टू-फ़ैक्टर ऑथेंटिकेशन असल में क्या करता है
अकेला पासवर्ड एक ऐसा ताला है जिसके टूटते ही पूरा दरवाज़ा खुल जाता है। अगर कोई उसका अंदाज़ा लगा ले, आपने वही पासवर्ड किसी ऐसी साइट पर भी लगाया हो जिसका डेटा बाद में लीक हो जाए, या आप उसे किसी हूबहू नकली लॉगिन पेज पर टाइप कर दें, तो जिसके पास भी वह पासवर्ड है वह आपके नाम से साइन इन कर सकता है। टू-फ़ैक्टर ऑथेंटिकेशन, जिसे आम तौर पर 2FA कहा जाता है, एक दूसरी जाँच जोड़ता है जिसका आपकी याद की हुई चीज़ से कोई लेना-देना नहीं होता: कोई ऐसी चीज़ जो आपके पास है, जैसे आपका फ़ोन या एक फ़िज़िकल कुंजी, या कोई ऐसी चीज़ जो आप खुद हैं, जैसे आपकी उँगली की छाप।
नतीजा यह कि चोरी हुआ पासवर्ड अकेले काफ़ी नहीं रहता। जिस हमलावर के पास आपका पासवर्ड है, उसे अब भी आपके ऑथेंटिकेटर ऐप का कोड, आपकी सिक्योरिटी कुंजी पर टैप या आपके भरोसेमंद डिवाइस पर मंज़ूरी चाहिए। आम अकाउंट पर होने वाले ज़्यादातर हमले ऑटोमेटेड होते हैं और आसान मौके की तलाश में रहते हैं, इसलिए यह एक अतिरिक्त कदम आपको आसान निशानों की भीड़ से बाहर कर देता है और अकाउंट छिनने की आशंका काफ़ी घटा देता है।
2FA अच्छे पासवर्ड की जगह नहीं लेता। यह सबसे अच्छा तब काम करता है जब इसके साथ एक लंबा, यूनिक पासवर्ड हो जो पासवर्ड मैनेजर में सेव हो। दोनों मिलकर एक-दूसरे की कमज़ोरी ढक देते हैं: यूनिक पासवर्ड किसी दूसरी साइट के लीक का नुकसान सीमित रखता है, और दूसरा फ़ैक्टर तब बचाता है जब पासवर्ड फिर भी लीक हो जाए।
दूसरे फ़ैक्टर के मुख्य प्रकार
ऑथेंटिकेटर ऐप एक सीक्रेट से बार-बार नया छोटा कोड बनाते हैं, जो अक्सर छह अंकों का होता है और आम तौर पर हर 30 सेकंड में बदलता है। QR कोड स्कैन करते समय सर्विस यही सीक्रेट आपके ऐप को सौंप देती है। ये ऐप ऑफ़लाइन चलते हैं, आम तौर पर मुफ़्त होते हैं और ज़्यादातर बड़े प्लेटफ़ॉर्म इन्हें सपोर्ट करते हैं, इसलिए ज़्यादातर लोगों के लिए यही समझदारी भरा डिफ़ॉल्ट है।
हार्डवेयर सिक्योरिटी कुंजी छोटे USB, NFC या ब्लूटूथ डिवाइस होते हैं, जिन्हें साइन इन करते समय लगाया या छुआ जाता है। पासकी इसी सिद्धांत पर काम करती हैं, लेकिन वे आपके फ़ोन या कंप्यूटर में रहती हैं और फ़िंगरप्रिंट, फ़ेस या डिवाइस PIN से खुलती हैं। दोनों असली वेबसाइट के पते से बंधी होती हैं, इसलिए हूबहू दिखने वाले फ़िशिंग पेज पर जवाब ही नहीं देतीं। यही वजह है कि आम यूज़र्स के लिए ये सबसे मज़बूत विकल्प हैं।
पुश प्रॉम्प्ट किसी ऐसे डिवाइस पर साइन-इन की मंज़ूरी माँगते हैं जिस पर आप पहले से लॉग इन हैं। SMS और वॉइस कोड आपके फ़ोन नंबर पर एक बार चलने वाला कोड भेजते हैं। बैकअप कोड एक बार इस्तेमाल होने वाले कोड की सूची है, जो उस इमरजेंसी के लिए है जब आपका सामान्य तरीका हाथ में न हो। ज़्यादातर सर्विस एक से ज़्यादा तरीके चालू करने देती हैं, और आपको ऐसा करना भी चाहिए: एक मुख्य तरीका और कम से कम एक बैकअप।
SMS कोड सबसे कमज़ोर विकल्प क्यों हैं
कोई दूसरा फ़ैक्टर न होने से SMS कोड कहीं बेहतर हैं, लेकिन ये आपके फ़ोन नंबर पर टिके होते हैं, और फ़ोन नंबर पूरी तरह आपके कंट्रोल में नहीं होता। SIM स्वैप में कोई अपराधी मोबाइल ऑपरेटर के किसी कर्मचारी को बहला-फुसलाकर या रिश्वत देकर आपका नंबर अपने पास की SIM पर ट्रांसफ़र करवा लेता है। उस पल से आपके लिए भेजा गया हर कोड उसके फ़ोन पर पहुँचता है।
SMS कोड भी पासवर्ड की तरह फ़िश किए जा सकते हैं: नकली लॉगिन पेज कोड माँगता है और हमलावर उसे कुछ ही सेकंड में असली साइट पर डाल देता है। पहुँच खोने के कुछ साधारण कारण भी हैं, जैसे बिना रोमिंग के विदेश जाना, ऑपरेटर बदलना या प्रीपेड नंबर का बंद हो जाना, जो बाद में किसी और को अलॉट हो सकता है।
अगर कोई सर्विस ऑथेंटिकेटर ऐप, सिक्योरिटी कुंजी या पासकी देती है, तो उनमें से किसी पर शिफ़्ट हो जाएँ और SMS को सिर्फ़ बैकअप के तौर पर रखें, या सर्विस इजाज़त दे तो पूरी तरह हटा दें। जहाँ SMS ही अकेला विकल्प हो, वहाँ नंबर को ही सुरक्षित करें: कई ऑपरेटर अकाउंट PIN या ट्रांसफ़र लॉक जैसी सुविधा देते हैं, जिससे बिना इजाज़त नंबर दूसरी SIM पर ले जाना मुश्किल हो जाता है।
2FA को सही तरीके से कैसे सेट करें
शुरुआत उन अकाउंट से करें जो बाकी सब की चाबी हैं। सबसे पहले आपका मुख्य ईमेल, क्योंकि पासवर्ड रीसेट लिंक वहीं आते हैं; फिर आपका Apple, Google या Microsoft अकाउंट, आपका पासवर्ड मैनेजर और हर वह अकाउंट जिसमें पैसे या कीमती डेटा हो। इनके सुरक्षित होने के बाद सोशल नेटवर्क, Telegram और Discord जैसे मैसेंजर और बाकी अकाउंट की बारी आती है।
यह विकल्प आम तौर पर अकाउंट की सिक्योरिटी सेटिंग्स में two-step verification, two-factor authentication या login verification जैसे नाम से मिलता है। ऑथेंटिकेटर ऐप या सिक्योरिटी कुंजी वाला विकल्प चुनें, ऐप से QR कोड स्कैन करें और ऐप में दिख रहा कोड डालकर पुष्टि करें कि सब ठीक चल रहा है। अगर सर्विस पासकी सपोर्ट करती है, तो फ़ोन और कंप्यूटर पर एक-एक पासकी जोड़ने से आपको ऐसा साइन-इन तरीका मिलता है जो आसान भी है और फ़िशिंग से भी बचाता है।
सेटिंग्स का पेज बंद करने से पहले बैकअप कोड सेव करें, हो सके तो दूसरा तरीका भी जोड़ें, और जाँच लें कि रिकवरी ईमेल और फ़ोन नंबर मौजूदा हैं और आपके ही हैं। फिर एक बार साइन आउट करके दोबारा साइन इन करें, ताकि असल ज़रूरत पड़ने से पहले ही आपको पता हो कि प्रॉम्प्ट कैसा दिखता है।
बैकअप कोड: वह हिस्सा जिसे ज़्यादातर लोग छोड़ देते हैं
फ़ोन खो जाए, टूट जाए या रीसेट हो जाए, तो बैकअप कोड ही अकाउंट में वापस आने का रास्ता हैं। हर कोड सिर्फ़ एक बार चलता है, और कई सर्विस में नया सेट बनाते ही पुराना रद्द हो जाता है। इन्हें घर की डुप्लीकेट चाबी की तरह समझें: ज़रूरत के वक्त बेहद काम की, न मिले तो बेकार, और किसी अजनबी के हाथ लग जाए तो खतरनाक।
इन्हें रखने की अच्छी जगहें हैं: ज़रूरी कागज़ात के साथ रखी एक प्रिंट की हुई कॉपी, या पासवर्ड मैनेजर में एक एन्क्रिप्टेड नोट जिसे आप उस फ़ोन के बिना भी खोल सकें जिसमें ऑथेंटिकेटर है। खराब जगहें हैं: आपका ईमेल इनबॉक्स, बिना लॉक वाला नोट्स ऐप, गैलरी में पड़ा स्क्रीनशॉट या उसी डिवाइस की कोई फ़ाइल जो कोड बनाता है, क्योंकि तब वह एक डिवाइस खोते ही आप पूरी तरह बाहर हो जाएँगे।
इस्तेमाल किए गए हर कोड को काटते जाएँ और कोड कम बचें तो नया सेट बना लें। अगर शक हो कि किसी ने आपके कोड देख लिए हैं, तो उन्हें फ़ौरन दोबारा जनरेट करें, ताकि पुरानी सूची बेकार हो जाए।
किसी और से मिला अकाउंट कैसे सुरक्षित करें
अगर आपको कोई अकाउंट किसी और से मिला है, चाहे वह किसी सहकर्मी से मिला प्रोजेक्ट अकाउंट हो या डिजिटल सामान के मार्केटप्लेस से की गई खरीद, तो मानकर चलें कि पिछले धारक के पास अब भी पहुँच हो सकती है। लक्ष्य यह है कि साइन इन कर सकने वाले अकेले व्यक्ति आप ही रहें। अकाउंट का इस्तेमाल हमेशा उस ब्रांड की उपयोग की शर्तों के मुताबिक करें।
इसी क्रम में काम करें: पासवर्ड बदलकर नया यूनिक पासवर्ड रखें, रिकवरी ईमेल और फ़ोन को अपने कंट्रोल वाले ईमेल और नंबर से बदलें, हर वह ऑथेंटिकेटर, सिक्योरिटी कुंजी या भरोसेमंद डिवाइस हटाएँ जिसे आपने नहीं जोड़ा, फिर अपने ऐप से 2FA चालू करें और नए बैकअप कोड बनाएँ। आखिर में एक्टिव सेशन की सूची देखें और अपने डिवाइस को छोड़कर बाकी सब से साइन आउट कर दें।
rStock पर डिलीवर किया गया कंटेंट आपके ऑर्डर पेज पर ऑर्डर से जुड़े डिलीवरी रिकॉर्ड के रूप में दिखता है, इसलिए आप वहीं से डिटेल कॉपी करके सीधे पासवर्ड मैनेजर में डाल सकते हैं। आपका पैसा रोककर रखा जाता है और स्टोर को फ़ौरन जारी नहीं होता, और अगर डिलीवर हुआ अकाउंट बताए गए तरीके से काम न करे तो आप डिलीवरी के बाद एक सीमित समय के भीतर विवाद खोल सकते हैं। पहले स्टोर जवाब देता है, और सहमति न बने तो मॉडरेटर को बुलाया जा सकता है। अकाउंट को जल्दी सुरक्षित करके जाँच लेने से कोई भी समस्या उसी दौरान पकड़ में आ जाती है जब यह समय-सीमा खुली होती है।
इन आम गलतियों से बचें
जो पुश प्रॉम्प्ट आपने शुरू ही नहीं किया, उसे मंज़ूर कर देना 2FA के नाकाम होने के सबसे आम कारणों में से एक है। अगर आप साइन इन नहीं कर रहे और रिक्वेस्ट आ जाए, तो उसे ठुकराएँ और पासवर्ड बदलें, क्योंकि किसी के पास वह पहले से है। यही बात उस व्यक्ति पर भी लागू होती है जो फ़ोन करके या मैसेज भेजकर आपसे कोड पढ़कर सुनाने को कहे: असली सर्विस को कभी ज़रूरत नहीं होती कि आप वन-टाइम कोड किसी से शेयर करें, चाहे सामने वाला खुद को बैंक या कंपनी का कर्मचारी ही क्यों न बताए।
दूसरी गलती यह है कि अकाउंट पर 2FA तो लगा दिया, पर कोई पुराना कमज़ोर रिकवरी रास्ता खुला छोड़ दिया, जैसे कोई छोड़ा हुआ ईमेल पता या ऐसा फ़ोन नंबर जो अब आप इस्तेमाल नहीं करते। अगर बगल का कमज़ोर दरवाज़ा खुला हो तो हमलावर सबसे मज़बूत दरवाज़े से होकर नहीं आते, इसलिए जब भी फ़ोन या ईमेल प्रोवाइडर बदलें, रिकवरी विकल्प ज़रूर जाँचें।
और आखिर में, माइग्रेशन की योजना बनाने के लिए नए फ़ोन के आने का इंतज़ार न करें। डिवाइस बदलने या रीसेट करने से पहले अपने ऑथेंटिकेटर कोड नए डिवाइस पर ले जाएँ, पुष्टि करें कि वे वहाँ चल रहे हैं, और उसके बाद ही पुराना डिवाइस साफ़ करें। कुछ मिनट की तैयारी अकाउंट रिकवरी के कई घंटे बचा सकती है।