رد کردن پیوندها

احراز هویت دو مرحله‌ای برای ورود به سایت

احراز هویت دو مرحله‌ای (Two-Factor Authentication – 2FA) که گاهی به عنوان احراز هویت دو مرحله‌ای یا احراز هویت دوگانه نیز شناخته می‌شود، یک فرآیند امنیتی است که در آن کاربران دو عامل احراز هویت متفاوت را برای تأیید هویت خود ارائه می‌دهند.

هدف از اجرای احراز هویت دو مرحله‌ای، محافظت بهتر از اعتبارنامه‌های کاربران و منابع قابل دسترسی آنها است. این روش سطح امنیتی بالاتری نسبت به روش‌های احراز هویت یک مرحله‌ای (SFA) ارائه می‌دهد، جایی که کاربران تنها یک عامل، معمولاً یک رمز عبور یا کد، را ارائه می‌دهند. روش‌های احراز هویت دو مرحله‌ای به یک رمز عبور به عنوان اولین عامل و یک عامل متفاوت دیگر، مانند یک توکن امنیتی یا عامل بیومتریک (اثر انگشت یا اسکن چهره) به عنوان عامل دوم تکیه می‌کنند.

احراز هویت دو مرحله‌ای یک لایه امنیتی اضافی به فرآیند احراز هویت اضافه می‌کند و دسترسی مهاجمان به دستگاه‌ها یا حساب‌های آنلاین کاربران را دشوارتر می‌سازد؛ زیرا حتی اگر رمز عبور قربانی فاش شود، رمز عبور به تنهایی برای عبور از بررسی احراز هویت کافی نیست.

احراز هویت دو مرحله‌ای مدت‌ها است که برای کنترل دسترسی به سیستم‌ها و داده‌های حساس مورد استفاده قرار می‌گیرد. ارائه‌دهندگان خدمات آنلاین به طور فزاینده‌ای از این روش برای محافظت از اعتبارنامه‌های کاربران در برابر هکرها استفاده می‌کنند، به‌ویژه در مواردی که پایگاه داده‌های رمز عبور سرقت شده یا از حملات فیشینگ بهره‌برداری می‌شود.

عوامل احراز هویت

روش‌های مختلفی برای احراز هویت افراد با استفاده از بیش از یک روش وجود دارد. امروزه بیشتر روش‌های احراز هویت به عوامل دانشی، مانند رمز عبور سنتی، متکی هستند؛ در حالی که روش‌های احراز هویت دو مرحله‌ای یک عامل دانشی به همراه یکی از عوامل دارایی یا وراثتی اضافه می‌کنند.

عوامل احراز هویت به ترتیب حدودی پذیرش در حوزه محاسبات عبارتند از:

  • عامل دانشی: چیزی که کاربر می‌داند، مانند رمز عبور، شماره شناسایی شخصی (PIN) یا یک نوع راز مشترک دیگر.
  • عامل دارایی: چیزی که کاربر دارد، مانند کارت شناسایی، توکن امنیتی، تلفن همراه یا اپلیکیشن گوشی هوشمند برای تأیید درخواست احراز هویت.
  • عامل بیومتریک (وراثتی): ویژگی‌های ذاتی کاربر، مانند اثر انگشت یا اسکن چهره که از طریق یک دستگاه خوانش اثر انگشت تأیید می‌شود. سایر عوامل وراثتی رایج شامل تشخیص چهره و صدا یا بیومتریک‌های رفتاری مانند دینامیک ضربه زدن به کلید، نحوه راه رفتن یا الگوهای گفتاری هستند.
  • عامل مکانی: معمولاً بر اساس موقعیت مکانی است که از آن تلاش برای احراز هویت صورت می‌گیرد. این عامل می‌تواند با محدود کردن تلاش‌های احراز هویت به دستگاه‌های خاص در یک مکان خاص یا با ردیابی منبع جغرافیایی تلاش برای احراز هویت بر اساس آدرس پروتکل اینترنت (IP) یا سایر اطلاعات مکان‌یابی جغرافیایی مانند داده‌های سیستم موقعیت‌یابی جهانی (GPS) حاصل از تلفن همراه کاربر یا دستگاه دیگر، اجرا شود.
  • عامل زمانی: تلاش‌های احراز هویت کاربر را به یک بازه زمانی خاص محدود می‌کند و دسترسی به سیستم را خارج از آن بازه زمانی محدود می‌سازد.

اکثر روش‌های احراز هویت دو مرحله‌ای به سه عامل اول تکیه می‌کنند، اگرچه سیستم‌هایی که امنیت بیشتری نیاز دارند، می‌توانند برای احراز هویت ایمن‌تر از احراز هویت چند عاملی (MFA) استفاده کنند که می‌تواند به دو یا چند اعتبار مستقل متکی باشد.

احراز هویت دو مرحله‌ای چگونه کار می‌کند؟

اجرای احراز هویت دو مرحله‌ای بسته به برنامه یا فروشنده خاص متفاوت است، اما فرآیندهای احراز هویت دو مرحله‌ای به‌طور کلی شامل مراحل زیر می‌شوند:

  1. ورود به برنامه یا وب‌سایت: کاربر توسط برنامه یا وب‌سایت برای ورود به سیستم هدایت می‌شود.
  2. ورود نام کاربری و رمز عبور: کاربر چیزی را که می‌داند وارد می‌کند، معمولاً نام کاربری و رمز عبور. سپس سرور وب‌سایت تطابق را پیدا می‌کند و کاربر را شناسایی می‌کند.
  3. تولید کلید امنیتی: برای فرآیندهایی که به رمز عبور نیاز ندارند، وب‌سایت یک کلید امنیتی منحصربه‌فرد برای کاربر تولید می‌کند. ابزار احراز هویت کلید را پردازش می‌کند و سرور وب‌سایت آن را تأیید می‌نماید.
  4. تأیید عامل دوم: سپس وب‌سایت از کاربر می‌خواهد که مرحله دوم ورود را آغاز کند. اگرچه این مرحله می‌تواند به اشکال مختلف انجام شود، کاربر باید ثابت کند که چیزی را دارد که فقط او می‌تواند داشته باشد، مانند بیومتریک، توکن امنیتی، کارت شناسایی، گوشی هوشمند یا دستگاه موبایل دیگر. این مرحله شامل عامل وراثتی یا دارایی است.
  5. وارد کردن کد یکبار مصرف: سپس ممکن است کاربر نیاز به وارد کردن کد یکبار مصرفی داشته باشد که در مرحله چهارم تولید شده است.
  6. دسترسی به برنامه یا وب‌سایت: پس از ارائه هر دو عامل، کاربر احراز هویت شده و دسترسی به برنامه یا وب‌سایت داده می‌شود.

اجزای احراز هویت دو مرحله‌ای

احراز هویت دو مرحله‌ای نوعی احراز هویت چند عاملی (MFA) است. از نظر فنی، هر زمان که دو عامل احراز هویت برای دسترسی به سیستم یا خدمات نیاز باشد، این روش در حال استفاده است. با این حال، استفاده از دو عامل از یک دسته به معنای واقعی احراز هویت دو مرحله‌ای نیست. به عنوان مثال، درخواست رمز عبور و یک راز مشترک همچنان به عنوان احراز هویت یک مرحله‌ای (SFA) محسوب می‌شود، زیرا هر دو به دسته عوامل دانشی تعلق دارند.

انواع محصولات احراز هویت دو مرحله‌ای

محصولات احراز هویت دو مرحله‌ای را می‌توان به دو دسته تقسیم کرد:

  1. توکن‌های ارائه شده به کاربران برای استفاده در هنگام ورود به سیستم
  2. زیرساخت یا نرم‌افزاری که دسترسی به کاربرانی که توکن‌ها را به درستی استفاده می‌کنند، تشخیص داده و احراز هویت می‌کند

توکن‌های احراز هویت ممکن است دستگاه‌های فیزیکی مانند کارت‌های هوشمند یا کلید فوب باشند یا به صورت نرم‌افزاری به عنوان برنامه‌های موبایل یا دسکتاپی وجود داشته باشند که کدهای PIN برای احراز هویت تولید کنند. این کدهای احراز هویت که به عنوان رمزهای عبور یکبار مصرف (OTP) نیز شناخته می‌شوند، معمولاً توسط سرور تولید می‌شوند و توسط دستگاه یا برنامه احراز هویت به عنوان معتبر شناخته می‌شوند. کد احراز هویت یک دنباله کوتاه است که به یک دستگاه، کاربر یا حساب خاص متصل می‌شود و فقط یکبار به عنوان بخشی از فرآیند احراز هویت استفاده می‌شود.

سازمان‌ها باید سیستمی را برای پذیرش، پردازش و اجازه یا رد دسترسی به کاربران در حال احراز هویت با توکن‌های خود مستقر کنند. این سیستم ممکن است به صورت نرم‌افزار سرور یا یک سرور سخت‌افزاری اختصاصی مستقر شود یا توسط یک فروشنده شخص ثالث به عنوان یک سرویس ارائه گردد.

یک جنبه مهم احراز هویت دو مرحله‌ای این است که کاربر احراز هویت شده به تمام منابع مورد تأیید و تنها آن منابع دسترسی داشته باشد. در نتیجه، یکی از وظایف کلیدی احراز هویت دو مرحله‌ای اتصال سیستم احراز هویت به داده‌های احراز هویت یک سازمان است.

نحوه کار توکن‌های سخت‌افزاری احراز هویت دو مرحله‌ای

توکن‌های سخت‌افزاری برای احراز هویت دو مرحله‌ای در دسترس هستند و از رویکردهای مختلفی برای احراز هویت پشتیبانی می‌کنند. یکی از توکن‌های سخت‌افزاری محبوب، یوبی‌کی (YubiKey) است، یک دستگاه کوچک USB که از رمزهای عبور یکبار مصرف، رمزنگاری کلید عمومی و احراز هویت و پروتکل دومین عامل (U2F) توسعه‌یافته توسط FIDO Alliance پشتیبانی می‌کند.

هنگامی که کاربران دارای YubiKey در یک سرویس آنلاین که از رمزهای عبور یکبار مصرف پشتیبانی می‌کند، مانند Gmail، GitHub یا WordPress، وارد سیستم می‌شوند، یوبی‌کی خود را در پورت USB دستگاه قرار می‌دهند، رمز عبور خود را وارد می‌کنند، روی فیلد یوبی‌کی کلیک می‌کنند و دکمه یوبی‌کی را لمس می‌کنند. یوبی‌کی یک رمز عبور یکبار مصرف تولید کرده و آن را در فیلد وارد می‌کند.

رمز عبور یکبار مصرف یک رمز عبور ۴۴ کاراکتری یکبار مصرف است؛ اولین ۱۲ کاراکتر یک شناسه منحصر به فرد هستند که نشان‌دهنده کلید امنیتی ثبت‌شده با حساب کاربر است. ۳۲ کاراکتر باقی‌مانده حاوی اطلاعاتی هستند که با استفاده از کلیدی که فقط دستگاه و سرورهای یوبیکو (Yubico) می‌شناسند، رمزنگاری شده‌اند.

رمز عبور یکبار مصرف از سرویس آنلاین به یوبیکو برای بررسی احراز هویت ارسال می‌شود. پس از تأیید رمز عبور یکبار مصرف، سرور احراز هویت یوبیکو پیامی بازمی‌گرداند که نشان می‌دهد این رمز عبور برای این کاربر صحیح است. احراز هویت دو مرحله‌ای کامل است. کاربر دو عامل احراز هویت را ارائه داده است: رمز عبور به عنوان عامل دانشی و یوبی‌کی به عنوان عامل دارایی.

احراز هویت دو مرحله‌ای برای دستگاه‌های موبایل

گوشی‌های هوشمند قابلیت‌های احراز هویت دو مرحله‌ای متنوعی را ارائه می‌دهند که به شرکت‌ها امکان می‌دهد از آنچه برایشان بهتر است، استفاده کنند. برخی از دستگاه‌ها می‌توانند اثر انگشت را شناسایی کنند، از دوربین داخلی برای تشخیص چهره یا اسکن عنبیه استفاده کنند و از میکروفون برای تشخیص صدا بهره ببرند. گوشی‌های هوشمند مجهز به GPS می‌توانند به عنوان یک عامل اضافی مکان را تأیید کنند. همچنین صدا یا سرویس پیام کوتاه (SMS) می‌تواند به عنوان یک کانال برای احراز هویت خارج از باند استفاده شود.

شماره تلفن مورد اعتماد می‌تواند برای دریافت کدهای تأیید از طریق پیام کوتاه یا تماس تلفنی خودکار استفاده شود. یک کاربر باید حداقل یک شماره تلفن مورد اعتماد را برای ثبت‌نام در احراز هویت دو مرحله‌ای موبایل تأیید کند.

اپلیکیشن‌های Apple iOS، Google Android و Windows 10 همگی از احراز هویت دو مرحله‌ای پشتیبانی می‌کنند و خود گوشی را به عنوان دستگاه فیزیکی برای تأیید عامل دارایی ارائه می‌کنند. شرکت Duo Security مستقر در آن آربور، میشیگان و خریداری‌شده توسط سیسکو در سال ۲۰۱۸ با مبلغ ۲.۳۵ میلیارد دلار، پلتفرمی دارد که به مشتریان امکان می‌دهد از دستگاه‌های مورد اعتماد خود برای احراز هویت دو مرحله‌ای استفاده کنند. پلتفرم Duo ابتدا تأیید می‌کند که یک کاربر مورد اعتماد است و سپس دستگاه موبایل را به عنوان یک عامل احراز هویت تأیید می‌کند.

اپلیکیشن‌های احراز هویت جایگزین نیاز به دریافت کد تأیید از طریق پیام کوتاه، تماس صوتی یا ایمیل می‌شوند. به عنوان مثال، برای دسترسی به یک وب‌سایت یا سرویس مبتنی بر وب که از Google Authenticator پشتیبانی می‌کند، کاربران نام کاربری و رمز عبور خود را وارد می‌کنند، این یک عامل دانشی است. سپس از کاربران خواسته می‌شود یک عدد شش رقمی وارد کنند. به جای انتظار چند ثانیه‌ای برای دریافت پیام کوتاه، یک اپلیکیشن احراز هویت این عدد را برای آنها تولید می‌کند. این اعداد هر ۳۰ ثانیه تغییر می‌کنند و برای هر ورود متفاوت هستند. با وارد کردن عدد صحیح، کاربران فرآیند تأیید را تکمیل کرده و مالکیت دستگاه صحیح را ثابت می‌کنند.

اعلانیه‌های فشاری برای احراز هویت دو مرحله‌ای

اعلانیه فشاری (Push Notification) یک احراز هویت بدون رمز عبور است که کاربر را با ارسال یک اعلان مستقیماً به یک برنامه امن در دستگاه کاربر تأیید می‌کند و به کاربر اطلاع می‌دهد که یک تلاش برای احراز هویت در حال انجام است. کاربر می‌تواند جزئیات تلاش برای احراز هویت را مشاهده کرده و دسترسی را با یک لمس ساده تأیید یا رد کند. اگر کاربر درخواست احراز هویت را تأیید کند، سرور درخواست را دریافت کرده و کاربر را به برنامه وب وارد می‌کند.

اعلانیه‌های فشاری کاربر را با تأیید اینکه دستگاه ثبت‌شده با سیستم احراز هویت در اختیار کاربر است، تأیید می‌کنند. اگر مهاجم دستگاه را به خطر بیندازد، اعلانیه‌های فشاری نیز به خطر می‌افتند. اعلانیه‌های فشاری تهدیداتی مانند حملات مرد میانی (man-in-the-middle)، دسترسی غیرمجاز و حملات مهندسی اجتماعی را از بین می‌برند.

آیا احراز هویت دو مرحله‌ای امن است؟

در حالی که احراز هویت دو مرحله‌ای امنیت را بهبود می‌بخشد، سیستم‌های 2FA تنها به اندازه ضعیف‌ترین جزء خود ایمن هستند. به عنوان مثال، توکن‌های سخت‌افزاری به امنیت صادرکننده یا سازنده وابسته‌اند. یکی از برجسته‌ترین موارد به خطر افتادن سیستم احراز هویت دو مرحله‌ای در سال ۲۰۱۱ رخ داد، زمانی که شرکت امنیتی RSA اعلام کرد که توکن‌های احراز هویت SecurID آنها هک شده است.

فرآیند بازیابی حساب نیز می‌تواند هنگام استفاده برای شکست احراز هویت دو مرحله‌ای، از کار بیفتد؛ زیرا اغلب رمز عبور فعلی کاربر را بازنشانی کرده و یک رمز عبور موقتی را برای ورود دوباره ایمیل می‌کند که فرآیند 2FA را دور می‌زند. حساب‌های تجاری جیمیل مدیرعامل Cloudflare به این روش هک شد.

اگرچه احراز هویت دو مرحله‌ای مبتنی بر پیامک ارزان‌قیمت، آسان برای پیاده‌سازی و کاربرپسند در نظر گرفته می‌شود، اما در برابر حملات مختلف آسیب‌پذیر است. موسسه ملی استاندارد و فناوری (NIST) در نشریه ویژه ۸۰۰-۶۳-۳ با عنوان دستورالعمل‌های هویت دیجیتال، استفاده از پیامک را در خدمات احراز هویت دو مرحله‌ای منع کرده است. NIST نتیجه گرفته است که رمزهای عبور یکبار مصرف ارسال‌شده از طریق پیامک به دلیل حملات به شبکه تلفن همراه، نرم‌افزارهای مخرب و حملات به جابه‌جایی شماره تلفن بسیار آسیب‌پذیر هستند.

آینده احراز هویت

محیط‌هایی که امنیت بالاتری نیاز دارند، ممکن است به احراز هویت سه مرحله‌ای علاقه‌مند باشند که معمولاً شامل داشتن یک توکن فیزیکی و یک رمز عبور در کنار داده‌های بیومتریک، مانند اسکن اثر انگشت یا تشخیص صدا، می‌شود. عواملی مانند مکان جغرافیایی، نوع دستگاه و زمان روز نیز برای تعیین اینکه آیا کاربر باید احراز هویت شود یا مسدود گردد، استفاده می‌شوند. علاوه بر این، شناسه‌های بیومتریک رفتاری، مانند طول کلید فشاری، سرعت تایپ و حرکات ماوس، نیز می‌توانند به صورت بی‌سروصدا و در زمان واقعی برای ارائه احراز هویت مستمر به جای یک بررسی احراز هویت در حین ورود به سیستم کنترل شوند.

اتکا به رمز عبور به عنوان روش اصلی احراز هویت، اگرچه رایج است، اما اغلب دیگر امنیت یا تجربه کاربری مورد نیاز شرکت‌ها و کاربرانشان را فراهم نمی‌کند. حتی با وجود ابزارهای امنیتی قدیمی مانند مدیر رمز عبور و احراز هویت چند عاملی که تلاش می‌کنند با مشکلات نام‌های کاربری و رمز عبور مقابله کنند، این ابزارها به یک معماری اساساً منسوخ، یعنی پایگاه داده رمز عبور، متکی هستند.

در نتیجه، بسیاری از سازمان‌ها به احراز هویت بدون رمز عبور روی آورده‌اند. استفاده از روش‌هایی مانند بیومتریک و پروتکل‌های امن به کاربران اجازه می‌دهد تا به طور ایمن در برنامه‌های خود احراز هویت کنند بدون اینکه نیاز به وارد کردن رمز عبور داشته باشند. در کسب‌وکار، این به این معنا است که کارکنان می‌توانند بدون وارد کردن رمز عبور به کار خود دسترسی داشته باشند و IT همچنان کنترل کامل در هر ورود به سیستم را حفظ می‌کند. استفاده از بلاک‌چین، به عنوان مثال از طریق هویت غیرمتمرکز یا هویت مستقل، نیز به عنوان جایگزینی برای روش‌های سنتی احراز هویت توجه زیادی را به خود جلب کرده است.

نکات اصلی درباره احراز هویت دو مرحله‌ای

مزایای احراز هویت دو مرحله‌ای

  • افزایش امنیت: با افزودن لایه دوم احراز هویت، سرقت داده‌ها و دسترسی غیرمجاز به سیستم‌ها دشوارتر می‌شود. حتی اگر رمز عبور کاربر به سرقت رود، عامل دوم برای تکمیل ورود به سیستم ضروری است.
  • حفاظت در برابر حملات مهندسی اجتماعی: بسیاری از حملات مهندسی اجتماعی مانند فیشینگ به سرقت رمزهای عبور متکی هستند، اما احراز هویت دو مرحله‌ای می‌تواند این خطرات را کاهش دهد.
  • حفاظت از دستگاه‌های موبایل: استفاده از احراز هویت دو مرحله‌ای برای دستگاه‌های موبایل به محافظت از اطلاعات شخصی و حرفه‌ای کمک می‌کند.

معایب احراز هویت دو مرحله‌ای

  • تأخیر در ورود به سیستم: افزودن یک مرحله اضافی در فرآیند ورود می‌تواند منجر به زمان ورود طولانی‌تر شود.
  • وابستگی به دستگاه‌های خارجی: اگر توکن یا دستگاه احراز هویت خود را گم کنید یا تلفن همراهتان خراب شود، ورود به سیستم دشوار می‌شود.
  • هزینه‌های اضافی: در برخی موارد، پیاده‌سازی احراز هویت دو مرحله‌ای هزینه‌هایی برای خرید توکن‌ها یا زیرساخت‌های مربوطه ایجاد می‌کند.

راهکارهای بهبود امنیت احراز هویت دو مرحله‌ای

  • استفاده از احراز هویت چند مرحله‌ای (MFA): استفاده از سه یا چهار عامل احراز هویت می‌تواند به افزایش امنیت کمک کند.
  • آموزش کاربران: به کاربران بیاموزید که چگونه توکن‌های امنیتی خود را مدیریت کرده و از رمزهای عبور قوی و منحصر به فرد استفاده کنند.
  • جلوگیری از فیشینگ: از ابزارهای پیشرفته برای شناسایی و جلوگیری از حملات فیشینگ استفاده کنید و کاربران را به‌صورت مداوم آگاه کنید.
  • اعتماد به توکن‌های سخت‌افزاری معتبر: توکن‌های سخت‌افزاری از شرکت‌های معتبر خریداری کنید و مطمئن شوید که تولیدکنندگان آنها به‌خوبی امنیت توکن‌ها را تضمین می‌کنند.

احراز هویت بدون رمز عبور

احراز هویت بدون رمز عبور رویکردی است که کاربران را قادر می‌سازد تا بدون وارد کردن رمز عبور به سیستم‌ها دسترسی داشته باشند. این روش با استفاده از بیومتریک، توکن‌های سخت‌افزاری و سایر فناوری‌های امن انجام می‌شود.

مزایای احراز هویت بدون رمز عبور

  • تجربه کاربری بهتر: کاربران می‌توانند بدون وارد کردن رمز عبور به حساب‌های خود دسترسی پیدا کنند، که تجربه کاربری بهتری را فراهم می‌کند.
  • کاهش خطرات امنیتی: حذف رمزهای عبور به معنای کاهش خطرات مرتبط با سرقت یا ضعف رمزهای عبور است.
  • کاهش هزینه‌های پشتیبانی: نیازی به بازنشانی رمزهای عبور فراموش‌شده یا رسیدگی به مشکلات مرتبط با رمزهای عبور نیست.

چالش‌های احراز هویت بدون رمز عبور

  • سازگاری: بسیاری از سیستم‌ها و برنامه‌های قدیمی هنوز به رمز عبور به عنوان روش اصلی احراز هویت وابسته‌اند.
  • هزینه‌های اولیه: پیاده‌سازی زیرساخت‌های احراز هویت بدون رمز عبور ممکن است در ابتدا هزینه‌بر باشد.
  • آگاهی کاربران: برخی کاربران به استفاده از رمز عبور عادت کرده‌اند و ممکن است نسبت به روش‌های جدید مقاومت نشان دهند.

نتیجه‌گیری

احراز هویت دو مرحله‌ای (2FA) و احراز هویت چند مرحله‌ای (MFA) به‌عنوان لایه‌های امنیتی اضافی، نقشی حیاتی در حفاظت از اطلاعات کاربران و منابع حساس ایفا می‌کنند. با افزایش پیچیدگی تهدیدات سایبری، سازمان‌ها باید از راهکارهای به‌روز و امنی مانند احراز هویت بدون رمز عبور یا توکن‌های سخت‌افزاری معتبر استفاده کنند. احراز هویت دو مرحله‌ای برای ورود به سایت یکی از موارد انجام شده در سفارش امنیت سایت است که زیرمجموعه سفارش طراحی سایت می شود. در نهایت، آموزش کاربران و ایجاد آگاهی نسبت به بهترین روش‌های امنیتی به اندازه پیاده‌سازی فناوری‌های پیشرفته اهمیت دارد و می‌تواند به بهبود امنیت کلی کمک کند.