OTP का मतलब वन-टाइम पासवर्ड है (कभी-कभी इसे वन-टाइम सत्यापन कोड भी कहते हैं)। यह एक छोटा कोड होता है, आमतौर पर चार से आठ अंकों का, जो केवल एक लॉगिन या एक लेनदेन के लिए मान्य होता है और फिर समाप्त हो जाता है। हर कोड केवल एक बार और थोड़े समय के लिए काम करता है, इसलिए इस्तेमाल के बाद लीक हुआ कोड हमलावर के किसी काम का नहीं होता। OTP इसी एक बार इस्तेमाल होने वाली खूबी के लिए बनाए गए हैं।
आपने लगभग निश्चित रूप से ऐसा कोड टाइप किया है: ट्रांसफ़र से पहले बैंक द्वारा SMS से भेजे गए छह अंक, साइन इन करते समय ऑथेंटिकेटर ऐप में दिखने वाला कोड, या पहचान की पुष्टि के लिए किसी वेबसाइट द्वारा ईमेल किया गया नंबर। ये सभी OTP हैं। इनमें मुख्य अंतर यह है कि कोड कैसे बनता है और आप तक कैसे पहुँचता है।
OTP कैसे काम करता है?
सेवा और उपयोगकर्ता को इस बात पर सहमत होने का तरीका चाहिए कि इस समय कौन-सा कोड मान्य है, और वह भी पासवर्ड को अनुमान लगाने योग्य तरीके से भेजे बिना। इसके दो मानक तरीके हैं, और उनमें अंतर इस बात का है कि कोड किस वजह से बदलता है।
- HOTP (HMAC पर आधारित वन-टाइम पासवर्ड)। कोड एक साझा सीक्रेट और एक काउंटर से बनता है। उपयोगकर्ता का टोकन कोड बनाते समय काउंटर को आगे बढ़ाता है। सेवा का सत्यापनकर्ता अपेक्षित कोड स्वीकार करने के बाद अपनी संबंधित स्थिति आगे बढ़ाता है। HOTP कोड केवल समय बीतने से समाप्त नहीं होता।
- TOTP (समय पर आधारित वन-टाइम पासवर्ड)। कोड एक साझा सीक्रेट और वर्तमान समय से बनता है, जिसे एक समय-अवधि (आमतौर पर 30 सेकंड) में राउंड किया जाता है। समय बीतने पर कोड अपने-आप बदल जाता है, चाहे किसी ने उसका इस्तेमाल किया हो या नहीं। ऑथेंटिकेटर ऐप यही कोड बनाते हैं।
दोनों में TOTP ज़्यादा प्रचलित है, क्योंकि अपने-आप समाप्त होने से चुराया गया कोड सीमित समय तक ही काम का रहता है। HOTP अब भी हार्डवेयर टोकन में और उन प्रक्रियाओं में इस्तेमाल होता है जहाँ समय से सिंक की गई घड़ी की गारंटी देना मुश्किल होता है।
OTP कैसे पहुँचाया जाता है?
कोड बनाने का तरीका और उसे पहुँचाने का चैनल अलग-अलग चुने जाते हैं। कोड उपयोगकर्ता के अपने डिवाइस पर बनाया जा सकता है, या सर्वर पर बनाकर उन्हें भेजा जा सकता है।
- SMS. सर्वर एक कोड बनाता है और उसे उपयोगकर्ता के फ़ोन नंबर पर टेक्स्ट करता है। यह लगभग हर किसी तक पहुँचता है और इसके लिए किसी ऐप की ज़रूरत नहीं होती। साथ ही, SIM-स्वैप या नेटवर्क हमलों के ज़रिए इसे बीच में रोकना सबसे आसान है।
- ईमेल. कोड उपयोगकर्ता के इनबॉक्स में आता है। यह सुविधाजनक है और इसके लिए ऐप की ज़रूरत नहीं होती, लेकिन यह उतना ही सुरक्षित है जितना ईमेल खाता खुद।
- वॉइस कॉल. एक स्वचालित कॉल कोड को पढ़कर सुनाती है। यह उन उपयोगकर्ताओं के काम आती है जो SMS प्राप्त नहीं कर सकते या जिन्हें सुलभ विकल्प चाहिए।
- ऑथेंटिकेटर ऐप. कोड TOTP के साथ डिवाइस पर ही बनाया जाता है। नेटवर्क पर कुछ नहीं भेजा जाता, इसलिए रास्ते में रोकने के लिए कुछ नहीं होता।
हर चैनल में पहुँच और हमले की कठिनाई के बीच समझौता होता है। SMS और ईमेल लगभग हर किसी तक पहुँचते हैं। ऐप-आधारित कोड चुराना कठिन है, लेकिन इसके लिए उपयोगकर्ता को पहले से ऐप सेट अप करना होता है।
OTP का उपयोग कहाँ होता है?
सबसे जाना-पहचाना उपयोग टू-फ़ैक्टर ऑथेंटिकेशन में दूसरे फ़ैक्टर के रूप में है। इसमें OTP पासवर्ड के अलावा यह साबित करता है कि फ़ोन या डिवाइस आपके पास है। लेकिन OTP का उपयोग लॉगिन से कहीं आगे भी होता है।
- लॉगिन सत्यापन: साइन-इन की पुष्टि करना, खासकर किसी नए डिवाइस या स्थान से।
- लेन-देन की पुष्टि: किसी भुगतान, ट्रांसफ़र या भुगतान-प्राप्ति विवरण में बदलाव को मंज़ूरी देना।
- खाता रिकवरी: पासवर्ड रीसेट करने से पहले फ़ोन नंबर या ईमेल पर नियंत्रण की पुष्टि करना।
- स्टेप-अप जाँच: किसी संवेदनशील कार्रवाई से पहले नया कोड माँगना, सत्र के बीच में भी।
कोई OTP लॉगिन को सचमुच "two-factor" बनाता है या नहीं, यह बाकी फ़्लो पर निर्भर करता है। यह अंतर टू-फ़ैक्टर ऑथेंटिकेशन बनाम टू-स्टेप सत्यापन में समझाया गया है।
सुरक्षा से जुड़ी बातें और सर्वोत्तम तरीके
OTP सरल होते हैं, और इसी वजह से इनके ब्योरे मायने रखते हैं। कुछ आदतें इन्हें असरदार बनाए रखती हैं।
- कम समय में समाप्ति। कोड की वैधता की समय-सीमा कम रखें। SMS और ईमेल के लिए कुछ मिनट, और TOTP के लिए मानक 30 सेकंड की अवधि। अवधि जितनी छोटी होगी, कोड के दोबारा इस्तेमाल होने की संभावना उतनी ही कम होगी।
- अनुरोध दर सीमित करना। उपयोगकर्ता कितने कोड माँग सकता है और कितने अनुमान लगा सकता है, दोनों पर सीमा लगाएँ। छह अंकों वाले कोड की दस लाख संभावनाएँ होती हैं, जिन्हें बिना रोक-टोक वाला हमलावर एक-एक करके आज़माकर तोड़ सकता है; प्रति कोड कुछ ही प्रयास की अनुमति देने से यह रास्ता बंद हो जाता है।
- एक बार इस्तेमाल, सर्वर पर लागू। कोड स्वीकार होते ही उसे अमान्य करें, और बहुत अधिक विफल प्रयास होने पर भी। दोबारा इस्तेमाल रोकने के लिए क्लाइंट पर निर्भर न रहें।
- कोड को कभी लॉग न करें। OTP को एप्लिकेशन लॉग, एनालिटिक्स और त्रुटि रिपोर्ट से बाहर रखें। लॉग फ़ाइल में पड़ा कोड कोई अंदरूनी व्यक्ति या लॉग में सेंध लगाने वाला पढ़ सकता है।
- कोड को संदर्भ से जोड़ें। कोड को उसी उपयोगकर्ता और कार्य से जोड़ें जिसके लिए वह जारी किया गया था, ताकि एक काम के लिए बना कोड किसी दूसरे काम के लिए दोबारा इस्तेमाल न हो सके।
फ़िशिंग के बारे में एक बात: किसी उपयोगकर्ता को नकली साइट पर धोखे से SMS या ऐप कोड हमलावर को बताने के लिए फँसाया जा सकता है, इसलिए OTP हार्डवेयर कुंजियों की तरह फ़िशिंग से पूरी तरह सुरक्षित नहीं होते। फिर भी वे कहीं अधिक आम हमले को रोकते हैं, जिसमें कोई केवल चुराए गए पासवर्ड से लॉग इन करता है।
OTP भेजना और उनका सत्यापन करना
आप OTP फ़्लो खुद चला सकते हैं: कोड बनाएँ, उसे समाप्ति समय के साथ सहेजें, भेजें, और तय अवधि के भीतर उपयोगकर्ता के इनपुट को उससे मिलाएँ। अगर आप चाहते हैं कि डिलीवरी और सत्यापन (अनुरोध दर सीमित करना और समाप्ति सहित) आपके लिए संभाले जाएँ, तो Bird का Verifications प्रोडक्ट SMS, वॉइस और ईमेल के ज़रिए कोड भेजता है और उनकी जाँच करता है। अगर आपको केवल ट्रांसपोर्ट चाहिए और सत्यापन लॉजिक खुद संभालना है, तो SMS प्रोडक्ट फ़ोन तक कोड पहुँचाने का काम करता है।
अक्सर पूछे जाने वाले सवाल
HOTP और TOTP में क्या अंतर है?
कोड बनाते समय HOTP उपयोगकर्ता के टोकन का काउंटर आगे बढ़ाता है। अपेक्षित कोड स्वीकार करने के बाद सेवा का सत्यापनकर्ता अपनी स्थिति आगे बढ़ाता है। TOTP अपना कोड मौजूदा समय से बनाता है, इसलिए कोड एक तय अंतराल पर बदलता है (आमतौर पर हर 30 सेकंड में)। TOTP ज़्यादा प्रचलित है, क्योंकि अपने आप समाप्त होने के कारण चोरी हुआ कोड सीमित समय तक ही काम आता है।
क्या SMS OTP सुरक्षित हैं?
ज़्यादातर खातों के लिए ये पर्याप्त सुरक्षित हैं और केवल पासवर्ड वाले अधिकांश हमलों को रोकते हैं। फिर भी SIM-स्वैप धोखाधड़ी या नेटवर्क हमलों के ज़रिए SMS को बीच में पकड़ा जा सकता है। ऊँचे मूल्य वाले खातों के लिए ऑथेंटिकेटर ऐप या हार्डवेयर कुंजी चुनें।
OTP कितनी देर तक मान्य रहना चाहिए?
उतनी देर, जितने में उपयोगकर्ता उसे पढ़कर टाइप कर सके, उससे ज़्यादा नहीं। SMS या ईमेल के लिए कुछ मिनट, और TOTP के लिए मानक 30 सेकंड की अवधि। अवधि जितनी छोटी होगी, लीक हुए कोड के अब भी काम करने की संभावना उतनी कम होगी।
क्या एक ही OTP दो बार इस्तेमाल किया जा सकता है?
नहीं किया जाना चाहिए। सही ढंग से बना सिस्टम कोड स्वीकार होते ही उसे अमान्य कर देता है, और बहुत ज़्यादा असफल प्रयासों के बाद भी। एक बार इस्तेमाल का नियम सर्वर पर लागू करें, क्लाइंट पर कभी नहीं।
वन-टाइम पासवर्ड एक छोटा विचार है, लेकिन खाते की सुरक्षा में इसकी बड़ी भूमिका है। ये पूरी लॉगिन सुरक्षा में कैसे शामिल होते हैं, यह जानने के लिए पढ़ें टू-फ़ैक्टर ऑथेंटिकेशन क्या है, या देखें कि Bird Verifications प्रोडक्ट में कोड कैसे बनाता, भेजता और जाँचता है।