ऑथेंटिकेटर ऐप और ऐप पासवर्ड: ये कैसे काम करते हैं

ऑथेंटिकेटर ऐप समय पर आधारित वन-टाइम पासवर्ड बनाता है, जिसे आम तौर पर TOTP कहा जाता है। जब आप ऐप वाला टू-फ़ैक्टर ऑथेंटिकेशन चालू करते हैं, तो सर्विस एक QR कोड दिखाती है। इस कोड में एक सीक्रेट कुंजी छिपी होती है, और स्कैन करते ही उसकी एक कॉपी आपके ऐप में सेव हो जाती है। उसके बाद सर्विस और आपका फ़ोन एक ही सीक्रेट साझा करते हैं, और इसे दोबारा नेटवर्क पर भेजने की ज़रूरत नहीं पड़ती।

कोड बनाने के लिए ऐप सीक्रेट को मौजूदा समय के साथ जोड़ता है। यह समय छोटे-छोटे खंडों में गिना जाता है, जो आम तौर पर 30 सेकंड के होते हैं। फिर ऐप इस जोड़ को एक मानक क्रिप्टोग्राफ़िक फ़ंक्शन से गुज़ारता है और नतीजे को छाँटकर एक छोटी संख्या बना देता है, जो अक्सर छह अंकों की होती है। सर्वर अपनी तरफ़ यही गणना करता है और दोनों नतीजों का मिलान करता है। चूँकि दोनों पक्षों को सिर्फ़ सीक्रेट और घड़ी चाहिए, इसलिए ऐप बिना मोबाइल डेटा या Wi-Fi के भी चलता है।

इसी बनावट से सबसे आम समस्या भी समझ आती है: सही टाइप करने के बावजूद कोड का रिजेक्ट हो जाना। अगर आपके फ़ोन की घड़ी आगे-पीछे हो जाए, तो ऐप गलत समय-खंड के लिए कोड बनाता है। तारीख और समय को ऑटोमैटिक अपडेट पर रखने से आम तौर पर यह ठीक हो जाता है, और कुछ ऐप में टाइम करेक्शन का विकल्प भी होता है।

जो भी ऐप मानक TOTP तरीका सपोर्ट करता है, वह ज़्यादातर सर्विस के साथ चल जाता है, इसलिए असली सवाल यह है कि ऐप आपके सीक्रेट कैसे सँभालता है। बड़ी प्लेटफ़ॉर्म कंपनियाँ अपने ऐप देती हैं, जिनमें Google Authenticator और Microsoft Authenticator शामिल हैं, और कई पासवर्ड मैनेजर भी TOTP कोड स्टोर कर सकते हैं।

देखें कि कोड का बैकअप या एक्सपोर्ट लेने का तरीका है या नहीं, क्योंकि जो ऐप कोड सिर्फ़ एक फ़ोन पर रखता है, उसमें फ़ोन खोने का मतलब है सीधे अकाउंट से बाहर हो जाना। अगर ऐप किसी क्लाउड अकाउंट से सिंक होता है, तो पक्का करें कि वह अकाउंट भी अच्छी तरह सुरक्षित हो, और ऐसे ऐप को तरजीह दें जो बैकअप को एन्क्रिप्ट करता हो। फ़िंगरप्रिंट, फ़ेस या PIN वाला ऐप लॉक तब काम आता है जब कोई आपका खुला फ़ोन उठा ले।

कुछ ऑथेंटिकेटर ऐप अपनी ही कंपनी के अकाउंट के लिए पुश अप्रूवल भी देते हैं, जिसमें कोड टाइप करने के बजाय आप टैप करके साइन-इन की पुष्टि करते हैं। यह सुविधाजनक है, लेकिन सिर्फ़ उसी प्रोवाइडर के साथ चलता है। बाकी हर सर्विस के लिए ऐप एक सामान्य कोड जनरेटर की तरह ही काम करता है।

अकाउंट की सिक्योरिटी सेटिंग्स में ऑथेंटिकेटर ऐप सेट करने का विकल्प चुनें। ऐप से QR कोड स्कैन करें, या स्कैन न हो पाए तो सेटअप कुंजी हाथ से टाइप करें। इसके बाद सर्विस मौजूदा कोड माँगती है, ताकि साबित हो कि सेटअप सही हुआ। यह कदम न छोड़ें, और कोड स्वीकार होने तक पेज बंद न करें।

अगर ऐप इजाज़त दे, तो हर एंट्री को साफ़ नाम दें, खासकर तब जब एक ही सर्विस पर आपके कई अकाउंट हों। जिस एंट्री में सिर्फ़ ब्रांड का नाम दिखता है, उसे किसी दूसरी एंट्री से मिला देना आसान है, और गलत एंट्री डिलीट करने से आप अकाउंट से बाहर हो सकते हैं।

उसी समय सर्विस जो बैकअप या रिकवरी कोड देती है, उन्हें भी सेव कर लें। अगर कोड का बैकअप बनाने से पहले ही ऑथेंटिकेटर वाला फ़ोन खो जाए, तो वापस आने का सबसे आसान रास्ता यही कोड हैं।

सबसे सुरक्षित नियम सीधा है: नया फ़ोन तब सेट करें जब पुराना अभी चल रहा हो। जब तक हर कोड नए फ़ोन पर पहुँचकर जाँचा न जाए, पुराने डिवाइस को न रीसेट करें, न बेचें और न एक्सचेंज ऑफ़र में दें।

कई ऑथेंटिकेटर ऐप में ट्रांसफ़र या एक्सपोर्ट का फ़ीचर होता है, जो पुराने फ़ोन पर एक या ज़्यादा QR कोड दिखाता है जिन्हें नया फ़ोन स्कैन करता है। कुछ ऐप नए डिवाइस पर साइन इन करते ही एन्क्रिप्टेड क्लाउड बैकअप से आपकी एंट्री वापस ले आते हैं। ट्रांसफ़र के बाद कुछ अकाउंट में नए कोड से साइन इन करके देख लें कि वे मेल खाते हैं।

अगर आपके ऐप में ट्रांसफ़र का विकल्प नहीं है, तो अकाउंट एक-एक करके ले जाएँ। हर सर्विस में साइन इन करें, उसकी टू-फ़ैक्टर सेटिंग्स खोलें, ऑथेंटिकेटर जोड़ने या बदलने का विकल्प चुनें, नए फ़ोन से नया QR कोड स्कैन करें और कोड की पुष्टि करें। कई सर्विस में सीक्रेट बदलते ही पुरानी एंट्री काम करना बंद कर देती है, इसलिए भ्रम से बचने के लिए उसे बाद में हटा दें। ट्रांसफ़र के दौरान बैकअप कोड पास रखें, ताकि बीच में कुछ गड़बड़ हो तो काम आएँ।

ऐप पासवर्ड एक लंबा, रैंडम तरीके से बना पासवर्ड है, जो किसी एक खास ऐप या डिवाइस को टू-फ़ैक्टर ऑथेंटिकेशन से गुज़रे बिना आपके अकाउंट में साइन इन करने देता है। यह उन पुराने सॉफ़्टवेयर के लिए बना है जो सिर्फ़ यूज़रनेम और पासवर्ड समझते हैं और न कोड का प्रॉम्प्ट दिखा सकते हैं, न साइन-इन पेज खोल सकते हैं।

Google, Microsoft और Yahoo जैसे अकाउंट अपनी सिक्योरिटी सेटिंग्स से ऐप पासवर्ड बनाने देते हैं, ज़्यादातर मामलों में तभी जब टू-स्टेप वेरिफ़िकेशन चालू हो। कुछ तरह के अकाउंट, जैसे कुछ ऑफ़िस या स्कूल अकाउंट या सबसे सख्त सिक्योरिटी प्रोग्राम में शामिल अकाउंट, यह सुविधा शायद बिल्कुल न दें। हर ऐप पासवर्ड आम तौर पर सिर्फ़ एक बार, बनाते समय ही दिखता है, इसलिए उसे फ़ौरन ऐप में पेस्ट कर दें।

चूँकि ऐप पासवर्ड दूसरे फ़ैक्टर को बायपास करता है, इसलिए उसे उस मेलबॉक्स के पूरे पासवर्ड जितना ही अहम मानें। हर ऐप या डिवाइस के लिए अलग पासवर्ड बनाएँ, जहाँ सर्विस इजाज़त दे वहाँ उसे पहचानने लायक नाम दें, और उसे कहीं और दोबारा इस्तेमाल न करें।

आधुनिक ईमेल ऐप बड़े प्रोवाइडर में ब्राउज़र जैसी साइन-इन विंडो से लॉग इन करते हैं, जो टू-फ़ैक्टर ऑथेंटिकेशन को सीधे सँभाल लेती है, इसलिए उन्हें ऐप पासवर्ड की ज़रूरत नहीं पड़ती। आम तौर पर इसकी ज़रूरत तभी पड़ती है जब कोई प्रोग्राम या डिवाइस सादी IMAP, POP या SMTP सेटिंग्स और एक साधारण पासवर्ड फ़ील्ड से जुड़ता है: पुराने डेस्कटॉप मेल क्लाइंट, कुछ मोबाइल मेल ऐप, ईमेल भेजने वाले स्कैनर और प्रिंटर, बैकअप टूल, स्क्रिप्ट और पुराने स्मार्ट डिवाइस।

एक अच्छी कसौटी यह है कि पहले सामान्य साइन-इन आज़माएँ। अगर ऐप प्रोवाइडर का अपना साइन-इन पेज खोलता है, तो उसी का इस्तेमाल करें। अगर वह सिर्फ़ सर्वर सेटिंग्स देता है और टू-स्टेप वेरिफ़िकेशन चालू करने के बाद आपका सही पासवर्ड बार-बार रिजेक्ट करता है, तो यही संकेत है कि ऐप पासवर्ड बनाएँ, उसे सामान्य पासवर्ड की जगह डालें और बाकी सेटिंग्स जैसी हैं वैसी रहने दें।

प्रोवाइडर थर्ड-पार्टी ऐप के लिए सादे पासवर्ड वाले साइन-इन से लोगों को धीरे-धीरे दूर ले जा रहे हैं, इसलिए जो ऐप पासवर्ड आज चल रहा है, उसका सपोर्ट आगे बंद हो सकता है। जब कोई ज़रूरी प्रोग्राम कनेक्ट होना बंद कर दे, तो एक और ऐप पासवर्ड बनाने से पहले देखें कि उसका नया वर्ज़न आधुनिक साइन-इन तरीका सपोर्ट करता है या नहीं।

समय-समय पर अकाउंट की सिक्योरिटी सेटिंग्स में अपने ऐप पासवर्ड देखें और जो अब इस्तेमाल में नहीं हैं उन्हें रद्द करें, खासकर बेचे गए डिवाइस या अनइंस्टॉल किए गए प्रोग्राम वाले। कुछ प्रोवाइडर हर ऐप पासवर्ड अलग-अलग दिखाते हैं, जबकि कुछ सिर्फ़ सब एक साथ हटाने देते हैं। कुछ सर्विस में मुख्य पासवर्ड बदलने पर मौजूदा ऐप पासवर्ड भी रद्द हो जाते हैं, इसलिए उसके बाद नए बनाने के लिए तैयार रहें।

अगर आपको कोई ईमेल अकाउंट किसी और से मिला है, उदाहरण के लिए rStock जैसे डिजिटल सामान के मार्केटप्लेस से, तो जो ऐप पासवर्ड और ऑथेंटिकेटर एंट्री आपने नहीं बनाईं उन्हें हटाएँ, फिर अपना ऑथेंटिकेटर सेट करें और नए बैकअप कोड बनाएँ। rStock पर डिलीवर किया गया कंटेंट आपके ऑर्डर पेज पर ऑर्डर से जुड़े डिलीवरी रिकॉर्ड के रूप में दिखता है, इसलिए बदलाव शुरू करने से पहले डिटेल अपने पासवर्ड मैनेजर में कॉपी कर लें। मिले हुए किसी भी अकाउंट का इस्तेमाल प्रोवाइडर की उपयोग की शर्तों के मुताबिक करें।

आखिर में, जहाँ तक हो सके अपने ऑथेंटिकेटर ऐप, बैकअप कोड और ऐप पासवर्ड को एक-दूसरे से अलग रखें। एक चोरी हुआ फ़ोन या लीक हुआ नोट कभी इतना नहीं होना चाहिए कि किसी को आपके मेल की सारी चाबियाँ मिल जाएँ।