ابزارهای گذرواژه و عامل دوم: انتخاب و بازیابی

نگهداری رمزها و ساختن کد ورود دوم دو کار جدا هستند، حتی اگر بعضی برنامه‌ها هر دو را با هم انجام دهند. قاطی کردن‌شان بدون برنامهٔ بازیابی یعنی با از دست رفتن یک گوشی هم به رمزها و هم به عامل دوم دسترسی نداشته باشید. این صفحه کمک می‌کند ابزار را با کار درست جور کنید؛ جزئیات راه‌اندازی هر لایه در راهنماهای جدا آمده است.

انتخاب میان فایل محلی و خدمت همگام در راهنمای مدیر رمز عبور است. انتخاب روش دوم و آزمایش بازیابی در راهنمای احراز هویت دومرحله‌ای است. اگر حسابی از دست رفته، به‌جای عوض کردن هم‌زمان همهٔ ابزارها سراغ راهنمای بازیابی حساب به‌خطر‌افتاده بروید.

اول دو کار را از هم جدا کنید

1. مدیر رمز عبور باید رمزهای یکتا بسازد و آن‌ها را در یک خزانه نگه دارد تا رمز تکراری بین سایت‌ها نماند.
2. عامل دوم باید ثابت کند دستگاه یا کلید شما هم در ورود حاضر است، حتی اگر رمز لو رفته باشد.
3. بازیابی هر کدام را جدا بنویسید: اگر گوشی گم شود به خزانه چطور می‌رسید، و اگر همان گوشی برنامهٔ کد را داشت به حساب‌ها چطور برمی‌گردید.
4. پیامک را ضعیف‌ترین روش رایج بدانید و وقتی روش بهتری هست همان را اول بگذارید.

مدیر رمز عبور: محلی، همگام یا خود سیستم‌عامل

مدیر رمز عبور رمز تصادفی می‌سازد و در خزانه نگه می‌دارد. سه خانوادهٔ رایج وجود دارد و هیچ‌کدام برای همه بهترین نیست.

فایل محلی مثل KeePassXC روی دستگاه خودتان می‌ماند. برنامه را از keepassxc.org بگیرید. کنترل فایل دست شماست و همگام‌سازی خودکار پیش‌فرض نیست. باید خودتان تصمیم بگیرید فایل رمزشده را کجا رونوشت می‌کنید و آن رونوشت را با رمز اصلی جدا نگه دارید.

خدمت همگام‌شونده مثل Bitwarden یا ۱Password خزانه را میان دستگاه‌هایتان جابه‌جا می‌کند. نصب را از سایت رسمی همان خدمت بگیرید. راحتی‌اش بالاست؛ در عوض باید به نگهداری آن خدمت و به رمز اصلی و در صورت وجود به تأیید دومرحله‌ای همان خزانه فکر کنید. همگام‌سازی را با پشتیبان عوضی نگیرید: اگر رمز اصلی را گم کنید، نسخهٔ همگام‌شده هم باز نمی‌شود.

مدیر خود سیستم‌عامل برای کسی که در یک اکوسیستم می‌ماند ساده است. وابستگی‌اش به همان حساب اپل، گوگل یا مایکروسافت است. اگر آن حساب را از دست بدهید، رمزهای ذخیره‌شده هم در معرض خطر بازیابی همان حساب‌اند.

1. یک مدیر را انتخاب کنید و رمزهای اصلی — ایمیل، بانک، فروشگاه، شبکه‌های اجتماعی — را به آن منتقل کنید، نه اینکه سه مدیر نیمه‌کاره داشته باشید.
2. رمز اصلی خزانه را طولانی و یکتا بگذارید و آن را جایی جدا از خودِ خزانه به خاطر بسپارید یا بنویسید.
3. یک رونوشت بازیابی بسازید: فایل رمزشدهٔ KeePassXC را در جای دوم بگذارید، یا کلید بازیابی خدمت همگام را بیرون بنویسید.
4. افزونهٔ مرورگر را فقط از فروشگاه رسمی همان مرورگر نصب کنید و روی پیوند داخل پیام نزنید.

عامل دوم: پیامک، برنامهٔ کد، کلید سخت‌افزاری و کلید عبور

برنامهٔ کد یک‌بارمصرف مثل Aegis یا سایر برنامه‌های TOTP، کلید امنیتی سخت‌افزاری و کلید عبور هر کدام سطح متفاوتی از مقاومت در برابر فیشینگ دارند. پیامک ضعیف‌ترین روش رایج است چون شماره را می‌توان به سیم دیگری برد یا پیام را روی همان گوشی خواند.

1. Aegis را اگر روی اندروید می‌خواهید از getaegis.app یا فروشگاه رسمی بگیرید، نه از یک پرونده در پیام‌رسان. روی سیستم‌های دیگر از برنامهٔ TOTP رسمی و نگهداری‌شده استفاده کنید.
2. وقتی حسابی کد QR نشان می‌دهد، آن را در برنامهٔ اصالت‌سنج ذخیره کنید و کدهای پشتیبان همان خدمت را همان لحظه بیرون بنویسید.
3. کلید امنیتی سخت‌افزاری را از سازندهٔ شناخته‌شده و مسیر رسمی بخرید. آن را برای حساب‌های اصلی ثبت کنید و یک کلید دوم یا روش پشتیبان داشته باشید تا گم شدن یک کلید شما را بیرون نگذارد.
4. کلید عبور (passkey) روی دستگاه یا مدیر رمز، در برابر صفحهٔ جعلی مقاوم‌تر از رمز به‌علاوهٔ پیامک است. بعد از ساختن کلید عبور، روش بازیابی حساب را همچنان بخوانید؛ عوض شدن دامنه یا گم شدن دستگاه می‌تواند کلید را از کار بیندازد.
5. پیامک را اگر تنها گزینه است موقتاً بگذارید و به‌محض در دسترس بودن اصالت‌سنج یا کلید، آن را ارتقا دهید.

کد یک‌بارمصرف را فقط داخل همان خزانه نگذارید

اگر مدیر رمز عبور می‌تواند کد TOTP را هم نگه دارد، راحتی‌اش بالاست اما همه چیز در یک جا جمع می‌شود. کسی که به خزانه برسد هم رمز را دارد و هم کد را. در خطر بالاتر بهتر است عامل دوم روی دستگاه یا کلید جدا باشد.

1. برای حساب‌های خیلی حساس — ایمیل اصلی، خودِ مدیر رمز، بانک — کد را روی ابزار جدا از خزانه نگه دارید.
2. از هر کدام که استفاده می‌کنید، یک نسخهٔ پشتیبان از رازها داشته باشید: فایل رمزشده، کدهای پشتیبان سرویس، یا کلید سخت‌افزاری دوم.
3. آن پشتیبان را در همان گوشی تنها یا در همان پوشهٔ همگام خزانه نگذارید.
4. یک‌بار بازیابی را آزمایش کنید: از دستگاه دوم وارد شوید یا وانمود کنید گوشی در دسترس نیست و ببینید راه برگشت واقعاً کار می‌کند.

با توصیه‌های رایج ۲۰۲۶ هماهنگ فکر کنید

راهنماهای به‌روزتر گذرواژه معمولاً به‌جای عوض کردن اجباری هر چند ماه، روی طول و یکتا بودن رمز و عوض کردن بعد از نشت تأکید می‌کنند. عامل دوم مقاوم در برابر فیشینگ را بهتر از پیامک می‌دانند. این صفحه جای استاندارد رسمی نیست؛ اگر برای سازمانی کار می‌کنید سیاست همان سازمان مقدم است.

1. رمزهای کوتاه و تکراری را اول به خزانه ببرید و عوض کنید، نه رمزهایی که همین حالا یکتا و بلندند.
2. رمز را فقط به‌خاطر رسیدن تاریخ در تقویم عوض نکنید مگر نشتی یا ورود مشکوک دیده باشید، یا سیاست محل کارتان بخواهد.
3. هر جا کلید عبور یا کلید سخت‌افزاری هست، آن را به پیامک ترجیح دهید.

وقتی ابزار را از دست می‌دهید چه می‌شود

1. اگر فقط گوشی گم شده و خزانه همگام روی رایانه است، از رایانه رمزها را دارید؛ عامل دومی که فقط روی همان گوشی بود ممکن است از دست رفته باشد. کدهای پشتیبان اینجا به کار می‌آیند.
2. اگر فایل محلی KeePassXC فقط روی همان دستگاه بود و رونوشت نداشتید، رمزها با دستگاه رفته‌اند. این همان دلیل رونوشت جداست.
3. اگر به حساب مدیر رمز نفوذ شده، از دستگاه دیگری رمز اصلی را عوض کنید، نشست‌ها را ببندید و حساب‌های داخل خزانه را به ترتیب اهمیت از نو سخت کنید.
4. برنامهٔ کد یا فایل بازیابی را از مسیر غیررسمی «بازسازی» نکنید.

رمزها را چطور به خزانه ببرید

نقل مکان لازم نیست یک‌شبه همهٔ حساب‌ها را دربر بگیرد. اول حساب‌هایی را ببرید که اگر لو بروند بقیه را هم باز می‌کنند: ایمیل اصلی، خود فروشگاه برنامه‌ها، و شبکه‌ای که بازیابی بقیه به آن وصل است.

1. از مدیر تازه یک رمز تصادفی برای همان حساب بسازید، وارد حساب شوید، رمز را عوض کنید و مقدار تازه را ذخیره کنید.
2. اگر مرورگر رمزهای قدیمی را نشان می‌دهد، بعد از انتقال هر حساب، ذخیرهٔ مرورگر را برای همان سایت پاک کنید تا دو نسخهٔ مخالف نماند.
3. پروندهٔ خروجی رمزها از مرورگر را پس از ورود به مدیر رمز حذف کنید و روی میز یا در گپ رها نکنید؛ آن پرونده اغلب متنی و خیلی حساس است.
4. حساب‌های کم‌اهمیت را می‌توانید به‌تدریج، هر بار که واردشان می‌شوید، به خزانه ببرید.

رمز مشترک و حساب تیمی

فرستادن رمز در پیام معمولی، حتی برای همکار، همان رمز را در تاریخچهٔ گپ می‌گذارد. اگر باید دسترسی را شریک شوید، از اشتراک داخل خودِ مدیر رمز یا از حسابی با نقش جدا استفاده کنید، نه از یک متن در گروه.

1. وقتی همکاری تمام شد دسترسی را ببندید و رمز را عوض کنید.
2. رمز حساب شخصی را با حساب کاری یکی نکنید.
3. اگر سازمان مدیر رمز سازمانی دارد، سیاست همان را برای کار سازمانی دنبال کنید و خزانهٔ شخصی را با آن قاطی نکنید.

خودِ خزانه را مثل یک حساب حیاتی ببندید

1. برای خدمت همگام‌شونده تأیید دومرحله‌ای بگذارید و روشش را طوری انتخاب کنید که با از دست رفتن همان گوشی هر دو لایه نروند.
2. نشست‌های باز روی دستگاه‌های قدیمی را از پنل همان خدمت ببندید.
3. ایمیل بازیابی خزانه را ایمیلی بگذارید که خودتان کنترلش می‌کنید و آن ایمیل هم رمز یکتا و عامل دوم غیرپیامکی دارد. این ایمیل بازیابی را با دوستان یا در یک گروه کاری به اشتراک نگذارید.

اشتباه‌های رایج

• نگه داشتن همهٔ رمزها در مرورگر بدون رمز اصلی و بدون رونوشت.
• ذخیره کردن کدهای یک‌بارمصرف فقط داخل همان خزانه‌ای که رمزها را دارد، بدون هیچ نسخهٔ جدا، در حالی که خطر حساب‌ها بالاست.
• تکیه به پیامک چون «از قبل روشن بوده» و ارتقا ندادن.
• نصب مدیر رمز یا اصالت‌سنج از فایل داخل گروه.
• نداشتن آزمایش بازیابی تا روزی که گوشی گم شود.
• یک کلید سخت‌افزاری تنها، بدون روش دوم، برای حسابی که زندگی‌تان به آن وابسته است.

از همین امروز چه کار کنید

1. یک مدیر رمز عبور راه‌اندازی کنید و رمزهای اصلی را به آن منتقل کنید.
2. برای همان حساب‌ها یک عامل دوم غیرپیامکی بگذارید.
3. بازیابی هر دو لایه را یک‌بار آزمایش کنید.
4. اگر خطر بالاتر است، کد یک‌بارمصرف حساب‌های حیاتی را از خزانه جدا کنید و کدهای پشتیبان را بیرون بنویسید.
5. برنامه‌ها را فقط از مسیر رسمی همان پروژه نصب کنید: KeePassXC از keepassxc.org، اصالت‌سنج از سایت یا فروشگاه رسمی‌اش. بعد از نصب، یک ورود آزمایشی روی دستگاه دوم و یک بازیابی آزمایشی کامل را هم همین هفته و در شرایط کاملاً آرام و بدون هیچ عجلهٔ غیرضروری و فشاری انجام دهید.