اگر قرار است در کل این سایت فقط یک کار انجام دهید، همین را انجام دهید. هر اقدام دیگری در اینجا ریسک را در حاشیه کاهش می‌دهد؛ این یکی یک دسته کامل از حمله را حذف می‌کند، و همان دسته‌ای است که واقعاً برای افرادی که این کار را انجام می‌دهند رخ می‌دهد. هزینه‌اش کمتر از یک جفت کفش است و یک بعدازظهر وقت می‌گیرد.
01چرا یک کد می‌تواند دزدیده شود و یک کلید نمی‌تواند
شما این حمله را دیده‌اید، حتی اگر روی شما کار نکرده باشد. یک ایمیل یا پیام می‌گوید مشکلی با حساب شما وجود دارد. لینک به صفحه‌ای می‌رود که کپی دقیق و پیکسل‌به‌پیکسل ورود واقعی است. رمز عبورتان را وارد می‌کنید. کد احراز هویت‌تان را می‌خواهد. آن را هم وارد می‌کنید.
در پشت صحنه، سرور مهاجم در همان لحظه در حال ورود به سایت واقعی است و همه‌چیز را که تایپ می‌کنید، در زمان واقعی منتقل می‌کند. کد شما اصیل بود. سی ثانیه اعتبار داشت. شما فقط آن را در پنجره اشتباه تایپ کردید، و سی ثانیه کافی است.
یک اپلیکیشن از یک رمز مشترک و یک ساعت، عددی تولید می‌کند. هیچ ایده‌ای ندارد که شما به کدام سایت نگاه می‌کنید، پس نمی‌تواند صفحه ورود واقعی را از یک کپی تشخیص دهد. ضعف کد نیست، چشم انسان است. هر دفاعی که به تشخیص دامنه جعلی توسط شما وابسته باشد، سرانجام شکست می‌خورد، چون جعل‌ها بسیار خوب هستند و شما خسته خواهید بود.
یک کلید امنیتی متفاوت عمل می‌کند. وقتی آن را در سایتی ثبت می‌کنید، رازی را ذخیره می‌کند که به دامنه واقعی همان سایت گره خورده است. هنگام ورود، سایت یک چالش ارسال می‌کند؛ کلید آن را امضا می‌کند، اما تنها پس از بررسی اینکه دامنه درخواست‌کننده با دامنه‌ای که با آن ثبت شده مطابقت دارد. یک دامنه شبیه‌سازي‌شده درخواست می‌کند، و کلید به‌سادگی پاسخ نمی‌دهد. چیزی برای انتقال وجود ندارد، چیزی برای تایپ کردن نیست، و چیزی نیست که شما اشتباه کنید.
Google تمام نیروی کار خود — ده‌ها هزار نفر — را به کلیدهای امنیتی منتقل کرد و پس از آن صفر تصاحب موفق حساب‌های کارکنان از طریق فیشینگ گزارش داد. این قوی‌ترین شواهد در امنیت مصرف‌کننده برای هر اقدام واحد است، و به همین دلیل این راهنما اول آمده نه پنجم.
02چه چیزی روی کلید است
یک YubiKey 5 یک چیز واحد نیست. چندین دستگاه امنیتی مستقل در همان قطعه پلاستیک است، و بیشتر مردم از یکی از آن‌ها استفاده می‌کنند و هرگز نمی‌دانند بقیه وجود دارند. اینجا همه آن‌ها، به زبان ساده آمده است.
| ویژگی | از آن استفاده کنیم؟ | برای چه کاری است |
|---|---|---|
| FIDO2 / WebAuthn | بله، این همان یکی است | استاندارد مدرن. ورود ضد فیشینگ، و پایه‌ای برای passkeyها. این همان چیزی است که در Google، Microsoft، GitHub، Cloudflare، Proton و بیشتر چیزهایی که اهمیت دارند استفاده خواهید کرد. |
| Passkeyها (کلیدهای مقیم) | بله | همان چیز، اما کلید هویت حساب را نیز ذخیره می‌کند، بنابراین می‌توانید بدون تایپ نام کاربری یا رمز عبور وارد شوید. فضای ذخیره‌سازی محدود است — به نکته زیر مراجعه کنید. |
| U2F | خودکار | نسخه قدیمی‌تر همان ایده. هنوز توسط برخی سایت‌ها استفاده می‌شود؛ کلید آن را بدون اینکه شما انتخاب کنید مدیریت می‌کند. |
| OATH-TOTP | موقعیتی | کدهای شش‌رقمی معمولی شما را روی کلید ذخیره می‌کند به جای اپلیکیشن گوشی، که از طریق Yubico Authenticator خوانده می‌شود. برای سایت‌هایی که از FIDO2 پشتیبانی نمی‌کنند مفید است. هنوز یک کد است و همچنان در برابر فیشینگ آسیب‌پذیر است، از رمز محافظت می‌کند، نه از ورود. |
| چالش-پاسخ (HMAC-SHA1) | بله، با KeePassXC | پایگاه داده رمز عبور شما را ملزم می‌کند برای باز شدن به کلید فیزیکی نیاز داشته باشد. در راهنمای KeePassXC پوشش داده شده است، این جفت‌سازی است که هر دو ابزار را به طور قابل توجهی قوی‌تر می‌کند. |
| PIV / کارت هوشمند | پیشرفته | گواهی‌نامه‌ها را نگه می‌دارد. برای کلیدهای SSH که نمی‌توانند از دستگاه کپی شوند، و برای برخی سیستم‌های شرکتی و دولتی استفاده می‌شود. |
| OpenPGP | پیشرفته | کلیدهای GPG را روی سخت‌افزار نگه می‌دارد، بنابراین امضا و رمزگشایی روی کلید انجام می‌شود و کلید خصوصی هرگز به رایانه شما نمی‌رسد. |
| Yubico OTP | به‌ندرت | یک طرح رمز یک‌بارمصرف قدیمی که پیش از FIDO وجود داشت. برخی سرویس‌های قدیمی‌تر از آن استفاده می‌کنند. تا زمانی که چیزی درخواست نکرده، به آن دست نزنید. |
| رمز عبور ثابت | No | با لمس کلید، یک رشته ثابت تایپ می‌کند. یک ویژگی راحتی از دوره‌ای دیگر. از آن برای هیچ چیز مهمی استفاده نکنید. |
کلیدهای مقیم، همان‌هایی که به شما اجازه ورود بدون نام کاربری می‌دهند، جایگاه‌های دائمی روی دستگاه اشغال می‌کنند و تعدادشان ثابت است. فریم‌ور قدیمی YubiKey 5 حدود 25 عدد را نگه می‌دارد؛ فریم‌ور جدید بسیار بیشتر. ثبت‌های معمولی FIDO2 به‌عنوان عامل دوم به این شکل محدود نیستند، بنابراین می‌توانید یک کلید را به صدها سایت اضافه کنید بدون اینکه چیزی پر شود. اگر تمام شوند، به خاطر کلیدهای عبور خواهد بود، نه 2FA.
03کدام را بخریم
تصمیم بیشتر درباره پلاگ سر آن است و اینکه آیا ویژگی‌های اضافی را می‌خواهید یا نه. رابط را با گوشی و رایانه خود مطابقت دهید، و اگر متفاوت هستند، از هر کدام یکی بخرید به‌جای حمل مبدلی که گم خواهید کرد.
| مدل | بهترین برای | یادداشت‌ها |
|---|---|---|
| سری Security Key (آبی‌ها) | اکثر مردم | فقط FIDO2 و U2F، که همان بخشی است که شما نیاز دارید. تقریباً نصف قیمت YubiKey 5. اگر قصد ندارید از PGP، PIV یا جفت‌سازی KeePassXC استفاده کنید، این توصیه صادقانه است. |
| YubiKey 5 NFC | رایانه USB-A + هر گوشی | کلید تمام‌عیار. آن را برای NFC به گوشی بزنید، برای USB به لپ‌تاپ وصل کنید. انتخاب پیش‌فرض اگر همه چیز در جدول بالا را می‌خواهید. |
| YubiKey 5C NFC | رایانه USB-C + هر گوشی | یکسان، با دوشاخه USB-C. به احتمال زیاد اگر لپ‌تاپ شما جدید است، همین گزینه مناسب است. |
| YubiKey 5Ci | آیفون با Lightning | هم USB-C و هم Lightning دارد. فقط برای آیفون‌های قدیمی‌تر مرتبط است؛ مدل‌های جدیدتر USB-C هستند و در هر صورت می‌توانند از NFC استفاده کنند. |
| YubiKey 5 Nano | روی لپ‌تاپ بماند | کوچک است و به‌طور دائمی در پورت جا می‌گیرد. راحت است، اما مزیت جدایی فیزیکی را از بین می‌برد؛ اگر لپ‌تاپ برود، کلید هم با آن می‌رود. |
| سری Bio | فضاهای مشترک | اثر انگشت به‌جای پین. واقعاً خوب است؛ گران‌تر است؛ با دقت در نظر بگیرید که آیا در جایی که زندگی می‌کنید بیومتریک روش درست باز کردن قفل است، چون در بسیاری از حوزه‌های قضایی می‌توانند راحت‌تر از پین شما را مجبور به ارائه اثر انگشت کنند. |
یک کلید تنها، یک نقطه شکست واحد است: آن را گم کنید و می‌توانید برای همیشه از حساب‌های خودتان قفل‌شده باقی بمانید، که خودش نوعی فاجعه است. هر دو کلید را روی هر حساب ثبت کنید، یکی را همراه ببرید و دومی را جایی جدا از نظر فیزیکی نگه دارید، یک کشو در خانه، یک گاوصندوق، یا نزد کسی که به او اعتماد دارید. کلید دوم نقشه پشتیبان است و هزینه‌اش کمتر از هزینه بازیابی خواهد بود.
نه یک آگهی در بازارگاه، نه دست‌دوم، نه هدیه‌ای از کسی که خوب نمی‌شناسید. کلید امنیتی دستگاهی است که همه‌چیز را به آن می‌سپارید؛ زنجیره تأمین بخشی از محصول است. فریم‌ور Yubico عمداً قابل به‌روزرسانی نیست، که برای مقاومت در برابر دست‌کاری خوب است و یعنی کلید آلوده هرگز قابل تعمیر نیست، فقط قابل جایگزینی است.
04راه‌اندازی، به ترتیب درست
ترتیب مهم است. با حسابی شروع کنید که می‌تواند همه حساب‌های دیگر را بازنشانی کند، و مطمئن شوید که در این مسیر نمی‌توانید خودتان را قفل کنید.
-
با ایمیل خود شروع کنید
هر حساب دیگری که دارید از طریق آن بازیابی می‌شود، که آن را به هدف واقعی تبدیل می‌کند. به تنظیمات امنیتی ارائه‌دهنده ایمیل خود بروید و هر دو کلید را قبل از اینکه به چیز دیگری دست بزنید اضافه کنید. اگر ارائه‌دهنده ایمیل شما از کلیدهای امنیتی پشتیبانی نمی‌کند، این دلیلی برای تغییر ارائه‌دهنده است، نه دلیلی برای نادیده گرفتن این کار.
-
هر دو کلید را همزمان ثبت کنید
این کار را در یک نشست، روی هر حساب انجام دهید. حالتی که مردم با آن شکست می‌خورند این است که یک کلید را الان ثبت می‌کنند و «کلید یدکی را بعداً اضافه می‌کنند» — بعداً هرگز نمی‌آید، و بعد کلید اول از داخل ماشین لباسشویی می‌گذرد.
-
کدهای بازیابی را درست ذخیره کنید
هر سایتی مجموعه‌ای از کدهای بازیابی یک‌بارمصرف به شما می‌دهد. این‌ها یک دور زدن کامل کلید شما هستند، پس سزاوار همان مراقبتی هستند که خود کلید دارد. آن‌ها را در مدیر رمز عبور خود بگذارید، یا چاپ کنید و در جایی از نظر فیزیکی امن نگه دارید. از آن‌ها عکس نگیرید، و آن‌ها را در پوشه دانلودها رها نکنید.
-
حالا روش‌های ضعیف‌تر را بررسی کنید
اگر کدهای SMS به عنوان روش پشتیبان باقی می‌مانند، یک تعویض سیم‌کارت می‌تواند کلید را دور بزند. وقتی هر دو کلید کار کردند، SMS را هر جا که سرویس اجازه می‌دهد خاموش کنید. کد برنامه احراز هویت را فقط جایی که به عنوان مسیر بازیابی نیاز دارید نگه دارید، seed و کدهای بازیابی آن را در مدیر رمز عبور خود محافظت کنید، و هرگز یک روش را حذف نکنید تا زمانی که راه‌های باقی‌مانده بازگشت را آزمایش کرده باشید.
-
لیست را از بالا به پایین پیش ببرید
بعد از ایمیل: مدیر رمز عبور شما اگر از کلیدها پشتیبانی می‌کند، سپس فضای ذخیره‌سازی ابری، سپس حساب‌های اجتماعی که از آن‌ها پست می‌گذارید، سپس هر چیزی که روش پرداخت به آن متصل است، سپس میزبانی کد. هر چیز باقی‌مانده می‌تواند تا یک شب بی‌کار منتظر بماند.
-
کلید یدکی را قبل از کنار گذاشتن آزمایش کنید
خارج شوید و دوباره وارد شوید، به‌طور خاص با استفاده از کلید پشتیبان. یک پشتیبان آزمایش‌نشده یک حدس است.
05از چه چیزی شما را محافظت نمی‌کند
کلید امنیتی قوی‌ترین کنترل واحد موجود برای یک فرد عادی است، و هنوز محدود است. فیشینگ را شکست می‌دهد. این موارد را شکست نمی‌دهد.
- صفحات فیشینگ، هرچند قانع‌کننده باشند، از جمله حملات رله‌ای در زمان واقعی.
- پرکردن اعتبارنامه، رمز عبور شما از نقض داده‌های سایت دیگری اکنون به‌تنهایی بی‌فایده است.
- حدس زدن و پاشیدن رمز عبور.
- بیشتر حملات تعویض سیم‌کارت، زمانی که پیامک به‌عنوان روش پشتیبان حذف شود.
- بدافزاری که از قبل روی رایانه شماست. اگر چیزی پس از ورود شما نشستتان را زیر نظر داشته باشد، کلید کار خود را کرده و دور زده شده است.
- سرقت کوکی نشست. مهاجمی که یک توکن نشست فعال را می‌دزدد اصلاً نیازی به ورود ندارد.
- مسیر بازیابی. اگر بتوان پشتیبانی را راضی کرد که حساب شما را بازنشانی کند، کلید شما بی‌ربط است. این اکنون رایج‌ترین راهی است که حساب‌های دارای کلید از دست می‌روند.
- ضبط فیزیکی شما و کلید با هم.
- حساب‌هایی که فراموش کرده‌اید محافظت کنید، که مهاجمان بعد سراغ آن‌ها می‌روند.
در ورودی را کاملاً می‌بندد، و مهاجم به سمت پنجره‌ها می‌رود. این هنوز یک بهبود عظیم است، در ورودی جایی است که تقریباً تمام ترافیک آنجا بود، اما دلیلی است برای ادامه خواندن بقیه این سایت نه توقف در اینجا.
06اگر YubiKey نمی‌خواهید
YubiKey پیش‌فرض است چون بیشترین پشتیبانی را دارد و کامل‌ترین بررسی روی آن انجام شده، نه به این دلیل که تنها گزینه است. ما از هیچ‌کدام از این‌ها پول نمی‌گیریم.
Nitrokey
آلمانی، با فریم‌ور و طراحی‌های سخت‌افزاری متن‌باز، انتخابی برای وقتی که «می‌خواهم بتوانم بررسی‌اش کنم» برایتان مهم‌تر از حداکثر سازگاری است. به‌عنوان جایگزین در بخش کلید امنیتی راهنما پوشش داده شده است.
nitrokey.com ↗Token2
سوئیسی، ارزان، متمرکز بر FIDO2. راهی معقول برای خرید دو کلید با بودجه محدود بدون روی آوردن به یک برند ناشناخته.
token2.com ↗گوشی شما به‌عنوان passkey
گوشی‌های مدرن می‌توانند به‌عنوان authenticator FIDO2 عمل کنند، که همان مقاومت در برابر فیشینگ را به‌صورت رایگان برایتان فراهم می‌کند. در یک جنبه خاص ضعیف‌تر است: گوشی همان دستگاهی است که بیشتر از همه احتمال دارد گرفته شود، باز شود یا به خطر بیفتد. به‌عنوان عامل دوم خوب است، نه به‌عنوان تنها عامل شما.
07سؤالاتی که مردم واقعاً می‌پرسند
اگر کلید را گم کنم چه می‌شود؟
هیچ چیز، اگر این کار را درست انجام داده باشید: از کلید دوم استفاده می‌کنید، و سپس کلید گم‌شده را از هر حساب کاربری حذف می‌کنید و یک جایگزین ثبت می‌کنید. دقیقاً به همین دلیل است که راهنما اصرار دارد دو کلید بخرید. اگر این کار را نکرده باشید، به کدهای بازیابی خود رجوع می‌کنید، و اگر آن‌ها را هم نداشته باشید، به فرآیند بازیابی حساب ارائه‌دهنده تکیه می‌کنید، که می‌تواند هفته‌ها طول بکشد و گاهی شکست می‌خورد.
آیا کسی که کلید من را می‌دزدد می‌تواند به حساب‌هایم دسترسی پیدا کند؟
به‌تنهایی نه. کلید یک عامل دوم است، او هنوز به رمز عبور شما نیاز دارد، و در بیشتر تنظیمات به PIN کلید هم نیاز دارد، که دستگاه را پس از چند تلاش اشتباه قفل می‌کند. کلید دزدیده‌شده برای شما یک دردسر است، نه یک نفوذ. با این حال آن را از حساب‌هایتان حذف کنید.
آیا باید آن را همه‌جا همراه داشته باشم؟
فقط زمانی که در جایی جدید وارد می‌شوید. بیشتر سایت‌ها اجازه می‌دهند یک دستگاه را به‌عنوان مورد اعتماد علامت بزنید، بنابراین در زندگی روزمره به‌ندرت به کلید دست می‌زنید — معمولاً هنگام راه‌اندازی یک دستگاه جدید یا پس از پاک کردن کوکی‌ها. مدل‌های NFC با نزدیک کردن به گوشی کار می‌کنند، که بیشتر اصطکاکی را که مردم تصور می‌کنند از میان برمی‌دارد.
آیا passkey همان چیز است؟
passkey همان رمزنگاری با همان مقاومت در برابر فیشینگ است. تفاوت در جایی است که قرار دارد. یک passkey در گوشی شما یا در حساب مرورگر از طریق ابر یک شرکت همگام‌سازی می‌شود، که راحت است و یعنی قدرت آن حساب به قدرت passkey شما تبدیل می‌شود. یک passkey روی کلید سخت‌افزاری نمی‌تواند همگام‌سازی، کپی یا استخراج شود. برای حساب‌هایی که اهمیت دارند، آن را روی سخت‌افزار بگذارید.
کدام حساب‌ها باید اول یکی بگیرند؟
ایمیل، همیشه. سپس مدیر رمز عبورتان، سپس هر چیزی که از آن منتشر می‌کنید، سپس هر چیزی که پول نگه می‌دارد. اگر در این موضوع مستندسازی یا گزارش‌گری می‌کنید، حسابی که از آن پست می‌گذارید برای یک دشمن ارزش بیشتری از بانک شما دارد — از دست دادن آن یعنی شخص دیگری به نام شما صحبت می‌کند، که با chargeback قابل جبران نیست.
08منابع و مطالعه بیشتر
- Yubico — سایت رسمی و مقایسه مدل‌ها yubico.com
- FIDO Alliance، استاندارد FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — جایگزین سخت‌افزار و فریم‌ور متن‌باز nitrokey.com
- EFF Surveillance Self-Defense — امنیت حساب ssd.eff.org
- Privacy Guides — احراز هویت چندعاملی privacyguides.org
آخرین بازبینی: 25 سپتامبر 2026