टू-फ़ैक्टर ऑथेंटिकेशन क्या है और आपकी वेबसाइट को इसकी ज़रूरत क्यों है?

वेबसाइट के एडमिन एक्सेस को बचाने के लिए अब सिर्फ़ मज़बूत पासवर्ड काफ़ी नहीं है। टू-फ़ैक्टर ऑथेंटिकेशन एक दूसरी परत जोड़ता है, जिसका मतलब है कि चुराया हुआ पासवर्ड अकेले अंदर आने के लिए काफ़ी नहीं है, और इससे एडमिन क्रेडेंशियल को निशाना बनाने वालों का जोखिम का हिसाब ही बदल जाता है। एक फ़ैक्टर से समझौता हो सकता है। दो फ़ैक्टर तोड़ना काफ़ी मुश्किल है। यह लेख बताता है कि टू-फ़ैक्टर ऑथेंटिकेशन कैसे काम करता है, दूसरे फ़ैक्टर के अलग-अलग प्रकार क्या हैं और इसे अपनी वेबसाइट पर कैसे चालू करें।

क्रेडेंशियल हमले ऑटोमैटिक होते हैं। पासवर्ड को ब्रूट फ़ोर्स से तोड़ने या चुराए क्रेडेंशियल को लॉगिन पेज पर आज़माने के लिए बने टूल लाखों साइट पर लगातार चलते रहते हैं। पासवर्ड अब वह आखिरी सुरक्षा नहीं रहा जो कभी था: बहुत से कमज़ोर हैं, दोबारा इस्तेमाल हुए हैं या दूसरी सर्विस के डेटा ब्रीच में लीक हो चुके हैं। टू-फ़ैक्टर ऑथेंटिकेशन पासवर्ड को ठीक नहीं करता। यह पासवर्ड को अकेले काफ़ी नहीं रहने देता। पूरी सिक्योरिटी रणनीति के हिस्से के तौर पर एडमिन एक्सेस बचाने की बड़ी तस्वीर के लिए अपनी वेबसाइट को हैकर से कैसे बचाएं वाला लेख देखें।

टू-फ़ैक्टर ऑथेंटिकेशन क्या है?

टू-फ़ैक्टर ऑथेंटिकेशन, जिसे अक्सर 2FA कहते हैं, एक लॉगिन प्रोसेस है जिसमें एक्सेस देने से पहले दो अलग तरह के वेरिफ़िकेशन चाहिए होते हैं। पहला फ़ैक्टर आमतौर पर पासवर्ड होता है। दूसरा फ़ैक्टर कुछ अलग होता है, कुछ ऐसा जो लॉगिन के पल सिर्फ़ अकाउंट के मालिक के पास होता है।

इसके पीछे का सिद्धांत सीधा है: भले ही कोई हमलावर ब्रीच, फ़िशिंग हमले या ब्रूट फ़ोर्स से आपका पासवर्ड पा ले, वह दूसरे फ़ैक्टर को कंट्रोल किए बिना लॉगिन पूरा नहीं कर सकता। ज़्यादातर मामलों में दूसरा फ़ैक्टर ऐसे डिवाइस पर होता है जो अकाउंट के मालिक के पास फ़िज़िकली होता है, यानी अंदर आने के लिए सिर्फ़ चुराए पासवर्ड से ज़्यादा चाहिए।

टू-फ़ैक्टर ऑथेंटिकेशन कैसे काम करता है?

लॉगिन का क्रम

• यूज़र लॉगिन पेज पर हमेशा की तरह अपना यूज़रनेम और पासवर्ड डालता है
• तुरंत एक्सेस मिलने की जगह उससे दूसरा वेरिफ़िकेशन कदम मांगा जाता है
• यूज़र दूसरा फ़ैक्टर देता है, जिसे सिस्टम एक्सेस देने से पहले जांचता है
• अगर दोनों में से कोई भी फ़ैक्टर गलत हो, तो एक्सेस ठुकरा दिया जाता है

यह क्या रोकता है

• जिस हमलावर के पास सही पासवर्ड है, वह दूसरे कदम पर रुक जाता है, क्योंकि उसके पास दूसरे फ़ैक्टर की पहुंच नहीं है
• जो ब्रूट फ़ोर्स हमले पासवर्ड पहचान भी लेते हैं, वे दूसरे फ़ैक्टर के बिना लॉगिन पूरा नहीं कर सकते
• फ़िशिंग या दूसरी सर्विस के डेटा ब्रीच से चुराए क्रेडेंशियल अकेले काफ़ी नहीं रह जाते

दूसरे फ़ैक्टर के कौन से प्रकार होते हैं?

ऑथेंटिकेटर ऐप

• ऑथेंटिकेटर ऐप समय पर आधारित कोड बनाता है जो हर 30 सेकंड में बदलता है। यूज़र ऐप खोलता है, मौजूदा कोड पढ़ता है और लॉगिन के दौरान उसे डालता है
• कोड डिवाइस पर बनता है और नेटवर्क से नहीं भेजा जाता, जिससे बीच में पकड़ा जाना मुश्किल होता है
• ज़्यादातर साइट मालिकों के लिए इसे व्यापक रूप से सबसे व्यावहारिक और सुरक्षित विकल्प माना जाता है

एसएमएस कोड

• लॉगिन के दौरान यूज़र के रजिस्टर्ड फ़ोन नंबर पर टेक्स्ट मैसेज के रूप में एक बार का कोड भेजा जाता है
• एसएमएस कोड ऑथेंटिकेटर ऐप से सेट करने में ज़्यादा आसान हैं, लेकिन कम सुरक्षित माने जाते हैं, क्योंकि फ़ोन नंबर सिम स्वैपिंग से हाईजैक हो सकते हैं और एसएमएस मैसेज बीच में पकड़े जा सकते हैं
• वे दूसरे फ़ैक्टर के बिना होने से काफ़ी बेहतर हैं

हार्डवेयर सिक्योरिटी key

• हार्डवेयर सिक्योरिटी key एक फ़िज़िकल डिवाइस है, आमतौर पर छोटी USB या NFC डिवाइस, जिसे यूज़र अपनी पहचान साबित करने के लिए लॉगिन के दौरान लगाता या टैप करता है
• हार्डवेयर key टू-फ़ैक्टर ऑथेंटिकेशन का सबसे मज़बूत रूप देती हैं और फ़िशिंग से बची रहती हैं, क्योंकि वेरिफ़िकेशन उस खास साइट से जुड़ा होता है जिसे खोला जा रहा है
• ये ज़्यादा सुरक्षा वाले माहौल में ज़्यादा आम हैं और आम वेबसाइट एडमिन एक्सेस के लिए कम इस्तेमाल होती हैं

ईमेल कोड

• यूज़र के रजिस्टर्ड ईमेल एड्रेस पर एक बार का कोड भेजा जाता है जिसे लॉगिन के दौरान डालना पड़ता है
• ईमेल कोड सबसे कमज़ोर दूसरा फ़ैक्टर हैं, क्योंकि वे ईमेल अकाउंट की सुरक्षा पर निर्भर हैं। अगर ईमेल अकाउंट से समझौता हो जाए, तो दूसरा फ़ैक्टर कोई सुरक्षा नहीं देता
• वे दूसरे फ़ैक्टर के बिना होने से बेहतर हैं, लेकिन ऑथेंटिकेटर ऐप ज़्यादा भरोसेमंद विकल्प हैं

आपकी वेबसाइट को टू-फ़ैक्टर ऑथेंटिकेशन की ज़रूरत क्यों है?

पासवर्ड नियमित रूप से लीक होते हैं

• दूसरी सर्विस के डेटा ब्रीच क्रेडेंशियल उजागर करते हैं जिन्हें फिर वेबसाइट एडमिन पैनल पर आज़माया जाता है। किसी दूसरे अकाउंट से दोबारा इस्तेमाल किया पासवर्ड आपकी साइट खोलने में काम आ सकता है, भले ही आपकी साइट को सीधे निशाना कभी न बनाया गया हो
• पासवर्ड पकड़ने वाले फ़िशिंग हमलों को पूरी तरह रोकना मुश्किल है। पासवर्ड मिल जाने पर टू-फ़ैक्टर ऑथेंटिकेशन नुकसान को सीमित करता है

ऑटोमैटिक क्रेडेंशियल हमले लगातार चलते हैं

• ब्रूट फ़ोर्स टूल वेबसाइट पर लगातार चलते रहते हैं और आम पासवर्ड, डिक्शनरी शब्द और लीक हुए क्रेडेंशियल की लिस्ट आज़माते हैं
• टू-फ़ैक्टर ऑथेंटिकेशन का मतलब है कि ब्रूट फ़ोर्स से मिला पासवर्ड भी लॉगिन पूरा करने के लिए काफ़ी नहीं है

एडमिन एक्सेस सबसे कीमती निशाना है

• जो हमलावर साइट के एडमिन पैनल तक पहुंच जाता है, वह मैलवेयर इंस्टॉल कर सकता है, डेटा चुरा सकता है, बैकडोर बना सकता है या मालिक को पूरी तरह बाहर कर सकता है
• एडमिन एक्सेस को टू-फ़ैक्टर ऑथेंटिकेशन से बचाना, लीक हुए पासवर्ड के नतीजों को सीधे घटाता है, जो सबसे आम क्रेडेंशियल हमले का निशाना है

एडमिन एक्सेस मिल जाने के बाद हमलावर क्या कर सकते हैं, इसके संदर्भ के लिए वेबसाइट मैलवेयर क्या है और यह आपकी साइट को कैसे प्रभावित करता है वाला लेख देखें। सिर्फ़ एडमिन एक्सेस से आगे वेबसाइट सिक्योरिटी क्यों मायने रखती है, इसके पूरे ब्योरे के लिए वेबसाइट सिक्योरिटी क्यों ज़रूरी है वाला लेख देखें।

अपनी वेबसाइट पर टू-फ़ैक्टर ऑथेंटिकेशन कैसे चालू करें?

साइट एडमिन एक्सेस के लिए

• कई वेबसाइट प्लेटफ़ॉर्म में टू-फ़ैक्टर ऑथेंटिकेशन अकाउंट सेटिंग में बिल्ट-इन विकल्प के रूप में होता है। पहले अपने प्लेटफ़ॉर्म की सिक्योरिटी या अकाउंट सेटिंग वाला हिस्सा देखें
• जिन प्लेटफ़ॉर्म में यह अपने आप नहीं है, उनके लिए सिक्योरिटी एक्सटेंशन या प्लगइन मिलते हैं जो लॉगिन प्रोसेस में 2FA जोड़ते हैं
• इसे हर एडमिन अकाउंट के लिए चालू करें, सिर्फ़ मुख्य अकाउंट के लिए नहीं। टू-फ़ैक्टर ऑथेंटिकेशन के बिना हर एडमिन अकाउंट अंदर आने का संभावित रास्ता है

होस्टिंग और डोमेन अकाउंट के लिए

• होस्टिंग कंट्रोल पैनल और डोमेन रजिस्ट्रार अकाउंट को सुरक्षित करना उतना ही ज़रूरी है जितना साइट को। जो हमलावर होस्टिंग अकाउंट तक पहुंच जाता है, वह DNS रिकॉर्ड बदल सकता है, बैकअप खोल सकता है या साइट को ऑफ़लाइन कर सकता है
• होस्टिंग पैनल और डोमेन रजिस्ट्रार अकाउंट पर टू-फ़ैक्टर ऑथेंटिकेशन चालू करें, सिर्फ़ वेबसाइट के अपने लॉगिन पर नहीं

अकाउंट रिकवरी में इस्तेमाल होने वाले ईमेल अकाउंट के लिए

• पासवर्ड रीसेट आमतौर पर रजिस्टर्ड ईमेल एड्रेस पर लिंक भेजता है। अगर वह ईमेल अकाउंट हैक हो जाए, तो उससे साइट अकाउंट पर कब्ज़ा किया जा सकता है
• साइट एडमिन एक्सेस से जुड़े ईमेल अकाउंट को टू-फ़ैक्टर ऑथेंटिकेशन से सुरक्षित करना इस रिकवरी रास्ते को हमले के तरीके के रूप में बंद कर देता है

पूरे सिक्योरिटी तरीके के हिस्से के रूप में बैकअप टू-फ़ैक्टर ऑथेंटिकेशन के साथ कैसे काम करते हैं, यह जानने के लिए अपनी वेबसाइट का बैकअप कैसे लें वाला लेख देखें।

WEMASY ऑथेंटिकेशन सिक्योरिटी कैसे संभालता है

WEMASY अकाउंट एक्सेस के लिए टू-फ़ैक्टर ऑथेंटिकेशन उपलब्ध है। साइट मालिक इसे अपनी अकाउंट सिक्योरिटी सेटिंग से चालू कर सकते हैं, ताकि डैशबोर्ड, साइट कॉन्फ़िगरेशन और बिलिंग जानकारी की पहुंच सुरक्षित रहे। इसे चालू करने का मतलब है कि चुराया हुआ पासवर्ड अकेले अकाउंट खोलने में इस्तेमाल नहीं हो सकता।

प्लेटफ़ॉर्म स्तर पर लॉगिन गतिविधि पर नज़र रखी जाती है और सिक्योरिटी इवेंट लॉग किए जाते हैं। प्लेटफ़ॉर्म ब्रूट फ़ोर्स हमलों का जोखिम घटाने के लिए लॉगिन कोशिशों की सीमा भी लागू करता है।

क्या-क्या शामिल है, यह WEMASY वेबसाइट बिल्डर पर देखें, या प्राइसिंग पेज पर प्लान विकल्प देखें।

अक्सर पूछे जाने वाले सवाल