अंतर एक शब्द पर टिका है: फ़ैक्टर बनाम स्टेप। टू-फ़ैक्टर ऑथेंटिकेशन (2FA) में दो अलग-अलग श्रेणियों के दो प्रमाण चाहिए, जैसे पासवर्ड और आपके फ़ोन पर आया कोड। टू-स्टेप सत्यापन में एक के बाद एक दो चरण चाहिए, लेकिन दोनों चरण एक ही श्रेणी से हो सकते हैं। इसलिए हर 2FA व्यवस्था टू-स्टेप होती है, लेकिन हर टू-स्टेप व्यवस्था टू-फ़ैक्टर नहीं होती।
आम बोलचाल में दोनों शब्द एक-दूसरे की जगह इस्तेमाल होते हैं, और ज़्यादातर मामलों में इससे फ़र्क नहीं पड़ता। फ़र्क तब पड़ता है जब आप सोचते हैं कि हमलावर को असल में क्या-क्या तोड़ना होगा। एक ही श्रेणी के दो चरण एक ही तरह के हमले से टूट सकते हैं। दो अलग-अलग फ़ैक्टर आमतौर पर नहीं टूटते।
ऑथेंटिकेशन के तीन फ़ैक्टर
ऑथेंटिकेशन के प्रमाण तीन श्रेणियों में आते हैं। कोई लॉगिन "two-factor" है या नहीं, यह पूरी तरह इस पर निर्भर करता है कि वह दो अलग-अलग श्रेणियों से प्रमाण लेता है या नहीं।
| फ़ैक्टर श्रेणी | यह क्या है | उदाहरण |
|---|---|---|
| ज्ञान | कुछ ऐसा जो आप जानते हैं | पासवर्ड, PIN, सुरक्षा प्रश्न |
| स्वामित्व | कुछ ऐसा जो आपके पास है | SMS या ऐप वाला फ़ोन, हार्डवेयर सुरक्षा कुंजी |
| अंतर्निहित गुण | कुछ ऐसा जो आप हैं | फ़िंगरप्रिंट, चेहरा स्कैन, आवाज़ की पहचान |
पासवर्ड के साथ फ़िंगरप्रिंट टू-फ़ैक्टर है: ज्ञान और अंतर्निहित गुण। पासवर्ड के साथ सुरक्षा प्रश्न टू-स्टेप है, लेकिन सिंगल-फ़ैक्टर है, क्योंकि दोनों ज्ञान की श्रेणी में आते हैं। जिस डेटा लीक में एक उजागर होता है, उसमें अक्सर दूसरा भी उजागर हो जाता है।
दोनों की तुलना कैसे होती है?
| टू-फ़ैक्टर ऑथेंटिकेशन | टू-स्टेप सत्यापन | |
|---|---|---|
| मूल आवश्यकता | दो अलग-अलग फ़ैक्टर श्रेणियाँ | एक के बाद एक दो चरण |
| क्या प्रमाण हमेशा अलग-अलग प्रकार के होते हैं? | हाँ, परिभाषा के अनुसार | ज़रूरी नहीं |
| योग्य उदाहरण | पासवर्ड + ऑथेंटिकेटर कोड | पासवर्ड + ईमेल लिंक, या पासवर्ड + दूसरा पासवर्ड |
| एक ही प्रकार के हमले के प्रति प्रतिरोध | अधिक, क्योंकि एक हमला शायद ही कभी दो श्रेणियों को तोड़ पाता है | निर्भर करता है; एक ही श्रेणी के दो चरणों में एक जैसी कमज़ोरी हो सकती है |
| संबंध | टू-स्टेप का एक सख्त रूप | व्यापक और ढीला शब्द |
सीधा सारांश: 2FA एक सख्त वादा है। टू-स्टेप वेरिफिकेशन व्यापक श्रेणी है, और कोई टू-स्टेप फ़्लो 2FA की शर्त पूरी कर भी सकता है और नहीं भी। मार्केटिंग कॉपी अक्सर दूसरे प्रॉम्प्ट वाली हर चीज़ को 2FA कह देती है, इसलिए दोनों शब्दों का अंतर धुंधला हो गया है। केवल बुनियादी परिभाषा के लिए टू-फ़ैक्टर ऑथेंटिकेशन क्या है देखें।
वास्तविक उदाहरण
नीचे आम दूसरे चरण दिए गए हैं, और हर चरण के साथ यह बताया गया है कि वह असल में कौन-सा फ़ैक्टर जोड़ता है।
- SMS वन-टाइम पासवर्ड। आप अपना पासवर्ड (ज्ञान) डालते हैं, फिर अपने फ़ोन पर टेक्स्ट से आया कोड (कब्ज़ा) टाइप करते हैं। दो अलग फ़ैक्टर हैं, इसलिए यह असली 2FA है। यह कोड खुद एक वन-टाइम पासवर्ड है।
- ऑथेंटिकेटर ऐप (TOTP)। पासवर्ड के साथ आपके डिवाइस पर बनने वाला, बदलता रहने वाला छह अंकों का कोड। यह ज्ञान और कब्ज़ा है, और कोड कभी नेटवर्क से नहीं गुज़रता, इसलिए रास्ते में रोककर पढ़ने के लिए कुछ नहीं होता।
- हार्डवेयर सुरक्षा कुंजी। पासवर्ड के साथ FIDO2 कुंजी पर एक टैप, जो एक चुनौती पर हस्ताक्षर करती है। यह ज्ञान और कब्ज़ा है, और फ़िशिंग से सुरक्षित है क्योंकि हस्ताक्षर असली साइट के ओरिजिन से बंधा होता है।
- ईमेल मैजिक लिंक, "second step." के रूप में अगर लॉग इन में पहले ही पासवर्ड इस्तेमाल हुआ है, तो आपके ईमेल पर पुष्टि लिंक भेजना एक दूसरा चरण है। यह दूसरा फ़ैक्टर है या नहीं, इस पर बहस हो सकती है: आपका ईमेल आमतौर पर एक और पासवर्ड से सुरक्षित होता है, इसलिए आप शायद दो ज्ञान फ़ैक्टर जोड़ रहे हैं। यही वह सबसे साफ़ मामला है जहाँ टू-स्टेप पूरी तरह टू-फ़ैक्टर के बराबर नहीं होता।
यही आखिरी उदाहरण मूल बात है। ईमेल लिंक अतिरिक्त सुरक्षा जैसा लगता है, और वह सुरक्षा बढ़ाता भी है। लेकिन अगर आपके खाते का पासवर्ड और ईमेल का पासवर्ड एक ही सेंधमारी में लीक हो गए, तो "second step" बहुत कम जोड़ता है। कब्ज़ा या अंतर्निहित फ़ैक्टर में यह समस्या नहीं होती।
यह अंतर कब मायने रखता है?
किसी निजी स्ट्रीमिंग खाते के लिए यह लेबल केवल सैद्धांतिक है; कोई भी दूसरा चरण न होने से बेहतर है। एडमिन कंसोल, बैंकिंग ऐप या दूसरों का डेटा रखने वाली किसी भी चीज़ के लिए दूसरे ज्ञान-आधारित चरण के बजाय एक वास्तविक दूसरा फ़ैक्टर (कब्ज़ा या अंतर्निहित गुण) अनिवार्य रखें। दूसरे फ़ैक्टर का उद्देश्य इस धारणा को तोड़ना है कि एक ही सेंध से सब कुछ खुल जाता है, और यह काम भरोसेमंद ढंग से केवल एक अलग श्रेणी ही करती है।
अक्सर पूछे जाने वाले प्रश्न
क्या 2FA और टू-स्टेप सत्यापन एक ही चीज़ हैं?
ये काफ़ी हद तक मिलते-जुलते हैं और अक्सर पर्यायवाची के रूप में इस्तेमाल होते हैं। सख़्ती से देखें तो 2FA के लिए दो अलग फ़ैक्टर श्रेणियाँ ज़रूरी हैं, जबकि टू-स्टेप सत्यापन के लिए केवल दो क्रमिक चरण ज़रूरी हैं, जो एक ही श्रेणी के हो सकते हैं। हर 2FA टू-स्टेप है, लेकिन हर टू-स्टेप 2FA नहीं है।
क्या पासवर्ड के साथ सुरक्षा प्रश्न टू-फ़ैक्टर है?
नहीं। दोनों ज्ञान फ़ैक्टर हैं, इसलिए यह टू-स्टेप है लेकिन सिंगल-फ़ैक्टर है। एक डेटा सेंध या थोड़ी-सी खोजबीन दोनों को उजागर कर सकती है, इसीलिए एक ही श्रेणी के चरण वास्तविक दूसरे फ़ैक्टर से कमज़ोर होते हैं।
कौन-सा ज़्यादा सुरक्षित है?
टू-फ़ैक्टर, जब दोनों फ़ैक्टर सचमुच अलग श्रेणियों के हों। अगर टू-स्टेप सत्यापन का दूसरा चरण कब्ज़ा या अंतर्निहित गुण फ़ैक्टर है, तो वह भी उतना ही मज़बूत हो सकता है, लेकिन अगर दोनों चरण ज्ञान-आधारित हैं, तो वह कमज़ोर भी हो सकता है।
क्या इससे फ़र्क पड़ता है कि कोई सेवा कौन-से शब्द इस्तेमाल करती है?
लेबल नहीं, बल्कि यह देखें कि दूसरा चरण असल में क्या है। कोई सेवा किसी भी चीज़ को "2FA." कह सकती है। जाँचें कि दूसरा चरण आपके डिवाइस पर आया कोड, कोई कुंजी या बायोमेट्रिक है, या फिर कोई और चीज़ जो आप बस जानते हैं।
अगर आप तय कर रहे हैं कि किसी खाते के फ़्लो को कैसे सुरक्षित करें, तो व्यावहारिक कदम है वन-टाइम कोड जैसा कोई कब्ज़ा फ़ैक्टर जोड़ना। ये कोड कैसे काम करते हैं, यह आप OTP का क्या अर्थ है में पढ़ सकते हैं, या Verifications प्रोडक्ट में देख सकते हैं कि Bird इन्हें SMS, वॉइस और ईमेल पर कैसे भेजता और सत्यापित करता है।