چطور از 2FA پیامکی به passkey برویم

چرا همین حالا از 2FA پیامکی به passkey برویم؟

کدهای پیامکی را می‌توان درون شبکه‌های تلفن رهگیری کرد، اما passkey برای مقاومت در برابر فیشینگ طراحی شده و ارائه‌دهندگان بزرگ هم از پیامک فاصله می‌گیرند: Microsoft از ۱ فوریه ۲۰۲۷ کدهای پیامکی و صوتی خودش را برای بیشتر حساب‌های کاری و دانشگاهی کنار می‌گذارد ^[1][8].

این خطر نظری نیست. در ۱۱ نوامبر ۲۰۲۶ شرکت امنیت موبایل Enea گزارش داد که بازیگری تازه‌شناسایی‌شده که آن را SilentAir می‌نامد، با درخواست‌های مخرب به‌روزرسانی موقعیت در شبکه‌های موبایل، پیامک‌ها و تماس‌ها را رهگیری کرده است؛ عناصر شبکه‌ای مرتبط با SilentAir دست‌کم در شش کشور آسیایی پیدا شده و برخی اهداف کدهای 2FA را بلافاصله پس از رهگیری دریافت کرده‌اند ^[11]. ماجرای کامل در راهنمای Pouyam با عنوان Is SMS 2FA Safe? What the SilentAir Attacks Show آمده است.

توصیه‌های رسمی هم همین را می‌گویند. آژانس امنیت سایبری و زیرساخت آمریکا (CISA) در دسامبر ۲۰۲۴ به افراد بسیار هدف‌گیری‌شده گفت: «از پیامک به‌عنوان عامل دوم استفاده نکنید» و کلیدهای امنیتی FIDO و passkeyها را بالاتر از برنامه‌های احراز هویت قرار داد ^[9]. نهاد استاندارد آمریکا، NIST، کدهای پیامکی و صوتی را احرازکننده «محدودشده» می‌داند که سرویس‌ها باید جایگزینی برایش ارائه کنند ^[10].

passkey طور دیگری کار می‌کند. یک جفت کلید رمزنگاری است که روی گوشی، رایانه یا کلید امنیتی شما ذخیره می‌شود، با چهره، اثر انگشت یا PIN صفحه باز می‌شود و FIDO Alliance آن را مقاوم در برابر فیشینگ توصیف می‌کند ^[8]. کدی برای خواندن یا فوروارد کردن وجود ندارد و Google می‌گوید passkeyها نسبت به رمز عبور «در برابر فیشینگ امن‌ترند» ^[2]. برای مقایسه همه روش‌ها کنار هم، راهنمای Two-Factor Authentication Explained: Which 2FA Method Is Safest? را ببینید.

چطور هر حسابی را از 2FA پیامکی به passkey ببرم؟

در هر حسابی ترتیب امن این است: بررسی پشتیبانی از passkey، ساخت passkey، افزودن راه دوم ورود، ذخیره کدهای پشتیبان، سپس حذف شماره تلفن به‌عنوان مرحله دوم و آزمایش ^[2][3][12]. جا انداختن مرحله پشتیبان رایج‌ترین دلیل قفل شدن افراد بیرون از حسابشان است.

1. پشتیبانی را بررسی کنید. تنظیمات امنیت یا ورود حساب را باز کنید و دنبال «Passkeys» بگردید. فهرست جمعی passkeys.directory که 1Password اداره می‌کند، سایت‌هایی را نشان می‌دهد که passkey را برای ورود یا به‌عنوان عامل دوم ارائه می‌کنند ^[12].
2. passkey را بسازید، روی دستگاهی که بیشتر استفاده می‌کنید، و با چهره، اثر انگشت یا قفل صفحه تأیید کنید ^[2][4].
3. پشتیبان اضافه کنید. یک passkey دوم روی دستگاهی دیگر یا یک کلید امنیتی سخت‌افزاری بسازید، یا برنامه احراز هویت راه بیندازید. passkeyها می‌توانند با امنیت میان دستگاه‌هایتان همگام شوند یا به یک دستگاه وابسته بمانند ^[8].
4. کدهای بازیابی را ذخیره کنید، اگر سرویس ارائه می‌دهد، و آن‌ها را آفلاین نگه دارید. برای نمونه Google کدهای پشتیبان قابل چاپ برای زمان گم شدن گوشی ارائه می‌کند ^[3].
5. پیامک را به‌عنوان مرحله دوم حذف کنید. CISA توصیه می‌کند پس از ثبت روشی قوی‌تر پیامک را غیرفعال کنید، چون یک راه جایگزین ضعیف فایده کار را از بین می‌برد ^[9].
6. آزمایش کنید: پیش از بستن صفحه تنظیمات، خارج شوید و دوباره با passkey وارد شوید.

برخی سرویس‌ها حتی پس از خاموش شدن کدهای پیامکی ورود، شماره تلفن را برای بازیابی حساب نگه می‌دارند ^[9]. این دلیلی برای انجام ندادن تغییر نیست، اما دلیلی است که حساب موبایل خود را، هر جا ممکن است، با PIN اپراتور یا قفل انتقال شماره محافظت کنید. برای پیش‌زمینه درباره سازوکار passkey، راهنمای What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer را ببینید.

چطور حساب Google را به passkey ببرم؟

در تنظیمات امنیتی حساب Google یک passkey بسازید، سپس 2-Step Verification را باز کنید و خودتان شماره تلفن را حذف کنید، چون افزودن passkey هیچ روش ورود یا بازیابی موجود را تغییر نمی‌دهد و حذف نمی‌کند ^[2]. Google می‌گوید در حساب‌هایی که 2-Step Verification دارند، ورود با passkey مرحله دوم را رد می‌کند، چون passkey تأیید می‌کند که دستگاه زیر کنترل شماست ^[2].

1. به حساب Google بروید، روی Security & sign-in بزنید و زیر How you sign in to Google، بخش Passkeys and security keys را برای ساخت passkey باز کنید ^[2].
2. با اثر انگشت، اسکن چهره یا قفل صفحه تأیید کنید. Google از passkey روی Windows 10، macOS Ventura و ChromeOS 109 یا جدیدتر، Android 9 و iOS 16 یا جدیدتر، و روی کلیدهای امنیتی سخت‌افزاری FIDO2 پشتیبانی می‌کند ^[2].
3. یک passkey دوم روی دستگاهی دیگر بسازید یا یک کلید امنیتی اضافه کنید تا به یک گوشی وابسته نباشید.
4. در Security، بخش 2-Step Verification را باز کنید. کدهای پشتیبان را دانلود یا چاپ کنید؛ Google آن‌ها را کدهای ۸ رقمی برای زمان گم شدن گوشی معرفی می‌کند ^[3].
5. شماره تلفنی را که به‌عنوان روش 2-Step Verification ثبت شده حذف کنید، یا آن را به اعلان Google یا برنامه احراز هویت تغییر دهید.

دو نکته مهم است. اول، Google ممکن است تا هفت روز طول بکشد تا شماره تلفن تازه‌ای را که برای 2-Step Verification اضافه شده معتبر بداند و داشتن passkey یا کلید امنیتی معتبر می‌تواند این را سریع‌تر کند ^[3]. Google همچنین هشدار می‌دهد فقط روی دستگاه‌هایی که شخصاً مالک آن‌ها هستید passkey بسازید، چون هر کسی که بتواند قفل دستگاه را باز کند می‌تواند وارد شود ^[2]. دوم، در حساب Google Workspace کاری یا دانشگاهی، مدیر سیستم تصمیم می‌گیرد که آیا می‌توانید فقط با passkey وارد شوید؛ اما همچنان می‌توانید passkey را به‌عنوان عامل دوم و گزینه بازیابی بسازید ^[2].

چطور به حساب Microsoft یک passkey اضافه کنم؟

در Advanced Security Options حساب Microsoft در account.live.com/proofs/manage وارد شوید، Add a new way to sign in or verify را انتخاب کنید و سپس Face، Fingerprint، PIN یا Security Key را برگزینید ^[4]. این صفحه حساب‌های شخصی Microsoft را پوشش می‌دهد ^[4].

1. روی دستگاهی که passkey را می‌خواهید، account.live.com/proofs/manage را باز کنید و وارد شوید ^[4].
2. Add a new way to sign in or verify را انتخاب کنید ^[4].
3. Face، Fingerprint، PIN یا Security Key را انتخاب کنید و راهنما را دنبال کنید ^[4].
4. برای ذخیره passkey در جای پیشنهادی Continue یا Create را بزنید، یا با Save another way گوشی یا کلید امنیتی را انتخاب کنید ^[4].
5. پیش از حذف هر چیزی، یک برنامه احراز هویت راه بیندازید که مراحل بدون رمز عبور Microsoft به آن تکیه دارند ^[5].

Microsoft به حساب‌های شخصی اجازه می‌دهد یک قدم جلوتر بروند و رمز عبور را حذف کنند. در Additional security options، کنار Passwordless account روی Turn on بزنید و درخواست را در برنامه احراز هویت تأیید کنید ^[5]. Microsoft یادآوری می‌کند که با روشن بودن تأیید دومرحله‌ای، به دو روش بازیابی دسترسی نیاز دارید ^[5].

برای توقف کدهای پیامکی، فهرست راه‌های اثبات هویت را در همان بخش امنیت مرور کنید و وقتی passkey و برنامه کار کردند، شماره تلفن را به‌عنوان روش ورود حذف کنید. به گفته Microsoft اگر گوشی را عوض می‌کنید، روش‌های مربوط به دستگاه قدیمی را حذف کنید ^[5].

آیا Microsoft کدهای پیامکی حساب‌های کاری را متوقف می‌کند؟

بله، برای کدهایی که خود Microsoft می‌فرستد: از ۱ فوریه ۲۰۲۷ احراز هویت پیامکی و صوتی ارائه‌شده توسط Microsoft در Microsoft Entra ID، سامانه ورود Microsoft برای سازمان‌ها، برای همه کاربران به‌جز Global Administrators و کاربران خارجی کنار گذاشته می‌شود ^[1]. این دو گروه در ۱ ژوئیه ۲۰۲۷ دنبال می‌کنند ^[1].

این تغییر زودتر شروع شد. از ۱ سپتامبر ۲۰۲۶ passkey تجربه پیش‌فرض احراز هویت در Entra ID شد و برای کاربرانی که پیامک یا تماس صوتی داشتند خودکار فعال شد و هنگام ورود به ثبت passkey ترغیب می‌شوند ^[1]. صفحه Microsoft می‌گوید پیامک و تماس صوتی «دیگر به‌عنوان روش‌های امن احراز هویت معرفی نمی‌شوند» ^[1].

معنای آن برای شما:

• اگر حساب کاری‌تان از شما خواست passkey بسازید، بپذیرید: برنامه Microsoft کاربران را هنگام ورود و تکمیل MFA به ثبت passkey ترغیب می‌کند ^[1]. فقط به درخواستی عمل کنید که درون صفحه عادی ورود Microsoft ظاهر می‌شود.
• بسته به تنظیمات سازمان‌تان، passkey می‌تواند در Microsoft Authenticator، یک کلید امنیتی FIDO2، Windows یا یک مدیر اعتبارنامه همگام‌شده ذخیره شود ^[1].
• کاربران مهمان داخلی تاریخ ۱ فوریه ۲۰۲۷ را دنبال می‌کنند، نه تاریخ بعدی را ^[1].
• پرسش درباره روش‌های مجاز را از بخش فناوری اطلاعات بپرسید که این سیاست را کنترل می‌کند.

هرگز درخواست ورود یا passkey را که خودتان شروع نکرده‌اید تأیید نکنید و هرگز از لینکی در ایمیل یا پیام غیرمنتظره آن را راه نیندازید.

آیا می‌توانم برای حساب Apple از passkey استفاده کنم؟

نه به‌عنوان عامل دوم: حساب‌های Apple برای احراز هویت دومرحله‌ای از کد تأیید شش‌رقمی استفاده می‌کنند و ارتقای مقاوم در برابر فیشینگی که Apple ارائه می‌دهد کلیدهای امنیتی فیزیکی FIDO است، نه passkey ^[7]. صفحه Apple درباره این قابلیت به passkey اشاره‌ای نمی‌کند ^[7].

شرایط Apple برای Security Keys for Apple Account مشخص است ^[7]:

• دست‌کم دو کلید امنیتی دارای گواهی FIDO؛ تا شش کلید می‌توانید اضافه کنید ^[7].
• iOS 16.3، iPadOS 16.3 یا macOS Ventura 13.2 یا جدیدتر روی همه دستگاه‌هایی که با حساب Apple وارد شده‌اند ^[7].
• احراز هویت دومرحله‌ای از قبل روشن باشد ^[7].
• حساب‌های کودکان و Managed Apple Accounts پشتیبانی نمی‌شوند ^[7].

در iPhone، Settings را باز کنید، روی نام خود بزنید، سپس Sign-in & Security، بعد Two-Factor Authentication و Security Keys، و مراحل را دنبال کنید ^[7]. Apple هشدار می‌دهد که هنگام راه‌اندازی از دستگاه‌های غیرفعال (آن‌هایی که بیش از ۹۰ روز استفاده نشده‌اند) خارج می‌شوید و اگر همه دستگاه‌های معتبر و کلیدهای امنیتی را گم کنید ممکن است برای همیشه از حساب بیرون بمانید ^[7]. اگر همه کلیدهای امنیتی را حذف کنید، حساب به کدهای شش‌رقمی برمی‌گردد ^[7].

Apple کلیدهای امنیتی را برای کسانی معرفی می‌کند که می‌خواهند در برابر حملات هدفمند مانند فیشینگ یا کلاهبرداری مهندسی اجتماعی محافظت بیشتری داشته باشند ^[7].

چطور در WhatsApp یک passkey بسازم؟

در WhatsApp، Settings را باز کنید، روی Account بزنید، سپس Passkeys، Create passkey و Continue را بزنید و با قفل صفحه تأیید کنید ^[6]. WhatsApp می‌گوید برخلاف رمزهای عبور یا کدهای تأیید پیامکی، passkeyها رمزنگاری‌شده‌اند و فقط با دستگاه فیزیکی شما و داده‌های بیومتریک یا قفل صفحه‌تان قابل دسترسی‌اند ^[6].

1. در Android به Android 9 یا جدیدتر، قفل صفحه و یک حساب مدیر رمز عبور متصل به گوشی، مثل Google Password Manager یا Samsung Password Manager، نیاز دارید ^[6].
2. WhatsApp را باز کنید، روی منو و سپس Settings بزنید ^[6].
3. روی Account، Passkeys، Create passkey و سپس Continue بزنید ^[6].
4. هنگام درخواست، با اثر انگشت، چهره یا قفل صفحه تأیید کنید ^[6].

WhatsApp یادآوری می‌کند که اگر پس از ساخت passkey برنامه را دوباره نصب کنید، ممکن است هنگام ثبت‌نام از شما بخواهد از آن استفاده کنید ^[6]. برای تغییر passkey باید آن را حذف و از همان منو یک passkey تازه بسازید ^[6].

صفحه WhatsApp نمی‌گوید که passkey هنگام ثبت‌نام جای کد پیامکی را می‌گیرد، پس آن را یک لایه اضافی بدانید. PIN تأیید دومرحله‌ای را هم نگه دارید تا دزدی که شماره شما را تصاحب کرده باز هم به چیزی نیاز داشته باشد که فقط شما می‌دانید.

کدام حساب‌ها به جای پیامک از passkey پشتیبانی می‌کنند؟

Google، Microsoft و WhatsApp passkey را به‌عنوان گزینه‌ای قوی‌تر از کدهای پیامکی ارائه می‌کنند، حساب‌های Apple به جای آن از کلید امنیتی استفاده می‌کنند و بسیاری از سرویس‌های کوچک‌تر هنوز فقط پیامک یا برنامه احراز هویت دارند ^[2][4][6][7]. جدول زیر خلاصه می‌کند تنظیم مربوط در هر کدام کجاست، تا ۱۵ نوامبر ۲۰۲۶.

پشتیبانی اغلب تغییر می‌کند، پس پیش از شروع صفحه امنیتی هر سرویس را بررسی کنید؛ فهرست passkeys.directory سرویس‌هایی را نشان می‌دهد که passkey را برای ورود یا به‌عنوان عامل دوم پشتیبانی می‌کنند ^[12].

حساب‌هایی را در اولویت بگذارید که کلید بقیه‌اند: ایمیل اصلی، حساب ابری گوشی (Google یا Apple)، مدیر رمز عبور، بانک و حساب‌های کاری. اگر ایمیل شما از دست برود، مهاجم می‌تواند رمز بیشتر حساب‌های دیگر را بازنشانی کند.

اگر حسابی از passkey پشتیبانی نکند چه کنم؟

به جای پیامک از برنامه احراز هویت استفاده کنید و وقتی برنامه کار کرد، پیامک را به‌عنوان راه جایگزین خاموش کنید ^[9]. CISA برنامه‌های احراز هویت را پایین‌تر از کلیدهای FIDO و passkeyها قرار می‌دهد، چون کدهایشان هنوز با فیشینگ قابل سرقت است، اما می‌گوید از پیامک بهترند، که رمزنگاری نشده و اگر در شبکه ارائه‌دهنده رهگیری شود قابل خواندن است ^[9]. رهگیری از طریق سیگنالینگ مخابراتی، روشی که Enea برای SilentAir شرح می‌دهد ^[11]، پیام‌های ارسالی روی شبکه تلفن را هدف می‌گیرد، که کدهای تولیدشده درون برنامه جزو آن‌ها نیستند.

• برنامه احراز هویتی انتخاب کنید که بتواند کدها را پشتیبان‌گیری یا به گوشی تازه منتقل کند تا گم شدن گوشی شما را بیرون نگذارد.
• کدهای بازیابی سرویس را روی کاغذ نگه دارید.
• هرگز کدی را برای کسی که با شما تماس می‌گیرد یا پیام می‌دهد نخوانید، حتی اگر ادعا کند پشتیبانی سرویس است.
• چند ماه دیگر دوباره بررسی کنید: پشتیبانی از passkey به‌سرعت گسترش می‌یابد و فاصله گرفتن Microsoft از پیامک برای حساب‌های کاری جهت حرکت را نشان می‌دهد ^[1].

اگر یک بانک یا سرویس دولتی فقط پیامک ارائه می‌دهد، خودتان نمی‌توانید آن را تغییر دهید، اما می‌توانید خطر را کم کنید: حساب موبایل را با PIN اپراتور محافظت کنید، PIN پیام‌گیر صوتی را خصوصی نگه دارید و مراقب قطع ناگهانی آنتن باشید که می‌تواند نشانه تعویض سیم‌کارت (SIM swap) باشد. این یک راهنمای امنیتی عمومی است؛ حرف آخر درباره تنظیمات هر سرویس را صفحات راهنمای خود آن می‌زنند.