टू-फ़ैक्टर ऑथेंटिकेशन और फ़ॉर्म की सुरक्षा

अकेला पासवर्ड काफ़ी नहीं है। मज़बूत पासवर्ड भी कोई हमलावर अंदाज़े से पता कर सकता है, चुरा सकता है या तोड़ सकता है। किसी को आपका पासवर्ड पता चल जाए, तो वह आपके अकाउंट में घुस सकता है। टू-फ़ैक्टर ऑथेंटिकेशन (2FA) सुरक्षा की वह परत है जो इसे रोकती है। यह पासवर्ड के बाद एक दूसरा वेरिफ़िकेशन स्टेप मांगता है। इससे साबित होता है कि आप वही हैं जो आप कह रहे हैं, भले ही पासवर्ड लीक हो गया हो।

इस लेख में बताया गया है कि 2FA कैसे काम करता है, आपके फ़ॉर्म में इसे कहां लगाएं, कौन से 2FA तरीके सबसे सुरक्षित हैं, और असली यूज़र को परेशान किए बिना इसे कैसे लागू करें।

आप क्या सीखेंगे: टू-फ़ैक्टर ऑथेंटिकेशन क्या है और क्यों ज़रूरी है, 2FA के अलग-अलग प्रकार, हर तरीका कैसे काम करता है, किन फ़ॉर्म को 2FA सुरक्षा चाहिए, और अपने मामले के लिए सही 2FA तरीका कैसे चुनें।

टू-फ़ैक्टर ऑथेंटिकेशन क्या है?

टू-फ़ैक्टर ऑथेंटिकेशन में एक्सेस देने से पहले दो अलग तरह के सबूत मांगे जाते हैं। इन फ़ैक्टर को आम तौर पर इन वर्गों में बांटा जाता है:

• कुछ जो आप जानते हैं: पासवर्ड या PIN
• कुछ जो आपके पास है: फ़ोन, सिक्योरिटी डिवाइस या ऑथेंटिकेटर ऐप
• कुछ जो आप खुद हैं: बायोमेट्रिक, जैसे फ़िंगरप्रिंट या चेहरे का स्कैन

2FA वाला लॉगिन आम तौर पर ऐसे चलता है:

1. यूज़र अपना यूज़रनेम और पासवर्ड डालता है
2. सिस्टम जांचता है कि पासवर्ड सही है
3. सिस्टम दूसरा फ़ैक्टर मांगता है (जैसे "अपने फ़ोन का कोड डालें")
4. यूज़र दूसरा फ़ैक्टर देता है (जैसे "123456" डालता है)
5. सिस्टम दूसरे फ़ैक्टर को जांचता है
6. यूज़र को एक्सेस मिल जाता है

कोई पासवर्ड चुरा भी ले, तो दूसरे फ़ैक्टर के बिना वह अकाउंट में नहीं जा सकता। इसी वजह से 2FA इतना असरदार है।

फ़ॉर्म की सुरक्षा के लिए 2FA क्यों ज़रूरी है

पासवर्ड लगातार चोरी होते हैं

डेटा ब्रीच में हर साल लाखों पासवर्ड बाहर आ जाते हैं। आपका पासवर्ड कहीं किसी लीक हुए डेटाबेस में था, तो हमलावरों के पास वह है। मज़बूत पासवर्ड से मदद मिलती है, पर वह फिर भी सिर्फ़ एक पासवर्ड है।

पासवर्ड पर हमले आम हैं

हमलावर ब्रूट फ़ोर्स (लाखों कॉम्बिनेशन आज़माना), डिक्शनरी अटैक (आम पासवर्ड आज़माना) और क्रेडेंशियल स्टफ़िंग (दूसरे ब्रीच के पासवर्ड इस्तेमाल करना) का सहारा लेते हैं। पासवर्ड के अलावा कुछ और न हो, तो ये हमले कामयाब हो जाते हैं।

फ़िशिंग हमले पासवर्ड को निशाना बनाते हैं

हमलावर आपकी साइट जैसे दिखने वाले नकली लॉगिन पेज भेजते हैं। यूज़र अपनी जानकारी उस नकली पेज पर डाल देते हैं। आपकी साइट सिर्फ़ पासवर्ड मांगती है, तो हमलावर के हाथ में एक्सेस आ जाता है। 2FA ज़रूरी हो, तो हमलावर अकेले पासवर्ड से कुछ नहीं कर सकता।

अकाउंट हाइजैक महंगा पड़ता है

किसी ग्राहक के अकाउंट में कोई घुस जाए, तो वह पासवर्ड बदल सकता है, अकाउंट रीसेट कर सकता है, बिना इजाज़त खरीदारी कर सकता है या जानकारी चुरा सकता है। 2FA के साथ बिना इजाज़त एक्सेस पाना बहुत मुश्किल हो जाता है।

टू-फ़ैक्टर ऑथेंटिकेशन के प्रकार

SMS (टेक्स्ट मैसेज) कोड

कैसे काम करता है: यूज़र यूज़रनेम और पासवर्ड डालता है। सिस्टम उसके फ़ोन पर टेक्स्ट मैसेज से 6 अंकों का कोड भेजता है। यूज़र मैसेज में आया कोड डालता है।

फ़ायदे: यूज़र के लिए आसान। हर फ़ोन पर चलता है (ऐप की ज़रूरत नहीं)।

नुकसान: SMS को बीच में पकड़ा या दूसरी तरफ़ मोड़ा जा सकता है। यह सबसे सुरक्षित तरीका नहीं है। SMS भेजने में पैसे लगते हैं।

किसके लिए सही: ग्राहकों वाले ऐप, जहां अधिकतम सुरक्षा से ज़्यादा इस्तेमाल में आसानी मायने रखती है।

ऑथेंटिकेटर ऐप

कैसे काम करता है: यूज़र Google Authenticator, Microsoft Authenticator या Authy जैसा ऐप इंस्टॉल करता है। लॉगिन के समय ऐप समय पर आधारित कोड बनाता है (आम तौर पर 6 अंकों का, जो हर 30 सेकंड में बदलता है)। यूज़र वह कोड डालता है।

फ़ायदे: बहुत सुरक्षित। बीच में पकड़ा नहीं जा सकता। यूज़र के लिए मुफ़्त।

नुकसान: यूज़र को ऐप इंस्टॉल करना पड़ता है। फ़ोन खो जाए और बैकअप कोड न हों, तो एक्सेस चला जाता है।

किसके लिए सही: ज़्यादा सुरक्षा वाले ऐप (एडमिन पैनल, फ़ाइनेंशियल अकाउंट, संवेदनशील डेटा)। यहां थोड़ी ज़्यादा झंझट चल जाती है।

हार्डवेयर सिक्योरिटी डिवाइस

कैसे काम करता है: यूज़र के पास एक असली डिवाइस होता है (जैसे USB स्टिक)। लॉगिन के समय सिस्टम उसे मांगता है। यूज़र उसे लगाता है या अपने डिवाइस से छुआता है। यह डिवाइस साबित करता है कि वह उसी का है।

फ़ायदे: बेहद सुरक्षित। दूर बैठकर हैक नहीं किया जा सकता। कई वेबसाइट पर चलता है।

नुकसान: यूज़र को डिवाइस खरीदना पड़ता है (30 से 50 डॉलर)। खो सकता है या भूला जा सकता है। अभी हर जगह सपोर्ट नहीं होता।

किसके लिए सही: अधिकतम सुरक्षा वाली जगहें (सरकार, सेना, ऊंची कीमत वाले अकाउंट)। टेक की समझ रखने वाले यूज़र इस्तेमाल करते हैं।

पुश नोटिफ़िकेशन

कैसे काम करता है: यूज़र लॉगिन की कोशिश करता है। सिस्टम यूज़र के फ़ोन पर पुश नोटिफ़िकेशन भेजता है: "क्या आप इस लॉगिन को मंज़ूर करते हैं?" यूज़र नोटिफ़िकेशन में "मंज़ूर करें" पर टैप करता है।

फ़ायदे: इस्तेमाल में बहुत आसान। कोड टाइप नहीं करना पड़ता। फ़िशिंग से बचाव (यूज़र देख सकता है कि लॉगिन कहां से आ रहा है)।

नुकसान: किसी खास ऐप या सिस्टम की ज़रूरत होती है। फ़ोन पास न हो तो इस्तेमाल नहीं हो सकता।

किसके लिए सही: मोबाइल-फ़र्स्ट ऐप, और कंज़्यूमर ऐप जहां यूज़र का अनुभव सबसे ज़रूरी है।

ईमेल कोड

कैसे काम करता है: यूज़र यूज़रनेम और पासवर्ड डालता है। सिस्टम उसके ईमेल पते पर कोड भेजता है। यूज़र ईमेल में आया कोड डालता है।

फ़ायदे: फ़ोन के बिना चलता है। सभी यूज़र के लिए उपलब्ध।

नुकसान: ईमेल हैक हो सकता है। यूज़र को ईमेल खोलकर देखना पड़ता है, जो बाकी तरीकों से धीमा है। ऑथेंटिकेटर ऐप से कम सुरक्षित।

किसके लिए सही: कम सुरक्षा वाले ऐप, या जब बाकी तरीके उपलब्ध न हों तब विकल्प के तौर पर।

बायोमेट्रिक (फ़िंगरप्रिंट, चेहरा)

कैसे काम करता है: यूज़र का डिवाइस (फ़ोन या कंप्यूटर) अपने बने-बनाए बायोमेट्रिक सेंसर इस्तेमाल करता है। यूज़र लॉगिन या काम मंज़ूर करने के लिए फ़िंगरप्रिंट या चेहरा स्कैन करता है।

फ़ायदे: बहुत सुविधाजनक। बहुत सुरक्षित। हर इंसान के लिए अलग।

नुकसान: बायोमेट्रिक सेंसर वाला डिवाइस चाहिए। बायोमेट्रिक डेटा स्टोर करने से प्राइवेसी की चिंता उठती है।

किसके लिए सही: मोबाइल ऐप और नए डिवाइस। बायोमेट्रिक हार्डवेयर आम होने के साथ यह और ज़्यादा चलन में आ रहा है।

किन फ़ॉर्म को 2FA चाहिए?

ऊंची अहमियत वाले फ़ॉर्म (2FA ज़रूरी)

• लॉगिन फ़ॉर्म (एडमिन पैनल, ग्राहक अकाउंट, ईमेल)
• पासवर्ड रीसेट फ़ॉर्म
• अकाउंट सेटिंग में बदलाव (खासकर ईमेल या पासवर्ड)
• पेमेंट या फ़ाइनेंशियल फ़ॉर्म
• डेटा हटाना या संवेदनशील काम

मध्यम अहमियत वाले फ़ॉर्म (2FA होना चाहिए)

• अकाउंट साइनअप (ताकि शुरू से ही अकाउंट हाइजैक न हो)
• यूज़र का डेटा या पसंद बदलने वाले फ़ॉर्म
• सिर्फ़ एडमिन वाले फ़ॉर्म

कम अहमियत वाले फ़ॉर्म (2FA वैकल्पिक)

• कॉन्टैक्ट फ़ॉर्म (सिर्फ़ सार्वजनिक जानकारी लेने वाले)
• न्यूज़लेटर साइनअप (बिना अकाउंट वाला फ़ॉर्म)
• सर्वे फ़ॉर्म

नियम यह है: फ़ॉर्म यूज़र का अकाउंट बदल सकता हो, संवेदनशील डेटा तक पहुंच देता हो या ऐसे काम करवाता हो जिन्हें वापस नहीं किया जा सकता, तो 2FA लगाएं।

ज़्यादा झंझट के बिना 2FA लागू करना

पहले 2FA वैकल्पिक रखें, संवेदनशील कामों के लिए ज़रूरी करें

यूज़र को बिना 2FA के साइनअप करने दें। पर जब वे संवेदनशील हिस्सों में जाएं, पेमेंट की जानकारी बदलें या पासवर्ड बदलें, तब 2FA ज़रूरी कर दें।

2FA के कई तरीके दें

कुछ यूज़र के पास फ़ोन होता है, कुछ के पास नहीं। कुछ को ऑथेंटिकेटर ऐप पसंद है, कुछ को हार्डवेयर डिवाइस। कई तरीके देने से हर कोई 2FA इस्तेमाल कर पाता है।

बैकअप कोड दें

2FA ज़रूरी हो और यूज़र फ़ोन या ऑथेंटिकेटर ऐप खो दें, तो वे अपने अकाउंट में नहीं जा सकते। बैकअप कोड दें (सेटअप के समय बने एक बार चलने वाले कोड), ताकि मुख्य 2FA तरीका खो जाने पर भी यूज़र लॉगिन कर सकें।

भरोसेमंद डिवाइस याद रखें

यूज़र एक बार किसी डिवाइस पर 2FA पूरा कर ले, तो चाहें तो उस डिवाइस को "याद रखें", ताकि हर बार 2FA न करना पड़े। इससे झंझट घटती है, और अनजान डिवाइस से आने वाले शक वाले लॉगिन पर सुरक्षा बनी रहती है।

जोखिम के हिसाब से 2FA रखें

यूज़र अपनी आम जगह से, आम समय पर, अपने आम डिवाइस से लॉगिन करे, तो शायद 2FA ज़रूरी न हो। यूज़र किसी दूसरे देश से, रात 3 बजे, नए डिवाइस से लॉगिन करे, तो 2FA ज़रूरी करें। इससे सुरक्षा और इस्तेमाल में आसानी का संतुलन बनता है।

रिकवरी और बैकअप प्लान

यूज़र फ़ोन खोएंगे, ऐप भूलेंगे और खुद को अकाउंट से बाहर कर लेंगे। इसके लिए प्लान तैयार रखें:

• बैकअप कोड: 2FA सेटअप के समय 10 एक बार चलने वाले कोड बनाएं, जिन्हें मुख्य तरीका न चलने पर इस्तेमाल किया जा सके
• अकाउंट रिकवरी: यूज़र को सिक्योरिटी सवाल या ईमेल से अपनी पहचान साबित करने दें, ताकि वे वापस एक्सेस पा सकें
• सपोर्ट प्रक्रिया: सपोर्ट टीम को सिखाएं कि पहचान कैसे जांचें और अकाउंट से बाहर हुए यूज़र की मदद कैसे करें

2FA पर हमले के तरीके और उनसे बचाव

सिम स्वैपिंग

हमलावर फ़ोन कंपनी को मनाकर शिकार का फ़ोन नंबर नए सिम कार्ड पर ट्रांसफ़र करवा लेता है। फिर SMS वाले 2FA कोड हमलावर के फ़ोन पर पहुंचने लगते हैं।

बचाव: SMS की जगह ऑथेंटिकेटर ऐप या हार्डवेयर सिक्योरिटी डिवाइस इस्तेमाल करें। SMS पर सिम स्वैपिंग का खतरा रहता है।

2FA कोड की फ़िशिंग

हमलावर नकली लॉगिन पेज बनाता है जो 2FA कोड मांगता है। यूज़र कोड डाल देता है। हमलावर उसी पल उस कोड से असली अकाउंट में लॉगिन कर लेता है।

बचाव: ऐसे तरीके चुनें जो संदर्भ दिखाते हैं (पुश नोटिफ़िकेशन में दिखता है "www.example.com पर लॉगिन") या हार्डवेयर डिवाइस जो वेबसाइट का डोमेन जांचता है। कोड वाले तरीकों पर इसका खतरा रहता है।

खोए या चोरी हुए डिवाइस

2FA ऐप वाला डिवाइस खो जाए या चोरी हो जाए, तो हमलावर उससे अकाउंट में घुस सकता है।

बचाव: डिवाइस खोलने के लिए PIN या बायोमेट्रिक ज़रूरी रखें। ऑथेंटिकेटर ऐप खोलने के लिए भी PIN रखें। बैकअप कोड और अकाउंट रिकवरी के विकल्प इस्तेमाल करें।

2FA के लिए क्या जांचें

जांचें कि आपके अकाउंट कौन से 2FA तरीके देते हैं और उपलब्ध सबसे मज़बूत तरीका चालू करें। SMS या ईमेल से आने वाले कोड से ऑथेंटिकेटर ऐप ज़्यादा सुरक्षित है। बैकअप कोड किसी सुरक्षित जगह रखें, ताकि एक्सेस वापस पाया जा सके।

WEMASY के प्लान और कीमतें जानने के लिए प्राइसिंग पेज देखें।

अक्सर पूछे जाने वाले सवाल