2FA Full Form in Hindi, 2FA Kya Hota Hai, 2FA का क्या Use होता है, 2FA का Full Form क्या हैं, 2FA का फुल फॉर्म क्या है, Full Form of 2FA in Hindi, 2FA किसे कहते है, 2FA का फुल फॉर्म इन हिंदी, 2FA का पूरा नाम और हिंदी में क्या अर्थ होता है, 2FA की शुरुआत कैसे हुई, दोस्तों क्या आपको पता है 2FA की Full Form क्या है और 2FA होता क्या है, अगर आपका answer नहीं है, तो आपको उदास होने की कोई जरुरत नहीं है, क्योंकि आज हम इस पोस्ट में आपको 2FA की पूरी जानकारी हिंदी भाषा में देने जा रहे है. तो फ्रेंड्स 2FA Full Form in Hindi में और 2FA की पूरी इतिहास जानने के लिए इस पोस्ट को लास्ट तक पढ़े.
2FA की फुल फॉर्म “Two-Factor Authentication” होती है, 2FA को हिंदी में “दो तरीकों से प्रमाणीकरण” कहते है.
दो-कारक प्रमाणीकरण (2FA) एक सुरक्षा प्रणाली है जिसे किसी चीज़ तक पहुँचने के लिए पहचान के दो अलग-अलग रूपों की आवश्यकता होती है. ऑनलाइन खाते, स्मार्टफोन या यहां तक कि एक दरवाजे की सुरक्षा को मजबूत करने के लिए दो-कारक प्रमाणीकरण का उपयोग किया जा सकता है. 2FA उपयोगकर्ता से दो प्रकार की जानकारी की आवश्यकता के द्वारा ऐसा करता है - एक पासवर्ड या व्यक्तिगत पहचान संख्या (पिन), उपयोगकर्ता के स्मार्टफोन पर भेजा गया एक कोड, या एक फिंगरप्रिंट - जो कुछ भी सुरक्षित किया जा रहा है उससे पहले तक पहुँचा जा सकता है. टू-फैक्टर ऑथेंटिकेशन (2FA) एक सुरक्षा प्रणाली है जिसे किसी चीज़ तक पहुँचने के लिए पहचान के दो अलग-अलग रूपों की आवश्यकता होती है. पहला कारक एक पासवर्ड है और दूसरे में आमतौर पर आपके स्मार्टफोन पर भेजे गए कोड के साथ एक टेक्स्ट या आपके फिंगरप्रिंट, चेहरे या रेटिना का उपयोग करने वाले बायोमेट्रिक्स शामिल होते हैं. जबकि 2FA सुरक्षा में सुधार करता है, यह फुलप्रूफ नहीं है.
प्रश्न को संबोधित करने से पहले 'दो-कारक प्रमाणीकरण क्या है' या '2FA क्या है', आइए विचार करें कि अपनी ऑनलाइन खाता सुरक्षा को बेहतर बनाने के लिए आप जो कुछ भी कर सकते हैं वह करना क्यों महत्वपूर्ण है. हमारे अधिकांश जीवन मोबाइल उपकरणों और लैपटॉप पर हो रहे हैं, इसमें कोई आश्चर्य की बात नहीं है कि हमारे डिजिटल खाते अपराधियों के लिए एक चुंबक बन गए हैं. सरकारों, कंपनियों और व्यक्तियों के खिलाफ दुर्भावनापूर्ण हमले अधिक से अधिक आम हैं. और इस बात के कोई संकेत नहीं हैं कि हैक, डेटा उल्लंघनों और साइबर अपराध के अन्य रूपों की गति धीमी हो रही है! सौभाग्य से, व्यवसायों के लिए दो-कारक प्रमाणीकरण के रूप में उपयोगकर्ता खातों में अतिरिक्त स्तर की सुरक्षा जोड़ना आसान है, जिसे आमतौर पर 2FA भी कहा जाता है.
दो-कारक प्रमाणीकरण (2FA), जिसे कभी-कभी दो-चरणीय सत्यापन या दोहरे-कारक प्रमाणीकरण के रूप में संदर्भित किया जाता है, एक सुरक्षा प्रक्रिया है जिसमें उपयोगकर्ता स्वयं को सत्यापित करने के लिए दो अलग-अलग प्रमाणीकरण कारक प्रदान करते हैं. 2FA को उपयोगकर्ता की साख और उपयोगकर्ता द्वारा उपयोग किए जा सकने वाले संसाधनों दोनों की बेहतर सुरक्षा के लिए लागू किया गया है. दो-कारक प्रमाणीकरण एकल-कारक प्रमाणीकरण (एसएफए) पर निर्भर प्रमाणीकरण विधियों की तुलना में उच्च स्तर की सुरक्षा प्रदान करता है, जिसमें उपयोगकर्ता केवल एक कारक प्रदान करता है - आमतौर पर, एक पासवर्ड या पासकोड. दो-कारक प्रमाणीकरण विधियां पहले कारक के रूप में पासवर्ड प्रदान करने वाले उपयोगकर्ता पर निर्भर करती हैं और दूसरा, अलग कारक - आमतौर पर या तो एक सुरक्षा टोकन या बायोमेट्रिक कारक, जैसे फिंगरप्रिंट या चेहरे का स्कैन.
दो-कारक प्रमाणीकरण प्रमाणीकरण प्रक्रिया में सुरक्षा की एक अतिरिक्त परत जोड़ता है, जिससे हमलावरों के लिए किसी व्यक्ति के उपकरणों या ऑनलाइन खातों तक पहुंच प्राप्त करना कठिन हो जाता है, क्योंकि भले ही पीड़ित का पासवर्ड हैक कर लिया गया हो, प्रमाणीकरण पास करने के लिए केवल एक पासवर्ड ही पर्याप्त नहीं है जाँच.
संवेदनशील प्रणालियों और डेटा तक पहुंच को नियंत्रित करने के लिए दो-कारक प्रमाणीकरण का उपयोग लंबे समय से किया जाता रहा है. ऑनलाइन सेवा प्रदाता तेजी से 2FA का उपयोग अपने उपयोगकर्ताओं के क्रेडेंशियल्स को हैकर्स द्वारा उपयोग किए जाने से बचाने के लिए कर रहे हैं, जिन्होंने पासवर्ड डेटाबेस चुरा लिया है या उपयोगकर्ता पासवर्ड प्राप्त करने के लिए फ़िशिंग अभियानों का उपयोग किया है.
ऐसे कई तरीके हैं जिनसे किसी को एक से अधिक प्रमाणीकरण विधियों का उपयोग करके प्रमाणित किया जा सकता है. वर्तमान में, अधिकांश प्रमाणीकरण विधियाँ ज्ञान कारकों पर निर्भर करती हैं, जैसे कि एक पारंपरिक पासवर्ड, जबकि दो-कारक प्रमाणीकरण विधियाँ या तो एक अधिकार कारक या एक अंतर्निहित कारक जोड़ती हैं. कंप्यूटिंग के लिए गोद लेने के अनुमानित क्रम में सूचीबद्ध प्रमाणीकरण कारकों में निम्नलिखित शामिल हैं:-
एक ज्ञान कारक कुछ ऐसा है जिसे उपयोगकर्ता जानता है, जैसे पासवर्ड, व्यक्तिगत पहचान संख्या (पिन) या किसी अन्य प्रकार का साझा रहस्य. ऑथेंटिकेशन रिक्वेस्ट को अप्रूव करने के लिए एक पजेशन फैक्टर एक ऐसी चीज है, जो यूजर के पास होती है, जैसे आईडी कार्ड, सिक्योरिटी टोकन, सेलफोन, मोबाइल डिवाइस या स्मार्टफोन ऐप. एक बायोमेट्रिक कारक, जिसे इनहेरेंस फैक्टर के रूप में भी जाना जाता है, उपयोगकर्ता के भौतिक स्व में निहित कुछ है. ये भौतिक विशेषताओं से मैप की गई व्यक्तिगत विशेषताएँ हो सकती हैं, जैसे फ़िंगरप्रिंट रीडर के माध्यम से प्रमाणित फ़िंगरप्रिंट. अन्य आमतौर पर इस्तेमाल किए जाने वाले इनहेरेंस कारकों में चेहरे और आवाज की पहचान या व्यवहार संबंधी बायोमेट्रिक्स शामिल हैं, जैसे कीस्ट्रोक डायनेमिक्स, चाल या भाषण पैटर्न. एक स्थान कारक को आमतौर पर उस स्थान से दर्शाया जाता है जहां से प्रमाणीकरण का प्रयास किया जा रहा है. इसे किसी विशेष स्थान पर विशिष्ट उपकरणों के प्रमाणीकरण प्रयासों को सीमित करके या स्रोत इंटरनेट प्रोटोकॉल पते या कुछ अन्य भौगोलिक स्थान जानकारी, जैसे ग्लोबल पोजिशनिंग सिस्टम (जीपीएस) डेटा के आधार पर प्रमाणीकरण प्रयास के भौगोलिक स्रोत को ट्रैक करके लागू किया जा सकता है. उपयोगकर्ता का मोबाइल फोन या अन्य डिवाइस.
एक समय कारक उपयोगकर्ता प्रमाणीकरण को एक विशिष्ट समय विंडो तक सीमित करता है जिसमें लॉगिंग की अनुमति है और उस विंडो के बाहर सिस्टम तक पहुंच को प्रतिबंधित करता है. दो-कारक प्रमाणीकरण विधियों का विशाल बहुमत पहले तीन प्रमाणीकरण कारकों पर निर्भर करता है, हालांकि अधिक सुरक्षा की आवश्यकता वाले सिस्टम मल्टीफ़ैक्टर प्रमाणीकरण (एमएफए) को लागू करने के लिए उनका उपयोग कर सकते हैं, जो अधिक सुरक्षित प्रमाणीकरण के लिए दो या अधिक स्वतंत्र क्रेडेंशियल्स पर भरोसा कर सकते हैं.
दो-कारक प्रमाणीकरण सक्षम करना विशिष्ट एप्लिकेशन या विक्रेता के आधार पर भिन्न होता है. हालाँकि, दो-कारक प्रमाणीकरण प्रक्रियाओं में समान सामान्य, बहु-चरणीय प्रक्रिया शामिल होती है:
उपयोगकर्ता को एप्लिकेशन या वेबसाइट द्वारा लॉग इन करने के लिए कहा जाता है.
उपयोगकर्ता वह दर्ज करता है जो वे जानते हैं - आमतौर पर, उपयोगकर्ता नाम और पासवर्ड. फिर, साइट का सर्वर एक मेल ढूंढता है और उपयोगकर्ता को पहचानता है.
उन प्रक्रियाओं के लिए जिन्हें पासवर्ड की आवश्यकता नहीं होती है, वेबसाइट उपयोगकर्ता के लिए एक अद्वितीय सुरक्षा कुंजी उत्पन्न करती है. प्रमाणीकरण उपकरण कुंजी को संसाधित करता है, और साइट का सर्वर इसे मान्य करता है.
साइट तब उपयोगकर्ता को दूसरा लॉगिन चरण आरंभ करने के लिए प्रेरित करती है. हालांकि यह कदम कई रूप ले सकता है, उपयोगकर्ता को यह साबित करना होगा कि उनके पास केवल कुछ ही होगा, जैसे कि बायोमेट्रिक्स, एक सुरक्षा टोकन, एक आईडी कार्ड, एक स्मार्टफोन या अन्य मोबाइल डिवाइस. यह वंशानुक्रम या कब्जा कारक है.
फिर, उपयोगकर्ता को चरण चार के दौरान उत्पन्न किया गया एक बार का कोड दर्ज करना पड़ सकता है.
दोनों कारक प्रदान करने के बाद, उपयोगकर्ता को प्रमाणित किया जाता है और एप्लिकेशन या वेबसाइट तक पहुंच प्रदान की जाती है.
दो-कारक प्रमाणीकरण एमएफए का एक रूप है. तकनीकी रूप से, यह किसी भी समय उपयोग में होता है किसी सिस्टम या सेवा तक पहुंच प्राप्त करने के लिए दो प्रमाणीकरण कारकों की आवश्यकता होती है. हालांकि, एक ही श्रेणी के दो कारकों का उपयोग करने से 2FA नहीं बनता है. उदाहरण के लिए, पासवर्ड और साझा रहस्य की आवश्यकता को अभी भी SFA माना जाता है क्योंकि वे दोनों ज्ञान प्रमाणीकरण कारक प्रकार से संबंधित हैं.
जहाँ तक SFA सेवाओं की बात है, उपयोगकर्ता नाम और पासवर्ड सबसे सुरक्षित नहीं हैं. पासवर्ड-आधारित प्रमाणीकरण के साथ एक समस्या यह है कि मजबूत पासवर्ड बनाने और याद रखने के लिए ज्ञान और परिश्रम की आवश्यकता होती है. पासवर्ड को कई अंदरूनी खतरों से सुरक्षा की आवश्यकता होती है, जैसे लॉगिन क्रेडेंशियल के साथ लापरवाही से संग्रहीत स्टिकी नोट्स, पुरानी हार्ड ड्राइव और सोशल इंजीनियरिंग कारनामे. पासवर्ड बाहरी खतरों का भी शिकार होते हैं, जैसे हैकर्स जानवर-बल, शब्दकोश या इंद्रधनुष तालिका हमलों का उपयोग करते हैं. पर्याप्त समय और संसाधनों को देखते हुए, एक हमलावर आमतौर पर पासवर्ड-आधारित सुरक्षा प्रणालियों का उल्लंघन कर सकता है और कॉर्पोरेट डेटा चुरा सकता है. पासवर्ड उनकी कम लागत, कार्यान्वयन में आसानी और परिचित होने के कारण SFA का सबसे सामान्य रूप बना हुआ है. एकाधिक चुनौती-प्रतिक्रिया प्रश्न अधिक सुरक्षा प्रदान कर सकते हैं, यह इस बात पर निर्भर करता है कि उन्हें कैसे लागू किया जाता है, और स्टैंडअलोन बायोमेट्रिक सत्यापन विधियां भी एसएफए की अधिक सुरक्षित विधि प्रदान कर सकती हैं.
2FA को लागू करने के लिए कई अलग-अलग डिवाइस और सेवाएं हैं - टोकन से लेकर रेडियो फ्रीक्वेंसी आइडेंटिफिकेशन (RFID) कार्ड से लेकर स्मार्टफोन ऐप तक. दो-कारक प्रमाणीकरण उत्पादों को दो श्रेणियों में विभाजित किया जा सकता है:-
टोकन जो उपयोगकर्ताओं को लॉग इन करते समय उपयोग करने के लिए दिए जाते हैं; तथा
बुनियादी ढांचा या सॉफ्टवेयर जो उन उपयोगकर्ताओं के लिए पहुंच को पहचानता है और प्रमाणित करता है जो अपने टोकन का सही तरीके से उपयोग कर रहे हैं.
प्रमाणीकरण टोकन भौतिक उपकरण हो सकते हैं, जैसे कि कुंजी फ़ॉब्स या स्मार्ट कार्ड, या वे सॉफ़्टवेयर में मोबाइल या डेस्कटॉप ऐप के रूप में मौजूद हो सकते हैं जो प्रमाणीकरण के लिए पिन कोड उत्पन्न करते हैं. ये प्रमाणीकरण कोड, जिन्हें वन-टाइम पासवर्ड (ओटीपी) के रूप में भी जाना जाता है, आमतौर पर एक सर्वर द्वारा उत्पन्न होते हैं और प्रमाणीकरण डिवाइस या ऐप द्वारा प्रामाणिक के रूप में पहचाने जा सकते हैं. प्रमाणीकरण कोड एक विशेष उपकरण, उपयोगकर्ता या खाते से जुड़ा एक छोटा अनुक्रम है और प्रमाणीकरण प्रक्रिया के हिस्से के रूप में केवल एक बार इसका उपयोग किया जा सकता है.
संगठनों को अपने टोकन के साथ प्रमाणित करने वाले उपयोगकर्ताओं तक पहुंच को स्वीकार करने, संसाधित करने और अनुमति देने या अस्वीकार करने के लिए एक प्रणाली को तैनात करने की आवश्यकता है. इसे सर्वर सॉफ़्टवेयर या एक समर्पित हार्डवेयर सर्वर के रूप में तैनात किया जा सकता है, साथ ही किसी तृतीय-पक्ष विक्रेता द्वारा सेवा के रूप में प्रदान किया जा सकता है. 2FA का एक महत्वपूर्ण पहलू यह सुनिश्चित करना है कि प्रमाणित उपयोगकर्ता को उन सभी संसाधनों तक पहुँच प्रदान की जाती है जिसके लिए उपयोगकर्ता स्वीकृत है और केवल वे संसाधन. नतीजतन, 2FA का एक प्रमुख कार्य प्रमाणीकरण प्रणाली को संगठन के प्रमाणीकरण डेटा के साथ जोड़ना है. माइक्रोसॉफ्ट विंडोज हैलो के माध्यम से विंडोज 10 में 2FA का समर्थन करने के लिए संगठनों के लिए आवश्यक कुछ बुनियादी ढांचा प्रदान करता है, जो माइक्रोसॉफ्ट खातों के साथ काम कर सकता है, साथ ही माइक्रोसॉफ्ट एक्टिव डायरेक्ट्री, एज़ूर एडी या फास्ट आइडेंटिटी ऑनलाइन (एफआईडीओ) के माध्यम से उपयोगकर्ताओं को प्रमाणित कर सकता है.
2FA के लिए हार्डवेयर टोकन प्रमाणीकरण के विभिन्न तरीकों का समर्थन करने के लिए उपलब्ध हैं. एक लोकप्रिय हार्डवेयर टोकन YubiKey है, जो एक छोटा यूनिवर्सल सीरियल बस (USB) उपकरण है जो OTP, सार्वजनिक कुंजी एन्क्रिप्शन और प्रमाणीकरण का समर्थन करता है, और FIDO एलायंस द्वारा विकसित यूनिवर्सल सेकेंड फैक्टर प्रोटोकॉल. YubiKey टोकन पालो ऑल्टो, कैलिफ़ोर्निया में स्थित Yubico Inc. द्वारा बेचे जाते हैं. जब यूबीकी वाले उपयोगकर्ता ओटीपी का समर्थन करने वाली ऑनलाइन सेवा में लॉग इन करते हैं - जैसे जीमेल, गिटहब या वर्डप्रेस - वे अपने डिवाइस के यूएसबी पोर्ट में अपनी यूबीकी डालते हैं, अपना पासवर्ड दर्ज करते हैं, यूबीकी फील्ड में क्लिक करते हैं और यूबीकी को स्पर्श करते हैं. बटन. YubiKey एक OTP जनरेट करता है और इसे फ़ील्ड में दर्ज करता है.
ओटीपी एक 44-वर्ण, एकल-उपयोग वाला पासवर्ड है; पहले 12 वर्ण एक अद्वितीय आईडी हैं जो खाते के साथ पंजीकृत सुरक्षा कुंजी का प्रतिनिधित्व करते हैं. शेष 32 वर्णों में ऐसी जानकारी होती है जो केवल डिवाइस और यूबिको के सर्वर के लिए ज्ञात कुंजी का उपयोग करके एन्क्रिप्ट की जाती है, जिसे प्रारंभिक खाता पंजीकरण के दौरान स्थापित किया गया था. प्रमाणीकरण जाँच के लिए यूबिको को ऑनलाइन सेवा से ओटीपी भेजा जाता है. एक बार ओटीपी की पुष्टि हो जाने के बाद, यूबिको प्रमाणीकरण सर्वर एक संदेश वापस भेजता है जो पुष्टि करता है कि यह इस उपयोगकर्ता के लिए सही टोकन है. 2FA पूरा हो गया है. उपयोगकर्ता ने प्रमाणीकरण के दो कारक प्रदान किए हैं: पासवर्ड ज्ञान कारक है, और YubiKey कब्जा कारक है.
स्मार्टफ़ोन विभिन्न प्रकार की 2FA क्षमताएँ प्रदान करते हैं, जिससे कंपनियाँ अपने लिए सबसे अच्छा काम करने वाली चीज़ों का उपयोग कर पाती हैं. कुछ डिवाइस फ़िंगरप्रिंट को पहचान सकते हैं, चेहरे की पहचान या आईरिस स्कैनिंग के लिए अंतर्निर्मित कैमरे का उपयोग कर सकते हैं, और ध्वनि पहचान के लिए माइक्रोफ़ोन का उपयोग कर सकते हैं. जीपीएस से लैस स्मार्टफोन एक अतिरिक्त कारक के रूप में स्थान की पुष्टि कर सकते हैं. ध्वनि या लघु संदेश सेवा (एसएमएस) का उपयोग आउट-ऑफ़-बैंड प्रमाणीकरण के लिए एक चैनल के रूप में भी किया जा सकता है. एक विश्वसनीय फ़ोन नंबर का उपयोग टेक्स्ट संदेश या स्वचालित फ़ोन कॉल द्वारा सत्यापन कोड प्राप्त करने के लिए किया जा सकता है. मोबाइल 2FA में नामांकन करने के लिए उपयोगकर्ता को कम से कम एक विश्वसनीय फ़ोन नंबर सत्यापित करना होगा.
Apple iOS, Google Android और Windows 10 सभी में ऐसे ऐप्स हैं जो 2FA को सपोर्ट करते हैं, जिससे फोन खुद को भौतिक डिवाइस के रूप में काम करने में सक्षम बनाता है ताकि कब्जा कारक को संतुष्ट किया जा सके. डुओ सिक्योरिटी, एन आर्बर, मिशिगन में स्थित है, और 2018 में $ 2.35 बिलियन में सिस्को द्वारा खरीदा गया, एक ऐसा प्लेटफॉर्म है जो ग्राहकों को 2FA के लिए अपने विश्वसनीय उपकरणों का उपयोग करने में सक्षम बनाता है. डुओ का प्लेटफॉर्म पहले यह स्थापित करता है कि मोबाइल डिवाइस को सत्यापित करने से पहले एक उपयोगकर्ता पर भरोसा किया जाता है, उस पर प्रमाणीकरण कारक के रूप में भी भरोसा किया जा सकता है.
प्रमाणक ऐप टेक्स्ट, वॉयस कॉल या ईमेल के माध्यम से सत्यापन कोड प्राप्त करने की आवश्यकता को प्रतिस्थापित करते हैं. उदाहरण के लिए, Google प्रमाणक का समर्थन करने वाली वेबसाइट या वेब-आधारित सेवा तक पहुँचने के लिए, उपयोगकर्ता अपना उपयोगकर्ता नाम और पासवर्ड टाइप करते हैं - एक ज्ञान कारक. फिर उपयोगकर्ताओं को छह अंकों की संख्या दर्ज करने के लिए कहा जाता है. एक पाठ संदेश प्राप्त करने के लिए कुछ सेकंड प्रतीक्षा करने के बजाय, एक प्रमाणक उनके लिए संख्या उत्पन्न करता है. ये नंबर हर 30 सेकंड में बदलते हैं और हर लॉगिन के लिए अलग होते हैं. सही संख्या दर्ज करके, उपयोगकर्ता सत्यापन प्रक्रिया को पूरा करते हैं और सही डिवाइस के कब्जे को साबित करते हैं - एक स्वामित्व कारक. ये और अन्य 2FA उत्पाद 2FA को लागू करने के लिए आवश्यक न्यूनतम सिस्टम आवश्यकताओं के बारे में जानकारी प्रदान करते हैं.
एक पुश अधिसूचना पासवर्ड रहित प्रमाणीकरण है जो उपयोगकर्ता के डिवाइस पर एक सुरक्षित ऐप पर सीधे अधिसूचना भेजकर उपयोगकर्ता को सत्यापित करती है, उपयोगकर्ता को चेतावनी देती है कि प्रमाणीकरण प्रयास हो रहा है. उपयोगकर्ता प्रमाणीकरण प्रयास का विवरण देख सकता है और या तो पहुंच को स्वीकृत या अस्वीकार कर सकता है - आमतौर पर, एक टैप से. यदि उपयोगकर्ता प्रमाणीकरण अनुरोध को स्वीकार करता है, तो सर्वर उस अनुरोध को प्राप्त करता है और उपयोगकर्ता को वेब ऐप में लॉग इन करता है. पुश सूचनाएं यह पुष्टि करके उपयोगकर्ता को प्रमाणित करती हैं कि प्रमाणीकरण प्रणाली के साथ पंजीकृत डिवाइस - आमतौर पर एक मोबाइल डिवाइस - उपयोगकर्ता के कब्जे में है. यदि कोई हमलावर डिवाइस से छेड़छाड़ करता है, तो पुश नोटिफिकेशन से भी समझौता किया जाता है. पुश सूचनाएं मानव-में-मध्य हमलों, अनधिकृत पहुंच और सोशल इंजीनियरिंग हमलों जैसे खतरों को समाप्त करती हैं.
जबकि पुश सूचनाएँ प्रमाणीकरण विधियों के अन्य रूपों की तुलना में अधिक सुरक्षित हैं, फिर भी सुरक्षा जोखिम हैं. उदाहरण के लिए, उपयोगकर्ता गलती से एक कपटपूर्ण प्रमाणीकरण अनुरोध को स्वीकार कर सकते हैं क्योंकि पुश नोटिफिकेशन प्राप्त होने पर उन्हें स्वीकृति को टैप करने के लिए उपयोग किया जाता है.
जबकि दो-कारक प्रमाणीकरण सुरक्षा में सुधार करता है, 2FA योजनाएं केवल उनके सबसे कमजोर घटक के रूप में सुरक्षित हैं. उदाहरण के लिए, हार्डवेयर टोकन जारीकर्ता या निर्माता की सुरक्षा पर निर्भर करते हैं. समझौता किए गए टू-फैक्टर सिस्टम के सबसे हाई-प्रोफाइल मामलों में से एक 2011 में हुआ जब सुरक्षा कंपनी आरएसए सिक्योरिटी ने बताया कि उसके सिक्योरिड प्रमाणीकरण टोकन को हैक कर लिया गया था.
जब दो-कारक प्रमाणीकरण को विफल करने के लिए इसका उपयोग किया जाता है, तो खाता पुनर्प्राप्ति प्रक्रिया को भी उलट दिया जा सकता है क्योंकि यह अक्सर उपयोगकर्ता के वर्तमान पासवर्ड को रीसेट करता है और उपयोगकर्ता को 2FA प्रक्रिया को दरकिनार करते हुए फिर से लॉग इन करने की अनुमति देने के लिए एक अस्थायी पासवर्ड ईमेल करता है. Cloudflare के मुख्य कार्यकारी अधिकारी के बिजनेस जीमेल अकाउंट इस तरह से हैक किए गए.
हालांकि एसएमएस-आधारित 2FA सस्ता, लागू करने में आसान और उपयोगकर्ता के अनुकूल माना जाता है, लेकिन यह कई हमलों के लिए असुरक्षित है. राष्ट्रीय मानक और प्रौद्योगिकी संस्थान (एनआईएसटी) ने अपने विशेष प्रकाशन 800-63-3: डिजिटल पहचान दिशानिर्देश में 2FA सेवाओं में एसएमएस के उपयोग को हतोत्साहित किया है. एनआईएसटी ने निष्कर्ष निकाला कि एसएमएस के माध्यम से भेजे गए ओटीपी मोबाइल फोन नंबर पोर्टेबिलिटी हमलों, मोबाइल फोन नेटवर्क के खिलाफ हमलों और मैलवेयर के कारण बहुत कमजोर हैं जिनका उपयोग टेक्स्ट संदेशों को इंटरसेप्ट या रीडायरेक्ट करने के लिए किया जा सकता है.
उच्च सुरक्षा की आवश्यकता वाले वातावरण में तीन-कारक प्रमाणीकरण में रुचि हो सकती है, जिसमें आम तौर पर एक भौतिक टोकन और बायोमेट्रिक डेटा के संयोजन के साथ उपयोग किया जाने वाला पासवर्ड शामिल होता है, जैसे फिंगरप्रिंट स्कैन या वॉयसप्रिंट. जियोलोकेशन, डिवाइस के प्रकार और दिन के समय जैसे कारकों का उपयोग यह निर्धारित करने में मदद के लिए किया जा रहा है कि उपयोगकर्ता को प्रमाणित किया जाना चाहिए या अवरुद्ध किया जाना चाहिए. इसके अतिरिक्त, व्यवहारिक बायोमेट्रिक पहचानकर्ता, जैसे कि उपयोगकर्ता की कीस्ट्रोक लंबाई, टाइपिंग गति और माउस की गतिविधियों को भी लॉगिन के दौरान एक बार की प्रमाणीकरण जांच के बजाय निरंतर प्रमाणीकरण प्रदान करने के लिए वास्तविक समय में सावधानीपूर्वक निगरानी की जा सकती है.
प्रमाणीकरण की मुख्य विधि के रूप में पासवर्ड पर भरोसा करना, जबकि सामान्य, अब सुरक्षा या उपयोगकर्ता अनुभव प्रदान नहीं करता है जो कंपनियां और उनके उपयोगकर्ता मांग करते हैं. और, भले ही पासवर्ड मैनेजर और एमएफए जैसे विरासत सुरक्षा उपकरण, उपयोगकर्ता नाम और पासवर्ड की समस्याओं से निपटने का प्रयास करते हैं, वे अनिवार्य रूप से पुराने आर्किटेक्चर पर निर्भर करते हैं: पासवर्ड डेटाबेस. नतीजतन, कई संगठन पासवर्ड रहित प्रमाणीकरण की ओर रुख कर रहे हैं. बायोमेट्रिक्स और सुरक्षित प्रोटोकॉल जैसे तरीकों का उपयोग करने से उपयोगकर्ता पासवर्ड दर्ज किए बिना अपने अनुप्रयोगों में खुद को सुरक्षित रूप से प्रमाणित कर सकते हैं. व्यवसाय में, इसका अर्थ है कि कर्मचारी पासवर्ड दर्ज किए बिना अपने काम तक पहुंच सकते हैं और आईटी अभी भी प्रत्येक लॉगिन पर कुल नियंत्रण रखता है. ब्लॉकचेन का उपयोग, उदाहरण के लिए, विकेंद्रीकृत पहचान या स्व-संप्रभु पहचान के माध्यम से, पारंपरिक प्रमाणीकरण विधियों के विकल्प के रूप में भी ध्यान आकर्षित कर रहा है.
दो-कारक प्रमाणीकरण को अनधिकृत उपयोगकर्ताओं को किसी ऐसे खाते तक पहुंच प्राप्त करने से रोकने के लिए डिज़ाइन किया गया है जिसमें चोरी किए गए पासवर्ड के अलावा और कुछ नहीं है. उपयोगकर्ताओं को उनके द्वारा समझे गए पासवर्ड से अधिक जोखिम हो सकता है, खासकर यदि वे एक से अधिक वेबसाइट पर एक ही पासवर्ड का उपयोग करते हैं. सॉफ़्टवेयर डाउनलोड करने और ईमेल में लिंक पर क्लिक करने से भी कोई व्यक्ति पासवर्ड की चोरी का शिकार हो सकता है. दो-कारक प्रमाणीकरण निम्नलिखित में से दो का संयोजन है:
कुछ आप जानते हैं (आपका पासवर्ड)
आपके पास कुछ है (जैसे आपके स्मार्टफोन या अन्य डिवाइस पर भेजे गए कोड वाला टेक्स्ट, या स्मार्टफोन प्रमाणक ऐप)
आप कुछ हैं (आपके फिंगरप्रिंट, चेहरे या रेटिना का उपयोग करके बायोमेट्रिक्स)
2FA केवल ऑनलाइन संदर्भों पर लागू नहीं होता है. यह तब भी काम करता है जब किसी उपभोक्ता को गैस पंप पर अपने क्रेडिट कार्ड का उपयोग करने से पहले अपना ज़िप कोड दर्ज करना होता है या जब उपयोगकर्ता को किसी नियोक्ता के सिस्टम में दूरस्थ रूप से लॉग इन करने के लिए RSA SecurID कुंजी फ़ॉब से प्रमाणीकरण कोड दर्ज करने की आवश्यकता होती है.
हाल के वर्षों में, हमने अपने उपयोगकर्ताओं के व्यक्तिगत डेटा को खोने वाली वेबसाइटों की संख्या में भारी वृद्धि देखी है. और जैसे-जैसे साइबर अपराध अधिक परिष्कृत होता जाता है, कंपनियों को पता चलता है कि उनकी पुरानी सुरक्षा प्रणालियाँ आधुनिक खतरों और हमलों से मेल नहीं खातीं. कभी-कभी यह साधारण मानवीय त्रुटि होती है जिसने उन्हें उजागर कर दिया है. और यह केवल उपयोगकर्ता का विश्वास नहीं है जो क्षतिग्रस्त हो सकता है. सभी प्रकार के संगठन-वैश्विक कंपनियां, छोटे व्यवसाय, स्टार्ट-अप और यहां तक कि गैर-लाभकारी- को गंभीर वित्तीय और प्रतिष्ठा की हानि हो सकती है.
उपभोक्ताओं के लिए, लक्षित हैक या पहचान की चोरी के परिणाम विनाशकारी हो सकते हैं. चोरी किए गए क्रेडेंशियल्स का उपयोग नकली क्रेडिट कार्ड और फंड शॉपिंग स्प्री को सुरक्षित करने के लिए किया जाता है, जो पीड़ित की क्रेडिट रेटिंग को नुकसान पहुंचा सकता है. और पूरे बैंक और क्रिप्टोकुरेंसी खातों को रातोंरात निकाला जा सकता है. हाल के एक अध्ययन से पता चला है कि 2016 में 15.4 मिलियन अमेरिकी उपभोक्ताओं से $16 बिलियन से अधिक लिया गया था. इससे भी अधिक अविश्वसनीय, पहचान वाले चोरों ने अकेले पिछले छह वर्षों में 107 बिलियन डॉलर से अधिक की चोरी की है. स्पष्ट रूप से, ऑनलाइन साइटों और ऐप्स को कड़ी सुरक्षा प्रदान करनी चाहिए. और, जब भी संभव हो, उपभोक्ताओं को किसी ऐसी चीज से खुद को बचाने की आदत डालनी चाहिए जो सिर्फ एक पासवर्ड से ज्यादा मजबूत हो. कई लोगों के लिए, सुरक्षा का वह अतिरिक्त स्तर दो-कारक प्रमाणीकरण है.
Apple खाताधारक 2FA का उपयोग यह सुनिश्चित करने के लिए कर सकते हैं कि खातों को केवल विश्वसनीय उपकरणों से ही एक्सेस किया जा सकता है. यदि कोई उपयोगकर्ता किसी भिन्न कंप्यूटर से अपने iCloud खाते में लॉग इन करने का प्रयास करता है, तो उपयोगकर्ता को पासवर्ड की आवश्यकता होगी, लेकिन एक बहु-अंकीय कोड भी होगा जो Apple उपयोगकर्ता के किसी एक डिवाइस, जैसे कि उनके iPhone पर भेजेगा. कई व्यवसाय कंपनी नेटवर्क और डेटा तक पहुंच को नियंत्रित करने के लिए 2FA भी लगाते हैं. कर्मचारियों को दूरस्थ डेस्कटॉप सॉफ़्टवेयर में साइन इन करने के लिए एक अतिरिक्त कोड दर्ज करने की आवश्यकता हो सकती है जो उन्हें कार्यालय के बाहर से अपने कार्य कंप्यूटर से कनेक्ट करने की अनुमति देता है.
जबकि 2FA सुरक्षा में सुधार करता है, यह फुलप्रूफ नहीं है. प्रमाणीकरण कारक हासिल करने वाले हैकर्स अभी भी खातों तक अनधिकृत पहुंच प्राप्त कर सकते हैं. ऐसा करने के सामान्य तरीकों में फ़िशिंग हमले, खाता पुनर्प्राप्ति प्रक्रिया और मैलवेयर शामिल हैं. हैकर्स 2FA में इस्तेमाल होने वाले टेक्स्ट मैसेज को भी इंटरसेप्ट कर सकते हैं. आलोचकों का तर्क है कि टेक्स्ट संदेश 2FA का सही रूप नहीं हैं क्योंकि वे कुछ ऐसा नहीं हैं जो उपयोगकर्ता के पास पहले से है बल्कि कुछ ऐसा है जिसे उपयोगकर्ता भेजा जाता है, और भेजने की प्रक्रिया कमजोर होती है. इसके बजाय, आलोचकों का तर्क है कि इस प्रक्रिया को दो-चरणीय सत्यापन कहा जाना चाहिए. कुछ कंपनियां, जैसे कि Google, इस शब्द का उपयोग करती हैं. फिर भी, दो-चरणीय सत्यापन अकेले पासवर्ड सुरक्षा से भी अधिक सुरक्षित है. बहु-कारक प्रमाणीकरण और भी मजबूत है, जिसके लिए खाता पहुंच प्रदान करने से पहले दो से अधिक कारकों की आवश्यकता होती है.
टू-फैक्टर ऑथेंटिकेशन (2FA) एक विशिष्ट प्रकार का मल्टी-फैक्टर ऑथेंटिकेशन (MFA) है जो आपकी पहचान को सत्यापित करने के लिए दो तरीकों (जिसे ऑथेंटिकेशन फैक्टर भी कहा जाता है) की आवश्यकता के द्वारा एक्सेस सुरक्षा को मजबूत करता है. प्रमाणीकरण अनुरोधों को स्वीकार करने के लिए इन कारकों में कुछ ऐसा शामिल हो सकता है जिसे आप जानते हैं - जैसे उपयोगकर्ता नाम और पासवर्ड - साथ ही आपके पास कुछ - जैसे स्मार्टफोन ऐप. 2FA फ़िशिंग, सोशल इंजीनियरिंग और पासवर्ड ब्रूट-फोर्स हमलों से बचाता है और कमजोर या चोरी हुए क्रेडेंशियल्स का शोषण करने वाले हमलावरों से आपके लॉगिन को सुरक्षित करता है.
दो-कारक प्रमाणीकरण (2FA) एक शून्य विश्वास सुरक्षा मॉडल का मूलभूत तत्व है. संवेदनशील डेटा की सुरक्षा के लिए, आपको यह सत्यापित करना होगा कि उस डेटा तक पहुँचने का प्रयास करने वाले उपयोगकर्ता वही हैं जो वे कहते हैं कि वे हैं. 2FA कई सुरक्षा खतरों से बचाने का एक प्रभावी तरीका है जो उपयोगकर्ता पासवर्ड और खातों को लक्षित करता है, जैसे फ़िशिंग, क्रूर-बल के हमले, क्रेडेंशियल शोषण और बहुत कुछ. मान लें कि आप किसी एप्लिकेशन का प्राथमिक प्रमाणीकरण पूरा करने के लिए उपयोगकर्ता नाम और पासवर्ड का उपयोग करते हैं. वह जानकारी इंटरनेट (आपका प्राथमिक नेटवर्क) पर भेजी जाती है. आप अपना दूसरा कारक पूरा करने के लिए एक अलग (आउट-ऑफ-बैंड) चैनल का उपयोग करना चाहेंगे. आपके मोबाइल नेटवर्क पर भेजी गई पुश सूचना को स्वीकृत करना आउट-ऑफ़-बैंड प्रमाणीकरण का एक उदाहरण है.
तो यह क्यों मायने रखता है? यदि कोई दूरस्थ हमलावर आपके इंटरनेट कनेक्शन के माध्यम से आपके कंप्यूटर में टैप करने में सक्षम है, तो वे आपका पासवर्ड, और आपके प्रमाणीकरण के दूसरे रूप को चुरा सकते हैं - यदि दोनों एक ही चैनल पर वितरित किए जाते हैं. आपके भौतिक उपकरण के बिना, अनुप्रयोगों में संग्रहीत कॉर्पोरेट नेटवर्क, क्लाउड स्टोरेज, वित्तीय जानकारी आदि तक अनधिकृत पहुंच प्राप्त करने के लिए दूरस्थ हमलावर आपके होने का दिखावा नहीं कर सकते. आपके अनुप्रयोगों के साथ दो-कारक प्रमाणीकरण को एकीकृत करके, हमलावर दूसरे कारक को पूरा करने के लिए आवश्यक आपके भौतिक उपकरण को रखे बिना आपके खातों तक पहुंचने में असमर्थ हैं.
दो-कारक प्रमाणीकरण के साथ, केवल आप ही अपने खाते को किसी विश्वसनीय डिवाइस या वेब पर एक्सेस कर सकते हैं. जब आप पहली बार किसी नए उपकरण में साइन इन करना चाहते हैं, तो आपको दो जानकारी प्रदान करनी होगी—आपका पासवर्ड और छह अंकों का सत्यापन कोड जो आपके विश्वसनीय उपकरणों पर स्वचालित रूप से प्रदर्शित होता है या आपके फ़ोन नंबर पर भेजा जाता है. कोड दर्ज करके, आप पुष्टि कर रहे हैं कि आप नए डिवाइस पर भरोसा करते हैं. उदाहरण के लिए, यदि आपके पास एक iPhone है और आप नए खरीदे गए Mac पर पहली बार अपने खाते में साइन इन कर रहे हैं, तो आपको अपना पासवर्ड और सत्यापन कोड दर्ज करने के लिए कहा जाएगा जो आपके iPhone पर स्वचालित रूप से प्रदर्शित होता है. क्योंकि केवल आपका पासवर्ड ही आपके खाते तक पहुँचने के लिए पर्याप्त नहीं है, दो-कारक प्रमाणीकरण नाटकीय रूप से आपके Apple ID की सुरक्षा और आपके द्वारा Apple के साथ संग्रहीत सभी व्यक्तिगत जानकारी में सुधार करता है. एक बार साइन इन करने के बाद, आपसे उस डिवाइस पर फिर से सत्यापन कोड नहीं मांगा जाएगा, जब तक कि आप पूरी तरह से साइन आउट नहीं कर देते, डिवाइस को मिटा नहीं देते, या सुरक्षा कारणों से अपना पासवर्ड बदलने की आवश्यकता नहीं होती है. जब आप वेब पर साइन इन करते हैं, तो आप अपने ब्राउज़र पर भरोसा करना चुन सकते हैं, इसलिए अगली बार उस कंप्यूटर से साइन इन करने पर आपसे सत्यापन कोड नहीं मांगा जाएगा.
एक विश्वसनीय उपकरण एक iPhone, iPad, या iOS 9 या बाद के संस्करण के साथ iPod टच, या OS X El Capitan वाला Mac या बाद का संस्करण है जिसे आपने दो-कारक प्रमाणीकरण का उपयोग करने के लिए पहले ही साइन इन कर लिया है. यह एक ऐसा उपकरण है जिसे हम जानते हैं कि यह आपका है और जब आप किसी भिन्न डिवाइस या ब्राउज़र पर साइन इन करते हैं तो इसका उपयोग Apple से सत्यापन कोड प्रदर्शित करके आपकी पहचान सत्यापित करने के लिए किया जा सकता है. जब आप अपने ऐप्पल आईडी से साइन इन करते हैं तो वॉचओएस 6 या बाद के संस्करण के साथ एक ऐप्पल वॉच सत्यापन कोड प्राप्त कर सकता है, लेकिन पासवर्ड रीसेट के लिए एक विश्वसनीय डिवाइस के रूप में कार्य नहीं कर सकता है.
एक विश्वसनीय फ़ोन नंबर एक ऐसा नंबर है जिसका उपयोग टेक्स्ट संदेश या स्वचालित फ़ोन कॉल द्वारा सत्यापन कोड प्राप्त करने के लिए किया जा सकता है. दो-कारक प्रमाणीकरण में नामांकन करने के लिए आपको कम से कम एक विश्वसनीय फ़ोन नंबर सत्यापित करना होगा. आपको एक अतिरिक्त फ़ोन नंबर की पुष्टि करने पर भी विचार करना चाहिए जिसे आप एक्सेस कर सकते हैं, जैसे कि घर का फ़ोन, या परिवार के किसी सदस्य या करीबी मित्र द्वारा उपयोग किया जाने वाला नंबर. आप इस नंबर का उपयोग कर सकते हैं यदि आप अस्थायी रूप से अपने प्राथमिक नंबर या अपने स्वयं के उपकरणों तक नहीं पहुंच सकते हैं.
सत्यापन कोड एक अस्थायी कोड होता है जो आपके विश्वसनीय डिवाइस या फ़ोन नंबर पर तब भेजा जाता है जब आप अपने Apple ID से किसी नए डिवाइस या ब्राउज़र में साइन इन करते हैं. आप अपने विश्वसनीय डिवाइस पर सेटिंग से सत्यापन कोड भी प्राप्त कर सकते हैं. एक सत्यापन कोड उस डिवाइस पासकोड से भिन्न होता है जिसे आप अपने iPhone, iPad या iPod टच को अनलॉक करने के लिए डालते हैं.