ٹو فیکٹر آتھنٹیکیشن: ہر اکاؤنٹ کو اس کی ضرورت کیوں ہے

صرف پاس ورڈ پر بھروسا کرنے کا مطلب ہے کہ ساری حفاظت ایک ہی کڑی پر ٹکی ہے۔ اگر کوئی اسے اندازے سے ڈھونڈ لے، آپ نے وہی پاس ورڈ کسی ایسی سائٹ پر بھی رکھا ہو جس کا ڈیٹا بعد میں چوری ہو جائے، یا آپ اسے کسی ہوبہو نقلی لاگ اِن صفحے پر ٹائپ کر بیٹھیں، تو جس کے پاس بھی یہ پاس ورڈ ہو وہ آپ بن کر سائن اِن کر سکتا ہے۔ ٹو فیکٹر آتھنٹیکیشن، جسے مختصراً 2FA کہا جاتا ہے، ایک دوسری جانچ کا اضافہ کرتا ہے جس کا تعلق اس بات سے نہیں کہ آپ کیا جانتے ہیں، بلکہ اس چیز سے ہے جو آپ کے پاس ہے، جیسے فون یا کوئی ہارڈویئر سیکیورٹی کی، یا اس چیز سے جو آپ خود ہیں، جیسے فنگر پرنٹ۔

نتیجہ یہ کہ چوری شدہ پاس ورڈ اب کافی نہیں رہتا۔ جس حملہ آور کے ہاتھ آپ کا پاس ورڈ لگ بھی جائے، اسے پھر بھی آپ کی آتھنٹیکیٹر ایپ کا کوڈ، سیکیورٹی کی پر آپ کا ٹچ یا آپ کی بھروسے مند ڈیوائس پر منظوری درکار ہوگی۔ عام اکاؤنٹس پر زیادہ تر حملے خودکار ہوتے ہیں اور بس موقع کی تلاش میں رہتے ہیں، اس لیے یہ ایک اضافی قدم آپ کو آسان شکار کی فہرست سے نکال دیتا ہے اور اکاؤنٹ ہاتھ سے جانے کا امکان بہت کم کر دیتا ہے۔

2FA اچھے پاس ورڈ کا متبادل نہیں ہے۔ یہ سب سے بہتر اس وقت کام کرتا ہے جب اس کے نیچے ایک منفرد اور لمبا پاس ورڈ ہو جو پاس ورڈ مینیجر میں محفوظ ہو۔ دونوں مل کر ایک دوسرے کی کمزوریاں ڈھانپ لیتے ہیں: منفرد پاس ورڈ دوسری جگہوں پر ہونے والے ڈیٹا لیک کا نقصان محدود رکھتا ہے، اور دوسرا فیکٹر اس وقت بچاتا ہے جب پاس ورڈ پھر بھی لیک ہو جائے۔

آتھنٹیکیٹر ایپس ہر بار ایک نیا مختصر کوڈ بناتی ہیں، جو عموماً چھ ہندسوں کا ہوتا ہے اور عموماً ہر 30 سیکنڈ بعد بدل جاتا ہے۔ یہ کوڈ ایک خفیہ کلید سے بنتا ہے جو سروس QR کوڈ اسکین کرتے وقت ایپ کے ساتھ شیئر کرتی ہے۔ یہ ایپس انٹرنیٹ کے بغیر بھی چلتی ہیں، عام طور پر مفت ہوتی ہیں اور زیادہ تر بڑے پلیٹ فارمز انہیں سپورٹ کرتے ہیں، اس لیے اکثر لوگوں کے لیے یہی معقول پہلا انتخاب ہے۔

ہارڈویئر سیکیورٹی کیز چھوٹے USB، NFC یا بلوٹوتھ آلات ہوتے ہیں جنہیں سائن اِن کرتے وقت لگایا یا چھوا جاتا ہے۔ پاس کیز بھی اسی اصول پر کام کرتی ہیں، مگر یہ آپ کے فون یا کمپیوٹر میں محفوظ رہتی ہیں اور فنگر پرنٹ، چہرے یا ڈیوائس PIN سے کھلتی ہیں۔ دونوں اصل ویب سائٹ کے پتے سے بندھی ہوتی ہیں، اس لیے ہوبہو نقلی فشنگ صفحے پر جواب ہی نہیں دیتیں۔ یہی وجہ ہے کہ عام صارفین کے لیے یہ سب سے مضبوط آپشن ہیں۔

پُش پرامپٹ آپ سے کسی ایسی ڈیوائس پر سائن اِن کی منظوری مانگتا ہے جس پر آپ پہلے سے لاگ اِن ہوں۔ SMS اور وائس کوڈز آپ کے فون نمبر پر ایک بار استعمال ہونے والا کوڈ بھیجتے ہیں۔ بیک اپ کوڈز ایک بار استعمال ہونے والے کوڈز کی فہرست ہوتے ہیں جو ہنگامی حالت کے لیے رکھے جاتے ہیں، جب آپ کا معمول کا طریقہ دستیاب نہ ہو۔ زیادہ تر سروسز ایک سے زیادہ طریقے آن کرنے دیتی ہیں، اور آپ کو ایسا کرنا بھی چاہیے: ایک مرکزی طریقہ اور کم از کم ایک متبادل۔

ٹیکسٹ میسج کے کوڈز دوسرے فیکٹر کے بالکل نہ ہونے سے کہیں بہتر ہیں، لیکن یہ آپ کے فون نمبر پر منحصر ہیں، اور فون نمبر پوری طرح آپ کے اختیار میں نہیں ہوتا۔ سم سواپ فراڈ میں مجرم موبائل کمپنی کے کسی ملازم کو باتوں میں لا کر یا رشوت دے کر آپ کا نمبر اپنی سم پر منتقل کروا لیتا ہے۔ اسی لمحے سے آپ کے لیے آنے والا ہر کوڈ اس کے فون پر پہنچنے لگتا ہے۔

SMS کوڈز بھی پاس ورڈ کی طرح فشنگ سے چرائے جا سکتے ہیں: نقلی لاگ اِن صفحہ آپ سے کوڈ مانگتا ہے اور حملہ آور چند سیکنڈ میں اسے اصل سائٹ پر آگے بھیج دیتا ہے۔ رسائی عام وجوہات سے بھی چھن سکتی ہے، مثلاً جب آپ رومنگ کے بغیر بیرونِ ملک جائیں، موبائل کمپنی بدلیں، یا کوئی پری پیڈ نمبر بند ہو جائے اور بعد میں کسی اور کو الاٹ ہو جائے۔

اگر کوئی سروس آتھنٹیکیٹر ایپ، سیکیورٹی کی یا پاس کی استعمال کرنے کی سہولت دیتی ہے تو انہی میں سے کسی پر منتقل ہو جائیں، اور SMS کو صرف متبادل کے طور پر رکھیں، یا سروس اجازت دے تو اسے مکمل طور پر ہٹا دیں۔ جہاں SMS ہی واحد راستہ ہو، وہاں خود نمبر کو محفوظ کریں: کئی موبائل کمپنیاں اکاؤنٹ PIN یا نمبر کی منتقلی پر تالا لگانے کی سہولت دیتی ہیں، جس سے بغیر اجازت نمبر منتقل کرنا مشکل ہو جاتا ہے۔

ان اکاؤنٹس سے شروع کریں جو باقی سب کی چابی ہیں۔ سب سے پہلے آپ کا مرکزی ای میل، کیونکہ پاس ورڈ ری سیٹ کے لنک وہیں آتے ہیں، پھر آپ کا ایپل، گوگل یا مائیکروسافٹ اکاؤنٹ، آپ کا پاس ورڈ مینیجر، اور ہر وہ اکاؤنٹ جس میں پیسہ یا قیمتی ڈیٹا ہو، جیسے بینک یا موبائل والیٹ کی ایپ۔ جب یہ محفوظ ہو جائیں تو سوشل نیٹ ورکس، ٹیلیگرام اور ڈسکارڈ جیسے میسنجرز اور باقی اکاؤنٹس کی باری آتی ہے۔

یہ آپشن عموماً اکاؤنٹ کی سیکیورٹی سیٹنگز میں ٹو اسٹیپ ویریفکیشن، ٹو فیکٹر آتھنٹیکیشن یا لاگ اِن ویریفکیشن جیسے کسی نام سے ملتا ہے۔ آتھنٹیکیٹر ایپ یا سیکیورٹی کی والا آپشن چنیں، اپنی ایپ سے QR کوڈ اسکین کریں اور ایپ میں نظر آنے والا کوڈ ٹائپ کر کے تصدیق کریں کہ سب ٹھیک چل رہا ہے۔ اگر سروس پاس کیز سپورٹ کرتی ہے تو فون اور کمپیوٹر پر ایک ایک پاس کی بنا لینے سے آپ کو سائن اِن کا ایسا طریقہ مل جاتا ہے جو آسان بھی ہے اور فشنگ کے مقابلے میں مضبوط بھی۔

سیٹنگز کا صفحہ بند کرنے سے پہلے بیک اپ کوڈز محفوظ کریں، ممکن ہو تو دوسرا طریقہ بھی شامل کریں، اور دیکھ لیں کہ ریکوری ای میل اور فون نمبر اپ ٹو ڈیٹ ہیں اور آپ ہی کے ہیں۔ پھر ایک بار سائن آؤٹ کر کے دوبارہ سائن اِن کریں، تاکہ اصل ضرورت پڑنے سے پہلے ہی آپ کو معلوم ہو جائے کہ پرامپٹ کیسا دکھتا ہے۔

جب فون گم ہو جائے، ٹوٹ جائے یا ری سیٹ ہو جائے تو بیک اپ کوڈز ہی واپسی کا راستہ ہوتے ہیں۔ ہر کوڈ صرف ایک بار چلتا ہے، اور کئی سروسز پر نیا سیٹ بنانے سے پرانا منسوخ ہو جاتا ہے۔ انہیں گھر کی فالتو چابی کی طرح سمجھیں: ضرورت کے وقت لازمی، نہ ملے تو بے کار، اور کسی اجنبی کے ہاتھ لگ جائے تو خطرناک۔

انہیں رکھنے کی اچھی جگہیں یہ ہیں: ایک پرنٹ شدہ کاپی جو آپ کے اہم کاغذات کے ساتھ رکھی ہو، یا پاس ورڈ مینیجر میں ایک انکرپٹڈ نوٹ جسے آپ اس فون کے بغیر بھی کھول سکیں جس میں آتھنٹیکیٹر ہے۔ بری جگہوں میں ای میل ان باکس، بغیر لاک والی نوٹس ایپ، گیلری میں پڑا اسکرین شاٹ، یا اسی ڈیوائس پر رکھی فائل شامل ہیں جو کوڈز بناتی ہے، کیونکہ اس صورت میں وہ ایک ڈیوائس کھو جانے پر آپ اکاؤنٹ سے مکمل طور پر باہر رہ جائیں گے۔

ہر استعمال شدہ کوڈ پر نشان لگا دیں اور جب کوڈز کم رہ جائیں تو نیا سیٹ بنا لیں۔ اگر شک ہو کہ کسی نے آپ کے کوڈز دیکھ لیے ہیں تو انہیں فوراً دوبارہ بنائیں تاکہ پرانی فہرست کام کرنا چھوڑ دے۔

اگر آپ کو کوئی اکاؤنٹ کسی اور سے ملا ہے، چاہے کسی ساتھی نے پروجیکٹ کا اکاؤنٹ حوالے کیا ہو یا آپ نے اسے ڈیجیٹل اشیا کی کسی مارکیٹ پلیس سے خریدا ہو، تو یہ فرض کر کے چلیں کہ پچھلے مالک کے پاس اب بھی رسائی ہو سکتی ہے۔ مقصد یہ ہے کہ سائن اِن کر سکنے والے واحد شخص آپ ہوں۔ اکاؤنٹ ہمیشہ متعلقہ برانڈ کی شرائطِ استعمال کے مطابق استعمال کریں۔

یہ ترتیب اپنائیں: پاس ورڈ بدل کر نیا اور منفرد پاس ورڈ رکھیں، ریکوری ای میل اور فون کو ایسے ای میل اور نمبر سے بدلیں جو آپ کے اپنے اختیار میں ہوں، ہر وہ آتھنٹیکیٹر، سیکیورٹی کی یا بھروسے مند ڈیوائس ہٹا دیں جو آپ نے شامل نہیں کی، پھر اپنی ایپ سے 2FA آن کریں اور نئے بیک اپ کوڈز بنائیں۔ آخر میں فعال سیشنز دیکھیں اور اپنی ڈیوائس کے سوا باقی سب کو سائن آؤٹ کر دیں۔

rStock پر ڈیلیور ہونے والا مواد آپ کے آرڈر کے صفحے پر ایک ڈیلیوری ریکارڈ کی صورت میں نظر آتا ہے جو آرڈر سے منسلک ہوتا ہے، اس لیے آپ تفصیلات وہیں سے سیدھی اپنے پاس ورڈ مینیجر میں کاپی کر سکتے ہیں۔ آپ کی رقم روک کر رکھی جاتی ہے اور فوراً اسٹور کو جاری نہیں کی جاتی، اور اگر ڈیلیور شدہ اکاؤنٹ بیان کے مطابق کام نہ کرے تو آپ ڈیلیوری کے بعد ایک محدود مدت کے اندر تنازع کھول سکتے ہیں۔ پہلے اسٹور جواب دیتا ہے، اور اتفاق نہ ہو تو ماڈریٹر کو بلایا جا سکتا ہے۔ اکاؤنٹ کو جلد محفوظ اور چیک کر لینے سے آپ کسی بھی مسئلے کو اس مدت کے ختم ہونے سے پہلے پہچان سکتے ہیں۔

کسی ایسے پُش پرامپٹ کو منظور کر دینا جو آپ نے شروع ہی نہیں کیا، 2FA کے ناکام ہونے کی عام ترین وجوہات میں سے ایک ہے۔ اگر آپ سائن اِن نہیں کر رہے اور درخواست آ جائے تو اسے مسترد کریں اور پاس ورڈ بدل دیں، کیونکہ کسی کے پاس وہ پہلے سے موجود ہے۔ یہی اصول اس شخص پر بھی لاگو ہوتا ہے جو کال یا میسج کر کے آپ سے کوڈ پڑھ کر سنانے کو کہے، چاہے وہ خود کو بینک یا کسی کمپنی کا نمائندہ ہی کیوں نہ بتائے: جائز سروسز کو اس کی ضرورت نہیں ہوتی کہ آپ ایک بار استعمال ہونے والا کوڈ کسی کو بتائیں۔

ایک اور غلطی یہ ہے کہ اکاؤنٹ پر 2FA تو لگا دیا جائے مگر ریکوری کا کوئی پرانا اور کمزور راستہ کھلا چھوڑ دیا جائے، جیسے کوئی ترک کیا ہوا ای میل یا ایسا فون نمبر جو اب استعمال میں نہیں۔ اگر کوئی کمزور دروازہ کھلا ہو تو حملہ آور مضبوط دروازے کو چھوڑ کر اسی سے اندر آتے ہیں، اس لیے جب بھی فون یا ای میل سروس بدلیں، ریکوری کے آپشنز کا جائزہ لیں۔

آخر میں، نیا فون ہاتھ میں آنے تک منتقلی کی منصوبہ بندی مت ٹالیں۔ کسی ڈیوائس کو بدلنے یا ری سیٹ کرنے سے پہلے آتھنٹیکیٹر کوڈز منتقل کریں، تصدیق کریں کہ وہ نئی ڈیوائس پر چل رہے ہیں، اور صرف اس کے بعد پرانی ڈیوائس صاف کریں۔ چند منٹ کی تیاری آپ کو گھنٹوں کی اکاؤنٹ ریکوری سے بچا سکتی ہے۔