Google Authenticator izahı: 2FA kodları necə işləyir

Təxminən hər 30 saniyədən bir telefonunuzdakı qısa rəqəm dəyişir və həmin telefonu heç vaxt göstərmədiyiniz vebsayt yeni rəqəmin hansı olmalı olduğunu nədənsə bilir. Bu, sehr kimi görünür, amma paylaşılan gizli məlumatdan istifadə edən sadə bir üsuldur.

Google Authenticator və oxşar tətbiqlər belə işləyir. Kodların necə yaradıldığını, internet bağlantısı olmadan niyə işlədiyini, tətbiqin Google-un özünün 2 Addımlı Doğrulaması ilə necə əlaqəli olduğunu, həmçinin nələri qoruyub-qoruya bilmədiyini izah edək.

Kodlar necə yaradılır

Hesabı autentifikator tətbiqinə əlavə etdikdə xidmət sizə, adətən QR kodu və ya quraşdırma açarı şəklində, məxfi məlumat verir və tətbiq onu yadda saxlayır. Bundan sonra xidmət və telefonunuz eyni məxfi məlumata sahib olur. Kod yaratmaq üçün tətbiq həmin məxfi məlumatı cari vaxtla birləşdirir, xidmət isə öz tərəfində eyni hesablamanı aparır. İki nəticə üst-üstə düşərsə, kod qəbul edilir.

Bu üsul IETF RFC 6238-də müəyyən edilmiş və ingiliscə time-based one-time password ifadəsinin qısaltması olan TOTP adlı dərc edilmiş standartdır. Bu standart daha əvvəlki sayğac əsaslı üsula söykənir və sayğacı vaxtdan əldə edilən dəyərlə əvəz edir. Standarta əsasən, tətbiq və xidmət eyni vaxt intervalından istifadə etməlidir. O, standart olaraq 30 saniyəni tövsiyə edir; buna görə kod adətən dəqiqədə təxminən iki dəfə yenilənir.

İnternet bağlantısı olmadan niyə işləyir

Kod telefonunuzda yadda saxlanmış məxfi məlumat və telefonun saatı əsasında hesablanır, buna görə telefona heç nə göndərməyə ehtiyac yoxdur. Google-un tətbiq siyahısında kodların şəbəkə və ya mobil bağlantı olmadan da yaradıla biləcəyi qeyd olunur. Kodu təqdim etdiyiniz zaman xidmətin yalnız eyni hesablamanı aparması lazımdır.

Bunun nəticəsi olaraq saatın düzgünlüyü vacibdir. Telefonunuzdakı vaxt real vaxtdan xeyli fərqlənirsə, tətbiq nəzərdə tutulduğu kimi işləsə də, iki hesablama üst-üstə düşməyəcək və kod rədd ediləcək.

Google-un özünün 2 Addımlı Doğrulaması ilə əlaqəsi

Bu ikisini asanlıqla qarışdırmaq olar. 2 Addımlı Doğrulama Google Hesabına daxil olarkən ikinci addım tələb edən funksiyadır. Google Authenticator həmin addımı təmin edə bilən tətbiqdir. Google-un məlumatına görə, tətbiq autentifikatorla təsdiqləməni dəstəkləyən digər sayt və tətbiqlər üçün də kodlar yarada bilər. Bir sıra digər autentifikator tətbiqləri də eyni standartdan istifadə edir, buna görə kodların özləri tək bir şirkətə bağlı deyil.

Tətbiqdən Google Hesabı ilə və ya hesab olmadan istifadə edə bilərsiniz. Hesaba daxil olmaq kodlarınızı cihazlarınız arasında sinxronlaşdırmağa imkan verir. Google-un bildirdiyinə görə, hesab olmadan da kodları yeni cihaza əl ilə köçürə bilərsiniz. Sinxronlaşdırılmış kodlar həmin Google Hesabından asılıdır, buna görə hesabın özünün qorunması daha vacibdir. Google həmçinin hesabınıza girişi itirməmək üçün 2 Addımlı Doğrulamanın əlavə üsullarını quraşdırmağı tövsiyə edir.

Nələri qoruyur, nələri qorumur

CISA-nın məlumatına görə, autentifikator tətbiqinin kodları mətn mesajlarından daha təhlükəsizdir, lakin fişinq hücumlarına qarşı hələ də həssasdır. İnandırıcı saxta giriş səhifəsi yazdığınız kodu ələ keçirib dərhal istifadə edə bilər. Bu cür hücumlara yalnız təhlükəsizlik açarları və passkey-lər kimi FIDO əsaslı üsullar davamlıdır. Kodu daxil etməzdən əvvəl saytın ünvanını yoxlamaq da qorunmanın bir hissəsidir.

Kodlarınızın arxasındakı məxfi məlumat da həssasdır. QR koduna və ya quraşdırma açarına sahib olan hər kəs eyni kodları yarada bilər, buna görə onun ekran görüntüsünə parol kimi yanaşmaq lazımdır. Autentifikator tətbiqi xidmət vasitəsilə daxil olduğunuz hesabları qoruyur. O, kripto pul kisəsinin seed phrase ifadəsini və ya şəxsi açarını qoruya bilməz.

WEEX xatırladır: quraşdırma açarına parol kimi yanaşın

WEEX istifadəçilərə birdəfəlik kodu, QR kodunu və ya quraşdırma açarını dəstək əməkdaşı olduğunu iddia edən şəxslər də daxil olmaqla heç kimlə paylaşmamağı xatırladır, çünki həqiqi xidmət bunları heç vaxt istəməz. Kodu daxil etməzdən əvvəl saytın ünvanını yoxlayın və ehtiyat açarı və ya ehtiyat kodları ekran görüntüsü və ya bulud qeydi kimi saxlamayın; onları təhlükəsiz, oflayn yerdə saxlayın. Buradakı məlumatlar maliyyə məsləhəti deyil.

Nəticə

Google Authenticator xidmətlə paylaşılan məxfi məlumat və cari vaxt əsasında qısa müddət qüvvədə olan kod yaradır; bu, onun niyə oflayn işlədiyini və saatın niyə vacib olduğunu izah edir. Tətbiq eyni standartdan istifadə edən bir neçə tətbiqdən biridir; mətn mesajlarından daha təhlükəsiz olsa da, fişinq hücumlarına məruz qala bilər və onun quraşdırma məxfi məlumatına parol qədər diqqətlə yanaşmaq lazımdır. Güclü parollar və ehtiyatlı davranışla birlikdə istifadə edildikdə, hesabı ələ keçirməyi çətinləşdirir.

Tez-tez verilən suallar

1. Google Authenticator nədir?
Bu, Google Hesablarına, eləcə də autentifikatorla təsdiqləməni dəstəkləyən digər sayt və tətbiqlərə daxil olarkən ikinci addım kimi istifadə olunan birdəfəlik kodlar yaradan tətbiqdir.

2. Google Authenticator internet olmadan kodları necə yaradır?
Kodları telefonunuzda yadda saxlanmış məxfi məlumat və cari vaxt əsasında hesablayır. Xidmət kodu yoxlamaq üçün eyni hesablamanı aparır, buna görə telefonunuza heç nə göndərməyə ehtiyac yoxdur.

3. Google Authenticator-dan istifadə etmək üçün Google Hesabı lazımdır?
Xeyr. Google-un bildirdiyinə görə, tətbiqdən hesabsız da istifadə edə bilərsiniz. Hesaba daxil olmaq kodları cihazlar arasında sinxronlaşdırmağa imkan verir; hesab olmadan isə onları yeni cihaza əl ilə köçürə bilərsiniz.

4. Google Authenticator Google-un 2 Addımlı Doğrulaması ilə eynidir?
Xeyr. 2 Addımlı Doğrulama Google Hesabında olan funksiyadır, tətbiq isə ikinci addımı təmin etməyin bir üsuludur. Tətbiq autentifikator kodlarını dəstəkləyən digər saytlarla da işləyir.

5. Google Authenticator SMS kodlarından daha təhlükəsizdir?
CISA-nın məlumatına görə, autentifikator tətbiqinin kodları mətn mesajlarından daha təhlükəsizdir, lakin onları fişinq yolu ilə ələ keçirmək mümkündür. Təhlükəsizlik açarları və passkey-lər fişinqə qarşı daha güclü qoruma təmin edir.