टू-फ़ैक्टर ऑथेंटिकेशन (2FA) क्या है?

टू-फ़ैक्टर ऑथेंटिकेशन (2FA) किसी को अकाउंट में प्रवेश देने से पहले दो अलग-अलग तरह के प्रमाण माँगता है। पहला प्रमाण लगभग हमेशा पासवर्ड होता है (कुछ ऐसा जो आप जानते हैं)। दूसरा प्रमाण किसी दूसरी श्रेणी का होता है, जैसे आपके फ़ोन पर आया कोड (कुछ ऐसा जो आपके पास है) या फ़िंगरप्रिंट (कुछ ऐसा जो आप हैं)। दोनों प्रमाण अलग-अलग श्रेणियों से आते हैं, इसलिए एक को चुराने से हमलावर को दूसरा शायद ही कभी मिलता है।

2FA का पूरा आधार यही श्रेणी का अंतर है। पासवर्ड किसी डेटा ब्रीच में लीक हो सकता है, फ़िशिंग से चुराया जा सकता है या अनुमान से पता लगाया जा सकता है। अगर हमलावर और आपके अकाउंट के बीच केवल वही पासवर्ड है, तो एक लीक होते ही अकाउंट असुरक्षित हो जाता है। किसी दूसरी श्रेणी का दूसरा फ़ैक्टर जोड़ने पर हमलावर को एक साथ दो असंबंधित चीज़ों को तोड़ना पड़ता है। बड़े पैमाने पर ऐसा करना कहीं ज़्यादा कठिन है।

ऑथेंटिकेशन के तीन फ़ैक्टर

सुरक्षा विशेषज्ञ प्रमाण को तीन श्रेणियों में बाँटते हैं। किसी लॉगिन को टू-फ़ैक्टर तभी माना जाता है, जब दोनों प्रमाण दो अलग-अलग श्रेणियों से आते हैं।

ज्ञान (कुछ ऐसा जो आप जानते हैं): पासवर्ड, PIN, सुरक्षा प्रश्न का उत्तर।
स्वामित्व (कुछ ऐसा जो आपके पास है): SMS या पुश सूचना पाने वाला फ़ोन, ऑथेंटिकेटर ऐप, हार्डवेयर सुरक्षा कुंजी।
अंतर्निहित गुण (कुछ ऐसा जो आप हैं): फ़िंगरप्रिंट, फ़ेस स्कैन, वॉइसप्रिंट।

दो पासवर्ड भी केवल ज्ञान ही हैं, इसलिए पहले पासवर्ड और फिर PIN माँगना 2FA नहीं है। पासवर्ड के साथ फ़ोन पर आया कोड 2FA है, क्योंकि इसमें ज्ञान और स्वामित्व दोनों शामिल हैं। यह सीमा कहाँ खिंचती है, इसका विस्तृत विवरण टू-फ़ैक्टर ऑथेंटिकेशन बनाम टू-स्टेप सत्यापन में है।

दूसरा फ़ैक्टर क्या हो सकता है?

व्यवहार में दूसरा फ़ैक्टर लगभग हमेशा कब्ज़े वाला फ़ैक्टर होता है। आपके पास कुछ विकल्प हैं, जिनमें सुविधा और हमले के प्रति मज़बूती के बीच संतुलन बनाना पड़ता है।

SMS या वॉइस OTP. एक छोटा वन-टाइम पासवर्ड आपके फ़ोन नंबर पर टेक्स्ट से भेजा जाता है या स्वचालित कॉल में पढ़कर सुनाया जाता है। यह बिना कोई ऐप इंस्टॉल किए किसी भी फ़ोन पर काम करता है, इसलिए यह दुनिया में सबसे आम दूसरा फ़ैक्टर है।
TOTP ऑथेंटिकेटर ऐप। Google Authenticator या Authy जैसे ऐप छह अंकों का कोड बनाते हैं, जो हर 30 सेकंड में बदलता है। यह कोड एक साझा सीक्रेट और मौजूदा समय से गणना करके बनता है। कोड कभी नेटवर्क पर नहीं जाता, इसलिए रास्ते में बीच में पकड़ने के लिए कुछ नहीं होता।
पुश अनुमोदन। सेवा एक पंजीकृत ऐप पर संकेत भेजती है और आप अनुमति दें या अस्वीकार करें पर टैप करते हैं। यह सुविधाजनक है, लेकिन इससे "push fatigue" हमलों का रास्ता खुलता है, जिनमें उपयोगकर्ता सिर्फ़ संकेत रुकवाने के लिए अनुमति पर टैप कर देता है।
हार्डवेयर कुंजियाँ और पासकी। एक भौतिक कुंजी (FIDO2/WebAuthn) या आपके डिवाइस पर संग्रहीत पासकी एक चुनौती पर निजी कुंजी से हस्ताक्षर करती है, और यह निजी कुंजी कभी हार्डवेयर से बाहर नहीं जाती। ये फ़िशिंग का प्रतिरोध करती हैं, क्योंकि हस्ताक्षर असली साइट के ओरिजिन से बंधा होता है। इसलिए मिलता-जुलता डोमेन दोबारा इस्तेमाल करने लायक कुछ भी नहीं जुटा सकता।

यह क्यों मायने रखता है

ज़्यादातर अकाउंट टेकओवर ऐसे पासवर्ड से शुरू होते हैं जो हमलावर के पास पहले से होता है, चाहे वह किसी ब्रीच डंप से मिला हो, दोबारा इस्तेमाल किए गए क्रेडेंशियल से या फ़िशिंग पेज से। इनमें से कोई भी तरीका हमलावर को आपका दूसरा फ़ैक्टर नहीं देता। इसलिए एक साधारण SMS कोड भी, जो सबसे मज़बूत विकल्प नहीं है, उन ज़्यादातर बड़े पैमाने के स्वचालित हमलों को रोक देता है जो सिर्फ़ चोरी किए गए पासवर्ड पर निर्भर होते हैं।

2FA कोई एक चीज़ नहीं है जिसका सुरक्षा स्तर भी एक ही हो। हार्डवेयर कुंजी और SMS कोड दोनों "2FA," हैं, लेकिन ये बहुत अलग खतरों से बचाव करते हैं। दूसरा फ़ैक्टर इस हिसाब से चुनें कि आप जिसकी सुरक्षा कर रहे हैं, उसका मूल्य कितना है।

इसके फ़ायदे और नुकसान क्या हैं?

SMS-आधारित 2FA को लागू करना सबसे आसान है और उस पर हमला करना भी सबसे आसान है। SIM-स्वैप धोखाधड़ी और SS7 इंटरसेप्शन, दोनों आपके कोड किसी और तक पहुँचा सकते हैं। SIM-स्वैप में हमलावर कैरियर को मनाकर आपका नंबर अपने SIM पर पोर्ट करवा लेता है। ऐप-आधारित TOTP में कैरियर की ज़रूरत ही नहीं पड़ती, क्योंकि कोड आपके डिवाइस पर बनता है और मोड़ने के लिए कोई संदेश नहीं होता। हार्डवेयर कुंजियाँ और पासकी इससे आगे जाकर फ़िशिंग का प्रतिरोध करती हैं, लेकिन इसके लिए उपयोगकर्ता के पास कुंजी होनी चाहिए और उसे साथ रखनी पड़ती है।

एक उचित डिफ़ॉल्ट: SMS उपलब्ध कराएँ, क्योंकि इसकी पहुँच सबसे व्यापक है, लेकिन सुरक्षा को लेकर सजग उपयोगकर्ताओं को ऑथेंटिकेटर ऐप या पासकी पर जाने का विकल्प दें। कुछ अकाउंट, जैसे एडमिन कंसोल या वित्तीय डैशबोर्ड, के लिए मज़बूत विकल्पों को सीधे अनिवार्य करना ठीक है।

2FA कैसे जोड़ें?

अगर आप उपयोगकर्ता हैं, तो सेवा की अकाउंट या सुरक्षा सेटिंग्स में जाकर इसे चालू करें। आम तौर पर सेवा एक QR कोड दिखाती है, जिसे आप ऑथेंटिकेटर ऐप में स्कैन करते हैं, या SMS कोड के लिए आपसे फ़ोन नंबर की पुष्टि करने को कहती है। रिकवरी कोड किसी सुरक्षित जगह पर सहेजें, ताकि फ़ोन खो जाने पर भी आपका अकाउंट लॉक न हो।

अगर आप यह फ़ीचर बना रहे हैं, तो आपके पास दो रास्ते हैं। आप TOTP खुद लागू कर सकते हैं (यह एक स्पष्ट रूप से परिभाषित मानक है और इसका गणित छोटा है) और हर उपयोगकर्ता के लिए एक साझा सीक्रेट संग्रहित कर सकते हैं। या आप OTP भेजने और उनके सत्यापन का काम किसी प्रदाता को सौंप सकते हैं, ताकि आपको SMS पाइपलाइन या अनुरोध दर सीमित करने का लॉजिक खुद न चलाना पड़े। Bird का Verifications प्रोडक्ट SMS, वॉइस और ईमेल के ज़रिए वन-टाइम कोड भेजता और जाँचता है। अगर आप फ़्लो खुद बनाना चाहते हैं, तो आधारभूत SMS प्रोडक्ट संदेश डिलीवरी संभालता है।

अक्सर पूछे जाने वाले प्रश्न

क्या टू-फ़ैक्टर ऑथेंटिकेशन और टू-स्टेप सत्यापन एक ही हैं?

पूरी तरह नहीं। 2FA में अलग-अलग फ़ैक्टर श्रेणियों से दो प्रमाण चाहिए। टू-स्टेप सत्यापन का मतलब है एक के बाद एक दो चरण, जिनमें दो अलग फ़ैक्टर हो भी सकते हैं और नहीं भी। दोनों शब्द अक्सर एक-दूसरे की जगह इस्तेमाल होते हैं, लेकिन जब आप यह तय करते हैं कि किसी हमले को असल में क्या-क्या पार करना होगा, तब यह अंतर मायने रखता है।

क्या SMS पर आधारित 2FA पर्याप्त सुरक्षित है?

ज़्यादातर उपभोक्ता अकाउंट के लिए हाँ, क्योंकि यह चोरी हुए पासवर्ड पर निर्भर बड़े पैमाने के हमलों को रोकता है। ज़्यादा मूल्य वाले अकाउंट के लिए ऑथेंटिकेटर ऐप या हार्डवेयर कुंजी चुनें, क्योंकि SMS पर SIM-स्वैप और नेटवर्क इंटरसेप्शन का खतरा रहता है।

अगर मेरा दूसरा फ़ैक्टर खो जाए तो क्या होगा?

ज़्यादातर सेवाएँ 2FA चालू करने पर रिकवरी कोड देती हैं। इन्हें ऑफ़लाइन रखें। रिकवरी का कोई रास्ता न हो, तो दूसरे फ़ैक्टर वाला डिवाइस खोने पर आप अकाउंट से पूरी तरह बाहर हो सकते हैं।

क्या 2FA मज़बूत पासवर्ड की जगह ले लेता है?

नहीं। दूसरा फ़ैक्टर एक अतिरिक्त परत है, विकल्प नहीं। कमज़ोर या दोबारा इस्तेमाल किया गया पासवर्ड हमले की गुंजाइश फिर भी बढ़ाता है, इसलिए 2FA के साथ पासवर्ड मैनेजर और अलग-अलग पासवर्ड का इस्तेमाल जारी रखें।

टू-फ़ैक्टर ऑथेंटिकेशन अकाउंट पर कब्ज़े की लागत बढ़ाने के सबसे सस्ते तरीकों में से एक है, और दूसरा फ़ैक्टर आम तौर पर एक वन-टाइम कोड होता है। ये कोड कैसे काम करते हैं, यह जानने के लिए OTP का मतलब पढ़ें, या देखें कि Bird Verifications प्रोडक्ट में कोड की डिलीवरी और सत्यापन कैसे संभालता है।