2FA یا احراز هویت دو مرحلهای یعنی برای ورود یا تأیید یک اقدام، دو عامل مستقل در فرایند احراز هویت استفاده شوند؛ برای مثال رمز عبور بهعنوان چیزی که کاربر میداند و کد TOTP یا کلید امنیتی بهعنوان چیزی که در اختیار دارد. بعضی سرویسها اصطلاح 2FA را بهصورت عمومی برای هر مرحله تأیید دوم بهکار میبرند، اما در تعریف دقیق، مستقل بودن نوع عامل اهمیت دارد.
از نظر مقاومت در برابر فیشینگ، اگر صرافی از کلید امنیتی مبتنی بر FIDO/WebAuthn یا Passkey پشتیبانی کند، این روشها در پیادهسازی استاندارد گزینههای قویتری هستند. اگر چنین روشی در دسترس نباشد، TOTP در اپلیکیشن Authenticator معمولا نسبت به SMS انتخاب مطمئنتری است، زیرا به سیمکارت و شبکه مخابراتی وابسته نیست. بااینحال، TOTP همچنان قابل فیشینگ است و SMS نیز با وجود ضعفهای بیشتر، معمولا از ورود صرفا با رمز عبور بهتر است.
احراز هویت دو مرحلهای (2FA)؛ لایه دوم ورود به حساب صرافی
رمز عبور چیزی است که کاربر میداند. عامل دوم معمولا چیزی است که کاربر در اختیار دارد؛ مثل گوشی، اپلیکیشن تولید کد یا کلید امنیتی. ایده اصلی این است که لو رفتن رمز عبور بهتنهایی برای ورود کافی نباشد. به همین دلیل، 2FA میتواند ریسک بخشی از حملات مبتنی بر سرقت رمز عبور را کاهش دهد.
2FA امنیت مطلق ایجاد نمیکند. کد یکبارمصرف میتواند در فیشینگ سرقت شود و ضعف بازیابی حساب، ایمیل یا دستگاه هم ممکن است مسیر دیگری برای دسترسی ایجاد کند. بنابراین عامل دوم باید در کنار رمز عبور اختصاصی، بررسی نشستها و محافظت از ایمیل استفاده شود.
2FA برای حساب صرافی با امنیت کیف پول شخصی یکسان نیست. در کیف پول غیرحضانتی، عبارت بازیابی و کلید خصوصی نقش اصلی را دارند و صرافی نمیتواند برای بازیابی آنها کاری انجام دهد. برای شناخت این تفاوت، راهنمای «کیف پول ارز دیجیتال چیست و چگونه امن انتخابش کنیم؟» را ببینید.
از پیامک تا Passkey؛ تفاوت امنیت روشهای احراز هویت
همه روشهایی که با عنوان 2FA یا تأیید دوم ارائه میشوند سطح امنیت یکسانی ندارند. تفاوت اصلی این است که عامل دوم چگونه تولید یا تأیید میشود و آیا مهاجم میتواند آن را از کاربر بگیرد و در یک صفحه یا نشست دیگر استفاده کند.
روش | مزیت اصلی | ریسک یا محدودیت | جمعبندی |
SMS | راهاندازی ساده و در دسترس | وابسته به سیمکارت؛ آسیبپذیر در برابر فیشینگ، انتقال سیمکارت و برخی حملات مخابراتی | حداقل محافظت؛ بهتر از بدون 2FA |
Authenticator / TOTP | کد روی دستگاه ساخته میشود و به شبکه موبایل وابسته نیست | کد را میتوان در صفحه فیشینگ وارد و بهصورت لحظهای سوءاستفاده کرد | انتخاب عملی برای بیشتر کاربران |
کلید امنیتی FIDO | تأیید رمزنگاریشده و وابسته به دامنه واقعی سرویس | نیاز به پشتیبانی صرافی و برنامه پشتیبان در صورت گمشدن | از گزینههای قوی و مقاوم در برابر فیشینگ |
Passkey | ورود مبتنی بر کلید رمزنگاری و تأیید روی دستگاه | نحوه بازیابی و همگامسازی به پیادهسازی سرویس و پلتفرم وابسته است | در صورت پشتیبانی و تنظیم درست، گزینه قوی و کماصطکاک |
پیامک؛ حداقل محافظت، نه بهترین انتخاب
در 2FA پیامکی، کد ورود به شماره موبایل ارسال میشود. مزیت آن سادگی است و تقریبا بدون نصب ابزار اضافه کار میکند. مشکل اینجاست که امنیت آن فقط به حساب صرافی وابسته نیست؛ سیمکارت، اپراتور، فرایند بازیابی شماره و حتی پیام فیشینگ هم وارد زنجیره امنیت میشوند. اگر مهاجم شماره را تصاحب کند یا کاربر کد را در صفحه جعلی وارد کند، عامل دوم میتواند دور زده شود.
اگر صرافی فقط پیامک را ارائه میدهد، فعال کردن آن معمولا بهتر از ورود فقط با رمز عبور است. اما وقتی TOTP یا روش مبتنی بر FIDO در دسترس است، پیامک نباید فقط به دلیل راحتی انتخاب اول باشد.
Authenticator؛ انتخاب عملی برای بیشتر کاربران
اپلیکیشنهای Authenticator معمولا از استاندارد TOTP استفاده میکنند و هر چند ثانیه یک کد جدید میسازند. چون کد روی دستگاه تولید میشود، سرقت یا تعویض سیمکارت بهتنهایی برای گرفتن کد کافی نیست. این ویژگی باعث میشود TOTP در عمل یک ارتقای مهم نسبت به SMS باشد.
محدودیت TOTP این است که کد هنوز قابل تایپ و قابل انتقال است. اگر صفحه جعلی دقیقا شبیه صفحه صرافی باشد، کاربر ممکن است کد را در اختیار مهاجم بگذارد و مهاجم همان کد را پیش از منقضیشدن استفاده کند. بنابراین Authenticator ریسک فیشینگ را حذف نمیکند؛ فقط بخشی از مسیرهای حمله را سختتر میکند.
کلید امنیتی و Passkey؛ مقاومت بیشتر در برابر فیشینگ
کلیدهای امنیتی FIDO و Passkeyها بهجای ارسال یا نمایش یک کد قابل کپی، از رمزنگاری کلید عمومی برای تأیید ورود استفاده میکنند. در پیادهسازی استاندارد، اعتبارنامه به سرویس و دامنه واقعی آن وابسته است؛ به همین دلیل صفحه فیشینگ نمیتواند بهسادگی همان اعتبارنامه را برای دامنه اصلی مصرف کند.
کلید امنیتی سختافزاری FIDO اعتبارنامه را روی یک ابزار جداگانه نگه میدارد، درحالیکه Passkey میتواند روی گوشی یا رایانه ذخیره شود و در بعضی پلتفرمها میان دستگاههای کاربر همگامسازی شود. در پیادهسازی استاندارد WebAuthn، هر دو روش میتوانند اعتبارنامه را به سرویس و دامنه واقعی آن متصل کنند و در برابر صفحات فیشینگ مقاومت بیشتری داشته باشند.
Passkey همیشه «مرحله دوم بعد از رمز عبور» نیست و میتواند خود روش اصلی ورود باشد. بنابراین قبل از فعالسازی، علاوه بر امنیت ورود، باید محل ذخیره اعتبارنامه، دستگاههای متصل و روش بازیابی حساب نیز بررسی شود.
کدام روش برای حساب صرافی شما منطقیتر است؟
اگر انتخاب فقط بین SMS و TOTP باشد، TOTP معمولا گزینه قویتری است. اگر صرافی از کلید امنیتی FIDO یا Passkey مبتنی بر WebAuthn پشتیبانی میکند، این روشها به دلیل مقاومت بیشتر در برابر فیشینگ ارزش بررسی بالاتری دارند. انتخاب نهایی فقط به روش ورود محدود نمیشود؛ باید مطمئن شوید در صورت گمشدن دستگاه، مسیر بازیابی قابل مدیریت و امنی نیز دارید.
نکته مهم این است که امنیت ورود و بازیابی باید همسطح باشند. اگر ورود با روش قوی محافظت شود اما بازنشانی حساب فقط با یک مسیر ضعیف انجام شود، همان مسیر میتواند به نقطه آسیبپذیر تبدیل شود.
فعالسازی 2FA؛ بکاپ و بازیابی را از همان ابتدا جدی بگیرید
راهاندازی 2FA معمولا چند دقیقه زمان میبرد، اما بهتر است از همان ابتدا درست انجام شود. فقط از اپلیکیشن رسمی صرافی یا دامنهای که خودتان بررسی کردهاید وارد بخش Security شوید و فعالسازی را از لینک پیام، ایمیل یا شبکه اجتماعی شروع نکنید.
در راهاندازی TOTP، صرافی معمولا یک QR Code یا Secret Key نمایش میدهد که اپلیکیشن Authenticator با استفاده از آن کدهای یکبارمصرف را تولید میکند. هر فردی که به این اطلاعات دسترسی پیدا کند ممکن است بتواند همان کدها را روی دستگاه دیگری تولید کند؛ بنابراین از QR Code یا Secret Key اسکرینشات بدون حفاظت نگیرید و آن را در چت، ایمیل یا فضای ابری بدون حفاظت ذخیره نکنید.
اگر صرافی Recovery Code یا کدهای بازیابی یکبارمصرف ارائه میدهد، آنها را جدا از گوشی اصلی و در محلی با دسترسی محدود نگهداری کنید.
اگر از کلید امنیتی استفاده میکنید و صرافی اجازه میدهد، یک کلید پشتیبان جداگانه ثبت کنید. در Passkey هم مشخص کنید اعتبارنامه روی کدام دستگاه یا حساب ذخیره میشود و در صورت گمشدن دستگاه چه مسیر بازیابیای دارید.
بعد از فعالسازی، یک بار خروج و ورود کنترلشده انجام دهید تا مطمئن شوید روش جدید و مسیر بازیابی را میشناسید. سپس نشستهای فعال، دستگاههای مجاز، رمز عبور و امنیت ایمیل را هم مرور کنید. راهنمای «چگونه امنیت حساب صرافی را افزایش دهیم؟» این لایههای مکمل را یکجا توضیح میدهد.
اگر گوشی گم شد یا کد 2FA کار نکرد چه کنیم؟
اگر کد TOTP ناگهان پذیرفته نمیشود، ابتدا زمان و منطقه زمانی گوشی را روی حالت خودکار قرار دهید و مطمئن شوید کد مربوط به همان حساب صرافی را وارد میکنید. تولید کد TOTP به زمان وابسته است و اختلاف ساعت دستگاه میتواند باعث ردشدن کد شود. قبل از بررسی علت، حساب Authenticator را حذف نکنید یا تنظیمات را بهصورت عجولانه تغییر ندهید؛ چون ممکن است بازیابی را سختتر کند.
اگر گوشی گم یا خراب شده است، ابتدا از Recovery Code، دستگاه پشتیبان یا کلید امنیتی دومی که از قبل ثبت کردهاید استفاده کنید. اگر هیچکدام در دسترس نیست، فقط از فرایند رسمی بازیابی همان صرافی کمک بگیرید.
صرافی ممکن است برای بازنشانی عامل دوم، مالکیت حساب را از طریق مراحل رسمی بررسی کند؛ اما کارشناس پشتیبانی در چت، ایمیل یا شبکه اجتماعی نباید از شما رمز عبور، Secret Key مربوط به TOTP، کد 2FA فعلی، Recovery Code قابل استفاده یا عبارت بازیابی کیف پول درخواست کند.
اگر کد TOTP یا اطلاعات ورود را در یک صفحه فیشینگ وارد کردهاید، فقط منتظر منقضیشدن کد نمانید. از مسیر رسمی صرافی رمز عبور را تغییر دهید، نشستها و دستگاههای ناشناس را ببندید و در صورت امکان 2FA را بازتنظیم کنید. امنیت ایمیل متصل به حساب را نیز بررسی کنید و کلیدهای API، تنظیمات برداشت و آدرسهای مجاز برداشت را کنترل کنید. اگر نشانهای از دسترسی غیرمجاز وجود دارد، از پشتیبانی رسمی صرافی کمک بگیرید.
اشتباهاتی که لایه دوم امنیت را بیاثر میکنند
فعالکردن 2FA بهتنهایی به معنای امنشدن کامل حساب نیست. نگهداری QR Code یا Secret Key روی همان گوشی، واردکردن کد در لینکهای دریافتی، بازیابی ضعیف و بیتوجهی به امنیت ایمیل میتواند مزیت عامل دوم را کم کند.
بدافزار، سرقت نشست فعال، دسترسی به ایمیل، کلید API پرریسک یا تأیید برداشت اشتباه هم ممکن است خارج از فرایند ورود رخ دهند. بنابراین 2FA باید یکی از لایههای یک تنظیم امنیتی کامل باشد، نه تنها لایه آن.
چکلیست تنظیم امن 2FA برای حساب صرافی
اگر صرافی FIDO/Passkey ارائه میکند، آن را بهعنوان گزینه مقاومتر در برابر فیشینگ بررسی کنید.
اگر بین SMS و TOTP حق انتخاب دارید، برای استفاده معمول TOTP را در اولویت قرار دهید.
QR Code، Secret Key و کدهای بازیابی را برای هیچ فرد یا پشتیبانی ارسال نکنید.
کدهای بازیابی را جدا از گوشی اصلی و در محل امن نگهداری کنید.
ایمیل متصل به صرافی را هم با رمز عبور اختصاصی و MFA مناسب محافظت کنید.
پس از تعویض گوشی یا دستگاه، دسترسی دستگاه قدیمی و نشستهای فعال را بررسی و حذف کنید.
در صورت امکان برای کلید امنیتی، یک کلید پشتیبان جداگانه ثبت کنید.
هرگز کد 2FA را در صفحهای که از طریق لینک ناشناس باز شده وارد نکنید؛ دامنه یا اپ رسمی را مستقل باز کنید.
جمعبندی؛ اولویت با روش مقاومتر در برابر فیشینگ است
برای بسیاری از کاربران، TOTP در اپلیکیشن Authenticator تعادل مناسبی میان امنیت و سادگی دارد. اگر صرافی از کلید امنیتی FIDO یا Passkey پشتیبانی میکند و مسیر بازیابی را درست تنظیم کردهاید، این روشها به دلیل مقاومت بیشتر در برابر فیشینگ میتوانند گزینههای قویتری باشند. SMS هم از نداشتن عامل دوم بهتر است، اما وقتی گزینههای مقاومتر در دسترساند بهتر است انتخاب اول نباشد.
در نهایت، 2FA را کنار رمز عبور اختصاصی، امنیت ایمیل، کنترل نشستها و یک مسیر بازیابی امن استفاده کنید. هیچ روش واحدی امنیت کامل ایجاد نمیکند؛ ترکیب تنظیمات درست و رفتار محتاطانه، ریسک دسترسی غیرمجاز را کاهش میدهد.
