رمز عبور قوی و تایید دو مرحله ای

نردبانی که همه روی یکی از پله هایش ایستاده اند

امنیت یک حساب حالت دوتایی ندارد که یا داشته باشید یا نداشته باشید. یک نردبان است، و هر کسی همین حالا روی یکی از پله هایش ایستاده. پله پایین یک رمز است که روی چند سایت تکرار شده. پله بالا کلید عبور است، جایی که اصلا رمزی برای دزدیدن وجود ندارد.

این نگاه یک فایده عملی دارد. کسی که فکر می کند باید همه چیز را یک شبه درست کند معمولا هیچ کاری نمی کند و همان جا می ماند. کسی که یک پله بالا می رود، همان شب وضعیتش از دیشب بهتر است.

ترتیب پله ها هم دلبخواه نیست. رمز تکراری بدترین حالت است، بدتر از رمز کوتاه، و دلیلش ربطی به قدرت خود رمز ندارد. رمز تکراری یعنی امنیت حساب شما به ضعیف ترین سایتی گره خورده که در آن ثبت نام کرده اید؛ آن انجمن قدیمی که سال ها به روزرسانی نشده و روزی فهرست کاربرانش بیرون می ریزد. آن روز، رمز شما دیگر یک راز نیست و کسی هم لازم نیست چیزی را بشکند.

پله دوم یکتا بودن است، پله سوم طول، و بعد ابزاری که یکتا بودن را ممکن می کند. مدیر رمز عبور جای پله دوم نمی نشیند؛ چیزی است که پله دوم را قابل اجرا می کند، چون هیچ آدمی هفتاد رمز یکتا را به خاطر نمی سپارد.

و بعد از رمز، لایه دوم. تایید دو مرحله ای یعنی حتی اگر رمز لو برود، لو رفتنش به تنهایی کافی نیست. این جمله ساده به نظر می رسد و کل ارزش این درس در همان است: کاری کنید که یک اشتباه، آخرین اشتباه نباشد.

چرا طول رمز از پیچیدگی اش مهم تر است

سال ها به همه گفتند رمز باید حرف بزرگ و کوچک و عدد و علامت داشته باشد. نتیجه اش رمزهایی شد که هم آدم به سختی به خاطر می آورد و هم کامپیوتر به سختی نمی شکند، یعنی بدترین ترکیب ممکن. P@ssw0rd! دقیقا همان الگویی است که هر فهرست حدس زدنی اول از همه امتحان می کند.

دلیل ریاضی اش ساده است. هر کاراکتری که به رمز اضافه می کنید، تعداد حالت های ممکن را در اندازه الفبا ضرب می کند. اضافه کردن یک علامت به یک رمز هشت حرفی، فقط الفبا را کمی بزرگ می کند. اضافه کردن چهار حرف دیگر، کل فضا را چند مرتبه بزرگ تر می کند. طول همیشه برنده است، و این تازه وقتی است که حمله کور باشد؛ اگر رمز از یک الگوی آشنا ساخته شده باشد، هیچ کدام از این حساب ها اصلا برقرار نیست.

این حرف سلیقه ما نیست. راهنمای NIST SP 800-63B، که همان استاندارد احراز هویت دولت آمریکاست، سه چیز را صریح نوشته و هر سه خلاف چیزی است که اکثر سایت های ایرانی اجرا می کنند: کف طول برای رمزی که تنها عامل ورود است ۱۵ کاراکتر است و وقتی رمز کنار یک عامل دوم می نشیند ۸ کاراکتر؛ سرویس دهنده اجازه ندارد ترکیب حرف و عدد و علامت را اجبار کند؛ و اجازه ندارد کاربر را وادار به تعویض دوره ای رمز کند، مگر شواهدی از لو رفتن باشد.

یک نکته که معمولا از قلم می افتد و مهم است: این متن الزام هایی روی سرویس دهنده می گذارد، نه روی شما. یعنی نمی گوید رمز شما باید ۱۵ کاراکتر باشد؛ می گوید سایتی که فقط با رمز وارد می شوید حق ندارد کمتر از ۱۵ کاراکتر را بپذیرد. نتیجه کاربری اش را اما می شود بی خطر استنتاج کرد: اگر جایی تایید دو مرحله ای ندارید، رمز کوتاه کافی نیست.

راه عملی رسیدن به طول، عبارت عبور است. چهار یا پنج کلمه بی ربط که فقط شما کنار هم می گذارید، به راحتی از بیست حرف رد می شود و به خاطر سپردنش از یک رمز هشت حرفی شلوغ آسان تر است. یک شرط دارد: کلمه ها باید واقعا تصادفی انتخاب شوند. یک مصرع شعر یا یک ضرب المثل، هر چقدر هم بلند، همان اول در فهرست ها هست.

مدیر رمز عبور را بدون تعارف بررسی کنیم

مدیر رمز یک برنامه است که رمزها را رمزگذاری شده نگه می دارد و با یک رمز اصلی باز می شود. کاری که واقعا انجام می دهد این نیست که رمزها را «امن» کند؛ این است که یکتا بودن را از یک آرزو به یک کار روزمره تبدیل کند. تا وقتی رمزها را باید به خاطر بسپارید، تکرارشان می کنید، چون چاره دیگری ندارید.

حالا طرف دیگرش، که فروشنده ها نمی گویند. مدیر رمز یک نقطه شکست واحد می سازد. همه چیز پشت یک رمز اصلی می رود و اگر آن یکی لو برود، همه شان با هم لو رفته اند. این ایراد واقعی است و پاسخ دادن به آن با «نگران نباشید» بی معنی است.

سه کاری که این ایراد را قابل تحمل می کند، و هر سه لازم اند. اول، رمز اصلی باید یک عبارت عبور بلند باشد که هیچ جای دیگری استفاده نشده. دوم، روی خود مدیر رمز باید تایید دو مرحله ای روشن باشد؛ همان چیزی که در بخش بعد می آید و اینجا از هر جای دیگری مهم تر است. سوم، باید بدانید اگر رمز اصلی را فراموش کنید چه اتفاقی می افتد. در بیشتر این برنامه ها جواب این است که هیچ کس نمی تواند کمکتان کند، چون خود شرکت هم رمز اصلی را ندارد. این ویژگی است، نه نقص، ولی باید قبل از اتفاق بدانیدش.

موضع ما ساده است: مدیر رمز، با تمام این حرف ها، از حالت فعلی اکثر آدم ها امن تر است، چون حالت فعلی اکثر آدم ها یک رمز روی هفتاد سایت است. اما اگر کسی به شما بگوید مدیر رمز خطر را صفر می کند، دارد چیزی می فروشد.

یک نکته آخر که کم گفته می شود: مدیر رمز داخل مرورگر، با همه محدودیت هایش، از تکرار رمز به مراتب بهتر است. بحث «کدام برنامه» تنها وقتی معنی دارد که پله دوم را رفته باشید. اگر هنوز نرفته اید، هر کدام که همین امشب واقعا استفاده اش می کنید، همان بهترین است.

کدام نوع تایید دو مرحله ای واقعا امن تر است

«تایید دو مرحله ای را روشن کنید» جمله درستی است که نصف حقیقت را می گوید. چهار نوع رایجش امنیت یکسانی ندارند و فاصله شان کم نیست.

پیامک ضعیف ترین است. همان راهنمای NIST که در بالا آمد، فهرستی از روش های محدودشده دارد و در نسخه ای که ما خواندیم فقط یک عضو دارد: استفاده از شبکه تلفن برای فرستادن کد. یعنی نهاد استانداردگذار، از میان همه روش ها، دقیقا همین یکی را علامت زده است. دلیلش هم این است که شماره تلفن، خودش یک حساب دیگر نزد اپراتور است و می شود آن را جابه جا کرد.

کد اپ کد ساز، همان شش رقمی که هر سی ثانیه عوض می شود، پله ای بالاتر است. اینجا هیچ چیز از شبکه تلفن رد نمی شود و کد روی خود گوشی ساخته می شود. ولی یک ضعف ساختاری دارد که کمتر گفته می شود: کد قابل خواندن و قابل تکرار است. اگر شما آن را در یک صفحه جعلی وارد کنید، کسی که آن صفحه را ساخته می تواند در همان سی ثانیه همان کد را در سایت واقعی وارد کند. اپ نمی داند شما کجا هستید.

تایید با اعلان، همان که «بله، من هستم» می زنید، از نظر امنیتی نزدیک به کد اپ است ولی یک ضعف انسانی اضافه دارد: وقتی اعلان ها پشت سر هم می آیند، آدم خسته می شود و یکی را از سر بی حوصلگی تایید می کند. هر جا که سرویس نشان می دهد عدد روی صفحه را باید در گوشی انتخاب کنید، همان حالت را انتخاب کنید؛ این کار همان تایید بی فکر را از بین می برد.

کلید سخت افزاری و کلید عبور از یک جنس دیگرند و تفاوتشان با بقیه فقط «قوی تر» نیست. اینها به آدرس سایت گره می خورند. NIST اسم این خاصیت را مقاومت در برابر فیشینگ گذاشته و مکانیزمش را هم توضیح داده: امضایی که کلید تولید می کند به هویت همان سایتی بسته است که کلید با آن حرف می زند، پس صفحه جعلی چیزی می گیرد که در سایت واقعی به درد نمی خورد. این تنها دسته ای است که مشکل «کد را در جای اشتباه وارد کردم» را از ریشه حل می کند، نه اینکه سخت ترش کند.

و در تمام این رتبه بندی، یک جمله را فراموش نکنید: پیامک از هیچ بهتر است. اگر یک سایت فقط پیامک دارد، روشنش کنید. بحث انتخاب بین گزینه هاست، نه بهانه ای برای نداشتن هیچ کدام.

کلید عبور چیست و چه چیزی را عوض می کند

کلید عبور یا passkey، به جای یک رمز مشترک، یک جفت کلید می سازد. نیمه خصوصی روی دستگاه شما می ماند و هرگز بیرون نمی رود؛ نیمه عمومی نزد سایت ذخیره می شود. موقع ورود، سایت یک چالش می فرستد، دستگاه شما آن را با نیمه خصوصی امضا می کند، و سایت امضا را با نیمه عمومی بررسی می کند. چیزی که رد و بدل می شود، یک راز قابل استفاده مجدد نیست.

دو نتیجه از همین یک تغییر بیرون می آید و هر دو مهم اند. اول اینکه سایت دیگر رازی ندارد که لو برود؛ اگر پایگاه داده اش بیرون بریزد، کلیدهای عمومی به درد کسی نمی خورند. دوم اینکه صفحه جعلی به جایی نمی رسد، چون امضا به آدرس همان سایت گره خورده است. همان مقاومت در برابر فیشینگ که در بخش قبل گفتیم، اینجا حالت پیش فرض است نه یک قابلیت اضافه.

حالا بخشی که کمتر گفته می شود. NIST برای این خانواده یک پیوست جدا دارد و عنوانش مصادق های همگام شونده است، یعنی کلیدهایی که بین دستگاه های شما همگام می شوند. همگام شدن همان چیزی است که کلید عبور را قابل استفاده می کند و همان چیزی است که یک نقطه جدید می سازد: امنیت کلیدهای شما به امنیت همان حساب ابری گره می خورد که آنها را همگام می کند. یعنی حساب اپل یا گوگل یا مدیر رمزتان، خودش باید بالاترین محافظت را داشته باشد.

وضعیت امروزش را هم صادقانه بگوییم. کلید عبور همه جا در دسترس نیست و در ایران بخشی از سرویس هایی که پشتیبانی می کنند اصلا باز نمی شوند. تازه وقتی هم در دسترس باشد، تقریبا همیشه رمز قدیمی به عنوان راه جایگزین باقی می ماند، و تا وقتی آن راه باز است، امنیت حساب هنوز به رمز و به مسیر بازیابی گره خورده. پس کلید عبور را جایی که هست روشن کنید، و رمز پشت سرش را هم یکتا و بلند نگه دارید.

اگر فقط یک ساعت وقت دارید، از کجا شروع کنید

همه حساب ها ارزش یکسان ندارند و رفتار با آنها هم نباید یکسان باشد. ترتیب درست از روی یک سوال ساده درمی آید: اگر این حساب برود، چه چیزهای دیگری با آن می روند؟

ایمیل اصلی اول است، بدون رقیب. ایمیل جایی است که دکمه «رمزم را فراموش کرده ام» تمام سایت های دیگر به آن ختم می شود، پس هر کس ایمیل را داشته باشد بقیه را هم دارد. بعد از آن، اگر سایت دارید، حساب ثبت دامنه و بعد کنترل پنل هاست؛ اینها هم به همان دلیل در بالای فهرست اند و نه به خاطر ارزش ریالی شان. بعد بانک و درگاه پرداخت، بعد شبکه های اجتماعی که آبروی کاری رویشان است، و بعد بقیه.

روی همین چهار پنج تای اول، سه کار را همین امشب انجام بدهید: رمز را یکتا و بلند کنید، بهترین تایید دو مرحله ای که آن سرویس دارد را روشن کنید، و کدهای بازیابی را بگیرید و جایی خارج از همان دستگاه نگه دارید. کد بازیابی همان چیزی است که همه رد می کنند و بعدا برایش پول می دهند.

یک کار چهارم هم هست که کمتر کسی می گوید: در تنظیمات هر کدام از این حساب ها، فهرست جلسه های فعال و دستگاه های متصل را باز کنید و هرچه را نمی شناسید بیرون بیندازید. ورود قدیمی یک گوشی که دو سال پیش فروخته اید، هنوز یک در باز است.

بقیه حساب ها را می شود در ماه های بعد و بی عجله درست کرد. مهم این است که دو حساب اول، امشب درست شوند.