کد خبر: ۴۹۳

۱۵:۰۲

۱۴۰۵/۰۴/۲۸

MFA چیست؟ راهنمای جامع احراز هویت چندعاملی

گزارش تحلیلی و سند جامع بهراد یوسفی درباره MFA احراز هویت چند عاملی

با MFA یا احراز هویت چندعاملی آشنا شوید. در این راهنمای جامع، نحوه عملکرد، انواع عوامل احراز هویت، تفاوت MFA با 2FA، مزایا، چالش‌ها، Passkey، استانداردهای NIST و بهترین روش‌های پیاده‌سازی را بررسی می‌کنیم.

نویسنده:

بهراد یوسفی

احراز هویت چندعاملی (Multi-Factor Authentication یاMFA ) روشی برای تأیید هویت کاربران است که در آن علاوه بر رمز عبور، حداقل یک عامل امنیتی دیگر مانند اثر انگشت، برنامه Authenticator، کلید امنیتی یا Passkey برای ورود استفاده می‌شود. این فناوری یکی از مهم‌ترین راهکارهای جلوگیری از سرقت حساب‌های کاربری و حملات فیشینگ محسوب می‌شود.

اگر بخواهیم تنها یک عامل مشترک میان بزرگ‌ترین رخدادهای امنیت سایبری سال‌های اخیر پیدا کنیم، آن عامل نه یک آسیب‌پذیری روز صفر (Zero-Day) است و نه بدافزارهای پیچیده یا حملات باج‌افزاری پیشرفته؛ بلکه سرقت هویت دیجیتال کاربران است.

در دهه گذشته، مهاجمان سایبری به این نتیجه رسیده‌اند که نفوذ به سامانه‌ها از طریق شکستن دیوارهای امنیتی شبکه، بسیار پرهزینه‌تر و دشوارتر از سوءاستفاده از هویت کاربران است. به همین دلیل، تمرکز حملات از زیرساخت‌ها به سمت حساب‌های کاربری تغییر کرده است. امروزه رمزهای عبور ضعیف، گذرواژه‌های تکراری، نشست‌های سرقت‌شده، کوکی‌های احراز هویت، حملات فیشینگ و مهندسی اجتماعی، به ابزارهای اصلی مهاجمان برای نفوذ به سازمان‌ها تبدیل شده‌اند.

این تغییر رویکرد باعث شده است که مفهوم Identity Security (امنیت هویت) به یکی از مهم‌ترین ارکان امنیت سایبری مدرن تبدیل شود. در این معماری جدید، هویت کاربر همان مرز امنیتی سازمان محسوب می‌شود؛ به بیان دیگر، اگر هویت یک کاربر به خطر بیفتد، حتی پیشرفته‌ترین تجهیزات امنیتی شبکه نیز نمی‌توانند از سازمان محافظت کنند.

در چنین شرایطی، اتکا به رمز عبور به‌عنوان تنها عامل احراز هویت، دیگر پاسخگوی تهدیدات امروزی نیست. گذرواژه‌ها می‌توانند حدس زده شوند، در حملات نشت اطلاعات افشا شوند، از طریق بدافزارها سرقت شوند یا کاربران را با صفحات جعلی فیشینگ فریب دهند. به همین دلیل، صنعت امنیت سایبری طی سال‌های اخیر به سمت استفاده از احراز هویت چندعاملی ( Multi-Factor Authentication یا MFA ) حرکت کرده است؛ روشی که با افزودن یک یا چند عامل مستقل برای تأیید هویت، احتمال موفقیت حملات مبتنی بر سرقت رمز عبور را به‌طور چشمگیری کاهش می‌دهد.

امروزه تقریباً تمامی چارچوب‌های امنیتی معتبر از جمله NIST Cybersecurity Framework، راهنماهای CISA، استانداردهای Microsoft Security، معماری Zero Trust و توصیه‌های FIDO Alliance، استفاده از MFA را به‌عنوان یکی از الزامات پایه امنیت هویت معرفی می‌کنند. حتی بسیاری از ارائه‌دهندگان خدمات ابری، فعال‌سازی MFA را برای دسترسی مدیران سیستم یا کاربران دارای دسترسی حساس، اجباری کرده‌اند.

با این حال،MFA نیز راهکاری بی‌نقص نیست. مهاجمان در سال‌های اخیر روش‌های جدیدی مانند MFA Fatigue، Push Bombing، Adversary-in-the-Middle (AiTM) و Session Hijacking را توسعه داده‌اند تا حتی مکانیزم‌های احراز هویت چندعاملی را نیز دور بزنند. همین موضوع باعث شده است که نگاه متخصصان امنیت از «استفاده از MFA» به سمت «استفاده از MFA مقاوم در برابر فیشینگ» تغییر کند؛ مفهومی که فناوری‌هایی مانند Passkey، FIDO2 و WebAuthn در مرکز آن قرار دارند.

در این گزارش، تلاش می‌کنیم MFA را صرفاً به‌عنوان یک قابلیت امنیتی معرفی نکنیم، بلکه آن را از منظر معماری امنیت هویت، استانداردهای بین‌المللی، فناوری‌های پیاده‌سازی، تهدیدات نوظهور، محدودیت‌ها و آینده احراز هویت بررسی کنیم. هدف این راهنما، ارائه تصویری جامع از جایگاه MFA در امنیت سایبری مدرن است؛ تصویری که هم برای کاربران عادی قابل فهم باشد و هم برای کارشناسان امنیت، مدیران فناوری اطلاعات و تصمیم‌گیرندگان سازمانی، ارزش تحلیلی و عملیاتی داشته باشد.

بخش اول) MFA چیست؟

احراز هویت چندعاملی یاMulti-Factor Authentication (MFA) روشی برای تأیید هویت کاربران است که در آن، دسترسی به یک سامانه تنها با ارائه رمز عبور امکان‌پذیر نیست و کاربر باید حداقل دو یا چند عامل مستقل احراز هویت را ارائه کند. هدف اصلی این رویکرد، کاهش احتمال دسترسی غیرمجاز در شرایطی است که یکی از عوامل احراز هویت مانند رمز عبور در اختیار مهاجم قرار گرفته باشد.

برخلاف تصور رایج،MFA صرفاً به معنای ارسال یک کد پیامکی یا درخواست تأیید در تلفن همراه نیست. فلسفه اصلی این فناوری بر این اصل استوار است که هیچ عامل احراز هویتی به‌تنهایی قابل اعتماد نیست. بنابراین، هویت کاربر باید از طریق ترکیب چند عامل مستقل که ماهیت متفاوتی دارند، مورد ارزیابی قرار گیرد.

به‌عنوان مثال، فرض کنید کاربری قصد ورود به حساب سازمانی خود را دارد. در نخستین مرحله، نام کاربری و گذرواژه خود را وارد می‌کند. اگر سامانه تنها به همین اطلاعات متکی باشد، هر فردی که به رمز عبور دسترسی پیدا کند، می‌تواند وارد حساب شود. اما در معماری MFA، پس از وارد کردن گذرواژه، سیستم یک عامل دوم نیز درخواست می‌کند؛ برای نمونه تأیید از طریق برنامه احراز هویت، کلید امنیتی سخت‌افزاری یا اثر انگشت. تنها در صورتی که هر دو عامل با موفقیت تأیید شوند، دسترسی به حساب کاربری صادر خواهد شد.

این ساختار باعث می‌شود حتی در صورت افشای رمز عبور، مهاجم نتواند بدون در اختیار داشتن عامل دوم، فرایند احراز هویت را تکمیل کند. به همین دلیل،MFA یکی از مؤثرترین روش‌ها برای کاهش ریسک حملات مبتنی بر سرقت اعتبارنامه‌ها (Credential Theft) محسوب می‌شود.

از دیدگاه استانداردهای امنیتی،NIST احراز هویت چندعاملی را روشی می‌داند که در آن، دو یا چند عامل احراز هویت از دسته‌های متفاوت برای تأیید هویت کاربر استفاده می‌شوند. نکته مهم این تعریف آن است که عوامل انتخاب‌شده باید مستقل از یکدیگر باشند؛ به عبارت دیگر، استفاده از دو رمز عبور مختلف یا دو سؤال امنیتی، MFA محسوب نمی‌شود، زیرا هر دو در یک دسته قرار می‌گیرند.

در معماری‌های مدرن امنیتی،MFA دیگر یک قابلیت اختیاری نیست، بلکه بخشی از فرآیند Identity Assurance به شمار می‌رود. سازمان‌ها با استفاده از MFA تلاش می‌کنند سطح اطمینان خود نسبت به هویت واقعی کاربر را افزایش دهند؛ به‌ویژه در شرایطی که دسترسی به داده‌های حساس، سامانه‌های حیاتی یا منابع ابری مطرح باشد.

با گسترش رایانش ابری، دورکاری و استفاده گسترده از سرویس‌های SaaS، اهمیت MFA بیش از هر زمان دیگری افزایش یافته است. امروزه کاربران از مکان‌ها، دستگاه‌ها و شبکه‌های مختلف به منابع سازمانی متصل می‌شوند و دیگر نمی‌توان تنها بر اساس موقعیت شبکه یا آدرس IP درباره اعتبار یک کاربر تصمیم‌گیری کرد. در چنین محیطی، هویت دیجیتال به مهم‌ترین معیار اعتماد تبدیل شده و MFA نقش کلیدی در اعتبارسنجی این هویت ایفا می‌کند.

از همین رو، بسیاری از ارائه‌دهندگان خدمات ابری مانند Microsoft، Google،Amazon Web Services و GitHub، MFA را برای حساب‌های مدیریتی یا دارای دسترسی حساس به‌صورت پیش‌فرض توصیه یا حتی اجباری کرده‌اند. این رویکرد نشان می‌دهد که احراز هویت چندعاملی از یک قابلیت امنیتی ساده فراتر رفته و به یکی از پایه‌های اصلی معماری امنیت سایبری مدرن تبدیل شده است.

تفاوت Authentication و Authorization؛ دو مفهوم که اغلب با یکدیگر اشتباه گرفته می‌شوند

یکی از رایج‌ترین سوءبرداشت‌ها در حوزه امنیت هویت، یکسان دانستن دو مفهوم Authentication و Authorization است. اگرچه این دو فرایند معمولاً پشت سر هم اجرا می‌شوند، اما هدف و کارکرد کاملاً متفاوتی دارند.

Authentication (احراز هویت) فرایندی است که طی آن سیستم بررسی می‌کند کاربر واقعاً همان فردی است که ادعا می‌کند. در این مرحله، کاربر باید هویت خود را با ارائه عواملی مانند گذرواژه، کلید امنیتی، اثر انگشت یا سایر روش‌های احراز هویت اثبات کند.

پس از آنکه هویت کاربر تأیید شد، نوبت به Authorization (مجوزدهی یا کنترل دسترسی) می‌رسد. در این مرحله، سامانه مشخص می‌کند کاربر مجاز به انجام چه فعالیت‌هایی است و به کدام منابع می‌تواند دسترسی داشته باشد.

به بیان ساده،Authentication پاسخ می‌دهد: «شما چه کسی هستید؟» و Authorization پاسخ می‌دهد: «پس از ورود، چه کارهایی اجازه انجام دارید؟»

در معماری‌های امنیتی مدرن مانند Zero Trust، این دو مفهوم به‌طور پیوسته و پویا ارزیابی می‌شوند. به همین دلیل، حتی اگر کاربری یک‌بار با موفقیت احراز هویت شده باشد، ممکن است در صورت تغییر سطح ریسک، تغییر دستگاه، موقعیت جغرافیایی یا رفتار غیرعادی، دوباره ملزم به انجام MFA شود یا دسترسی او محدود گردد.

بخش دوم) راهنمای جامع MFA

از رمز عبور تا احراز هویت چندعاملی؛ چرا Password دیگر کافی نیست؟

برای درک اهمیت MFA، ابتدا باید بدانیم چرا رمز عبور که دهه‌ها ستون اصلی امنیت دیجیتال محسوب می‌شد، امروز دیگر به‌تنهایی قابل اعتماد نیست.

زمانی که نخستین سامانه‌های رایانه‌ای طراحی شدند، تعداد کاربران محدود بود، سرویس‌ها در شبکه‌های داخلی قرار داشتند و مهاجمان نیز امکانات امروزی را در اختیار نداشتند. در آن دوران، استفاده از یک گذرواژه برای تشخیص هویت کاربران راهکاری ساده، کم‌هزینه و تا حد زیادی قابل قبول بود.

اما طی دو دهه گذشته، تحول دیجیتال این معادله را به‌طور کامل تغییر داده است. امروزه هر کاربر ده‌ها حساب کاربری در سرویس‌های مختلف دارد؛ از ایمیل و شبکه‌های اجتماعی گرفته تا بانکداری اینترنتی، سامانه‌های سازمانی، سرویس‌های ابری و ابزارهای همکاری آنلاین. همین افزایش تعداد حساب‌ها باعث شده بسیاری از کاربران از رمزهای عبور تکراری یا ضعیف استفاده کنند؛ رفتاری که مهاجمان سال‌هاست از آن بهره‌برداری می‌کنند.

در کنار این موضوع، اقتصاد جرایم سایبری نیز به‌شدت رشد کرده است. امروزه بازارهای زیرزمینی اینترنت مملو از میلیاردها اعتبارنامه افشاشده هستند که در حملات مختلف مورد استفاده قرار می‌گیرند. بسیاری از این گذرواژه‌ها از طریق نشت اطلاعات، حملات فیشینگ، بدافزارهای سرقت اطلاعات (Infostealer)، حملات Keylogger یا مهندسی اجتماعی به دست آمده‌اند.

در چنین شرایطی، رمز عبور دیگر یک راز محرمانه نیست؛ بلکه اغلب به اولین هدف مهاجمان تبدیل شده است.

چرا Password دیگر قابل اعتماد نیست؟

یکی از مهم‌ترین دلایل شکست مدل سنتی احراز هویت، وابستگی کامل آن به یک عامل واحد است. اگر همان عامل به هر دلیلی افشا شود، مهاجم بدون مانع جدی می‌تواند وارد حساب کاربری شود.

رمزهای عبور امروزه از مسیرهای مختلفی در معرض خطر قرار دارند:

نشت اطلاعات (Data Breach)

هر سال صدها میلیون حساب کاربری در نتیجه نفوذ به شرکت‌ها و سرویس‌های آنلاین افشا می‌شوند. حتی اگر سازمان شما هرگز هک نشده باشد، استفاده مجدد کاربران از همان گذرواژه در سرویس‌های دیگر می‌تواند امنیت سازمان را به خطر بیندازد.

Credential Stuffing

در این حمله، مهاجم فهرست بزرگی از نام‌های کاربری و گذرواژه‌های افشاشده را به‌صورت خودکار روی هزاران وب‌سایت آزمایش می‌کند.

از آنجا که بسیاری از کاربران از یک رمز عبور برای چندین سرویس استفاده می‌کنند، حتی نشت اطلاعات یک وب‌سایت کوچک می‌تواند منجر به نفوذ به سامانه‌های حساس سازمانی شود.

Brute Force و Password Spraying

در حملات Brute Force مهاجم میلیون‌ها رمز عبور را امتحان می‌کند.

در Password Spraying نیز به‌جای امتحان کردن هزاران رمز برای یک کاربر، چند رمز رایج روی تعداد زیادی از کاربران آزمایش می‌شود تا مکانیزم قفل شدن حساب فعال نشود.

حملات فیشینگ

فیشینگ همچنان مؤثرترین روش سرقت گذرواژه محسوب می‌شود.

کاربر تصور می‌کند وارد وب‌سایت اصلی شده اما در حقیقت اطلاعات خود را در اختیار مهاجم قرار می‌دهد.

با ظهور هوش مصنوعی، صفحات فیشینگ امروزی از نظر ظاهری تقریباً غیرقابل تشخیص شده‌اند.

Infostealer Malware

بدافزارهایی مانند RedLine، Lumma، Raccoon و خانواده‌های جدید Infostealer نه‌تنها رمزهای عبور ذخیره‌شده در مرورگرها را سرقت می‌کنند، بلکه کوکی‌های نشست، توکن‌های احراز هویت و اطلاعات مربوط به برنامه‌های MFA را نیز جمع‌آوری می‌کنند.

همین مسئله باعث شده است که مهاجمان در بسیاری از موارد حتی نیازی به دانستن گذرواژه نداشته باشند.

تغییر پارادایم امنیت؛ از Password Security به Identity Security

یکی از مهم‌ترین تغییرات صنعت امنیت طی سال‌های اخیر، جابه‌جایی تمرکز از محافظت از «رمز عبور» به محافظت از «هویت» بوده است.

در گذشته، امنیت سازمان‌ها عمدتاً بر پایه Firewall، VPN، آنتی‌ویروس و کنترل دسترسی شبکه طراحی می‌شد.

اما امروزه، با گسترش رایانش ابری، دورکاری و سرویس‌های SaaS، دیگر مرز مشخصی برای شبکه وجود ندارد.

کاربران از خانه، تلفن همراه، لپ‌تاپ شخصی، هتل، فرودگاه و حتی شبکه‌های عمومی به منابع سازمانی متصل می‌شوند.

در چنین محیطی، سؤال اصلی دیگر این نیست که:

آیا این دستگاه داخل شبکه سازمان قرار دارد؟

بلکه این است:

آیا فردی که درخواست دسترسی داده، واقعاً همان کاربر مجاز است؟

این دقیقاً همان جایی است که مفهوم Identity Security شکل می‌گیرد و MFA به مهم‌ترین ابزار آن تبدیل می‌شود.

سه عامل اصلی احراز هویت

تمام فناوری‌های احراز هویت در دنیا بر پایه سه دسته اصلی از عوامل طراحی شده‌اند.

۱. چیزی که می‌دانید (Something You Know)

این قدیمی‌ترین روش احراز هویت است.

نمونه‌ها:

Password
PIN
Passphrase
پاسخ سؤال امنیتی

مزیت این روش، سادگی و هزینه پایین است.

اما بزرگ‌ترین نقطه ضعف آن نیز همین است؛ زیرا هر اطلاعاتی که بتوان آن را دانست، می‌توان آن را حدس زد، سرقت کرد یا فریب داد.

۲. چیزی که در اختیار دارید (Something You Have)

در این روش، کاربر باید مالک یک وسیله فیزیکی یا دیجیتال باشد.

نمونه‌ها:

تلفن همراه
Authenticator App
Hardware Token
Smart Card
Security Key
Passkey ذخیره‌شده روی دستگاه

حتی اگر مهاجم رمز عبور را بداند، بدون دسترسی به این وسیله قادر به تکمیل فرآیند احراز هویت نخواهد بود.

به همین دلیل، این عامل امنیت بسیار بالاتری نسبت به رمز عبور فراهم می‌کند.

۳. چیزی که هستید (Something You Are)

این دسته بر ویژگی‌های بیومتریک انسان متکی است.

نمونه‌ها:

اثر انگشت
تشخیص چهره
اسکن عنبیه
الگوی صدا
الگوی رگ کف دست

از آنجا که این ویژگی‌ها به خود فرد تعلق دارند، جعل آن‌ها دشوارتر است؛ هرچند فناوری‌های Deepfake و حملات مبتنی بر هوش مصنوعی، چالش‌های جدیدی برای احراز هویت بیومتریک ایجاد کرده‌اند.

چه زمانی احراز هویت واقعاً «چندعاملی» محسوب می‌شود؟

یکی از رایج‌ترین سوءبرداشت‌ها این است که هر دو مرحله ورود،MFA محسوب می‌شود.

در حالی که این تصور همیشه درست نیست.

برای مثال:

❌ رمز عبور + سؤال امنیتی

این ترکیب همچنان تنها از یک دسته استفاده می‌کند؛ زیرا هر دو عامل از نوع «چیزی که می‌دانید» هستند.

❌ دو رمز عبور مختلف

باز هم MFA نیست.

❌ Password + PIN

باز هم MFA محسوب نمی‌شود.

اما نمونه‌های صحیح عبارت‌اند از:

✔ Password + OTP

✔ Password + اثر انگشت

✔ Password + Security Key

✔ Password + Passkey

✔ Password + Push Notification

در تمامی این مثال‌ها، دو عامل از دو دسته متفاوت استفاده شده‌اند.

انواع رایج MFA در دنیای امروز

فناوری MFA در طول سال‌ها تکامل یافته و امروزه روش‌های مختلفی برای پیاده‌سازی آن وجود دارد.

SMS OTP

قدیمی‌ترین روش

کاربر یک کد یکبارمصرف از طریق پیامک دریافت می‌کند.

مزایا:

پیاده‌سازی آسان
بدون نیاز به نرم‌افزار اضافی
آشنایی کاربران

محدودیت‌ها:

آسیب‌پذیر در برابر SIM Swapping
رهگیری پیامک
حملات SS7
فیشینگ

امروزه بسیاری از سازمان‌های امنیتی، SMS را ضعیف‌ترین نوع MFA می‌دانند.

Email OTP

ارسال کد به ایمیل

مزیت آن سادگی است، اما اگر ایمیل کاربر هک شده باشد، عملاً امنیتی ایجاد نمی‌کند.

Authenticator App

نمونه‌ها:

Microsoft Authenticator
Google Authenticator
Authy
Duo Mobile

کدهای تولیدشده به‌صورت محلی ایجاد می‌شوند و وابسته به شبکه مخابراتی نیستند.

این روش نسبت به SMS امنیت بسیار بیشتری دارد.

Push Notification

کاربر تنها گزینه "Approve" یا "Deny" را انتخاب می‌کند.

این روش تجربه کاربری بسیار خوبی دارد، اما در برابر حملاتMFA Fatigue آسیب‌پذیر است؛ موضوعی که در بخش‌های بعدی به‌طور کامل بررسی خواهد شد.

Hardware Security Key

مانند:

YubiKey
Google Titan
Feitian

این کلیدها بر پایه استانداردهای FIDO2 و WebAuthn کار می‌کنند و در حال حاضر یکی از مقاوم‌ترین روش‌های احراز هویت در برابر حملات فیشینگ محسوب می‌شوند.

Passkey

جدیدترین نسل احراز هویت چندعاملی که در مقاله قبلی به‌صورت کامل بررسی شد.

Passkey علاوه بر حذف رمز عبور، در برابر بسیاری از حملات مدرن از جمله فیشینگ،Credential Theft و AiTM مقاومت ذاتی دارد.

به همین دلیل، بسیاری از متخصصان امنیت آن را نسل آینده احراز هویت می‌دانند.

احراز هویت چندعاملی پاسخی مستقیم به ضعف ذاتی رمزهای عبور است، اما همه روش‌های MFA از سطح امنیت یکسانی برخوردار نیستند. راهکارهایی مانند SMS OTP یا Email OTP اگرچه نسبت به استفاده صرف از رمز عبور امنیت بیشتری فراهم می‌کنند، اما همچنان در برابر حملاتی مانند فیشینگ، تعویض سیم‌کارت و رهگیری کدها آسیب‌پذیر هستند. در مقابل، فناوری‌های مبتنی بر FIDO2، WebAuthn و Passkey با حذف وابستگی به رمز عبور و مقاومت ذاتی در برابر فیشینگ، استاندارد جدیدی برای احراز هویت ایمن ایجاد کرده‌اند.

بخش سوم) راهنمای جامع MFA

MFA چگونه کار می‌کند؟ بررسی معماری فنی احراز هویت چندعاملی

برای بسیاری از کاربران، MFA تنها یک مرحله اضافی پس از وارد کردن رمز عبور است؛ مرحله‌ای که معمولاً با وارد کردن یک کد، لمس یک کلید امنیتی یا تأیید یک اعلان (Push Notification) پایان می‌یابد. اما در پشت این تجربه ساده، مجموعه‌ای از فرآیندهای پیچیده امنیتی، پروتکل‌های رمزنگاری، سرویس‌های مدیریت هویت و سیاست‌های کنترل دسترسی قرار دارد که با همکاری یکدیگر، هویت کاربر را ارزیابی و اعتبارسنجی می‌کنند.

درک نحوه عملکرد MFA تنها برای متخصصان امنیت اهمیت ندارد بلکه مدیران فناوری اطلاعات، معماران امنیت، توسعه‌دهندگان و حتی مدیران کسب‌وکار نیز برای انتخاب صحیح یک راهکار احراز هویت، باید بدانند این فناوری چگونه عمل می‌کند، چه مؤلفه‌هایی دارد و در کدام نقطه از فرآیند ورود کاربران قرار می‌گیرد.

فرآیند احراز هویت چندعاملی از لحظه ورود کاربر

فرض کنید یک کاربر قصد دارد وارد حساب Microsoft 365 سازمان خود شود.

در نگاه کاربر، تنها چند مرحله ساده اتفاق می‌افتد:

وارد کردن نام کاربری
وارد کردن گذرواژه
دریافت درخواست تأیید در تلفن همراه
ورود به سامانه

اما در پشت صحنه، ده‌ها عملیات امنیتی انجام می‌شود.

ابتدا درخواست ورود به Identity Provider (IdP) ارسال می‌شود. این سرویس، مسئول مدیریت هویت کاربران و اعتبارسنجی اولیه اطلاعات ورود است. اگر نام کاربری و گذرواژه صحیح باشند، فرآیند به پایان نمی‌رسد؛ بلکه سامانه بررسی می‌کند که آیا برای این حساب، سیاست MFA فعال است یا خیر.

در صورت فعال بودن MFA، موتور سیاست‌گذاری امنیتی (Policy Engine) تصمیم می‌گیرد که چه عامل دومی باید از کاربر درخواست شود. این تصمیم ممکن است بر اساس نقش کاربر، موقعیت جغرافیایی، نوع دستگاه، سطح حساسیت سامانه یا میزان ریسک نشست فعلی اتخاذ شود.

پس از انتخاب روش مناسب، درخواست احراز هویت دوم به سرویس مربوطه ارسال می‌شود. این سرویس می‌تواند برنامه Authenticator، یک کلید امنیتی سخت‌افزاری، سامانه ارسال پیامک یا هر مکانیزم دیگری باشد.

اگر عامل دوم نیز با موفقیت تأیید شود، سرویس هویت یکToken یا Assertion معتبر صادر می‌کند و کاربر اجازه دسترسی به منابع مورد نظر را دریافت می‌کند.

در واقع، MFA نه یک سامانه مستقل، بلکه بخشی از زنجیره مدیریت هویت دیجیتال است.

اجزای اصلی معماری MFA

پیاده‌سازی حرفه‌ای MFA تنها به نصب یک برنامه احراز هویت محدود نمی‌شود. در سازمان‌های بزرگ، این فناوری از چندین مؤلفه تشکیل شده است که هر یک وظیفه مشخصی بر عهده دارند.

۱. Identity Provider (IdP)

Identity Provider یا ارائه‌دهنده هویت، قلب معماری احراز هویت محسوب می‌شود.

این سامانه مسئول انجام وظایفی مانند:

مدیریت حساب‌های کاربری
اعتبارسنجی هویت
صدور توکن‌های دسترسی
مدیریت نشست کاربران
اعمال سیاست‌های امنیتی

است.

نمونه‌های شناخته‌شده عبارت‌اند از:

Microsoft Entra ID (Azure AD سابق)
Okta
Ping Identity
Keycloak
Google Cloud Identity
OneLogin

در معماری Zero Trust، تقریباً تمامی تصمیمات امنیتی از طریق Identity Provider اتخاذ می‌شود.

۲. Authentication Server

سرور احراز هویت مسئول بررسی عوامل احراز هویت است.

برای مثال:

بررسی صحت رمز عبور
اعتبارسنجی OTP
بررسی Push Notification
اعتبارسنجی Security Key
بررسی داده‌های بیومتریک

در برخی محصولات،Authentication Server بخشی از Identity Provider است و در برخی دیگر به‌صورت مستقل پیاده‌سازی می‌شود.

۳. Authenticator

Authenticator همان وسیله یا نرم‌افزاری است که عامل دوم احراز هویت را تولید یا تأیید می‌کند.

نمونه‌ها:

Microsoft Authenticator
Google Authenticator
Authy
Duo Mobile
YubiKey
Titan Security Key
Apple Passkey
Android Credential Manager

در عمل، کاربر بیشترین تعامل را با این بخش دارد.

۴. Directory Service

تمام اطلاعات کاربران باید در یک مخزن مرکزی ذخیره شوند.

این وظیفه معمولاً بر عهده سرویس‌هایی مانند:

Active Directory
LDAP
Azure AD
Cloud Directory

است.

Identity Provider برای تشخیص هویت کاربران از این اطلاعات استفاده می‌کند.

۵. Policy Engine

Policy Engine یکی از مهم‌ترین اجزای معماری مدرن MFA است.

این موتور تصمیم می‌گیرد:

آیا اصلاً MFA لازم است؟

اگر لازم است، کدام روش استفاده شود؟

برای مثال:

کاربری که از لپ‌تاپ سازمانی وارد شبکه داخلی شده است، شاید نیازی به MFA نداشته باشد.

اما همان کاربر اگر از کشور دیگری یا یک دستگاه ناشناس وارد شود، سیستم می‌تواند:

درخواست MFA کند.
استفاده از Security Key را اجباری کند.
یا حتی دسترسی را مسدود کند.

این همان مفهومی است که بعدها در Conditional Access بررسی خواهیم کرد.

انواع Token در فرآیند MFA

یکی از اصطلاحاتی که هنگام مطالعه معماری احراز هویت زیاد با آن مواجه می‌شویم، Token است.

Token در واقع یک مدرک دیجیتال است که نشان می‌دهد کاربر با موفقیت احراز هویت شده است.

پس از تکمیل MFA، سامانه به‌جای درخواست مجدد گذرواژه، از Token برای شناسایی کاربر استفاده می‌کند.

نمونه‌های رایج:

Access Token
Refresh Token
ID Token
Session Token

بسیاری از حملات مدرن مانند Session Hijacking دقیقاً با سرقت همین Tokenها انجام می‌شوند، نه با سرقت رمز عبور.

تفاوت OTP،HOTP و TOTP

بسیاری از کاربران تصور می‌کنند همه کدهای یکبارمصرف عملکرد مشابهی دارند؛ در حالی که پشت این کدها الگوریتم‌های متفاوتی وجود دارد.

HOTP (HMAC-based One-Time Password)

در این روش، هر بار که کاربر از کد استفاده می‌کند، یک شمارنده (Counter) افزایش پیدا می‌کند.

بنابراین کد بعدی بر اساس شماره استفاده قبلی تولید می‌شود.

مزایا:

مستقل از ساعت سیستم

معایب:

نیاز به همگام‌سازی شمارنده
احتمال از دست رفتن هماهنگی

TOTP (Time-based One-Time Password)

امروزه تقریباً تمام برنامه‌های Authenticator از این روش استفاده می‌کنند.

در این الگوریتم، کدها بر اساس زمان تولید می‌شوند.

معمولاً هر ۳۰ ثانیه یک رمز جدید ساخته می‌شود.

مزایا:

امنیت بالاتر
پیاده‌سازی ساده
استاندارد جهانی
پشتیبانی گسترده

نمونه‌ها:

Google Authenticator
Microsoft Authenticator
Authy

به همین دلیل، هر زمان کاربران از «کد شش رقمی برنامه Authenticator» صحبت می‌کنند، تقریباً همیشه منظور آن‌ها TOTP است.

Push Authentication چگونه کار می‌کند؟

یکی از محبوب‌ترین روش‌های MFA، تأیید از طریق اعلان (Push Notification) است.

در این روش:

کاربر نام کاربری و گذرواژه را وارد می‌کند.

Identity Provider درخواست را بررسی می‌کند.

یک اعلان به برنامه Authenticator ارسال می‌شود.

کاربر گزینه "Approve" را انتخاب می‌کند.

سپس سیستم توکن ورود را صادر می‌کند.

مزیت این روش، تجربه کاربری بسیار ساده و سریع است.

اما همین سادگی، زمینه‌ساز یکی از مشهورترین حملات سال‌های اخیر یعنی MFA Fatigue شده است؛ حمله‌ای که مهاجم با ارسال مداوم درخواست‌های تأیید، کاربر را خسته یا فریب می‌دهد تا در نهایت یکی از درخواست‌ها را تأیید کند.

نقش استانداردهای FIDO2 و WebAuthn در معماری MFA

در سال‌های اخیر، صنعت امنیت به این نتیجه رسیده است که حتی بهترین روش‌های OTP نیز در برابر صفحات فیشینگ پیشرفته آسیب‌پذیر هستند.

به همین دلیل، استانداردهای FIDO2 وWebAuthn توسعه یافتند.

در این مدل:

هیچ رمز عبوری به سرور ارسال نمی‌شود.
کلید خصوصی هرگز دستگاه کاربر را ترک نمی‌کند.
هر سرویس یک کلید منحصربه‌فرد دریافت می‌کند.
امضای رمزنگاری‌شده فقط برای همان دامنه معتبر است.

این ویژگی باعث می‌شود حملاتی مانند AiTM یا صفحات فیشینگ نتوانند فرآیند احراز هویت را بازپخش (Replay) یا جعل کنند.

به همین دلیل، بسیاری از سازمان‌های امنیتی از این روش با عنوان Phishing-Resistant MFA یا «احراز هویت مقاوم در برابر فیشینگ» یاد می‌کنند و آن را استاندارد طلایی احراز هویت مدرن می‌دانند.

احراز هویت چندعاملی صرفاً افزودن یک مرحله اضافی به فرآیند ورود نیست، بلکه بخشی از معماری جامع مدیریت هویت است که با تکیه بر سرویس‌هایی مانند Identity Provider، Policy Engine، Authenticator و Directory Service، سطح اطمینان نسبت به هویت کاربر را افزایش می‌دهد. در این میان، روش‌های سنتی مانند OTP همچنان کاربرد گسترده‌ای دارند، اما روند صنعت به‌وضوح به سمت فناوری‌های مقاوم در برابر فیشینگ مانند FIDO2، WebAuthn و Passkey حرکت کرده است.

بخش چهارم) وقتی MFA هم کافی نیست؛ چگونه مهاجمان احراز هویت چندعاملی را دور می‌زنند؟

برای سال‌ها، فعال‌سازی MFA به‌عنوان راه‌حل نهایی مقابله با سرقت رمز عبور معرفی می‌شد. بسیاری از سازمان‌ها نیز پس از پیاده‌سازی احراز هویت چندعاملی تصور کردند که خطر نفوذ به حساب‌های کاربری تا حد زیادی برطرف شده است.

اما واقعیت امنیت سایبری همواره در حال تغییر است.

مهاجمان نیز هم‌زمان با توسعه فناوری‌های دفاعی، روش‌های جدیدی برای دور زدن آن‌ها ابداع می‌کنند. اگر در گذشته هدف اصلی سرقت رمز عبور بود، امروزه تمرکز حملات بر سرقت Session Token، فریب کاربران برای تأیید درخواست MFA یا رهگیری فرآیند احراز هویت قرار گرفته است.

به همین دلیل، در سال‌های اخیر اصطلاحی جدید وارد ادبیات امنیت سایبری شده است:

Phishing-Resistant Authentication

یعنی احراز هویتی که نه‌تنها در برابر سرقت رمز عبور، بلکه در برابر تکنیک‌های مدرن دور زدن MFA نیز مقاوم باشد.

برای درک چرایی این تغییر، ابتدا باید مهم‌ترین حملات علیه MFA را بشناسیم.

MFA Fatigue؛ حمله‌ای که از خستگی انسان سوءاستفاده می‌کند

یکی از مشهورترین حملات چند سال اخیر، MFA Fatigue یا Push Fatigue است.

در این روش، مهاجم معمولاً رمز عبور کاربر را از طریق نشت اطلاعات، فیشینگ یا بدافزار در اختیار دارد. اما برای ورود به حساب، هنوز باید مرحله دوم احراز هویت را نیز پشت سر بگذارد.

اگر سازمان از Push Notification استفاده کند، مهاجم بارها و بارها درخواست ورود ارسال می‌کند.

در نتیجه، تلفن همراه کاربر به‌طور مداوم اعلان‌هایی مانند این دریافت می‌کند:

آیا شما در حال ورود هستید؟

Approve یا Deny؟

کاربر در ابتدا درخواست را رد می‌کند.

اما مهاجم ده‌ها یا حتی صدها بار همین درخواست را تکرار می‌کند.

پس از مدتی، کاربر ممکن است:

تصور کند سیستم دچار خطا شده است.
از روی بی‌حوصلگی گزینه Approve را انتخاب کند.
یا فکر کند این اعلان مربوط به ورود خودش است.

همین یک کلیک کافی است تا مهاجم وارد حساب شود.

چرا MFA Fatigue مؤثر است؟

این حمله هیچ آسیب‌پذیری فنی را هدف قرار نمی‌دهد.

بلکه از یک ضعف کاملاً انسانی استفاده می‌کند.

در واقع، مهاجم به‌جای شکستن الگوریتم‌های رمزنگاری، رفتار کاربر را هدف قرار می‌دهد.

به همین دلیل،MFA Fatigue نمونه‌ای کلاسیک از ترکیب مهندسی اجتماعی و احراز هویت مدرن محسوب می‌شود.

نمونه‌های واقعی

در سال‌های اخیر، چندین گروه باج‌افزاری از جمله:

LAPSUS$
Scattered Spider
Octo Tempest

بارها از همین روش برای نفوذ به سازمان‌های بزرگ استفاده کرده‌اند.

در بسیاری از این رخدادها، مشکل اصلی ضعف فناوری نبود؛ بلکه تأیید اشتباه درخواست MFA توسط کاربر باعث موفقیت حمله شد.

دانلود ویدیو

فیلم اصلی

Push Bombing؛ نسخه تهاجمی‌تر MFA Fatigue

Push Bombing در واقع نسخه شدیدتر همین حمله است.

در این روش، مهاجم هزاران درخواست MFA را طی مدت کوتاهی ارسال می‌کند.

تلفن همراه کاربر تقریباً غیرقابل استفاده می‌شود.

هدف تنها یک چیز است:

وادار کردن کاربر به انتخاب گزینه Approve.

در برخی موارد، مهاجم حتی هم‌زمان با قربانی تماس تلفنی برقرار می‌کند و خود را کارشناس فناوری اطلاعات معرفی می‌کند.

او ادعا می‌کند:

«در حال رفع مشکل حساب کاربری شما هستیم؛ لطفاً اعلان جدید را تأیید کنید.»

کاربر نیز تصور می‌کند با تیم پشتیبانی صحبت می‌کند.

Adversary-in-the-Middle (AiTM)

اگر بخواهیم خطرناک‌ترین تکنیک علیه MFA را نام ببریم، احتمالاً باید به Adversary-in-the-Middle اشاره کنیم.

این حمله شباهت زیادی به حملات کلاسیک Man-in-the-Middle دارد، اما هدف آن نه شنود ارتباط، بلکه سرقت نشست احراز هویت است.

حمله چگونه انجام می‌شود؟

مهاجم یک صفحه ورود کاملاً مشابه Microsoft 365،Google Workspace یا هر سرویس دیگری ایجاد می‌کند.

کاربر وارد همان صفحه جعلی می‌شود.

در پشت صحنه، وب‌سایت مهاجم تمام درخواست‌ها را به وب‌سایت واقعی ارسال می‌کند.

کاربر:

نام کاربری را وارد می‌کند.

رمز عبور را وارد می‌کند.

حتی MFA را نیز با موفقیت انجام می‌دهد.

اما در همان لحظه، مهاجم Session Cookie یا Access Token تولیدشده توسط سرویس اصلی را سرقت می‌کند.

از آنجا که این Token پس از پایان MFA صادر شده است، مهاجم دیگر نیازی به رمز عبور یا عامل دوم ندارد.

او مستقیماً وارد حساب می‌شود.

چرا AiTM خطرناک است؟

زیرا کاربر همه مراحل امنیتی را به‌درستی انجام داده است.

رمز عبور صحیح بوده است.

MFA نیز تأیید شده است.

اما نشست احراز هویت به سرقت رفته است.

به همین دلیل، بسیاری از حملات اخیر علیه Microsoft 365 دقیقاً از همین روش استفاده کرده‌اند.

EvilProxy؛ سرویس اجاره‌ای برای دور زدن MFA

یکی از دلایل افزایش حملات AiTM، ظهور سرویس‌هایی مانندEvilProxy است.

EvilProxy نوعی Phishing-as-a-Service محسوب می‌شود.

در گذشته، طراحی چنین حملاتی نیازمند دانش فنی بسیار بالا بود.

اما امروز مهاجم تنها با پرداخت مبلغی اندک می‌تواند پنل آماده‌ای دریافت کند که:

صفحات فیشینگ را ایجاد می‌کند.
Session Cookie را سرقت می‌کند.
MFA را دور می‌زند.
ورود موفق را ثبت می‌کند.

به بیان دیگر، پیچیده‌ترین حملات احراز هویت نیز به یک سرویس اجاره‌ای تبدیل شده‌اند.

Session Hijacking؛ وقتی رمز عبور دیگر اهمیتی ندارد

بسیاری از کاربران تصور می‌کنند ورود به حساب تنها با رمز عبور امکان‌پذیر است.

در عمل، پس از ورود موفق، سرویس یک Session Token صادر می‌کند.

تا زمانی که این نشست معتبر باشد، دیگر نیازی به وارد کردن مجدد رمز عبور نیست.

اگر مهاجم همین Token را سرقت کند:

نیازی به دانستن رمز عبور ندارد.

نیازی به انجام MFA ندارد.

نیازی به شکستن رمزنگاری ندارد.

او مستقیماً وارد همان نشست معتبر می‌شود.

به همین دلیل، امروزه بسیاری از Infostealerها به‌جای سرقت Password روی سرقت Cookie و Session تمرکز کرده‌اند.

SIM Swapping

یکی از قدیمی‌ترین روش‌های دور زدن MFA مبتنی بر پیامک، حملهSIM Swapping است.

در این حمله، مهاجم با فریب یا سوءاستفاده از اپراتور تلفن همراه، شماره قربانی را روی سیم‌کارت جدید فعال می‌کند.

از آن لحظه:

تمام پیامک‌های OTP

کدهای بانکی

کدهای بازیابی

و تماس‌های تلفنی

به مهاجم منتقل می‌شوند.

به همین دلیل، بسیاری از سازمان‌های امنیتی سال‌هاست توصیه می‌کنند از SMS به‌عنوان عامل دوم برای حساب‌های حساس استفاده نشود.

OTP Phishing

در بسیاری از حملات مدرن، مهاجم نه‌تنها رمز عبور بلکه کد OTP را نیز سرقت می‌کند.

کاربر وارد صفحه جعلی می‌شود.

رمز عبور را وارد می‌کند.

سامانه واقعی کد OTP تولید می‌کند.

کاربر همان کد را نیز در صفحه جعلی وارد می‌کند.

مهاجم بلافاصله همان کد را در وب‌سایت اصلی استفاده می‌کند.

از آنجا که عمر OTP معمولاً بین ۳۰ تا ۶۰ ثانیه است، مهاجم فرصت کافی برای ورود خواهد داشت.

Device Code Phishing

یکی از جدیدترین روش‌های حمله علیه Microsoft 365 و سایر سرویس‌های ابری، سوءاستفاده از Device Code Flow است.

در این روش، مهاجم کاربر را متقاعد می‌کند که یک کد چندرقمی را در صفحه رسمی Microsoft وارد کند.

کاربر تصور می‌کند در حال ورود به یک سرویس قانونی است.

اما در حقیقت، مجوز دسترسی به حساب خود را برای مهاجم صادر می‌کند.

این حمله از آن جهت خطرناک است که:

هیچ صفحه فیشینگ وجود ندارد.
کاربر در وب‌سایت رسمی Microsoft حضور دارد.
MFA نیز به‌درستی انجام می‌شود.

اما مجوز نهایی در اختیار مهاجم قرار می‌گیرد.

آیا MFA شکست خورده است؟

خیر.

این نکته یکی از مهم‌ترین سوءبرداشت‌های رایج در حوزه امنیت است.

اینکه برخی حملات می‌توانند MFA را دور بزنند، به معنای ناکارآمد بودن این فناوری نیست.

برعکس، آمارهای جهانی نشان می‌دهند که MFA همچنان میلیون‌ها حمله مبتنی بر سرقت رمز عبور را متوقف می‌کند و یکی از مؤثرترین کنترل‌های امنیتی باقی مانده است.

آنچه تغییر کرده، مدل تهدید است.

در گذشته مهاجم تنها رمز عبور را هدف قرار می‌داد.

امروز هدف اصلی او:

کاربر
نشست احراز هویت
توکن دسترسی
مرورگر
یا فرآیند تأیید MFA

است.

به همین دلیل، صنعت امنیت نیز در حال حرکت به سمت احراز هویت مقاوم در برابر فیشینگ (Phishing-Resistant MFA) است؛ راهکاری که با استفاده از فناوری‌هایی مانند FIDO2، WebAuthn و Passkey، امکان سوءاستفاده از بسیاری از این تکنیک‌ها را از بین می‌برد.

تهدیدات امروزی نشان می‌دهند که MFA به‌تنهایی تضمین‌کننده امنیت نیست، بلکه کیفیت و نوع پیاده‌سازی آن اهمیت تعیین‌کننده‌ای دارد. روش‌هایی مانند MFA Fatigue، AiTM، Session Hijacking و SIM Swapping ثابت کرده‌اند که مهاجمان بیش از آنکه به‌دنبال شکستن الگوریتم‌های رمزنگاری باشند، بر سوءاستفاده از رفتار کاربران و نشست‌های احراز هویت تمرکز کرده‌اند. از همین رو، سازمان‌ها باید علاوه بر استفاده از MFA، به سمت راهکارهای مقاوم در برابر فیشینگ و معماری‌های مبتنی بر Zero Trust حرکت کنند.

بخش ششم) راهنمای جامع MFA

MFA در معماری امنیت مدرن؛ از Zero Trust تا آینده Passwordless

اگر در گذشته، MFA به‌عنوان یک قابلیت امنیتی اختیاری شناخته می‌شد، امروزه این فناوری به یکی از ارکان اصلی معماری امنیت سازمانی تبدیل شده است. تقریباً تمامی چارچوب‌های امنیتی مدرن، از Zero Trust گرفته تا Identity and Access Management (IAM)، Privileged Access Management (PAM) و مدل‌های امنیتی مبتنی بر ابر، MFA را به‌عنوان یک کنترل پایه برای حفاظت از هویت دیجیتال معرفی می‌کنند.

این تغییر نگرش تنها به دلیل افزایش حملات فیشینگ یا سرقت رمز عبور نیست؛ بلکه نتیجه تغییر بنیادین در نحوه استفاده کاربران از فناوری است. کاربران دیگر صرفاً از داخل شبکه سازمان به منابع دسترسی ندارند. دورکاری، سرویس‌های ابری، برنامه‌های SaaS، تلفن‌های همراه و دستگاه‌های شخصی باعث شده‌اند مفهوم «شبکه امن» تقریباً از بین برود. در چنین شرایطی، هویت کاربر به مهم‌ترین معیار اعتماد تبدیل شده و MFA نخستین لایه برای اعتبارسنجی این هویت است.

نقش MFA در معماری Zero Trust

در مقاله قبلی، معماری Zero Trust را به‌طور کامل بررسی کردیم. یکی از اصول اساسی این معماری، جمله مشهور "Never Trust, Always Verify" است؛ یعنی هیچ کاربر، دستگاه یا سرویسی صرفاً به دلیل حضور در شبکه داخلی نباید مورد اعتماد قرار گیرد.

در این مدل، هر درخواست دسترسی باید به‌صورت مستقل ارزیابی شود. MFA یکی از مهم‌ترین ابزارهایی است که این اصل را عملی می‌کند.

با این حال، در معماری Zero Trust، MFA تنها در ابتدای ورود اجرا نمی‌شود. بسیاری از سازمان‌ها از Continuous Authentication یا احراز هویت مستمر استفاده می‌کنند؛ به این معنا که سیستم در طول نشست نیز به‌صورت پیوسته وضعیت کاربر را بررسی می‌کند.

برای مثال، اگر کاربری پس از ورود موفق، ناگهان از یک کشور دیگر، یک دستگاه ناشناس یا یک آدرس IP پرخطر فعالیت کند، سامانه می‌تواند دوباره درخواست MFA ارسال کند، سطح دسترسی را کاهش دهد یا حتی نشست را خاتمه دهد. بنابراین در Zero Trust، احراز هویت یک رویداد لحظه‌ای نیست، بلکه فرآیندی مداوم و مبتنی بر ارزیابی ریسک است.

ارتباط MFA با Identity and Access Management (IAM)

سامانه‌های IAM مسئول مدیریت چرخه عمر هویت کاربران، فرآیندهای احراز هویت، مجوزدهی و کنترل دسترسی هستند. MFA در این معماری، نقش افزایش سطح اطمینان نسبت به هویت کاربر را بر عهده دارد.

هنگامی که کاربری درخواست ورود می‌دهد، IAM ابتدا هویت او را بررسی می‌کند و سپس با اعمال سیاست‌های امنیتی، درباره سطح دسترسی تصمیم می‌گیرد. اگر سیاست سازمان استفاده از MFA را الزامی کرده باشد، فرآیند احراز هویت تا زمان تأیید عامل دوم تکمیل نخواهد شد.

در سازمان‌های بزرگ، MFA معمولاً با قابلیت‌هایی مانند Single Sign-On (SSO)، Lifecycle Management و Federated Identity نیز یکپارچه می‌شود تا کاربران بتوانند با یک هویت واحد و در عین حفظ امنیت، به چندین سرویس مختلف دسترسی داشته باشند.

MFA و Privileged Access Management (PAM)

اگر MFA برای همه کاربران مهم باشد، برای حساب‌های دارای دسترسی ویژه یا Privileged Accounts حیاتی است.

حساب‌های مدیران سیستم، مدیران پایگاه داده، مدیران شبکه و مدیران سرویس‌های ابری، هدف اصلی مهاجمان هستند؛ زیرا نفوذ به یکی از این حساب‌ها می‌تواند کنترل بخش بزرگی از زیرساخت سازمان را در اختیار مهاجم قرار دهد.

به همین دلیل، تقریباً تمام راهکارهای PAM، استفاده از MFA را برای دسترسی به حساب‌های ممتاز اجباری می‌کنند. در بسیاری از سازمان‌ها، مدیران سیستم علاوه بر گذرواژه، باید از کلیدهای امنیتی سخت‌افزاری یا روش‌های مقاوم در برابر فیشینگ استفاده کنند تا احتمال سوءاستفاده از این حساب‌ها به حداقل برسد.

Conditional Access؛ احراز هویت مبتنی بر ریسک

یکی از مهم‌ترین تحولات سال‌های اخیر، جایگزینی سیاست‌های ثابت با سیاست‌های Risk-Based Authentication یا Conditional Access است.

در این رویکرد، سیستم برای همه کاربران رفتار یکسانی ندارد. تصمیم‌گیری درباره نیاز به MFA بر اساس شرایط لحظه‌ای انجام می‌شود.

برای مثال، اگر یک کاربر:

از لپ‌تاپ سازمانی وارد شود؛
از شبکه داخلی شرکت استفاده کند؛
سابقه رفتار مشکوک نداشته باشد؛

ممکن است نیازی به انجام مجدد MFA نداشته باشد.

اما اگر همان کاربر:

از یک کشور جدید متصل شود؛
از مرورگری ناشناس استفاده کند؛
یا سامانه نشانه‌هایی از رفتار غیرعادی را شناسایی کند؛

سامانه می‌تواند به‌صورت خودکار MFA را فعال کند، استفاده از کلید امنیتی را الزامی سازد یا حتی دسترسی را مسدود کند.

این مدل، تجربه کاربری را بهبود می‌دهد و در عین حال، امنیت را بر اساس سطح ریسک تنظیم می‌کند.

MFA در سرویس‌های ابری

با گسترش سرویس‌های ابری،MFA به یکی از الزامات امنیتی برای حفاظت از داده‌ها و حساب‌های سازمانی تبدیل شده است.

امروزه تقریباً تمامی ارائه‌دهندگان بزرگ خدمات ابری، قابلیت‌های پیشرفته MFA را در محصولات خود ارائه می‌کنند.

برای مثال:

Microsoft Entra ID از روش‌هایی مانند Push Notification، TOTP، FIDO2 Security Key، Windows Hello for Business و Passkey پشتیبانی می‌کند.
Google Workspace علاوه بر برنامه Google Authenticator، از کلیدهای امنیتی مبتنی بر FIDO2 و Passkey نیز بهره می‌برد.
AWS Identity and Access Management (IAM) امکان فعال‌سازی MFA برای کاربران و به‌ویژه حساب Root را فراهم کرده است.
GitHub و بسیاری از پلتفرم‌های توسعه نرم‌افزار نیز استفاده از MFA را برای توسعه‌دهندگان و مدیران مخازن کد توصیه یا اجباری کرده‌اند.

روند کلی صنعت نشان می‌دهد که MFA دیگر یک قابلیت اختیاری نیست، بلکه به یکی از پیش‌نیازهای دسترسی ایمن به سرویس‌های ابری تبدیل شده است.

بهترین شیوه‌های پیاده‌سازی MFA در سازمان‌ها

استقرار موفق MFA تنها به فعال‌سازی یک قابلیت نرم‌افزاری محدود نمی‌شود. سازمان‌ها باید راهبردی جامع برای انتخاب روش مناسب، آموزش کاربران و مدیریت مخاطرات تدوین کنند.

مهم‌ترین توصیه‌های متخصصان امنیت عبارت‌اند از:

۱. از MFA برای همه حساب‌های حساس استفاده کنید

حساب‌های مدیریتی، ایمیل‌های سازمانی، سامانه‌های مالی، VPN و سرویس‌های ابری باید همواره تحت حفاظت MFA قرار داشته باشند.

۲. تا حد امکان از SMS OTP فاصله بگیرید

اگرچه پیامک نسبت به استفاده صرف از رمز عبور ایمن‌تر است، اما در برابر حملاتی مانند SIM Swapping و رهگیری پیامک آسیب‌پذیر است. استفاده از برنامه‌های Authenticator یا کلیدهای امنیتی گزینه‌های مناسب‌تری هستند.

۳. از روش‌های مقاوم در برابر فیشینگ استفاده کنید

کلیدهای امنیتی مبتنی بر FIDO2، Passkey و WebAuthn در حال حاضر ایمن‌ترین روش‌های احراز هویت محسوب می‌شوند و در برابر بسیاری از حملات مدرن مقاومت ذاتی دارند.

۴. کاربران را آموزش دهید

هیچ فناوری امنیتی بدون آگاهی کاربران کامل نیست. کارکنان باید بدانند که هرگز نباید درخواست MFA ناشناخته را تأیید کنند و در صورت دریافت اعلان‌های غیرمنتظره، موضوع را به تیم امنیت اطلاع دهند.

۵. حساب‌های اضطراری (Break Glass Accounts) را مدیریت کنید

سازمان‌ها باید حساب‌های اضطراری برای شرایط بحرانی داشته باشند، اما این حساب‌ها نیز باید با کنترل‌های امنیتی مناسب، نظارت مستمر و محدودیت‌های دسترسی محافظت شوند.

اشتباهات رایج در پیاده‌سازی MFA

برخی از رایج‌ترین خطاهایی که اثربخشی MFA را کاهش می‌دهند عبارت‌اند از:

اتکا صرف به پیامک به‌عنوان عامل دوم.
فعال نکردن MFA برای حساب‌های مدیریتی.
عدم آموزش کاربران درباره حملات MFA Fatigue و فیشینگ.
نبود فرآیند بازیابی امن برای دستگاه‌های گمشده یا تعویض‌شده.
استفاده از سیاست‌های یکسان برای همه کاربران بدون در نظر گرفتن سطح ریسک.
تصور اشتباه مبنی بر اینکه فعال‌سازی MFA به‌تنهایی برای مقابله با تمام تهدیدات کافی است.

آینده MFA؛ حرکت به سمت Passwordless

روندهای فناوری نشان می‌دهند که آینده احراز هویت به‌تدریج از مدل‌های مبتنی بر رمز عبور فاصله می‌گیرد. ظهور استانداردهایی مانند FIDO2،WebAuthn و Passkey، همراه با توسعه قابلیت‌های احراز هویت بیومتریک، باعث شده است مفهوم Passwordless Authentication به یکی از اهداف اصلی صنعت امنیت تبدیل شود.

در این مدل، کاربران بدون نیاز به حفظ یا وارد کردن رمز عبور، از طریق کلیدهای رمزنگاری، ویژگی‌های بیومتریک یا دستگاه‌های مورد اعتماد احراز هویت می‌شوند. این رویکرد نه‌تنها تجربه کاربری را بهبود می‌بخشد، بلکه بسیاری از حملات مبتنی بر سرقت رمز عبور، فیشینگ و Credential Stuffing را نیز بی‌اثر می‌کند.

با این حال، حتی در دنیای Passwordless نیز اصل چندعاملی بودن همچنان حفظ خواهد شد؛ زیرا امنیت آینده بر ترکیب عوامل مختلف، ارزیابی مداوم ریسک و اعتبارسنجی پیوسته هویت استوار است، نه صرفاً حذف رمز عبور.

احراز هویت چندعاملی امروز دیگر یک قابلیت مستقل نیست، بلکه بخشی جدایی‌ناپذیر از معماری امنیت هویت سازمان‌ها محسوب می‌شود. نقش آن در چارچوب‌هایی مانند Zero Trust، IAM، PAM و Conditional Access نشان می‌دهد که امنیت مدرن بیش از هر زمان دیگری بر اعتبار هویت کاربران متکی است. در عین حال، روند صنعت به‌وضوح به سمت راهکارهای Passwordless و فناوری‌های مقاوم در برابر فیشینگ حرکت می‌کند؛ جایی که Passkey و FIDO2 به‌عنوان نسل بعدی احراز هویت، نقش محوری خواهند داشت.

بخش ششم) راهنمای جامع MFA

جمع‌بندی تحلیلی؛ چرا MFA همچنان یکی از مهم‌ترین فناوری‌های امنیت سایبری است؟

طی دو دهه گذشته، معماری امنیت سایبری دستخوش یکی از بزرگ‌ترین تغییرات تاریخ خود شده است. زمانی، سازمان‌ها امنیت را با استقرار فایروال‌های قدرتمند، سامانه‌های تشخیص نفوذ و تجهیزات مرزی تعریف می‌کردند؛ اما امروزه، با گسترش رایانش ابری، دورکاری، سرویس‌های SaaS و افزایش استفاده از دستگاه‌های شخصی، مفهوم «مرز شبکه» تا حد زیادی از بین رفته است. در چنین محیطی، هویت کاربران به مهم‌ترین دارایی امنیتی سازمان تبدیل شده است.

در این میان، احراز هویت چندعاملی (MFA) نقشی کلیدی در کاهش ریسک حملات مبتنی بر سرقت اعتبارنامه‌ها ایفا کرده است. مطالعات و تجربه عملی صنعت نشان می‌دهد که فعال‌سازی MFA می‌تواند بخش بزرگی از حملات مبتنی بر رمز عبور را متوقف کند و احتمال موفقیت حملات فیشینگ ساده، Credential Stuffing و Brute Force را به میزان قابل توجهی کاهش دهد. به همین دلیل، تقریباً تمام چارچوب‌های معتبر امنیتی، از NIST و CISA گرفته تا Microsoft، Google و FIDO Alliance، استفاده از MFA را یکی از الزامات پایه امنیت هویت می‌دانند.

با این حال، تحول تهدیدات سایبری نشان داده است که هیچ کنترل امنیتی به‌تنهایی کافی نیست. حملاتی مانند MFA Fatigue، Adversary-in-the-Middle (AiTM)،Session Hijacking و SIM Swapping ثابت کرده‌اند که مهاجمان بیش از آنکه به‌دنبال شکستن الگوریتم‌های رمزنگاری باشند، بر سوءاستفاده از رفتار کاربران، نشست‌های احراز هویت و توکن‌های دسترسی تمرکز کرده‌اند. این واقعیت باعث شده است که نگاه صنعت از «استفاده از MFA» به سمت «استفاده از MFA مقاوم در برابر فیشینگ» تغییر کند.

در سال‌های اخیر، استانداردهایی مانند FIDO2، WebAuthn وPasskey با حذف وابستگی به رمز عبور و استفاده از کلیدهای رمزنگاری نامتقارن، مسیر جدیدی را برای آینده احراز هویت ترسیم کرده‌اند. این فناوری‌ها نه‌تنها تجربه کاربری بهتری ارائه می‌کنند، بلکه بسیاری از حملات مدرن علیه MFA سنتی را نیز بی‌اثر می‌سازند.

در نتیجه، آینده امنیت هویت را نباید صرفاً در افزودن عوامل بیشتر به فرآیند احراز هویت جست‌وجو کرد، بلکه باید آن را در ترکیب احراز هویت چندعاملی، ارزیابی مداوم ریسک، سیاست‌های مبتنی بر زمینه (Context-Aware Authentication)، معماری Zero Trust و فناوری‌های Passwordless دانست. سازمان‌هایی که این رویکرد را در پیش بگیرند، نه‌تنها سطح امنیت خود را افزایش خواهند داد، بلکه تجربه کاربری ساده‌تر و پایدارتری نیز برای کارکنان و مشتریان فراهم خواهند کرد.

پرسش‌های متداول (FAQ)

آیا MFA همان FA 2 است؟

خیر. احراز هویت دو مرحله‌ای (2FA) نوعی از احراز هویت چندعاملی است که دقیقاً از دو عامل مستقل استفاده می‌کند. در مقابل، MFA می‌تواند از دو، سه یا چند عامل مختلف برای تأیید هویت بهره ببرد. بنابراین، هر FA 2 یک MFA محسوب می‌شود، اما هر MFA لزوماً محدود به دو عامل نیست.

آیا استفاده از MFA امنیت حساب را به‌طور کامل تضمین می‌کند؟

خیر. اگرچه MFA احتمال موفقیت بسیاری از حملات را کاهش می‌دهد، اما روش‌های پیشرفته‌ای مانند AiTM، Session Hijacking یا MFA Fatigue همچنان می‌توانند در شرایط خاص آن را دور بزنند. به همین دلیل، استفاده از روش‌های مقاوم در برابر فیشینگ و آموزش کاربران اهمیت بالایی دارد.

آیا پیامک (SMS OTP) هنوز گزینه مناسبی برای MFA است؟

برای حساب‌های عادی، استفاده از پیامک همچنان بهتر از اتکا صرف به رمز عبور است. اما برای حساب‌های سازمانی یا حساس، استفاده از برنامه‌های Authenticator، کلیدهای امنیتی مبتنی بر FIDO2 یا Passkey به دلیل مقاومت بیشتر در برابر حملات، گزینه مناسب‌تری محسوب می‌شود.

تفاوت Passkey با MFA چیست؟

Passkey یک فناوری Passwordless مبتنی بر استانداردهای FIDO2 و WebAuthn است که می‌تواند به‌عنوان بخشی از فرآیند احراز هویت چندعاملی یا حتی جایگزینی برای برخی روش‌های سنتی عمل کند. در واقع، Passkey رقیب MFA نیست، بلکه نسل جدیدی از پیاده‌سازی احراز هویت مقاوم در برابر فیشینگ است.

آیا فعال‌سازی MFA برای همه کاربران ضروری است؟

توصیه می‌شود MFA حداقل برای حساب‌های ایمیل، سرویس‌های ابری، حساب‌های بانکی، حساب‌های مدیریتی و هر سامانه‌ای که اطلاعات حساس را نگهداری می‌کند فعال شود. در محیط‌های سازمانی، استفاده از MFA برای حساب‌های دارای دسترسی ویژه تقریباً یک الزام امنیتی محسوب می‌شود.

واژه‌نامه تخصصی

اصطلاح	توضیح
Authentication	فرآیند تأیید هویت کاربر
Authorization	تعیین سطح دسترسی کاربر پس از احراز هویت
MFA	احراز هویت با استفاده از دو یا چند عامل مستقل
2FA	نوعی MFA با دو عامل احراز هویت
TOTP	رمز یکبارمصرف مبتنی بر زمان
HOTP	رمز یکبارمصرف مبتنی بر شمارنده
FIDO2	استاندارد احراز هویت مقاوم در برابر فیشینگ
WebAuthn	استاندارد W3C برای احراز هویت بدون رمز عبور
Passkey	اعتبارنامه رمزنگاری‌شده مبتنی بر FIDO2
IAM	مدیریت هویت و دسترسی کاربران
PAM	مدیریت حساب‌های دارای دسترسی ویژه
Identity Provider (IdP)	سامانه مدیریت و اعتبارسنجی هویت کاربران
Conditional Access	کنترل دسترسی مبتنی بر ریسک و شرایط کاربر
Session Token	توکن صادرشده پس از احراز هویت موفق
Phishing-Resistant MFA	احراز هویت مقاوم در برابر حملات فیشینگ

نتیجه‌گیری نهایی

احراز هویت چندعاملی دیگر یک قابلیت جانبی یا انتخابی نیست، بلکه به یکی از ستون‌های اصلی امنیت هویت در سازمان‌های مدرن تبدیل شده است. با وجود اینکه MFA به‌تنهایی نمی‌تواند تمام تهدیدات را خنثی کند، همچنان یکی از مؤثرترین ابزارها برای کاهش ریسک حملات مبتنی بر سرقت اعتبارنامه‌ها محسوب می‌شود.

با این حال، آینده امنیت هویت در استفاده هوشمندانه از ترکیب فناوری‌ها نهفته است؛ ترکیبی که شامل MFA، Passkey، FIDO2، ارزیابی مداوم ریسک، هوش مصنوعی، معماری Zero Trust و احراز هویت بدون رمز عبور خواهد بود. سازمان‌هایی که این رویکرد را اتخاذ کنند، نه‌تنها در برابر تهدیدات امروزی مقاوم‌تر خواهند بود، بلکه برای مقابله با نسل بعدی حملات سایبری نیز آمادگی بیشتری خواهند داشت.