Google Authenticator چیست و چطور می‌توان از آن استفاده کرد؟

دنیایی را تصور کنید که در آن هر هکر مبتدی و تازه‌کاری می‌تواند به‌راحتی تمام حرکاتتان را زیرنظر بگیرد، به تماس‌هایتان گوش کند، متن پیامک‌هایتان را بخواند و حساب‌های بانکی‌تان را در چند دقیقه خالی کند؛ تازه بدون اینکه نیاز باشد از خانه خارج شود و حتی شاید یک قاره آن‌طرف‌تر از شما زندگی کند. البته نیازی به تصور و خیال‌پردازی نیست؛ چون خیلی وقت است در چنین دنیایی زندگی می‌کنیم؛ آن‌هم به‌دلیل حفره‌‎ی امنیتی در پروتکلی به نام SS7 (سیستم سیگنالینگ شماره ۷) که تمام کشورهای دنیا در شبکه‌ی موبایل خود از آن استفاده می‌کنند. 

زمانی تصور می‌شد استفاده از رمزهای پویا که ازطریق پیامک فرستاده می‌شوند، از بیشترین درجه‌ی امنیت برخوردارند؛ اما هکرها به‌کمک حفره‌‎ی امنیتی در پروتکل SS7 یا روش‌های دیگر می‌توانند به متن پیامک‌های کاربران دسترسی پیدا کنند و با استفاده از رمزپویا، کنترل حساب بانکی و اکانت‌های شما در شبکه‌های اجتماعی را به‌دست بگیرند.

از‌این‌رو، متخصصان حوزه‌ی امنیت سایبری به فکر راه‌حلی برای محافظت از کدهایی افتادند که ازطریق SMS فرستاده می‌شود. در این روش، رمز پویا دیگر به کاربر پیامک نمی‌شود؛ بلکه ازطریق اپلیکیشن روی گوشی نمایش داده می‌شود و تنها راه دسترسی هکر به این کد، دسترسی فیزیکی به گوشی است.

اپلیکیشن‌های متعددی برای ارسال رمزهای پویا یا همان کدهای «احراز هویت دوعاملی» توسعه یافته‌اند که در بین آن‌ها، اپلیکیشن‌های جعلی نیز به‌وفور یافت می‌شود؛ به‌ویژه حالا که توییتر برای ارسال پیامک تأیید هویت دومرحله‌ای، هزینه دریافت می‌کند و نیاز افراد به استفاده از این اپلیکیشن‌ها بیش از هروقت دیگر است.

یکی از مطمئن‌ترین و ساده‌ترین اپلیکیشن‌های احرازهویت دوعاملی، Google Authenticator است که در این مقاله، آن را به‌طور کامل معرفی خواهیم کرد. اگر هم پولی شدن ارسال پیامک توییتر شما را آزرده‌خاطر کرده است، اصلاً ناراحت نباشید! اتفاقاً ایلان ماسک با این تصمیم به ما یادآوری کرد که چرا اصلاً از اول هم نباید سراغ این روش ناامن می‌رفتیم! در این مقاله نشان می‌دهیم که چطور با گوگل آتنتیکیتور و به‌طور کاملاً رایگان کماکان از احرازهویت دوعاملی برای امنیت اکانت توییتر یا اصلاً تمام شبکه‌های اجتماعی خود استفاده کنید.

احرازهویت دوعاملی (2FA) همان‌طورکه از نامش برمی‌آید، روشی است که در آن کاربر برای ورود به حساب آنلاین یا اپلیکیشن مدنظر، علاوه‌بر همان رمزعبور همیشگی، باید عامل دیگری نیز برای تأیید هویت خود وارد کند. متخصصان امنیت سایبری عوامل احرازهویت را به سه گروه تقسیم‌بندی می‌کنند:‌ ۱- چیزی که می‌دانید (مثلاً رمزعبور)؛ ۲- چیزی که دارید (مثلاً گوشی موبایل)؛ ۳- چیزی که هستید (مثلاً اثر‌انگشت یا هر روش زیست‌سنجی دیگر). در روش 2FA، به‌جای یک عامل (چیزی که می‌دانید)، دو عامل (چیزی که می‌دانید + چیزی که دارید)، یعنی رمزعبور و دسترسی به گوشی، در نظر گرفته می‌شود تا بدین‌ترتیب خطر نفوذ هکرها به حساب‌های آنلاین را کاهش دهد.

یکی از اپلیکیشن‌های برتر این حوزه گوگل آتنتیکیتور (Google Authenticator) است که شرکت نام‌آشنای گوگل آن را طراحی و منتشر کرده و برای هر وب‌سایت یا خدماتی کابردی است که قابلیت احرازهویت دوعاملی داشته باشد. برای مثال، تمام شبکه‌های اجتماعی و وب‌سایت‌های بزرگ و مطرح مانند توییتر، اینستاگرام، فیسبوک، جیمیل و شماری از حساب‌های رمزارز مانند کوین‌بیس و بایننس از 2FA پشتیبانی می‌کنند و فعال‌کردن این روش برای محافظت از این حساب‌ها حیاتی است. 

اپلیکیشن Google Authenticator رمزعبور یک‌بار‌مصرف شش‌رقمی تولید می‌کند که هر ۳۰ ثانیه تجدید می‌شود. محدودیت زمانی این کد بدین‌معنی است که اگر مجرم سایبری موفق شد به طریقی به کد یک‌بار‌مصرف شما دسترسی پیدا کند، این کد تنها ۳۰ ثانیه اعتبار دارد و بعد از گذشت این زمان دیگر اثری نخواهد داشت. 

گوگل آتنتیکیتور و اپلیکیشن‌های نظیر آن هیچ‌گونه دسترسی به حساب‌هایتان ندارند و بعد از انتقال اولیه کد، ارتباطی با سایت مدنظر برقرار نمی‌کنند. کار این اپلیکیشن فقط تولید کد است و برای این کار به خدمات مخابرات یا حتی اینترنت نیازی ندارد؛ پس اگر در شرایطی بودید که به اینترنت دسترسی نداشتید یا با مشکل آنتن‌دهی گوشی مواجه شدید، جای نگرانی نیست؛ گوگل آتنتیکیتور کدها را برای شما ارسال خواهد کرد.

علاوه‌بر‌این، از‌آنجا‌که پروتکل استفاده‌شده در این اپلیکیشن‌ها مبتنی‌بر استاندارد یکسانی است، می‌توان کدی را که در Google Authenticator ایجاد شده، برای ورود به هر حسابی از‌جمله مایکروسافت یا تمام شبکه‌های اجتماعی که از روش 2FA پشتیبانی می‌کنند، استفاده کرد. به‌عبارت‌دیگر، این کدها فقط به محصولات گوگل محدود نیستند و در هر وب‌سایت یا خدماتی از 2AF پشتیبانی می‌کنند، کاربردی هستند.

تا پیش از به‌روزرسانی اخیر، گوگل آتنتیکیتور تنها از دو قابلیت ساده، یعنی تولید کد 2AF و اکسپورت اطلاعات اکانت‌ها به گوشی دیگر بهره می‌برد؛ اما حالا قابلیت اکسپورت حذف شده و به‌جای آن، بکاپ‌گیری کدها در فضای ابری اضافه شده است.

کار با Google Authenticator بسیار ساده است. کافی است با نام کاربری و رمزعبور خود طبق معمول وارد اکانت موردنظرتان شوید. سپس به بخش مربوط به فعال‌کردن قابلیت 2AF بروید و کد QR نمایش‌داده‌شده را با اپلیکیشن گوگل آتنتیکیتور اسکن کنید. با این کار، اکانت شما به اپلیکیشن متصل می‌شود و از‌این‌پس برای ورود به اکانتتان باید کدی را وارد کنید که در اپلیکیشن ظاهر می‌شود.

برای راحتی کار، نحوه فعال‌کردن 2FA را برای اکانت گوگل به‌طور ساده در‌ ادامه توضیح داده‌ایم. وب‌سایت‌های دیگر نیز از مراحل تقریباً مشابهی پیروی می‌کنند و تنها کافی است بخش مربوط به فعال‌کردن Two-factor Authentication را پیدا کنید که معمولاً در بخش Security (امنیت) اکانت قرار دارد.

حتی اگر فعال‌کردن 2FA کار خسته‌کننده‌ای به‌نظر می‌آید، بهتر است این قابلیت را برای هر اکانتی که می‌توانید، فعال کنید. اگر این کار را نکنید، ممکن است هکری که به رمزعبور اکانتتان دسترسی پیدا کرده‌، این کار را انجام دهد. در این حالت، اگرچه بازیابی اکانت غیرممکن نیست، مطمئنا زمان بیشتری از شما می‌گیرد و تا زمانی‌ که کنترل اکانتتان در دست هکر است، احتمال دارد دردسرهای زیادی برایتان ایجاد کند.

تا مدت‌ها گوگل آتنتیکیتر برخلاف دیگر اپلیکیشن‌های احرازهویت دوعاملی از کدهای 2FA در فضای ابری بکاپ نمی‌گرفت تا بدین‌ترتیب، امنیت اطلاعات کاربران افزایش یابد. اما این موضوع باعث به‌روز مشکلاتی شده بود، چرا که تنها راه دسترسی به اکانت‌های متصل، دسترسی به اپلیکیشن روی همان دستگاهی بود که با آن به اکانت‌ها برای اولین بار متصل شده‌ بودید و در مواقعی که به گوشی دسترسی نداشتید، نمی‌توانستید به اکانتتان وارد شوید.

اپلیکیشن Google Authenticator هم برای اندروید و هم برای iOS موجود است و می‌توانید آن را به‌‌‌طور رایگان از اپ استور یا گوگل پلی روی گوشی خود دانلود و نصب کنید. 

مراحل راه‌اندازی اپلیکیشن Google Authenticator بسیار ساده است. بعد از اتمام دانلود و نصب اپلیکیشن روی گوشی هوشمند یا تبلت، نیازی نیست اپلیکیشن را باز کنید.

۱. ابتدا ازطریق کامپیوتر یا گوشی یا تبلت دیگری، وارد صفحه‌ی مربوط به فعال‌کردن احرازهویت دوعاملی (two-factor verification) یا احرازهویت دو‌مرحله‌ای (two-step authentication) وب‌سایت مدنظر شوید و این قابلیت را فعال کنید. این قابلیت معمولاً در بخش Security (امنیت) اکانت قرار دارد. 

۲. بعد از این مرحله، دنبال گزینه‌ی استفاده از اپلیکیشن احرازهویت (authenticator app) بگردید و روی آن کلیک کنید. 

۳. هنگام راه‌اندازی 2FA، معمولاً از شما خواسته می‌شود کد QR را اسکن کنید؛ به‌همین‌دلیل، به کامپیوتر یا گوشی یا تبلت دیگری نیاز دارید تا بتوانید این قابلیت را روی اکانتتان فعال کنید. اگر به دستگاه دیگری دسترسی ندارید یا دوربین گوشی‌تان کار نمی‌کند، می‌توانید گزینه‌ی نمایش کلید راه‌اندازی (setup key)‌ را به‌جای کد QR انتخاب کنید.

۴. حالا اپلیکیشن Google Authenticator را باز کنید. گزینه‌ی Get Started را فشار دهید تا به صفحه‌ی «Setup your first account» (اولین اکانتتان را راه‌اندازی کنید) هدایت شوید. 

۵. روش راه‌اندازی را انتخاب کنید. این مرحله به وب‌سایتی بستگی دارد که قصد دارید 2FA را برای آن فعال کنید. گزینه‌ی اسکن کد QR متداول‌ترین روش راه‌اندازی است. اگر هنگام فعال‌سازی روش 2FA در وب‌سایتی با کد QR روبه‌رو شدید، روی اپلیکیشن گزینه Scan a QR code را انتخاب کنید. 

۶. اگر با رشته‌ای از حروف موسوم به «setup key»‌ (کلید راه‌اندازی) روبه‌رو شدید، از اپلیکیشن، گزینه Enter a setup key را انتخاب کنید.

۷. حالا کد QR نمایش‌داده‌شده روی وب‌سایت را با گوشی‌تان اسکن کنید.

۸. برای گزینه Enter a setup key، ابتدا برای اکانتتان نامی به‌دلخواه انتخاب و در نوار زیرین، کلید را به‌طور دستی وارد کنید. سپس، دکمه‌ی add را فشار دهید.

۸. بعد از تأیید، اکانت مدنظر به اپلیکیشن گوگل آتنتیکیتور متصل می‌شود. 

۹. از‌این‌پس هر بار اپلیکیشن را باز کنید، با کد شش‌رقمی روبه‌رو می‌شوید. این کد برای تکمیل مرحله لاگین به اکانت متصل‌شده لازم است. توجه کنید این کد هر ۳۰ ثانیه یک بار عوض می‌شود. اگر هنگام تایپ کد ارقام نمایش‌داده‌شده روی اپلیکیشن تغییر کرد، کد نوشته‌شده را پاک و از کد جدید استفاده کنید.

۱۰. برای اضافه‌کردن اکانت‌های جدید به اپلیکیشن، دکمه‌ی «+» در انتهای صفحه را فشار دهید و گزینه Scan a QR code (برای اسکن کد QR) یا Enter a setup key (برای وارد‌کردن کلید راه‌اندازی) را انتخاب کنید.

۱۱. اگر بخواهید، می‌توانید با وارد شدن به اکانت گوگل خود در اپلیکیشن، قابلیت بکاپ‌گیری از کدها در فضای ابری را فعال کنید. با این قابلیت دیگر لازم نیست نگران گم کردن گوشی و درنتیجه، از دست دادن کامل دسترسی به اکانت‌های متصل به Google Authenticator را داشته باشید؛ اما دقت کنید که این کار ممکن است امنیت اکانت‌های شما را به‌خطر بیندازد، پس مسئولانه این گزینه را فعال کنید.

شاید مهم‌ترین اکانتی که باید همین امروز به فعال‌سازی 2FA آن اقدام کنید، اکانت گوگلتان باشد؛ چون احتمالاً از آدرس جیمیلتان برای ساخت اکانت در وب‌سایت‌های بسیاری استفاده کرده‌اید و هک‌شدن اکانت جیمیل امنیت اکانت‌های متصل به آن را نیز به‌خطر می‌اندازد. در اینجا، مراحل فعال‌کردن احزار‌هویت دوعاملی برای اکانت گوگل را گام‌به‌گام توضیح می‌دهیم. سایر اکانت‌ها هم از مراحل کم‌و‌بیش مشابهی پیروی می‌کنند.

۱. ابتدا وارد بخش امنیت (Security) وب‌سایت گوگل شوید و گزینه‌ی Authenticator را انتخاب کنید.

۲. در پنجره‌ی جدید از شما می‌خواهد که اپلیکیشن Google Authenticator را از پلی‌استور یا اپ استور دانلود کنید و بعد روی گزینه‌ی Set up authenticator کلیک کنید.

۳. حالا اپلیکیشن Google Authenticator را با گوشی باز کرده و کدی که را در پنجره‌ی جدید در حال نمایش است با انتخاب گزینه‌ی Scan a QR code اسکن کنید. اگر نمی‌توانید اسکن کنید، گزینه‌ی Can't scan it را که در زیر کد QR آمده، انتخاب کنید. در این مرحله گزینه Enter a setup key را انتخاب و کد نمایش‌داده‌شده را دستی وارد کنید.

۴. در پنجره‌ی جدید، کد شش رقمی را که در اپلیکیشن نمایش داده می‌شود، وارد کنید و روی گزینه‌ی Verify کلیک کنید.

۵. در این مرحله به شما می‌گوید که اپلیکیشن آتنتیکیتور به اکانت گوگل اضافه شده است.

۶. همان‌طور که مشاهده می‌کنید، گزینه‌ی Authenticator برای اکانت گوگل شما فعال شده است.

اکنون قابلیت احرازهویت دوعاملی برای اکانت گوگلتان فعال شده است. از‌این‌پس، اگر هکری با داشتن رمزعبورتان قصد داشته باشد به اکانت گوگلتان وارد شود، در مرحله‌ی بعد نیاز دارد اپلیکیشن Google Authenticator را باز و کد شش‌رقمی را وارد کند که اکانتتان روی آن تأیید شده است؛ اما چون هکر خوشبختانه به گوشی‌تان دسترسی ندارد، نمی‌تواند به اکانت وارد شود. 

چند وقت پیش، توییتر با اعلام پولی شدن تأیید هویت دو مرحله‌ای از طریق SMS، کاربرانی را که نمی‌خواهند یا نمی‌توانند برای سرویس توییتر Blue هزینه‌ی اشتراک پرداخت کنند، به شدت نگران و آزرده‌خاطر کرد. اما واقعیت این است که این خبر خوبی است؛‌ چراکه همان‌طور که توضیح دادیم، امنیت ارسال کد از طریق SMS به‌شدت پایین است و بهتر است به‌جای آن از اپلیکیشن‌های 2FA نظیر Google Authenticator یا Authy یا Microsoft Authenticator استفاده کنید. تازه، استفاده از این اپلیکیشن‌ها کاملاً رایگان است!

در ادامه با روش راه‌اندازی Google Authenticator برای اکانت توییتر آشنا خواهید شد.

۱- وب‌سایت توییتر را در دسکتاپ یا اپلیکیشن آن را در گوشی خود باز کنید.

۲- روی سه‌نقطه سایدبار سمت چپ صفحه کلیک کنید و بعد Settings and Support > Settings and Privacy را انتخاب کنید.

۳- روی Security and account access > Security > Two-factor authentication کلیک کنید.

۴- گزینه‌ی Authentication app را انتخاب و در مرحله‌ی بعدی، رمزعبور اکانت توییتر خود را وارد کنید.

۵- روی Get Started کلیک کنید. در پنجره‌ی بعدی، با کد QR روبه‌رو خواهید شد.

۶- حالا اپلیکیشن Google Authenticator را از روی گوشی باز کنید، اسکنر کد QR آن را انتخاب و کد نمایش داده‌شده روی صفحه کامپیوتر را اسکن کنید. بدین‌ترتیب، اکانت توییتر شما به اپلیکیشن متصل می‌شود.

۷- به وب‌سایت توییتر برگردید. روی Next کلیک کنید، کد شش‌رقمی اپلیکیشن را وارد و روی Confirm کلیک کنید.

۸- در پنجره‌ی بعدی، توییتر کد بکاپ یک‌بار مصرفی را دراختیار شما می‌گذارد. حتماً حتماً این کد را جایی یادداشت کنید تا اگر زمانی به گوشی یا اپلکیشن دسترسی نداشتید، بتوانید کماکان به اکانت توییترتان دسترسی داشته باشید.

اگرچه تمام وب‌سایت‌ها از احرازهویت دوعاملی پشتیبانی نمی‌کنند، بهتر است این قابلیت امنیتی را روی هر وب‌سایتی که از آن پشتیبانی می‌کند، فعال کنید. درست است با این کار یک مرحله به فرایند ورود به اکانت‌های آنلاینتان اضافه می‌شود، به‌یاد بسپارید که با این کار دارید از اکانتتان در‌برابر سوءاستفاده‌ی هکرها محافظت می‌کنید. اگر هم نمی‌خواهید این قابلیت را برای همه اکانت‌هایتان فعال کنید، پیشنهاد می‌کنیم حتماً آن را برای اکانت‌های ایمیلتان فعال کنید. تا زمانی‌ که امنیت ایمیلتان به‌خطر نیفتاده است، اکثر اکانت‌هایتان امن خواهند بود.

استفاده از Google Authenticator به‌دلیل حذف ارسال کد ازطریق پیامک که هکرها می‌توانند آن را بخوانند‌، امنیت اطلاعات حساستان را به‌مراتب افزایش می‌دهد. همان‌طور‌که در این مقاله مشاهده کردید، راه‌اندازی و استفاده از آن بسیار آسان است و با چند مرحله ساده می‌توانید دسترسی هکرها به اکانت‌هایتان را تقریباً غیرممکن کنید. در‌ ضمن، این اپلیکیشن برای ایجاد کد به آنتن‌دهی یا شبکه اینترنت نیازی ندارد و در حالت هواپیما هم کاربردی است.

اگر همچنان به اهمیت این روش امنیتی تردید دارید، بهتر است ماجرای اتفاقی را بخوانید که سال ۲۰۱۲ برای مت هانن، نویسنده ارشد WIRED، پیش آمد و در مدت یک ساعت، کل زندگی دیجیتالش نابود شد. اول اکانت گوگل او هک و کامل پاک شد و سپس اکانت توییتر. در آخر هکرها با ورود به اکانت اپل آیدی او، اطلاعات آیفون و آیپد و مک بوک او را از راه دور پاک کردند. 

دلیل این اتفاق هم آن بود که تمام این اکانت‌ها به‌هم متصل بودند. هکرها با ورود به اکانت آمازون هانن، به اطلاعات اکانت اپل آیدی او دست پیدا کردند و از آن طریق وارد جیمیل او شدند که به آن‌ها اجازه دسترسی به اکانت توییترش را داد.

از زمانی‌ که استفاده از قابلیت 2FA برای تمام کاربران اینترنت فراهم شده است، یک دهه می‌گذرد؛ اما همچنان بسیاری از افراد به همان رمزعبور ساده بسنده می‌کنند که در بیشتر مواقع ۱۲۳۴۵۶ است و حتی برای چندین اکانت از رمزعبور مشابه استفاده می‌کنند. چنین عادت‌های نادرستی امنیت سایبری و اطلاعات حساس کاربران را به‌راحتی به‌خطر می‌اندازد و زندگی هکرها را به‌شدت آسان می‌کند. فعال‌کردن احرازهویت دوعاملی با اپلیکیشن‌هایی نظیر Google Authenticator روش مطمئنی برای جلوگیری از نفوذ هکرها به اکانت‌هایتان است.