Securitywatch: كيف لا تحصل على تأمين مع مصادقة ثنائية | ماكس الدوامة

غالبًا ما تخلق الأدوات الأمنية قدرًا معينًا من القلق. ماذا يحدث إذا فقدت كلمة المرور الخاصة بي؟ أو إذا كان برنامج مكافحة الفيروسات يحذف أشيائي؟ أدى ظهور المصادقة ثنائية العوامل إلى تطور جديد في قلق مألوف: ماذا يحدث إذا لم أتمكن من استخدام العامل الثاني الخاص بي وتم إقفال حسابي؟

كتب جيريمي من Capetown مع بعض المخاوف حول 2FA. لقد قمت بتحرير رسالته عن الإيجاز.

عزيزي السيد،

أنا لست فنيًا للغاية وأريد جهاز مصادقة ثنائي عامل لا يصطدم بمضاعفات صعبة عند الإعداد أو الوصول إلى مثلك واجهتك مع Yubikey. خوفي الأكبر هو قفل نفسي من Gmail الخاص بي.

هل من الأفضل شراء مفتاحين ، أحدهما مفتاح نسخ احتياطي؟

بإخلاص،

جيرمي

في حالة عدم سماعك لمصادقة ثنائية العامل ، أو 2FA ، إليك العنصر الجوهري: 2FA هو الإجراء الثاني الذي تقوم به بعد إدخال كلمة المرور للتحقق من هويتك. الفكرة هي أن المهاجم قد يكون لديه كلمة مرورك ، لكن لن يكون لديه مفتاح الأمان أو تطبيق المصادقة أو رمز SMS. هناك نظرية وممارسة كاملة لـ 2FA لن أخوضها هنا ، لكنني أشجعك على تمكين 2FA وتمكينك من ذلك.

جيريمي في شركة جيدة في قلقه بشأن 2FA. يواصل العديد من الأشخاص المهتمين تقنياً والأمان الذين أعرفهم الاستمرار في تجنب الحماية من عاملين لأنهم يخشون الحصول على تأمين ، وربما يفقدون الوصول إلى الأشياء الخاصة بهم إلى الأبد. إنه مصدر قلق حقيقي وصالح.

القارئ ، لقد حدث لي

في الواقع ، لقد أغلقت حسابات 2FA المحمية من قبل. أكثر من مرة. مرة أخرى في اليوم ، كانت Blizzard واحدة من أوائل الشركات التي قدمت مصادقة ثنائية. حصل لاعبو World of Warcraft على إمكانية الوصول أولاً ، لأنهم يحتاجون إلى حماية نهبهم الذي كسبوه بشق الأنفس. قد تتذكر الأشخاص الذين يتجولون باستخدام سلاسل مفاتيح WoW التي تعرض أرقامًا متغيرة على شاشة LCD. قامت Blizzard لاحقًا بتحسين التجربة إلى تطبيق جوال ، ووزعت 2FA على جميع مستخدمي Battle.net.

كوني الشخص المصاب بجنون العظمة ، قمت بتمكين 2FA على حساب Blizzard الخاص بي باستخدام تطبيق Blizzard Authenticator الخاص. لقد نسيت على الفور أنني قمت بذلك ، وفي الأشهر الفاصلة ، قمت بحذف التطبيق من هاتفي ونسيت كلمة المرور الخاصة بي. لحسن الحظ ، عاصفة ثلجية قوية لديها خدمة العملاء. عدد قليل من رسائل البريد الإلكتروني مع موظفيهم كان يحلو لي مرة أخرى عبر الإنترنت في غضون أيام قليلة. كان لا يزال يدمر الأعصاب. كنت معتادًا على أن أكون قادرًا على التعامل مع إعادة تعيين كلمة المرور الخاصة بي ، وفكرة الاضطرار إلى التعامل مع إنسان حي حقيقي كجزء من تلك العملية شعرت جيدًا جدًا.

لقد اعتدت على التجربة منذ ذلك الحين ، وتعلمت أن أكون أكثر ذكاءً في الحفاظ على أمان أداة التصديق الخاصة بي. ما زلت أتمكن من الخروج من Battle.net مرارًا وتكرارًا ، بالإضافة إلى خدمات Steam وغيرها من الخدمات.

بناءً على كيفية تكوين شركة لعرضها في 2FA ، فقد تجد نفسك مضطرًا للانحناء للخلف للسيطرة على حسابك مرة أخرى. بقدر ما يبدو هذا مزعجًا ، فهذا يعني في الواقع أن الخدمة تعمل. يجب أن تقفز من خلال العديد من الأطواق إذا لم يكن لديك الموثق. إذا كان الأمر سهلاً بالنسبة لك ، فسيكون من السهل على رجل سيء.

اضرب عواملك

لحسن الحظ ، هناك طريقة سهلة لمنع التعرض للإغلاق بواسطة 2FA: استخدم خيارات 2FA متعددة. يمكن أن تكون هذه بمثابة نسخة احتياطية في حال لم يكن لديك الوصول إلى خيار 2FA مختلف. على سبيل المثال ، أستخدم YubiKey 5 NFC مع حساباتي في Google ، لكنني مكنت أيضًا من التنصت على إشعار دفع التحقق على هاتفي. إذا لم يكن لديّ Yubikey ، فأنا أستخدم ذلك بدلاً من ذلك.

تؤدي إضافة المزيد من الأجهزة متعددة العوامل إلى زيادة خطر تعرض حسابك للخطر. الآن هناك طريقتان للدخول إلى حسابك ، بدلاً من طريقة واحدة فقط. أعتقد أن مكافآت عدم الإغلاق في حسابك تفوق إلى حد كبير السيناريو الذي لا يُرجح أن تتعرض للهروب منه وأن perp يأخذ محفظتك ومفاتيحك ومفتاح الأمان وأيضًا كتابة كلمة المرور الخاصة بك.

حزمة Google Titan Security Key.

يأتي أفضل تأييد لاستخدام أكثر من جهاز 2FA من Google ، والذي يوفر مفتاحين في حزمة Titan Key. تم إنشاء هذه خصيصًا للعمل مع نظام الحماية المتقدمة من Google ، والذي يتطلب منك تسجيل مفتاحين أمن منفصلين. تستخدم واحدة كل يوم ، وتضع الآخر بعيداً في حالات الطوارئ. لذلك ، للإجابة مباشرة على سؤال جيريمي: ليس من الجيد وجود مفتاحين لحسابك.

لسوء الحظ ، لا تسمح لك كل المواقع بتسجيل أكثر من خيار متعدد العوامل. إذا كان الأمر كذلك ، فأنا أوصي باستخدام خيار 2FA الذي تشعر أنه أكثر موثوقية بالنسبة لك.

بناء التوثيق الخاص بك ارسنال

إذا اخترت شراء عدة مفاتيح 2FA للأجهزة ، فإنني أوصي إما بمفتاح أمان اختيار المحررون من Yubico أو باقة Titan Key من Google. يكلف مفتاح الأمان في يوبيكو 20 دولارًا فقط لكل منهما ، أو 36 دولارًا لاثنين. تبلغ تكلفة حزمة Google 50 دولارًا وتتضمن جهازين: مفتاح USB واحد ودونجل بلوتوث يعمل بالبطارية.

مفتاح الأمان بواسطة Yubico

لسنوات ، كانت الطريقة الأكثر شيوعًا لاستخدام 2FA هي إرسال رموز لمرة واحدة إلى هاتفك عبر رسالة نصية. ربما لا يزال يتعين عليك استخدام هذا مع البنك الذي تتعامل معه ، حيث تميل المؤسسات المالية إلى تبني تقنيات جديدة بشكل أبطأ. من المثير للاهتمام أن Google لا تزال تتطلب منك تمكين رموز الرسائل القصيرة إذا كنت تريد استخدام أي أنظمة 2FA أخرى. بالنسبة لسؤال Jeremy ، هذا يعني عندما تذهب لتسجيل مفتاح الأمان الجديد في Google ، سيكون عليك بالفعل تمكين خيار 2FA الثاني في شكل رموز SMS.

هناك خيار آخر وهو استخدام Google Authenticator ، أو تطبيق مشابه مثل LastPass Authenticator. تقوم تطبيقات الأجهزة المحمولة هذه بإنشاء رموز مرور مكونة من ستة أرقام كل 30 ثانية. فقط افتح التطبيق ، وانسخ الرمز ، وأنت فيه. هذه الخيارات مفيدة بشكل خاص كخيار احتياطي 2FA ، لأن التطبيق يعمل حتى بدون خدمة خلوية أو Wi-Fi.

إذا كانت كل هذه الأمور تبدو مثيرة للقلق ، فيمكنك استخدام طريقتي المفضلة: رموز النسخ الاحتياطي الفعلي. ربما تكون قد رأيت هذه عند إنشاء حسابات ، أو التسجيل في 2FA. إنها شبكة من عدة أرقام يمكنك استخدامها بدلاً من كلمة مرور ورموز 2FA. يتم إنشاؤها مرة واحدة فقط ، وإذا قمت بإعادة إنشائها ، سيتم قذف القديمة. من الناحية المثالية ، ستقوم بتأمينها في قبو ملف مشفر ، أو الأفضل من ذلك على قطعة من الورق مدسوس في مكان آمن.

عندما أنشأت Google برنامج Advanced Protection (الحماية المتقدمة) ، اختارت Google استخدام مفاتيح متعددة للأجهزة لأن كل الخيارات الأخرى التي ذكرتها أعلاه - بما في ذلك رموز النسخ الاحتياطي - يمكن أن يتم التقاطها بصفحة تصيّد جيدة الصنع. إن تزوير مفتاح الأمان أمر أصعب بكثير .

• مصادقة ثنائية العامل: من يملكها وكيفية إعدادها مصادقة ثنائية العامل: من يملكها وكيفية إعدادها
• لماذا لا تستخدم مصادقة ثنائية؟ لماذا لا تستخدم مصادقة ثنائية؟
• Google: هجمات التصيد الاحتيالي التي يمكنها التغلب على عاملين في ارتفاع Google: هجمات الاحتيال التي يمكنها التغلب على عاملين في ارتفاع

ضع في اعتبارك أن جميع المواقع لا تدعم كل نوع من أدوات التوثيق. LastPass ، على سبيل المثال ، يتيح لك استخدام مفاتيح الأمان ، ولكن فقط المفاتيح التي تدعم رموز المرور لمرة واحدة. غالبًا ما تكون معرفة المصادقة التي تستخدمها دالة للخيارات المدعومة.

خطواتك الأولى للمصادقة الثنائية

ومع ذلك ، أوصي أي شخص جديد في 2FA بتجربته باستخدام نظام آخر غير مفاتيح الأمان أولاً. إذا لم تكن معتادًا على استخدام هذا الشيء الثاني لتسجيل الدخول ، فأنت أكثر عرضة للتعبث عن شيء غير مألوف مثل مفتاح الأمان. بدلاً من ذلك ، حاول استخدام إشعارات الدفع أو الرموز المرسلة عبر رسالة نصية أو Duo أو Google Authenticator (أو منشئ رموز مشابه). تستخدم هذه الأجهزة لديك بالفعل ، لذلك لا توجد تكلفة للدخول. بمجرد معرفة كيفية عمل 2FA ، ويبدأ بالشعور بالطبيعة الثانية ، يمكنك التفكير في سحب الأموال لمفتاح (مفاتيح) الأمان.

ميزة الأمان ذات قيمة فقط إذا كنت تستخدمها بالفعل. لذلك قم بتمكين 2FA ، ولكن امنح نفسك الإذن بالتجول معه وإيجاد طريقة مناسبة لك.