टू-फैक्टर ऑथेंटिकेशन: Google Authenticator जैसा ऐप या SMS?

टू-फैक्टर ऑथेंटिकेशन (2FA) वह सुरक्षा की अतिरिक्त परत है जो आपके अकाउंट और पासवर्ड जान चुके किसी भी व्यक्ति के बीच खड़ी होती है। आइडिया सीधा है: सिर्फ पासवर्ड जानना काफी नहीं, आपको यह भी साबित करना होता है कि आपके पास कोई चीज़ मौजूद है — आमतौर पर आपका फ़ोन। लेकिन टू-फैक्टर ऑथेंटिकेशन के सभी तरीके एक जैसे मज़बूत नहीं होते। सबसे आम सवाल यही है: क्या मैं Google Authenticator जैसा ऑथेंटिकेटर ऐप इस्तेमाल करूँ, या SMS से आने वाले कोड पर भरोसा करूँ?

इस लेख में हम यह फर्क साफ़-साफ़ समझाएँगे, और बताएँगे कि ऐसे किसी भी प्लेटफॉर्म पर जहाँ आपका पैसा जुड़ा हो, वहाँ ऑथेंटिकेटर ऐप इस्तेमाल करने की सलाह हम इतनी ज़ोर देकर क्यों देते हैं।

हर तरीका कैसे काम करता है?

SMS: जब आप लॉगिन करते हैं, तो प्लेटफ़ॉर्म मोबाइल नेटवर्क के ज़रिए आपके फ़ोन नंबर पर एक अंकों वाला कोड भेजता है। आप वह कोड कॉपी करके डालते हैं और आपकी पहचान कन्फ़र्म हो जाती है। यह कोड आप तक पहुँचने के लिए टेलीकॉम ऑपरेटर के नेटवर्क पर निर्भर रहता है।

ऑथेंटिकेटर ऐप (TOTP): Google Authenticator, Authy या Microsoft Authenticator जैसा ऐप हर 30 सेकंड में सीधे आपके फ़ोन के अंदर एक नया कोड जनरेट करता है। यह कोड किसी नेटवर्क से होकर नहीं गुज़रता और न ही कहीं से आपको भेजा जाता है — यह आपके डिवाइस पर ही, एक "सीक्रेट की" के आधार पर लोकली कैलकुलेट होता है, जो सेटअप के वक़्त सिर्फ़ एक बार (QR कोड स्कैन करके) शेयर की जाती है। यही बुनियादी फ़र्क है जो ऐप को सुरक्षा के मामले में आगे रखता है। 30 सेकंड का यह अंतराल ऐप बनाने वाले की पसंद नहीं है — यह RFC 6238 में सुझाया गया डिफ़ॉल्ट मान है, यानी 2011 का वही IETF स्पेसिफ़िकेशन जो TOTP को परिभाषित करता है।

SMS की सबसे बड़ी समस्या: सिम-स्वैप

SMS ऑथेंटिकेशन की सबसे खतरनाक कमज़ोरी है सिम-स्वैप अटैक। सीधे शब्दों में, हमलावर आपकी टेलीकॉम कंपनी को यह यकीन दिला देता है कि आपका नंबर उसके पास मौजूद एक नई सिम पर ट्रांसफर कर दिया जाए — कभी आपकी पहचान चुराकर, कभी कस्टमर सर्विस के किसी कर्मचारी को बहला-फुसलाकर, तो कभी लीक हुए डेटा का फ़ायदा उठाकर। एक बार यह कामयाब हो जाए, तो आपके सारे SMS — जिसमें ऑथेंटिकेशन कोड भी शामिल हैं — उसी हमलावर के पास पहुँचने लगते हैं, और आपका नंबर अब आपके नहीं, उसके कब्ज़े में होता है।

SMS के खतरे यहीं खत्म नहीं होते:

• मैसेज रीडायरेक्शन — पुराने टेलीकॉम नेटवर्क की खामियों का फायदा उठाकर मैसेज बीच में रोक लिए जाते हैं।
• फ़िशिंग: एक नकली पेज आपसे कोड माँगता है, और आप बिना समझे वह कोड खुद ही वहाँ डाल देते हैं।
• नेटवर्क पर निर्भरता: अगर आप नेटवर्क रेंज से बाहर हैं या किसी दूसरी सिम पर सफ़र कर रहे हैं, तो कोई कोड पहुँचता ही नहीं।
• फ़ोन में मौजूद मैलवेयर जो आपके मैसेज पढ़ लेता है।

ऑथेंटिकेटर ऐप बेहतर क्यों है?

क्योंकि कोड आपके डिवाइस के अंदर ही, बिना इंटरनेट या नेटवर्क के जनरेट होता है, इसलिए जो हमलावर आपका फ़ोन नंबर चुरा लेता है, उसे कुछ भी हासिल नहीं होता — कोड्स सिरे से आपके नंबर से जुड़े ही नहीं होते, बल्कि आपके डिवाइस पर सेव उस सीक्रेट की से जुड़े होते हैं। यहाँ तक कि अगर आप फ़्लाइट मोड में हों, तब भी ऐप सही कोड जनरेट करता रहेगा। न कोई नेटवर्क बीच में आता है, न कोई मैसेज जिसे रीडायरेक्ट किया जा सके।

यही वजह है कि ऑथेंटिकेटर ऐप आम हमलों के खिलाफ़ कहीं ज़्यादा मज़बूत है, जबकि इस्तेमाल करना उतना ही आसान रहता है — बस कोड कॉपी करो और पेस्ट कर दो।

झटपट तुलना

ऑथेंटिकेटर ऐप स्टेप-बाय-स्टेप कैसे सेट करें?

1. एक भरोसेमंद ऐप डाउनलोड करें: Google Authenticator, Authy या Microsoft Authenticator।
2. अपने अकाउंट की सिक्योरिटी सेटिंग्स में जाकर "ऑथेंटिकेटर ऐप" के ज़रिए टू-फैक्टर ऑथेंटिकेशन ऑन करें।
3. स्क्रीन पर दिख रहे QR कोड को ऐप से स्कैन करें।
4. लिंकिंग कन्फ़र्म करने के लिए 6 अंकों का कोड डालें।
5. बैकअप रिकवरी कोड्स को सुरक्षित रखें — किसी ऐसी जगह जो आपके फ़ोन के अलावा हो (कागज़ पर, या किसी भरोसेमंद पासवर्ड मैनेजर में)।

अकाउंट सुरक्षा के लिए सुनहरे टिप्स

• अपना ऑथेंटिकेशन कोड किसी के साथ शेयर न करें, चाहे रिक्वेस्ट कितनी भी ऑफ़िशियल क्यों न लगे। कोई असली सपोर्ट एजेंट इसे कभी नहीं माँगता।
• हर अकाउंट के लिए मज़बूत और यूनीक पासवर्ड रखें — टू-फैक्टर ऑथेंटिकेशन एक एक्स्ट्रा लेयर है, अच्छे पासवर्ड की जगह नहीं ले सकता।
• फ़िशिंग लिंक से सावधान रहें; कोई भी कोड डालने से पहले हमेशा वेबसाइट का पता ज़रूर चेक करें।
• अगर मुमकिन हो, तो सबसे पहले अपनी ईमेल पर टू-फैक्टर ऑथेंटिकेशन ऑन करें, क्योंकि यह अक्सर बाकी सभी अकाउंट्स को रिकवर करने की चाबी होती है।

निष्कर्ष

दोनों तरीके सिर्फ़ पासवर्ड पर भरोसा करने से कहीं बेहतर हैं। लेकिन अगर चुनना ही पड़े — और जब बात आपके पैसे की हो तो यह चुनाव मायने रखता है — तो ऑथेंटिकेटर ऐप ही सबसे मज़बूत और सबसे सुरक्षित विकल्प है, क्योंकि यह सिम-स्वैप और मैसेज इंटरसेप्शन जैसे हमलों की पहुँच से बाहर रहता है। SMS को सिर्फ़ तब इस्तेमाल करें जब कोई और विकल्प न हो, इसे अपनी पहली सुरक्षा लाइन न बनाएँ।

अगर आपके अहम खाते अब भी SMS कोड पर टिके हैं, तो आज ही उन्हें किसी ऑथेंटिकेटर ऐप पर ले जाएँ। यह कदम बस दो मिनट का है, लेकिन यह आपको एक ऐसे नुकसान से बचा सकता है जिसकी भरपाई शायद मुमकिन ही न हो।