علاوه بر برنامه‌های مدیریت پسورد، یکی از بهترین راه‌ها برای حفاظت از حسابهای آنلاین، استفاده از دستگاه‌های سخت افزاری به عنوان کلید امنیتی است. در این مطلب سیار نیوز قصد داریم به معرفی و مرور بهترین کلیدهای امنیتی موجود که می‌توانید از آن‌ها برای امن نگه داشتن اطلاعات شخصی خود استفاده کنید بپردازیم.
یکی از بزرگترین تهدیداتی که می‌تواند علیه اطلاعات شخصی افراد در دنیای امروز صورت بگییرد این است که کنترل حسابهای آنلاین آن‌ها به دست افراد دیگری بیفتد. در صورت وقوع این مساله، آن شخص می‌تواند تقریبا هر کاری را که دلش می‌خواهد به نام صاحب اصلی حساب و به کام خود انجام دهد. فرض کنید کسی کنترل ایمیل شما را به دست گرفته باشد.
فقط از همین طریق، وی می‌تواند با استفاده از ترفند بازیابی پسورد به بسیاری از حسابهای شبکه‌های اجتماعی شما هم دسترسی پیدا کند. خوشبختانه روش امنیتی احراز هویت چند عاملی می‌تواند از برز این اتفاق تا حد زیادی جلوگیری کند. این روش از طریق راه‌های زیادی قابل به کارگیری است. بدون شک یکی از بهترین و جالب‌ترین راه‌ها استفاده از کلید امنیتی است.
احراز هویت چند عاملی چیست؟
شناخته شده‌ترین روش اجراز هویت برای اکثر ما، استفاده از نام کاربری و رمز عبور است. ولی استفاده از رمزهای عبور مشکلات بسیار زیادی را در پی دارد. مثلا اینکه ممکن است رمز انتخاب شده را یادمان برود. همچنین حتی در صورت انتخاب یک رمز عبور منحصر بفرد و پیچیده، باز هم امکان لو رفتن آن وجود دارد.
متاسفانه اکثر مردم عادت دارند از یک رمز عبور مشترک برای تمامی حسابهای کاربری خود استفاده کنند. بدین صورت، اگر فقط یکی از این حسابهای کاربری هک شود، همه دیگر حسابهای کاربری این دسته از افراد هم در معرض خطر قرار خواهند داشت.
احراز هویت جند عاملی (که گاهی احراز هویت دو عاملی یا 2FAهم نامیده می‌شود) سعی در تغییر این رویه با استفاده از چند عامل در کنار یکدیگر دارد. منظور، به کار بردن یک رمز عبور دوم نیست بلکه استفاده از حداقل ۲ مورد از ۳ مورد موجود در لیست زیر را به عنوان روش احراز هویت چند عاملی می‌شناسیم:
- چیزی که می‌دانید
- چیزی که دارید
- چیزی که هستید
چیزی که می‌دانید می‌توان همان رمز عبور شما باشد. این رمز در سر شما است و در حالت ایده آل فقط شما از آن خبر دارید. چیزی که دارید می‌تواند یک کلید امنیتی باشد که در این مطلب به آن خواهیم پرداخت. همچنین یک اپلیکیشن احراز کننده هویت در موبایل هم می‌تواند در این دسته قرار بگیرد. این چیزی است که دسترسی به آن برای یک غریبه به آسانی میسر نخواهد بود.
در نهایت، ویژگی‌های فیزیکی قابل خواندن توسط اسکن بیومتریک در دسته چیزی که شما هستید قرار می‌گیرند. به عنوان مثال، اثر انگشت یا تشخیص چهره را می‌توان ذکر کرد. از آنجایی که بسیار بعید است کسی غیر از شما بیش از یکی از این موارد مربوط به شما را در اختیار خود داشته باشد، احراز هویت چند عاملی می‌تواند کار هکرها و افراد بدخواه برای در دست گرفتن کنترل حسابهای شما را بسیار سخت کند.
این مساله در دنیای واقعی اثبات شده است. از وقتی که گوگل از کارمندانش خواست که از کلیدهای سخت افزاری MFA استفاده کنند، موردی مبنی بر در دست گرفتن کنترل حساب کاربری توسط افراد غریبه، دیگر رخ نداد.
کلید امنیتی چیست؟
بیشتر کلیدهای امنیتی از لحاظ اندازه، کوچک و به اندازه کلیدهای معمولی هستند. هر کدام از این کلیدها به صورت منحصربفرد برای یک سایت یا سرویس به کار می‌روند. به خاطر داشته باشید که این کلیدها چیزهایق متعلق به شما هستند و در دسته دوم قرار می‌گیرند.
برای استفاده از کلید امنیتی، اول از همه باید آن را با سایت یا سرویس مورد نظرتان تطابق (enroll) دهید. با اینکه پشتیبانی از کلیدهای امنیتی رو به افزایش است ولی اگر کلید خاصی با سرویس یا سایت مورد نظر شما مطابقت نداشت تعجب نکنید. تطابق کلید برای هر سایت یا سرویس ممکن است متفاوت باشد ولی معمولا به این شکل است:
جایی در تنظیمات سایت یا سرویس، گزینه‌ای برای معرفی و تطابق کلید پیدا میکنید. روی آن کلیک کرده و کلید را در جای خود قرار میدهید. دکمه کلید را لمس کرده و به آن یک نام میدهید. بعضی از سایت‌ها یا سرویس‌ها فقط اجازه استفاده از یک کلید را می‌دهند. در حالی که در بعضی از آن‌ها می‌توان از چند کلید استفاده کرد.
دفعه بعد که قصد ورود به آن سایت یا سرویس را دارید از شما خواسته می‌شود که پس از وارد کردن نام کاربری و رمز عبور، کلید امنیتی را نیز در جای خود قرار دهید. پس کلید را از طریق نوعی اتصال انتقال داده (معمولا USB یا USB-C) وصل کرده و سپس دکمه را فشار میدهید تا عملیات شناسایی دستگاه آغاز شود.
طی این عملیات، انسان بودن شما و عدم بدافزار بودنتان مورد بررسی قرار گرفته و در واقع احراز هویت می‌شوید. اگر هم رمز عبور و هم بررسی کلید با موفقیت شما را احراز هویت کردند، می‌توانید وارد حساب کاربری خود شده و از سایت یا سرویس مورد نظرتان استفاده کنید.
برخی از کلیدهای سخت افزاری شامل اتصالات وایرلس (بیسیم) هم هستند. این کلیدها معمولا از طریق امواج NFC قادر به تعامل با موبایل‌ها هستند. نوع دیگری از کلیدها هم دارای توانایی احراز هویت بیومتریک هستند تا از یک لایه حفاظتی بیشتر برخوردار باشند.
همه عامل‌ها برابر نیستند
این درست است که استفاده از دو عامل برای احراز هویت بهتر از استفاده از فقط یکی از آن‌ها است. با این حال، هر کدام از این عامل‌ها به تنهایی دارای نقاط قوت و ضعفی هستند.
دریافت رمز عبور یک بار مصرف از طریق پیامک یکی از قدیمی ترین و پر استفاده ترین شکل‌های احراز هویت چند عاملی است. استفاده از این روش بسیار آسان است. از آنجا که احتمالا سایت یا سرویس مورد نظرتان از قبل اطلاعات تماس شما را در اختیار دارد حتی نیازی به طی مراحل اضافی برای انجام آن ندارید. اما علیرغم این سادگی استفاده، کدهای پیامکی دو اشکال عمده دارند.
اول اینکه هموازه نیاز به همراه داشتن تلفن دارید. مثلا اگر تلفنتان از کار افتاده باشد دیگر نمی‌توانید با استفاده از این روش به حساب کاربری خود وارد شوید. دومین اشکال این روش این است که ثابت شده هکرها می‌توانند از طریق روالی تحت عنوان SIM jacking کدهای ارسال شده از طریق پیامک را بخوانند. به همین دلیل توصیه می‌کنیم تا حد امکان فقط به این روش برای احراز هویت بسنده نکنید.
دیگر شکل معمول احراز هویت چند عاملی، استفاده از یک اپلیکیشن برای تولید کدهای ورود به سایت با محدودیت زمانی است. اپلیکیشن‌های زیادی برای این کار وجود دارند که شاید معروف‌ترین آن‌ها Google Authenticator باشد. این شکل از احراز هویت چند عاملی امن‌تر از ارسال کدهای پیامکی است. ر این روش، یک اپلیشکین می‌تواند برای هر سایت و سرویس کدهای تصادفی و جداگانه‌ای تهیه کند.
کلیدهای امنیتی سخت افزاری بسیاری از مشکلات مربوط به دیگر انواع احراز هویت چند عاملی را حل می‌کنند. کلیدهای سخت افزاری فاقد باتری بوده و نیازی به اتصال شبکه ندارند. ضمن اینکه به دلیل نداشتن بخش‌های متحرک، خطر شکسته شدن هم تهدیدشان نمی‌کند. به خاطر ماهیت این نوع از کلیدها، مورد حمله قرار دادن آن‌ها بسیار سخت است. در کنار همه اینها، داشتن یک ابزار مخصوص برای ورود به حسابهای کاربری می‌تواند تجربه جالبی باشد.
استفاده از کلیدهای سخت افزاری هم دارای نقاط ضعفی است. بر خلاف دیگر انواع MFA، کلیدهای سخت افزاری هزینه بر هستند (بین ۲۰ تا ۵۰ دلار). این کلیدها ممکن است گم شوند. ضمن اینکه بسیاری از اپلیکیشن‌های تولید کد MFA از آن‌ها پشتیبانی نمی‌کنند.
اگر به تازگی شروع به استفاده از احراز هویت چند عاملی کرده‌اید به شما پیشنهاد می‌کنیم از اپلیکیشن‌های تولید کد استفاده نمایید. این اپلیکیشن‌ها رایگان، امن و ساده هستند. ولی اگر آشنایی بیشتری با این روش تامین امنیت داشته و حالا قصد بالا بردن سطح خود را دارید، استفاده از کلیدهای سخت افزاری می‌تواند قدم بعدی شما باشد.
در پایان این بخش باید این نکته را ذکر کنیم که استفاده از روش احراز هویت چند عاملی به تنهایی نمی‌تواند تضمین کننده امنیت شما باشد. بنابراین شدیدا توصیه می‌کنیم از آنتی ویروس‌ها و برنامه‌های مدیریت رمز عبور جهت تولید کدهای قوی و منحصر بفرد برای هر سایت و سرویس مورد استفاده‌تان هم بهره ببرید.
کلیدهای امنیتی چگونه کار می‌کنند؟
شیوه کاری کلیدهای امنیتی سخت افزاری معمولا بر اساس استانداردهای تعریف شده توسط موسسه FIDO صورت میگیرد. همه این استانداردها در حقیقت روی یک مورد مشترک تمرکز دارند: استفاده از رمزنگاری کلید نامتقارن جهت احراز هویت شما برای سایت یا سرویس.
هر دستگاهی می‌تواند تعداد بیشماری کلید عمومی از طریق کلید خصوصی خود تولید کند. به این ترتیب یک کلید سخت افزاری می‌تواند در سایت‌ها و سرویس‌های مختلف مورد استفاده قرار بگیرد.مهم ترین نکته این است که هر خطا یا تغییری در یکی از این سایت‌ها یا سرویس‌ها هیج تاثیری بر دیگری نخواهد داشت.
شما می‌توانید هر چند بار که بخواهید کلید سخت افزاری خود را برای یک سایت و سرویس مجددا تنظیم کنید. هنگام خرید یک کلید سخت افزاری حواستان به این باشد که آن کلید حداقل دارای گواهی FIDO U2F باشد. این گواهی به این معنی است که کلید مورد نظر از تقریبا همه متدهای امنیتی پایه‌ای پشتیبانی می‌کند.
FIDO2/WebAuthn نسل بعدی استانداردها است که از یک سری انواع دیگر احراز هویت هم پشتیبانی می‌کند. اگر می‌خواهید از روش‌های بیومتریک یا بدون استفاده از رمز عبور به یک حساب کاربری وارد شوید باید از دستگاه‌هایی استفاده کنید که دارای این استاندارد باشند.
آیا کلیدهای امنیتی امن هستند؟
جایگزین کردن چیزی مثل کلید سخت افزاری به جای رمز عبور برای ورود به حساب کاربری می‌تواند حسی از عدم وجود امنیت لازم به شما بدهد. مثلا چه اتفاقی میفتد اگر کلیدتان دزدیده یا گم شود؟
اولین نکته اینکه خیلی بعید است شخصی شما را فقط برای دزدیدن کلید امنیتی‌تان دنبال کرده و منتظر فرصتی برای ربودن آن باشد. هدف بسیاری از جرائم سایبری تحت تاثیر قرار دادن هزاران و حتی میلیون‌ها حساب کاربری است. پس دستیابی به فقط یک کلید امنیتی ارزش این همه تلاش و دردسر را نخواهد داشت.
ولی به هر صورت ممکن است کلید شما دزدیده شود و افرادی بخواهند از آن برای دسترسی به سحاب کاربری شما سوء استفاده کنند. به همین دلیل مهم است که در کنار استفاده از کلید امنیتی، از انتخاب یک رمز عبور قوی هم غافل نشوید. در این صورت، دزد کلید باید حتما رمز عبور شما هم را بلد باشد تا بتواند به حساب کاربری‌تان دسترسی داشته باشد.
از طرف دیگر، احتمال اینکه شما کلید خود را گم کنید بسیار زیاد است و این مساله عجیبی نیست. بهتر است کلید دیگری هم در اختیار دشاته و از آن به عنوان پشتیبان استفاده کنید. بسیاری از سرویس‌های پشتیبانی کننده از کلیدهای امنیتی به شما اجازه می‌دهند که از چندین عامل MFA در کنار هم استفده کنید. بنابراین می‌توانید از یک اپلیشکین احراز هویت به عنوان پشتیبان کلید خود استفاده کنید.
سرویس‌ها اغلب به شما امکان ایجاد یک کد پشتیبانی و ذخیره آن به صورت آفلاین یا در یک برنامه مدیریت رمز عبور را می‌دهند. با این کار، دسترسی شما در مواقع اضطراری تضمین شده خواهد بود. به هر صورت، گم شدن کلید امنیتی به معنی پایان دنیا نخواهد بود.
نحوه انتخاب کلید امنیتی
اولین چیزی که باید به آن دقت کنید نحوه اتصال کلید امنیتی به دستگاهتان است. اگر دستگاه شما از USB تایپ C بهره نمی‌برد پس باید از کلیدهایی با USB تایپ A استفاده کنید. اگر قصد استفاده از این کلید را در موبایل دارید باید نوعی از آن را تهیه کنید که قابلیت اتصال به گوشی همراه را داشته باشند. در صورت پشتیبانی گوشی از NFC می‌توانید کلیدهایی با این نوع اتصال هم تهیه کنید.
همچنین باید به بودجه خود توجه کنید. در حال حاضر گران ترین کلیدهای امنیتی موجود در بازار حدود ۸۵ دلار قیمت دارند. اگر به تازگی شروع به کار با این کلیدها میکنید بهتر است از انواع ارزان‌تر آن‌ها را خریداری کنید.
خیلی از کلیدهای امنیتی فقط کار احراز هویت را انجام می‌دهند. البته این کاملا کافی است. ولی برخی از مدل‌های آن، دارای قابلیت‌های دیگری هم هستند. کینگستون دارای کلیدهای بیومتریکی است که برای احراز هویت شما نیاز به اثر انگشت دارند. از دیگر قابلیت‌های برخی مدل‌های کلید امنیتی می‌توان به این موارد اشاره کرد: پخش رمز عبور ایستا، کار با نرم افزارهای موبایلی یا دسکتاپی برای تهیه رمز عبور و تولید کدهای یک بار مصرف.
شاید برخی از این قابلیت‌ها برای شما مبهم و برای بعضی از خریداران بسیار کاربردی و مهم باشند. مثلا کلیدهای امنیتی Nirokeys و SoloKeys از سخت افزار و کد منبع باز استفاده می‌کنند که آن‌ها را تبدیل به گزینه‌ای بسیار خوب برای برخی موارد خاص می‌کنند. Yubico اجازه هیچگونه تغییری را در فریمور دستگاه‌هایش نمی‌دهد. در حالی که NitroKeys ز این تغییرات استقبال کرد و دست شما را برای آن باز می‌گذارد.
نکته کلیدی امنیت
کلیدهای سخت افزاری امن‌ترین و مطمئن‌ترین شیوه استفاده از روش امنیتی احراز هویت چند عاملی هستند. ولی برای بعضی از افراد، ایده خرج کردن برای این کلیدها و همراه داشتن آن‌ها برای ورود به حساب کاربری چندان جالب نیست. این قضیه هیچ اشکالی ندارد.
مهم‌ترین نکته این است که شما باید روشی از احراز هویت چند عاملی را که کاملا متناسب شرایط شما است انتخاب کرده و از آن استفاده کنید. بهترین موارد امنیتی هم اگر نادیده گرفته شوند نمی‌توانند از شما محافظت کنند.
لینک کوتاه: