این ابزار ساده و بدون باتری روشی آسان برای بررسی اینکه شخصی که قصد دسترسی به حساب شما را دارد واقعاً خود شما هستید، فراهم می‌کند.

با توجه به اینکه هر روز میزان وابستگی ما به پلتفرم‌های آنلاین برای انجام کارهای حرفه‌ای و ارتباطات اجتماعی بیشتر می‌شود، روزبروز اهمیت اتخاذ راهکارهای قوی‌تر برای امنیت آنلاین بیشتر می‌شود. یکی از مهم‌ترین اقداماتی که می‌توانید برای ایمن سازی سرویس‌های آنلاین انجام دهید، احرازهویت دو مرحله‌ای است. این پروتکل که به اختصار به آن 2FA گفته می‌شود کاربر را برای دسترسی به یک سرویس علاوه بر تایپ کردن پسورد ملزم به ارائه یک اثبات دیگر مبنی بر اینکه او واقعاً مالک حساب است می‌کند. یکی از روش‌های متداول 2FA امروزی استفاده از رمزعبورهای 6 رقمی است که از طریق پیامک به گوشی کاربر ارسال می‌شود. با ارسال این رمزعبور به گوشی، شما آن را به همراه پسوردتان در صفحه لاگین وارد می‌کنید. این رمزعبور در کنار پسوردهایی قوی که با استفاده از ابزارهایی مثل 1Password یا LastPass تولید می‌شود، برای اعتبارسنجی هویت کاربران بسیار کارآمد است.

اما صرف نظر از اینکه یک پسورد چقدر قوی است یا یک وبسایت از چه سطحی از احرازهویت مبتنی بر کد استفاده می‌کند، امکان هک شدن هر سیستمی که کدهایی را با پیامک ارسال می‌کند، توسط مهاجمین ماهر وجود دارد. بهترین روش تنظیم احرازهویت دو مرحله‌ای، استفاده از یک اپلیکیشن امن روی گوشی برای تولید کدهای 6 رقمی یا همراه داشتن یک قطعه سخت افزاری است که بتواند هویت شما را بررسی و تایید کند.

یک نمونه از این سخت افزارها دستگاهی مثل YubiKey است. این ابزار کوچک کلید مانند به کامپیوتر متصل می‌شود و به همراه پسورد شما احرازهویت 2 مرحله‌ای برای ورود به اکانت را تکمیل می‌کند. ممکن است یک هکر به هر نحوی پسورد شما را هک کند یا کدی که برای احرازهویت به موبایلتان ارسال می‌شود را پیدا کند اما به دست آوردن چنین کلید سخت افزاری برای هکرها بسیار سخت و تا حدودی غیرممکن است.

بهتر است که از قبل 2FA را از طریق اپلیکیشن‌هایی مثل Google Authenticator یا Duo Security تنظیم کرده باشید و بعد می‌توانید با استفاده از YubiKey به راحتی احرازهویت را انجام دهید. اگر YubiKey را گم کرده یا مثلاً در منزل جا بگذارید می‌توانید از ابزار مولد کلید امن روی گوشی برای ورود به حسابتان استفاده کنید.

YubiKey چیست؟

YubiKey هم مثل هر وسیله مشابه دیگری یک کلید پلاستیکی و فلزی به ابعاد یک حافظه فلش است. این ابزار به کامپیوتر متصل می‌شود و بعضی مدل‌های آن به گوشی هم وصل می‌شوند. می‌توانید از آن به همراه پسورد برای لاگین به حساب‌های تحت وب خودتان استفاده کنید. این ابزار مثل یک کلید فیزیکی معمولی است که به جای باز کردن قفل در، قفل حساب‌های آنلاین شما را باز می‌کند.

شرکت‌های مختلفی چنین کلیدهایی را تولید می‌کنند و همه آنها تقریباً به یک روش کار می‌کنند. این کلیدها از استاندارد Universal 2nd Factor یا U2F پیروی می‌کنند. این استاندارد یک پیوند خاص بین احرازهویت سخت افزاری با رمزنگاری کلید عمومی – مجموعه ابزارهایی که هک کردن آنها بسیار سخت است – برقرار می‌کند. این کلیدهای U2F فرایند دسترسی به سرویس‌های آنلاین مثل گوگل، فیسبوک، دراپ باکس، ویندوز و مک را ساده‌تر می‌کنند. همچنین از پسورد منیجرهایی مثل Lastpass، Dashlane و Keepass پشتیبانی می‌کنند. می‌توان از کلیدهای U2F برای باز کردن قفل کامپیوترهایی با سیستم عامل ویندوز یا مک از منزل هم استفاده کرد.

کدام مدل را تهیه کنیم؟

مدل‌های مختلفی از کلیدهای U2F وجود دارد که می‌توانید از بین آنها انتخاب کنید؛ همه این کلیدها شبیه یک فلش مموری هستند. ما در این مطلب به YubiKey پرداختیم چون محبوب‌ترین گزینه محسوب می‌شود اما می‌توانید از دستورالعمل‌های زیر با هر کلیدی که از U2F و استاندارد مشابه FIDO2 پشتیبانی می‌کند، استفاده کنید.

این کلیدها که توسط شرکت Yubico تولید شده اند (شرکتی که به تهیه طرح استانداردهای U2F و FIDO2 کمک کرده)، بادوام، ضدآب و بدون باتری هستند. کلیدهای Yubico ظاهری شبیه کلید معمولی دارند که به دسته کلید متصل می‌شود و مدل‌های نانوی آنها طراحی ظریف‌تری دارند و به لپ تاپ متصل می‌شوند. سری YubiKey 4 با سایز کامل 40 تا 60 دلار قیمت دارد و مخصوص پورت‌های USB-A یا USB-C تولید شده اند. YubiKey Neo 50 دلاری هم برای کاربران اندروید تولید شده و با تکنولوژی NFC سازگار است و به کاربر امکان می‌دهد که بر روی گوشی به سرویس‌های آنلاین دسترسی داشته باشد. همچنین می‌توانید آن را به پورت USB-A کامپیوتر یا هر دستگاه دیگری متصل کنید. مدل جدید این کلیدها به نام Security Key هم با قیمت مناسب‌تر و برای پورت‌های USB-A تهیه شده است. این کلید فقط 20 دلار قیمت دارد و با همه سرویس‌هایی که از U2F و FIDO2 پشتیبانی می‌کنند، سازگار است. در نهایت موسسات دولتی یا تحت نظارت دولت هم می‌توانند از YubiKey FIPS استفاده کنند که الزامات قانونی لازم را دارد.

شروع کار

برای کار با YubiKey باید آن را فعال کنید. ابتدا به وبسایت YubiKey مراجعه کرده و مدل YubiKey خودتان را انتخاب کنید. سپس سرویسی را که قصد دارید برای لاگین به آن از YubiKey استفاده کنید، انتخاب کنید. سرویس‌های محبوبی که از U2F و FIDO2 پشتیبانی می‌کنند مثل فیسبوک، گوگل و دراپ باکس در بالای این لیست قرار دارند. گزینه‌های لاگین به سیستم عامل ویندوز و مک هم جزء گزینه‌های اصلی این لیست هستند. می‌توانید YubiKey خودتان را برای استفاده از ابزارهای مدیریت پسورد مثل Dashlane و LastPass و پلتفرم‌های توسعه نرم افزار مثل Github و Bitbucket تنظیم کنید. تقریباً هر سرویسی که می‌توانید با احرازهویت 2 مرحله‌ای غیر پیامکی به آن دسترسی پیدا کنید، امکان اضافه کردن YubiKey به پروتکل لاگین را فراهم کرده است.

برای تشریح بهتر نحوه استفاده از YubiKey، یک مثال از طرز کار آن با فیسبوک خواهیم داشت. توجه داشته باشید که برای فیسبوک باید از آخرین نسخه کروم یا اپرا استفاده کنید. این کلیدهای سخت افزاری در برخی سرویس‌ها با فایرفاکس و مایکروسافت اج کار می‌کنند اما تنظیم آن برای برخی سرویس‌ها سخت‌تر است (لطفاً مرورگر توصیه شده برای سرویس‌های پر استفاده خودتان را بررسی کنید). برای سرویس‌هایی که از کلید سخت افزاری شما پشتیبانی نمی‌کنند، می‌توانید از یک اپلیکیشن مولد کد 2FA استفاده کنید.

در صفحه تنظیم YubiKey روی گزینه فیسبوک کلیک کنید. Yubico یک صفحه فیسبوک تحت عنوان "What is a security key and how does it work?" برای شما ارسال می‌کند و فیسبوک برای تنظیم YubiKey شما را به صفحه تنظیمات لاگین و امنیت هدایت می‌کند. با توجه به اینکه YubiKey یکی از فاکتورهای فرایند احرازهویت دو مرحله‌ای است اگر هنوز این روش احرازهویت را فعال نکرده اید، فیسبوک شما را به صفحه‌ای هدایت می‌کند که در آن اول این مکانیزم را فعال می‌کنید. معمولاً برای انجام این کار باید یک شماره تلفن برای فیسبوک مشخص کنید تا کد یک بار مصرف را برای شما ارسال کند. پس از تنظیم دوباره به صفحه Security and Login Settings برگردید و قسمتی تحت عنوان "Setting up extra security" را پیدا کنید. کنار گزینه Use two-factor authentication روی Edit کلیک کنید. در قسمت Security Keys گزینه‌ای به نام Add Key مشاهده می‌کنید.

حالا برای استفاده از YubiKey آن را وارد پورت USB کنید. پس از اتصال، این کلید یک چراغ چشمک زن نمایش می‌دهد. اگر چراغ حالت چشمک زن نداشت، آن را به یک پورت دیگر متصل کنید یا بچرخانید. وقتی چراغ چشمک زن را مشاهده کردید، صفحه طلایی وسط کلید را فشار دهید (اگر مدل کلید شما دکمه دار است، دکمه را فشار دهید). به این ترتیب کلید احرازهویت دو مرحله‌ای شما فعال می‌شود و حالا برای ورود به فیسبوک به جای درج کردن کد 6 رقمی، از شما درخواست می‌شود که YubiKey را درج کرده و لمس کنید.

اگر کلید را در منزل جا گذاشتید نیازی به نگرانی نیست چون در این حالت فیسبوک (و سایر سرویس‌ها) از یک روش 2FA متفاوت برای لاگین استفاده می‌کند. در صورتیکه YubiKey را گم کردید، می‌توانید وارد بخش تنظیمات سرویس مورد استفاده خودتان شده و YubiKey قبلی را از لیست کلیدهای امنیتی حذف کنید.

سایر نکات

• برای تنظیم هر چه بیشتر احرازهویت دو مرحله‌ای، Advanced Protection گوگل را امتحان کنید که ایمن‌ترین روش ممکن است.
• اگر نسبت به جاسوسی از اطلاعات خودتان حساس هستید، برای احرازهویت دو مرحله‌ای از روش ارسال پیامک استفاده نکنید.
•  توجه داشته باشید که YubiKeys هم مصون از خطا نیست؛ آپدیت جدید کروم منجر به آسیب پذیری YubiKeys شد (که البته این آسیب پذیری فقط مربوط به گوگل بود).