टू-फ़ैक्टर ऑथेंटिकेशन: एक पासवर्ड पर्याप्त क्यों नहीं है

पासवर्ड सबूत का एक टुकड़ा है: कुछ जो आप जानते हैं। परेशानी यह है कि जो कुछ भी आप जानते हैं वह किसी और को भी ज्ञात हो सकता है — अनुमानित, किसी असंबद्ध डेटा उल्लंघन में लीक, या एक विश्वसनीय फ़िशिंग ईमेल के माध्यम से सौंपा गया। टू-फ़ैक्टर ऑथेंटिकेशन (2FA) उस एक सबूत को अटूट बनाने की कोशिश नहीं करता। इसके बजाय, यह एक दूसरे, बिल्कुल अलग तरह के सबूत पर ज़ोर देता है भी — और वह संयोजन ही है जो वास्तव में अधिकांश खाता अधिग्रहण रोकता है।

सबूत की तीन आधिकारिक श्रेणियाँ

सुरक्षा प्रणालियाँ ऑथेंटिकेशन सबूत को तीन फ़ैक्टरों में वर्गीकृत करती हैं: कुछ जो आप <strong>जानते</strong> हैं (पासवर्ड, पिन), कुछ जो आपके <strong>पास</strong> है (फ़ोन जो कोड प्राप्त कर सकता है, भौतिक सुरक्षा की), और कुछ जो आप <strong>हैं</strong> (फ़िंगरप्रिंट या फ़ेस स्कैन)। वास्तविक मल्टी-फ़ैक्टर ऑथेंटिकेशन कम से कम दो <em>अलग</em> श्रेणियों से सबूत जोड़ता है — यही बिल्कुल कारण है कि पासवर्ड प्लस सुरक्षा प्रश्न असली 2FA नहीं है: दोनों अभी भी वे चीज़ें हैं जो आप जानते हैं, और दोनों को उसी तरह चुराया या अनुमानित किया जा सकता है।

दो फ़ैक्टरों को मिलाना इतना अधिक मज़बूत क्यों है

एक हमलावर जिसने लीक पासवर्ड डेटाबेस चुराया है उसके पास अब लाखों वैध "जो आप जानते हैं" हैं — लेकिन लगभग कोई मेल खाता "जो आपके पास है" नहीं। 2FA को पार करने का मतलब है दो पूरी तरह अलग प्रणालियों को एक साथ ख़तरे में डालना: आपका पासवर्ड, और अलग से, आपका भौतिक फ़ोन या सुरक्षा की। उस दूसरी आवश्यकता को अपने आप में अटूट होने की ज़रूरत नहीं है — इसे बस वास्तव में एक अलग तरह की बाधा होने की ज़रूरत है, ताकि एक लीक या एक अनुमान दोनों को एक साथ पार न कर सके।

2FA फिर भी कहाँ हराई जा सकती है — और क्यों यह इसे छोड़ने का कारण नहीं है

2FA हर हमले के प्रति प्रतिरक्षित नहीं है — सिम-स्वैप धोखाधड़ी, दुर्लभ मामलों में, SMS कोड को पुनर्निर्देशित कर सकती है, और परिष्कृत फ़िशिंग पेज वास्तविक समय में दोनों फ़ैक्टरों को हमलावर तक पहुँचा सकते हैं। लेकिन इन हमलों में उन बड़े पैमाने पर पासवर्ड-लीक हमलों की तुलना में कहीं अधिक प्रयास और कहीं अधिक दुर्लभता चाहिए जिनके ख़िलाफ़ अकेले पासवर्ड निराश्रित हैं। 2FA पूर्ण सुरक्षा का वादा नहीं करती; यह वादा करती है कि सस्ते, स्वचालित हमले जो अकेले पासवर्ड के ख़िलाफ़ सफल होते हैं, काम करना बंद कर देते हैं। यदि ऑथेंटिकेशन, साइबर सुरक्षा, या कोई अन्य कंप्यूटर विज्ञान विषय वास्तविक तंत्र के साथ समझाने की ज़रूरत है, सिर्फ़ पालन करने के लिए सलाह के बजाय, तो यही ठीक वह है जिसके लिए हमारी GCSE कंप्यूटर विज्ञान ट्यूशन है — पूरा सीखने का रास्ता यहाँ देखें।