کلید مخفی 2FA چیست؟ توضیح Base32، TOTP و لینک‌های otpauth

کلید مخفی 2FA یک رشته کوتاه از حروف و اعداد است که اپ احراز هویت (Authenticator) از روی آن، کد شش‌رقمی ورود را می‌سازد. اگر در تحویل سفارش شما چنین کلیدی وجود داشته باشد، بعد از رمز عبور مهم‌ترین بخش آن خط است. با این حال بیشتر خریداران همین بخش را اشتباه کپی می‌کنند یا آن را با چیز دیگری اشتباه می‌گیرند. در این راهنما توضیح می‌دهیم این رشته چیست، Base32 چه شکلی دارد و کلید مخفی چه فرقی با کدهای پشتیبان و محتوای QR دارد.

همچنین یاد می‌گیرید چطور کلید را داخل خط تحویل پیدا کنید و در چند ثانیه مطمئن شوید کار می‌کند. به این ترتیب می‌توانید هر رشته‌ای را که در فایل خود می‌بینید تشخیص دهید: کلید مخفی است، کد پشتیبان است یا چیز دیگری.

کلید مخفی 2FA چیست و چطور کدهای شش‌رقمی می‌سازد

رمزهای یک‌بارمصرف مبتنی بر زمان (TOTP که در RFC 6238 تعریف شده) از دو چیز ساخته می‌شوند: یک راز مشترک و زمان فعلی. وقتی 2FA راه‌اندازی می‌شود، پلتفرم این راز را می‌سازد و یک نسخه از آن را نگه می‌دارد و نسخه دیگر در اپ احراز هویت شما می‌ماند. هر 30 ثانیه هر دو طرف یک محاسبه یکسان را روی راز و ساعت انجام می‌دهند و به همان شش رقم می‌رسند.

این موضوع سه پیامد عملی دارد:

• کلید مخفی، کلید دوم حساب است. هر کسی آن را داشته باشد تا زمانی که این تنظیم 2FA فعال بماند، می‌تواند از هر دستگاهی کد معتبر بسازد.
• کدها در هیچ جا ذخیره نمی‌شوند. هر کد هر 30 ثانیه دوباره محاسبه می‌شود، پس اسکرین‌شات یک کد قدیمی به هیچ دردی نمی‌خورد.
• ساعت دستگاه مهم است. اگر دستگاهی که کد می‌سازد یک دقیقه یا بیشتر از زمان واقعی جلو یا عقب باشد، حتی کلید درست هم کدهایی می‌دهد که رد می‌شوند.

Base32: شکل کاراکترها و رایج‌ترین اشتباهات تایپی

کلیدهای مخفی با Base32 نوشته می‌شوند؛ الفبایی که از 26 حرف بزرگ انگلیسی A تا Z و اعداد 2 تا 7 تشکیل شده است. کل الفبا همین است. اعداد 0، 1، 8 و 9 هرگز در آن نمی‌آیند و علائم نگارشی هم همین‌طور. یک نمونه صرفاً توضیحی (کلید حساب واقعی نیست) این شکلی است: JBSWY3DPEHPK3PXP. کلیدهای واقعی معمولاً بین 16 تا 32 کاراکتر طول دارند.

چون فقط 32 کاراکتر مجاز است، بیشتر اشتباهات تایپی را می‌شود راحت تشخیص داد:

• وجود 0، 1 یا 8 وسط کلید یعنی یک کاراکتر اشتباه خوانده شده است. صفر معمولاً حرف O است، عدد 1 معمولاً حرف I یا L است و عدد 8 معمولاً حرف B است.
• حروف کوچک معمولاً مشکلی ایجاد نمی‌کنند، چون بیشتر اپ‌ها آن‌ها را تبدیل می‌کنند.
• یک یا چند علامت «=» در انتها پدینگ (padding) است. بسیاری از اپ‌ها کلید را چه با آن و چه بدون آن می‌پذیرند.
• کاراکترهای نامرئی مثل یک فاصله یا خط جدید در انتها که هنگام کپی از فایل متنی همراه می‌شود، اغلب باعث پیام «کلید نامعتبر» می‌شود.

لینک otpauth، کد QR و کلید متنی

همین راز می‌تواند به سه شکل به دست شما برسد و قاطی کردن آن‌ها دردسر زیادی درست می‌کند:

• کلید متنی. خود رشته Base32 به تنهایی. اپ‌های احراز هویت به آن «کلید راه‌اندازی» یا «کلید ورود دستی» می‌گویند.
• کد QR. تصویری که یک لینک otpauth را رمزگذاری کرده تا گوشی بتواند آن را اسکن کند و لازم نباشد کلید را تایپ کنید.
• لینک otpauth. یک خط متن شبیه otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. مقدار بعد از secret= همان کلید Base32 است. بقیه بخش‌ها برچسب و تنظیماتی مثل صادرکننده (issuer)، الگوریتم، تعداد ارقام و بازه زمانی هستند.

اگر فقط تصویر QR یا لینک otpauth دارید، راز همان متنی است که بعد از secret= و قبل از علامت & بعدی قرار دارد. تنظیمات استاندارد از SHA-1، شش رقم و بازه 30 ثانیه‌ای استفاده می‌کنند و وقتی فقط راز را وارد می‌کنید، اپ همین مقادیر پیش‌فرض را در نظر می‌گیرد. اسکن کد QR یا وارد کردن لینک کامل، تنظیمات غیرپیش‌فرض داخل آن را هم اعمال می‌کند.

کلید مخفی 2FA، کدهای پشتیبان و ایمیل بازیابی

این سه مورد از یک حساب محافظت می‌کنند، اما کارکردشان کاملاً با هم فرق دارد:

• کلید مخفی 2FA. رشته Base32 بلندمدت که هر 30 ثانیه یک کد تازه می‌سازد. فقط وقتی تغییر می‌کند که 2FA ریست یا دوباره راه‌اندازی شود.
• کدهای پشتیبان. کدهای یک‌بارمصرفی که ممکن است پلتفرم برای روزی که به اپ احراز هویت دسترسی ندارید در اختیارتان بگذارد. هر کدام فقط یک بار کار می‌کند. این‌ها کلید Base32 نیستند، بنابراین اپ احراز هویت یا ابزار TOTP نمی‌تواند از آن‌ها استفاده کند.
• ایمیل بازیابی. یک صندوق ایمیل است، نه یک کد. تأییدیه‌های ورود و لینک‌های ریست به آن می‌رسد. در خط تحویل به شکل یک آدرس ایمیل دیده می‌شود و معمولاً بعد از آن رمز عبور همان صندوق می‌آید.

کلید مخفی کدهای روزمره شما را می‌سازد، کدهای پشتیبان چرخ زاپاس هستند و ایمیل بازیابی راه برگشت است وقتی چیز دیگری از کار بیفتد. این سه را در یادداشت‌هایتان جدا از هم برچسب بزنید.

پیدا کردن کلید در خط تحویل و تست آن

سفارش‌ها به شکل فایل TXT با خط‌هایی مثل username:password:email:email_password:auth_token تحویل داده می‌شوند و فیلدهای دقیق بسته به دسته‌بندی فرق می‌کند. وقتی یک دسته‌بندی کلید 2FA دارد، آن کلید یک فیلد اضافه در همان خط است. موقعیت‌ها را کورکورانه نشمارید: توضیحات دسته‌بندی را بخوانید و با خط اول فایل خود مقایسه کنید.

فیلدها را از روی شکلشان هم می‌شود تشخیص داد:

• کلید مخفی حداقل 16 کاراکتر دارد، از حروف بزرگ و اعداد 2 تا 7 تشکیل شده و علامت نگارشی ندارد.
• auth_token یک رشته هگزادسیمال بلند است. این یک توکن نشست است، نه تولیدکننده کد، و جای کلید مخفی را نمی‌گیرد. برای این روش به مطلب ورود به توییتر با auth token نگاه کنید.
• رمزهای عبور ممکن است دونقطه داشته باشند و برای همین جدا کردن ساده خط با «:» گاهی آن را خراب می‌کند.

برای اینکه ببینید همه خط‌ها ساختار یکسانی دارند، یک نمونه را در شناسایی‌کننده فرمت بچسبانید. برای جدا کردن فقط ستونی که کلیدها در آن است از split-by-delimiter استفاده کنید.

بعد کلید را در چند ثانیه تست کنید. ابزار 2FA رایگان را باز کنید، کلید را بچسبانید تا یک کد شش‌رقمی همراه با شمارش معکوس ظاهر شود. اگر ابزار گفت کلید نامعتبر است، به فهرست اشتباهات تایپی بالا برگردید. اگر کد ظاهر می‌شود اما ورود آن را رد می‌کند، ساعت دستگاه را بررسی کنید و راهنمای کاری که باید وقتی کد 2FA کار نمی‌کند انجام دهید را دنبال کنید.

نگهداری امن کلیدها وقتی چند حساب را مدیریت می‌کنید

یک خط تحویل اغلب رمز عبور و کلید 2FA را کنار هم دارد، پس هر کسی فایل را باز کند هر دو عامل را در اختیار دارد. به همین دلیل کل فایل را حفاظت کنید، نه هر فیلد را جداگانه:

• فایل را در یک پوشه خصوصی نگه دارید که دسترسی به آن محدود است و از اپ‌های چت، سندهای اشتراکی و اسکرین‌شات دوری کنید.
• هر کلید را کمی بعد از تحویل تست کنید و تاریخ را کنار حساب یادداشت کنید تا اگر مشکلی هست زود معلوم شود.
• روی هر رشته برچسب بزنید که چیست، تا یک کد پشتیبان یک‌بارمصرف هیچ‌وقت وارد اپ احراز هویت نشود.
• تعداد نسخه‌هایتان را بشمارید. بارگذاری همان راز در یک اپ احراز هویت دوم پشتیبان‌گیری منطقی است، اما هر نسخه جای دیگری است که می‌تواند از آنجا لو برود.

برای برنامه‌ریزی گسترده‌تر احراز هویت دومرحله‌ای و برنامه‌ریزی بازیابی را بخوانید و برای اصطلاحات آگهی‌ها سراغ واژه‌نامه حساب‌ها بروید. وقتی دسته‌بندی‌هایی مثل Phone Verified Aged Accounts را مقایسه می‌کنید، توضیحات را بخوانید تا ببینید فایل تحویل چه چیزی دارد. اگر به کلید 2FA نیاز دارید، قبل از سفارش از آن مطمئن شوید یا از پشتیبانی در تلگرام بپرسید.

پرسش‌های متداول

کلید مخفی 2FA چه شکلی است؟

رشته‌ای از حروف بزرگ A تا Z و اعداد 2 تا 7 است که معمولاً 16 تا 32 کاراکتر طول دارد، مثلاً JBSWY3DPEHPK3PXP در مثال‌های مستندات. بعضی پلتفرم‌ها آن را در گروه‌هایی که با فاصله یا خط تیره جدا شده‌اند نشان می‌دهند.

آیا کلید مخفی 2FA همان کد پشتیبان است؟

خیر. کلید مخفی تا وقتی این تنظیم 2FA فعال باشد، هر 30 ثانیه یک کد تازه می‌سازد. کد پشتیبان یک کد یک‌بارمصرف است که فقط یک بار کار می‌کند و در اپ احراز هویت قابل استفاده نیست.

آیا می‌توان از روی کد QR کلید مخفی را به دست آورد؟

بله. کد QR راه‌اندازی یک لینک otpauth را در خود دارد و کلید مخفی همان مقدار بعد از secret= در آن متن است. این متن را خصوصی نگه دارید، چون به اندازه خود کلید حساس است.

چرا بعضی کلیدها فاصله یا خط تیره دارند؟

فاصله‌ها فقط برای خوانایی هستند و اغلب در گروه‌های چهارتایی قرار می‌گیرند. اگر اپ کلید را رد کرد، فاصله‌ها و خط‌های تیره را پاک کنید؛ ابزار 2FA رایگان آن‌ها را همان‌طور که هستند هم می‌پذیرد.

آیا می‌توان یک کلید را هم‌زمان در دو اپ استفاده کرد؟

بله. هر اپ یا دستگاهی که همان راز را داشته باشد و ساعتش درست باشد، همان کد را نشان می‌دهد. به‌عنوان پشتیبان کار راحتی است، اما هر نسخه جای دیگری است که راز می‌تواند در معرض لو رفتن قرار بگیرد.