک صندوق امانات بانک را در نظر بگیرید. برای بازکردن آن، به شناسنامه (چیزی که بانک بررسی می‌کند شما هستید یا می‌دانید) و کلید فیزیکی (چیزی که دارید) نیاز دارید. دزدی که امضای شما را کپی کند هنوز کلید ندارد. دزدی که کلید را از جیب شما بردارد هم از بررسی شناسنامه رد نمی‌شود.
2FA همین‌طور کار می‌کند. رمز عبور مثل امضاست؛ گوشی یا کلید امنیتی مثل کلید فیزیکی است. هر کدام به تنهایی کافی نیستند.
سه نوع عامل
استانداردهای امنیتی، مثل رهنمودهای هویت دیجیتال Institute of Standards and Technology در آمریکا (NIST)، عامل‌ها را در سه دسته قرار می‌دهند:
| عامل | نمونه‌ها |
|---|---|
| چیزی که می‌دانید | رمز عبور، PIN |
| چیزی که دارید | گوشی با اپ احراز هویت، کلید امنیتی، دستگاهی که پسکی را نگه می‌دارد |
| چیزی که هستید | اثر انگشت، چهره — معمولاً برای باز کردن قفل دستگاهی استفاده می‌شود که بعد بررسی واقعی را انجام می‌دهد |
کلیدواژه متفاوت بودن است. رمز عبور به‌همراه پرسش امنیتی دو چیز است که هر دو می‌دانید، پس واقعاً احراز هویت دو مرحله‌ای نیست. اگر یک نشت هر دو را فاش کند، فقط یک عامل حساب می‌شود.
مقایسه‌ی روش‌های رایج 2FA
| روش | نحوه‌ی کار | قدرت | یادداشت |
|---|---|---|---|
| کد پیامکی | کدی به شماره‌ی گوشی‌تان پیامک می‌شود | ضعیف‌ترین | در برابر SIM swapping و فیشینگ آسیب‌پذیر است، اما خیلی بهتر از نداشتن 2FA است |
| کد ایمیلی | کدی به ایمیلتان ارسال می‌شود | ضعیف | فقط تا حدی امن است که حساب ایمیل امن باشد |
| اپ احراز هویت (TOTP) | اپی مثل Google Authenticator هر ۳۰ ثانیه یک کد شش‌رقمی جدید می‌سازد | خوب | آفلاین کار می‌کند؛ اگر سایت جعلی کد را بخواهد، همچنان قابل فیشینگ است |
| تأیید پوش | اپی می‌پرسد «این شما هستید؟» و شما تأیید را لمس می‌کنید | خوب | مراقب «خستگی از تأیید» باشید، یعنی وقتی کاربران برای خلاص شدن از درخواست‌های مکرر بله می‌زنند |
| پسکی یا کلید امنیتی | یک کلید رمزنگاری روی دستگاه ثابت می‌کند که در سایت واقعی هستید | قوی‌ترین | در برابر فیشینگ مقاوم است، چون به دامنه‌ی شبیه‌سازی‌شده پاسخ نمی‌دهد |
رهنمود NIST روش‌هایی را که کد را تایپ می‌کنید (پیامک، ایمیل، اپ‌های احراز هویت) مقاوم در برابر فیشینگ نمی‌داند و ارسال کد از طریق شبکه‌ی تلفن را «محدود» علامت می‌زند. پسکی‌ها و کلیدهای امنیتی سخت‌افزاری، بر پایه‌ی استانداردهای WebAuthn/FIDO2، روش‌هایی هستند که مقاوم در برابر فیشینگ حساب می‌شوند.
نتیجه‌ی عملی: یک اپ احراز هویت برای بیشتر اپ‌ها پیش‌فرضی قوی و آسان است، و اگر کاربرانتان با پسکی راحت‌اند، ارائه‌ی آن ارزش دارد.
یک مثال کامل: 2FA برای پورتال مشتری
فرض کنید پورتالی ساخته‌اید که یک دفتر حسابداری کوچک از طریق آن اسناد مالیاتی را با مشتریان به اشتراک می‌گذارد. یک راه‌اندازی منطقی 2FA، گام به گام، این‌طور کار می‌کند.
فعال کردن (ثبت‌نام عامل). پریا، یکی از مشتری‌ها، Settings را باز می‌کند و روی «فعال‌سازی احراز هویت دو مرحله‌ای» کلیک می‌کند. اپ یک راز می‌سازد و آن را به‌صورت QR code نشان می‌دهد. او آن را با اپ احراز هویتش اسکن می‌کند و آن اپ کدهای شش‌رقمی را نشان می‌دهد. او کد فعلی را دوباره در پورتال تایپ می‌کند تا ثابت شود راه‌اندازی درست بوده است. اپ ده کد بازیابی نشان می‌دهد و از او می‌خواهد آن‌ها را جای امنی ذخیره کند.
ورود بعدی.
۱. پریا ایمیل و رمز عبورش را وارد می‌کند. سرور آن‌ها را بررسی می‌کند. ۲. به‌جای اینکه مستقیم او را وارد کند، سرور نشست را «رمز درست است، عامل دوم در انتظار است» علامت می‌زند و صفحه‌ی کد را نشان می‌دهد. ۳. او کد اپش را تایپ می‌کند. سرور آن را با راز ذخیره‌شده‌اش بررسی می‌کند و کمی اختلاف ساعت را می‌پذیرد. ۴. فقط در این لحظه سرور نشست کامل می‌سازد و اجازه می‌دهد اسناد را ببیند.
مهاجم چه می‌بیند. اگر رمز پریا از سایت دیگری لو رفته باشد، مهاجم در گام ۳ گیر می‌کند. هر تلاش ناموفق برای کد شمرده می‌شود و پس از چند اشتباه، حساب موقتاً قفل می‌شود و پریا یک ایمیل دریافت می‌کند.
گم کردن گوشی. پریا با یکی از کدهای بازیابی‌اش وارد می‌شود، 2FA را خاموش و دوباره با گوشی جدیدش روشن می‌کند و کدهای بازیابی تازه می‌گیرد. کدی که استفاده شده دیگر هرگز قابل استفاده نیست.
برای کارکنان. حسابدارهای دفتر می‌توانند فایل‌های همه‌ی مشتری‌ها را ببینند، پس پورتال برای حساب کارکنان 2FA را الزامی می‌کند؛ تا وقتی ثبت‌نام نکرده‌اند به داشبورد دسترسی ندارند.
اصطلاحات رایج توضیح داده‌شده
| اصطلاح | معنی |
|---|---|
| 2FA / MFA | احراز هویت دو مرحله‌ای / چندعاملی: ورود با بیش از یک نوع مدرک. |
| Factor (عامل) | یک نوع مدرک: چیزی که می‌دانید، دارید یا هستید. |
| TOTP | رمز عبور یک‌بارمصرف مبتنی بر زمان — همان کدهای در حال تغییر اپ‌های احراز هویت. |
| Shared secret (راز مشترک) | مقدار پنهانی که با QR code تنظیم می‌شود و هم اپ و هم گوشی شما از آن برای ساختن کدهای یکسان استفاده می‌کنند. |
| Recovery (backup) codes (کدهای بازیابی) | کدهای یک‌بارمصرف برای ورود وقتی عامل دوم خود را گم کرده‌اید. |
| Passkey (پسکی) | اطلاعات ورود ذخیره‌شده روی دستگاه که به‌جای رمز عبور از رمزنگاری کلید عمومی استفاده می‌کند. |
| Security key (کلید امنیتی) | یک دستگاه فیزیکی کوچک (USB یا NFC) که همان کار پسکی را انجام می‌دهد. |
| SIM swapping | فریب اپراتور موبایل برای انتقال شماره‌ی کسی به سیم‌کارت جدید، تا پیامک‌ها به مهاجم برسند. |
| Phishing (فیشینگ) | پیام یا سایت جعلی که مردم را فریب می‌دهد رمز یا کد خود را تحویل دهند. |
| Step-up authentication (احراز هویت تشدیدشده) | درخواست دوباره‌ی عامل دوم قبل از یک کار حساس، مثل تغییر اطلاعات پرداخت. |
اشتباهات و باورهای غلط رایج
- «2FA حساب را غیرقابل هک می‌کند.» خیلی سخت‌تر می‌کند. سایت‌های فیشینگ هنوز می‌توانند کدهای تایپ‌شده را لحظه‌ای بگیرند؛ به همین دلیل پسکی وجود دارد.
- بررسی کد فقط در مرورگر. اگر سرور بعد از رمز عبور نشست کامل صادر کند، صفحه‌ی کد فقط تزئین است. سرور باید تا وقتی عامل دوم تأیید نشده دسترسی را رد کند.
- نبودن محدودیت برای حدس کد. یک کد شش‌رقمی یک میلیون حالت دارد. بدون محدودسازی نرخ و قفل حساب، مهاجم می‌تواند فقط مدام حدس بزند.
- فراموش کردن بازیابی. بدون کدهای بازیابی، هر گوشی گم‌شده تبدیل به یک تیکت پشتیبانی یا یک مشتری قفل‌شده می‌شود.
- ذخیره‌ی بی‌دقت راز TOTP. راز مشترک باید در پایگاه داده رمزنگاری شود و بعد از راه‌اندازی هرگز دوباره نشان داده نشود.
- اجازه دادن به کاربران برای خاموش کردن 2FA بدون تأیید مجدد. غیرفعال کردن 2FA یا تغییر ایمیل باید رمز عبور و یک کد فعلی بخواهد.
- رمز عبور به‌همراه پرسش امنیتی 2FA حساب می‌شود. نمی‌شود — هر دو چیزی هستند که می‌دانید.
از سازنده‌ی هوش مصنوعی‌تان چه بخواهید
- «احراز هویت دو مرحله‌ای اختیاری با اپ احراز هویت (TOTP) اضافه کن، با QR code برای راه‌اندازی و یک کد تأیید قبل از فعال شدنش.»
- «وقتی 2FA فعال است، ده کد بازیابی یک‌بارمصرف نشان بده. آن‌ها را مثل رمزها به‌صورت هش ذخیره کن.»
- «2FA را روی سرور اجرا کن: تا وقتی عامل دوم تأیید نشده، نشست کامل ساخته نشود.»
- «تعداد تلاش‌های کد را محدود کن و بعد از چند شکست، ورود را ۱۵ دقیقه قفل کن. در آن صورت به کاربر ایمیل بفرست.»
- «برای حساب‌های مدیر 2FA را الزامی کن.»
- «قبل از غیرفعال کردن 2FA یا تغییر ایمیل حساب، رمز عبور و یک کد فعلی بخواه.»
- «از یک کتابخانه‌ی شناخته‌شده یا 2FA داخلی ارائه‌دهنده‌ی احراز هویت‌مان استفاده کن — خودت رمزنگاری را ننویس.»
- «بگو از کدام روش استفاده کردی و رازها کجا ذخیره می‌شوند.»
اگر از یک ارائه‌دهنده‌ی احراز هویت میزبانی‌شده استفاده می‌کنید، بررسی کنید که آیا از قبل 2FA یا پسکی ارائه می‌دهد؛ فعال کردن یک قابلیت داخلی معمولاً امن‌تر از کد سفارشی است. نسخه‌ی گام‌به‌گام در نحوه‌ی افزودن احراز هویت دو مرحله‌ای آمده و احراز هویت چیست مبانی ورود زیر آن را توضیح می‌دهد.
احراز هویت دو مرحله‌ای در Mythex
Mythex یک سیستم ورود داخلی برای کاربران اپ شما ارائه نمی‌دهد، پس 2FA بخشی از هر رویکرد احراز هویتی است که انتخاب می‌کنید — ورود ایمیل و رمز عبور خودتان که با پایگاه داده پروژه پشتیبانی می‌شود، یا یک ارائه‌دهنده‌ی میزبانی‌شده که 2FA دارد. آن را در چت از عامل بخواهید و هر کلید ارائه‌دهنده در بخش اسرار پروژه ذخیره می‌شود، نه در خود چت. دستور آموزشی افزودن ورود به اپ شما یک پرامپت شروع دارد که می‌توانید تطبیقش دهید، و امنیت برای اپ‌هایی که می‌سازید عادت‌های مربوط به کلیدها را توضیح می‌دهد. قبل از انتشار، چک‌لیست امنیتی برای اپ‌های ساخته‌شده با هوش مصنوعی را مرور کنید.
پرسش‌ها
احراز هویت دو مرحله‌ای به زبان ساده چیست؟
احراز هویت دو مرحله‌ای (2FA) یعنی برای ورود دو نوع مدرک متفاوت لازم است، معمولاً رمز عبور و یک کد از گوشی یا یک کلید امنیتی. کسی که فقط رمز عبور شما را بدزدد، باز هم نمی‌تواند وارد شود.
آیا 2FA همان MFA است؟
تقریباً. احراز هویت چندعاملی (MFA) یعنی دو عامل یا بیشتر؛ احراز هویت دو مرحله‌ای رایج‌ترین حالت آن با دقیقاً دو عامل است. در استفاده‌ی روزمره این دو اصطلاح به جای هم به کار می‌روند.
آیا احراز هویت دو مرحله‌ای با پیامک امن است؟
خیلی بهتر از رمز عبور تنها است، اما ضعیف‌ترین گزینه‌ی رایج است. پیامک‌ها ممکن است با SIM swapping رهگیری یا به مقصد دیگری هدایت شوند، و یک صفحه‌ی ورود جعلی می‌تواند کاربر را وادار کند کد را تایپ کند. اپ‌های احراز هویت قوی‌ترند و پسکی‌ها یا کلیدهای امنیتی از همه قوی‌ترند.
آیا اپ من به احراز هویت دو مرحله‌ای نیاز دارد؟
اگر حساب‌ها پول، داده‌ی خصوصی یا قدرت مدیریتی روی دیگر کاربران دارند، ارائه‌ی 2FA ایده‌ی خوبی است و الزامی کردنش برای مدیران رایج است. برای یک اپ ساده‌ی سرگرمی می‌تواند اختیاری باشد یا به بعد موکول شود.
اگر کاربر گوشی‌اش را گم کند چه می‌شود؟
کدهای بازیابی برای همین هستند: فهرست کوتاهی از کدهای پشتیبان یک‌بارمصرف که هنگام فعال کردن 2FA نشان داده می‌شوند. بدون آن‌ها، بازیابی معمولاً نیازمند تأیید هویت دستی توسط مالک اپ است، پس قبل از انتشار برایش برنامه بریزید.