خلاصه
احراز هویت دومرحلهای (2FA) پس از گذرواژه، مدرک دومی برای اثبات هویت می‌خواهد [4]. هر نوع 2FA بسیار بهتر از نبود آن است: پژوهشی از Microsoft نشان داد که این روش خطر نفوذ به حساب را ۹۹٫۲۲٪ کاهش می‌دهد [8]. امنترین روش‌ها کلیدهای امنیتی FIDO و کلیدهای عبور (passkey) هستند که در برابر فیشینگ مقاوماند [1][2]. کدهای پیامکی ضعیفترین گزینه‌اند [1].
نکته‌های کلیدی
- 2FA، که تأیید دومرحلهای (2SV) یا احراز هویت چندعاملی (MFA) نیز نامیده میشود، بررسی دومی می‌افزاید که فقط خود شما می‌توانید آن را انجام دهید [4].
- پژوهشی از Microsoft Research نشان داد که MFA خطر نفوذ را به‌طور کلی ۹۹٫۲۲٪ و در حساب‌هایی که اطلاعات ورودشان نشت کرده بود ۹۸٫۵۶٪ کاهش داد [8].
- CISA روشهای MFA را از قوی‌ترین به ضعیفترین این‌گونه رتبه‌بندی می‌کند: FIDO/WebAuthn و PKI؛ سپس کدهای مبتنی بر برنامه یا اعلان همراه با تطبیق عدد؛ سپس اعلان بدون تطبیق عدد؛ و سرانجام پیامک یا تماس صوتی [1].
- فقط روشهای مبتنی بر FIDO، مانند کلیدهای امنیتی و کلیدهای عبور، در برابر فیشینگ مقاوماند؛ کدهای برنامههای احرازگر همچنان ممکن است با فیشینگ ربوده شوند [2].
- کدهای پیامکی را میتوان از طریق تعویض سیمکارت (SIM swap) یا نقص‌های شبکه SS7 ربود [1]؛ FBI در سال ۲۰۲۱ تعداد ۱٬۶۱۱ شکایت درباره تعویض سیمکارت با بیش از ۶۸ میلیون دلار زیان دریافت کرد [6].
- کدهای پشتیبان را ذخیره کنید و روش دومی تنظیم کنید تا گم شدن گوشی دسترسی شما را قطع نکند [4].
در این صفحه ۱۲ بخش
- احراز هویت دومرحلهای چیست؟
- کدام روش 2FA امن‌تر است؟
- روشهای اصلی 2FA چه تفاوتی با هم دارند؟
- چرا کدهای پیامکی ضعیف به شمار می‌آیند؟
- برنامههای احرازگر و اعلان‌های تأیید چگونه کار میکنند؟
- کلیدهای امنیتی و کلیدهای عبور چه جایگاهی دارند؟
- چگونه 2FA را به‌شکل امن راهاندازی کنیم؟
- چه تغییراتی در 2FA در راه است؟
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
احراز هویت دومرحلهای چیست؟
احراز هویت دومرحلهای (2FA) بررسی دومی پس از گذرواژه است که ثابت می‌کند واقعاً خود شما در حال ورود هستید [4]. مرکز ملی امنیت سایبری بریتانیا (NCSC) یادآوری می‌کند که به آن تأیید دومرحلهای (2SV) یا احراز هویت چندعاملی (MFA) نیز گفته میشود [4]. مرحله دوم از چیزی استفاده می‌کند که فقط شما به آن دسترسی دارید، مانند گوشی یا کلید امنیتی [4].
MFA دو یا چند نوع عامل متفاوت را با هم ترکیب می‌کند: چیزی که می‌دانید (گذرواژه یا PIN)، چیزی که دارید (گوشی یا کلید) یا چیزی که هستید (اثر انگشت یا چهره) [1]. اگر مجرمی گذرواژه شما را بدزدد، باز هم بدون عامل دوم نمی‌تواند وارد شود [1].
آیا 2FA واقعاً مؤثر است؟
بله. پژوهشی که Microsoft Research در سال ۲۰۲۳ روی حساب‌های Azure Active Directory دارای فعالیت مشکوک انجام داد نشان داد که MFA خطر نفوذ را در کل جامعه آماری ۹۹٫۲۲٪ کاهش داد. در حساب‌هایی که اطلاعات ورودشان پیش‌تر نشت کرده بود، این کاهش ۹۸٫۵۶٪ بود [8]. بیش از ۹۹٫۹۹٪ حساب‌های دارای MFA در طول دوره پژوهش امن ماندند [8]. NCSC می‌گوید هر نوع 2SV، حتی پیامک، بهتر از نبود آن است [4].
مقیاس حملات به گذرواژه‌ها دلیل این امر را نشان می‌دهد. Microsoft گزارش داد که در سال ۲۰۲۴ حدود ۷٬۰۰۰ حمله به گذرواژه در هر ثانیه مشاهده کرده است؛ بیش از دو برابر نرخ سال ۲۰۲۳ [11].
کدام روش 2FA امن‌تر است؟
همه روشهای 2FA به یک اندازه قوی نیستند. CISA، سازمان امنیت سایبری آمریکا، روش‌ها را بر اساس میزان مقاومتشان در برابر حملات رایج، از قوی‌ترین به ضعیفترین، رتبه‌بندی می‌کند [1]:
- MFA مقاوم در برابر فیشینگ: FIDO/WebAuthn (کلیدهای امنیتی و کلیدهای عبور) و کارت‌های هوشمند مبتنی بر PKI. CISA این روش را «استاندارد طلایی» مینامد [1].
- کدهای مبتنی بر برنامه یا اعلان همراه با تطبیق عدد: کدهای یک‌بارمصرف از برنامه احرازگر یا توکن سختافزاری، یا اعلان‌هایی که در آنها عددی را که روی صفحه ورود نمایش داده میشود وارد می‌کنید [1].
- اعلان بدون تطبیق عدد: یک پرسش ساده «تأیید می‌کنید؟» که در برابر بمباران اعلان (push bombing) آسیب‌پذیر است [1].
- کدهای پیامکی یا صوتی: CISA می‌گوید این روش‌ها فقط باید به‌عنوان آخرین چاره به کار روند [1].
CISA اعلام می‌کند که FIDO/WebAuthn تنها روش احراز هویت مقاوم در برابر فیشینگ است که به‌طور گسترده در دسترس است [1]. راهنمای موبایل این سازمان در سال ۲۰۲۵ همین نکته را تکرار می‌کند: کدهای احرازگر از پیامک بهترند اما همچنان در برابر فیشینگ آسیب‌پذیرند و فقط احراز هویت FIDO در برابر فیشینگ مقاوم است [2]. NCSC نیز در آوریل ۲۰۲۶ به همین نتیجه رسید. این مرکز همه روشهای سنتی MFA، از جمله کدهای پیامکی، کدهای ایمیلی، کدهای برنامه و تأییدهای اعلانی را ذاتاً در برابر فیشینگ آسیب‌پذیر ارزیابی کرد [5].
چه چیزی یک روش را در برابر فیشینگ مقاوم می‌کند؟
NIST مقاومت در برابر فیشینگ را توانایی پروتکل ورود در جلوگیری از افشای رازها به سایت جعلی، بدون اتکا به هوشیاری کاربر، تعریف می‌کند [3]. هیچ روشی که در آن کدی را بخوانید و تایپ کنید نمی‌تواند این شرط را داشته باشد، زیرا ممکن است آن را در یک سایت جعلی تایپ کنید [3]. روشهای FIDO به وب‌سایت اصلی گره خورده‌اند، بنابراین یک سایت مشابه نمی‌تواند از آنها استفاده کند [5].
روشهای اصلی 2FA چه تفاوتی با هم دارند؟
جدول زیر، بر پایه رتبه‌بندی CISA و رهنمودهای NIST، میزان محافظت هر روش را در برابر حملات اصلی خلاصه می‌کند. CISA این حملات را در چهار دسته قرار می‌دهد [1]:
- فیشینگ: یک صفحه ورود جعلی، گذرواژه و کد یک‌بارمصرف شما را جمع‌آوری می‌کند [1].
- بمباران اعلان: مهاجم آن‌قدر درخواست تأیید برای شما می‌فرستد تا یکی را بپذیرید [1].
- سوءاستفاده از SS7: نقص‌های سامانه سیگنالینگ شبکه تلفن به مهاجمان امکان می‌دهد کدهایی را که با پیامک یا تماس صوتی فرستاده می‌شوند به دست آورند [1].
- تعویض سیمکارت: مجرمان اپراتور تلفن همراه را متقاعد میکنند که شماره شما را به سیمکارت آنها منتقل کند [1].
چرا کدهای پیامکی ضعیف به شمار می‌آیند؟
کدهای پیامکی رایج‌ترین شکل 2FA هستند و NCSC یادآوری می‌کند که در بیشتر سرویس‌ها گزینه پیش‌فرض‌اند [4]. در عین حال، ربودن آنها از همه آسان‌تر است.
- پیامک‌ها رمزگذاری نمی‌شوند. CISA یادآوری می‌کند که هر کسی که به شبکه یک ارائه‌دهنده مخابراتی دسترسی داشته باشد و پیامک‌ها را رهگیری کند، می‌تواند آنها را بخواند [2].
- شماره‌ها را میتوان ربود. در تعویض سیمکارت، مجرمان خود را جای قربانی جا می‌زنند، به کارمند اپراتور رشوه می‌دهند یا به سامانه‌های اپراتور نفوذ میکنند تا شماره را به سیمکارت خود منتقل کنند [6]. سپس پیامک‌های قربانی، از جمله کدهای 2FA و پیام‌های بازنشانی گذرواژه، را دریافت میکنند [6].
- میتوان آنها را با فیشینگ ربود. کد پیامکی نیز، مانند هر کد تایپ‌شدنی دیگری، ممکن است در یک سایت جعلی وارد شود [3].
زیان‌ها واقعی‌اند. مرکز شکایات جرائم اینترنتی FBI از ژانویه ۲۰۱۸ تا دسامبر ۲۰۲۰ تعداد ۳۲۰ شکایت درباره تعویض سیمکارت با زیان تعدیل‌شده حدود ۱۲ میلیون دلار دریافت کرد. تنها در سال ۲۰۲۱، این مرکز ۱٬۶۱۱ شکایت با بیش از ۶۸ میلیون دلار زیان دریافت کرد [6].
رهنمودهای ۲۰۲۵ NIST کدهای پیامکی و صوتی را احرازگر محدودشده (restricted) طبقه‌بندی میکنند. سرویس‌هایی که از آنها استفاده میکنند باید دست‌کم یک جایگزین غیرمحدود ارائه دهند و باید نشانه‌های خطر، مانند تعویض اخیر سیمکارت یا انتقال شماره، را بررسی کنند [3]. NIST همچنین می‌گوید ایمیل نباید برای احراز هویت خارج از باند (out-of-band) به کار رود [3]. NCSC برای افراد سهل‌گیرتر است: ایمیل را به‌عنوان مرحله دوم ممکن فهرست می‌کند، به شرطی که حسابی جدا از حسابی باشد که برای بازنشانی گذرواژه به کار می‌رود [4].
اگر پیامک تنها گزینه باشد، آیا باز هم از آن استفاده کنم؟
بله. NCSC می‌گوید پیامک امنترین نوع 2SV نیست، اما همچنان نسبت به گذرواژه به‌تنهایی پیشرفت بزرگی است [4]. CISA پیامک را آخرین چاره میداند، اما چاره‌ای که می‌تواند گامی موقت باشد [1].
برنامههای احرازگر و اعلان‌های تأیید چگونه کار میکنند؟
بیشتر برنامههای احرازگر گذرواژه‌های یک‌بارمصرف مبتنی بر زمان (TOTP) تولید میکنند که در استاندارد اینترنتی RFC 6238 تعریف شده‌اند [7]. هنگام راهاندازی برنامه، برنامه و سرویس یک کلید مخفی مشترک را میان خود به اشتراک می‌گذارند. سپس برنامه این کلید را با زمان کنونی ترکیب می‌کند تا کد کوتاهی بسازد که در هر بازه زمانی، به‌طور پیش‌فرض ۳۰ ثانیه، تغییر می‌کند [7]. چون کد روی گوشی محاسبه میشود، برنامههای احرازگر به آنتن تلفن همراه نیاز ندارند [4]. این ویژگی آنها را در جاهایی که پوشش شبکه موبایل یا تحویل پیامک قابل‌اتکا نیست سودمند می‌کند.
برنامههای احرازگر در برابر تعویض سیمکارت و حملات SS7 مقاوماند [1] و پژوهش Microsoft نشان داد که برنامههای اختصاصی مانند Microsoft Authenticator عملکرد بهتری از پیامک داشتند [8]. نقطه ضعف آنها فیشینگ است: یک سایت جعلی می‌تواند کد را درخواست کند و بی‌درنگ آن را به سایت اصلی برساند [1][2].
تطبیق عدد چیست؟
2FA مبتنی بر اعلان، یک درخواست تأیید به گوشی شما می‌فرستد. بدون تطبیق عدد، فقط روی Accept می‌زنید و همین بمباران اعلان را ممکن می‌کند. با تطبیق عدد، باید عددی را که روی صفحه ورود نمایش داده میشود در برنامه وارد کنید؛ این کار یک بررسی در برابر تأییدهای کورکورانه می‌افزاید [1]. CISA تطبیق عدد را برای سازمان‌هایی توصیه می‌کند که هنوز نمی‌توانند از MFA مقاوم در برابر فیشینگ استفاده کنند [1].
کلیدهای امنیتی و کلیدهای عبور چه جایگاهی دارند؟
کلیدهای امنیتی و کلیدهای عبور هر دو از استانداردهای FIDO و رمزنگاری کلید عمومی استفاده میکنند [10]. کلید امنیتی دستگاه فیزیکی کوچکی است که از طریق USB یا NFC وصل میشود. کلید عبور (passkey) می‌تواند روی گوشی یا رایانه شما باشد و با اثر انگشت، چهره یا PIN باز شود [10].
برای افرادی که در معرض خطر بالای حملات هدفمند هستند، CISA می‌گوید کلیدهای امنیتی سختافزاری FIDO، هر جا امکان‌پذیر باشد، مؤثرترین گزینه‌اند و کلیدهای عبور FIDO جایگزینی قابل‌قبول هستند [2]. NCSC می‌گوید کلیدهای عبور در برابر همه حملات رایج به اعتبارنامه‌ها که در عمل دیده شده‌اند، به اندازه MFA سنتی یا بیشتر از آن امن‌اند [5]. این مرکز توصیه می‌کند هر جا سرویس‌ها کلید عبور ارائه میکنند، آن را انتخاب نخست قرار دهید [12].
کلید عبور همچنین ممکن است مرحله دوم جداگانه را غیرضروری کند. در حساب Google، ورود با کلید عبور از مرحله 2-Step Verification عبور می‌کند [9]. NCSC می‌گوید هنگامی که دستگاه کاربر را تأیید می‌کند، اعتبارنامه FIDO2 به‌خودی‌خود چندعاملی است [5].
چگونه 2FA را به‌شکل امن راهاندازی کنیم؟
- از ایمیل شروع کنید. NCSC توصیه می‌کند 2SV را برای حساب‌های مهم، به‌ویژه ایمیل، روشن کنید، زیرا دسترسی به صندوق ایمیل به مجرمان امکان می‌دهد دیگر گذرواژه‌های شما را بازنشانی کنند [4].
- قوی‌ترین روش موجود را انتخاب کنید. کلید عبور یا کلید امنیتی را ترجیح دهید، سپس برنامه احرازگر را، و فقط وقتی گزینه دیگری نیست از پیامک استفاده کنید [1][2].
- روش پشتیبان ضعیف‌تر را حذف کنید. CISA یادآوری می‌کند که ثبت یک برنامه احرازگر، پیامک را به‌طور خودکار از حساب حذف نمی‌کند و یک روش پشتیبان ضعیف باقی می‌ماند. وقتی روش قوی‌تر کار کرد، پیامک را غیرفعال کنید [2].
- کدهای پشتیبان را ذخیره کنید. کدهای پشتیبان یک‌بارمصرف را در جای امنی نگه دارید و پس از استفاده، کدهای تازه بسازید [4].
- روش دومی اضافه کنید. NCSC توصیه می‌کند یک گزینه پشتیبان داشته باشید تا اگر مرحله دوم اصلی‌تان در دسترس نبود، از آن استفاده کنید [4].
- از شماره تلفن خود محافظت کنید. CISA پیشنهاد می‌کند نزد اپراتور تلفن همراه خود یک PIN تنظیم کنید [2]. FBI توصیه می‌کند هرگز PIN یا گذرواژه خود را به تماس‌گیرندگان ناخواسته ندهید [6].
- هرگز درخواستی را که خودتان آغاز نکرده‌اید تأیید نکنید. اعلان‌های تأیید غیرمنتظره ممکن است تلاشی برای بمباران اعلان باشند [1].
مراقب نشانه‌های هشدار باشید. FBI می‌گوید قطع ناگهانی آنتن تلفن همراه یا سرویس پیامک ممکن است نشانه تعویض سیمکارت باشد. در این صورت بی‌درنگ با اپراتور خود تماس بگیرید و گذرواژه حساب‌هایتان را تغییر دهید [6].
چه تغییراتی در 2FA در راه است؟
رهنمودهای رسمی از کدها فاصله می‌گیرند و به سوی روشهای مقاوم در برابر فیشینگ می‌روند. رهنمودهای ۲۰۲۵ NIST سرویس‌های سطح اطمینان AAL2 را ملزم می‌کند دست‌کم یک گزینه مقاوم در برابر فیشینگ ارائه دهند [3]. NIST همچنین یادآوری می‌کند که ممکن است با تغییر تهدیدها، وضعیت محدودشده کدهای شبکه تلفن را تعدیل کند [3]. NCSC در آوریل ۲۰۲۶ اعلام کرد که هر جا سرویسی از کلید عبور پشتیبانی کند آن را توصیه خواهد کرد و هر جا نکند، 2SV را [5].
برای بیشتر افراد، مسیر عملی تا ۳ نوامبر ۲۰۲۶ سه گام دارد. هر جا 2FA ارائه میشود آن را روشن کنید. هر جا ممکن است، برنامه احرازگر را جایگزین پیامک کنید. سپس مهم‌ترین حساب‌های خود را به کلید عبور یا کلید امنیتی منتقل کنید. هر گام، دسته‌ای از حملات را که روش ضعیف‌تر باز می‌گذارد مسدود می‌کند [1][5].
| روش | فیشینگ | بمباران اعلان | تعویض سیمکارت / SS7 | دیدگاه رسمی |
|---|---|---|---|---|
| کلید امنیتی FIDO یا کلید عبور | مقاوم [1] | موضوعیت ندارد [1] | موضوعیت ندارد [1] | استاندارد طلایی [1] |
| کد برنامه احرازگر (TOTP) | آسیب‌پذیر [1] | موضوعیت ندارد | موضوعیت ندارد [1] | بهتر از پیامک، اما همچنان در برابر فیشینگ آسیب‌پذیر [2] |
| اعلان همراه با تطبیق عدد | آسیب‌پذیر [1] | مقاوم [1] | موضوعیت ندارد [1] | گزینه موقت قابل‌قبول [1] |
| اعلان بدون تطبیق عدد | در معرض خطای کاربر [1] | آسیب‌پذیر [1] | موضوعیت ندارد [1] | گزینه ضعیف‌تر مبتنی بر برنامه [1] |
| کد پیامکی یا صوتی | آسیب‌پذیر [1] | موضوعیت ندارد | آسیب‌پذیر [1] | آخرین چاره [1]؛ محدودشده از سوی NIST [3] |
| کد ایمیلی | آسیب‌پذیر [3] | موضوعیت ندارد | موضوعیت ندارد | طبق NIST برای استفاده خارج از باند مجاز نیست [3] |
اشتباه‌های رایج
روشن نگه داشتن پیامک پس از افزودن برنامه احرازگر
راه درست: CISA یادآوری می‌کند که ثبت برنامه، پیامک را حذف نمی‌کند و یک روش پشتیبان ضعیف باقی می‌ماند. وقتی روش قوی‌تر کار کرد، پیامک را غیرفعال کنید [2].
ذخیره نکردن کدهای پشتیبان
راه درست: همان‌طور که NCSC توصیه می‌کند، کدهای پشتیبان یک‌بارمصرف را در جای امنی نگه دارید و یک روش دوم راهاندازی کنید [4].
تأیید درخواست ورودی که خودتان آغاز نکرده‌اید
راه درست: درخواست‌های غیرمنتظره و پی‌درپی نشانه بمباران اعلان است [1]. آنها را رد کنید و گذرواژه خود را تغییر دهید.
وارد کردن کد 2FA در صفحه‌ای که از طریق یک پیوند به آن رسیده‌اید
راه درست: کدهای برنامهها و پیامک را سایت‌های جعلی می‌توانند دست‌به‌دست کنند [1]. مستقیماً به سایت بروید یا از کلید عبور استفاده کنید که با فیشینگ ربوده نمی‌شود [5].
استفاده از سؤال‌های امنیتی به‌عنوان عامل دوم
راه درست: NCSC می‌گوید اطلاعات به‌یادماندنی و سؤال‌های امنیتی همان محافظتی را که 2SV فراهم می‌کند ندارند [4].
پرسش‌های پرتکرار
آیا احراز هویت دومرحلهای ارزشش را دارد؟
بله. پژوهشگران Microsoft دریافتند که MFA خطر نفوذ به حساب را ۹۹٫۲۲٪ کاهش داد [8] و NCSC می‌گوید هر نوع 2SV، حتی پیامک، بهتر از نبود آن است [4].
امنترین نوع 2FA کدام است؟
روشهای مبتنی بر FIDO، یعنی کلیدهای امنیتی سختافزاری و کلیدهای عبور. CISA، MFA مقاوم در برابر فیشینگ را «استاندارد طلایی» مینامد [1] و کلیدهای سختافزاری را برای کاربران پرخطر مؤثرترین گزینه میداند [2].
آیا احراز هویت دومرحلهای با پیامک امن است؟
از نبود 2FA بهتر است [4]، اما ضعیفترین گزینه رایج است. پیامک را میتوان با تعویض سیمکارت و حملات SS7 رهگیری یا تغییر مسیر داد [1]، به همین دلیل CISA آن را آخرین چاره مینامد [1].
آیا برنامههای احرازگر از پیامک بهترند؟
بله. این برنامهها در برابر تعویض سیمکارت و حملات SS7 مقاوماند [1] و در پژوهش Microsoft عملکرد بهتری از پیامک داشتند [8]. بدون آنتن تلفن همراه کار میکنند [4]، اما کدهایشان همچنان ممکن است با فیشینگ ربوده شود [2].
اگر گوشیای را که برنامه احرازگرم روی آن است گم کنم چه میشود؟
از کدهای پشتیبانی که ذخیره کردهاید یا روش دومی که از پیش راهاندازی کردهاید استفاده کنید [4]. بدون آنها، باید از فرایند بازیابی حساب آن سرویس کمک بگیرید.
واژه‌نامه
- احراز هویت دومرحلهای (2FA)
- ورودی که پس از گذرواژه به بررسی دومی نیاز دارد؛ 2SV یا MFA نیز نامیده میشود [4].
- TOTP
- گذرواژه یک‌بارمصرف مبتنی بر زمان: کدی که از یک راز مشترک و زمان کنونی ساخته میشود و در RFC 6238 تعریف شده است [7].
- تعویض سیمکارت (SIM swap)
- نوعی کلاه‌برداری که در آن مجرمان اپراتور تلفن همراه را وادار میکنند شماره قربانی را به سیم‌کارتی که در کنترل آن‌هاست منتقل کند [6].
- SS7
- Signalling System 7، پروتکل سیگنالینگ شبکه تلفن که نقص‌هایش ممکن است کدهای پیامکی و صوتی را افشا کند [1].
- بمباران اعلان (Push bombing)
- فرستادن انبوه درخواست‌های تأیید ورود برای کاربر تا یکی را بپذیرد؛ «خستگی اعلان» (push fatigue) نیز نامیده میشود [1].
- تطبیق عدد (Number matching)
- قابلیتی در 2FA مبتنی بر اعلان که پیش از تأیید، وارد کردن عددی را که روی صفحه ورود نمایش داده میشود در برنامه الزامی می‌کند [1].
- MFA مقاوم در برابر فیشینگ
- احراز هویتی که نمی‌توان آن را از طریق یک سایت جعلی دست‌به‌دست کرد؛ در عمل FIDO/WebAuthn یا PKI [1].
منابع
- Implementing Phishing-Resistant MFA (fact sheet) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Setting up 2-Step Verification (2SV) UK National Cyber Security Centre (NCSC) · 2018-08-07
- Passkeys are more secure than traditional ways to log in UK National Cyber Security Centre (Dave Chismon) · 2026-04-23
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (Alert I-020822-PSA) FBI Internet Crime Complaint Center (IC3) · 2022-02-08
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm Internet Engineering Task Force (IETF)
- How effective is multifactor authentication at deterring cyberattacks? Microsoft (Meyer, Romero, Bertoli, Burt, Weinert, Lavista Ferres), arXiv · 2023-05-01
- Sign in with a passkey instead of a password Google Account Help
- Passkeys: passwordless authentication FIDO Alliance
- Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins Microsoft Security Blog · 2025-05-01
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
نظرات
نظرهای برتر