प्रमाणीकरण (Authentication)

सरल शब्दों में प्रमाणीकरण क्या है

प्रमाणीकरण सिस्टम, सेवा या डेटा तक पहुंच के समय उपयोगकर्ता की पहचान या डिवाइस की प्रामाणिकता सत्यापित करने की प्रक्रिया है। सरल शब्दों में, यह प्रश्न का उत्तर है "साबित करें कि आप वास्तव में वही हैं जो होने का दावा करते हैं"।

कल्पना करें कि आप पैसे निकालने के लिए बैंक आते हैं। पहले आप अपना नाम बताते हैं (पहचान)। फिर आप अपना पासपोर्ट दिखाते हैं (प्रमाणीकरण) — आप साबित करते हैं कि आप वही हैं जो कहते हैं। उसके बाद ही कैशियर जांचता है कि क्या आप पैसे निकाल सकते हैं (प्राधिकरण)। वही योजना डिजिटल दुनिया में काम करती है।

प्रमाणीकरण किसी भी प्रणाली की सुरक्षा का पहला और सबसे महत्वपूर्ण चरण है। इसके बिना, डेटा सुरक्षा सुनिश्चित करना असंभव है — कोई भी हमलावर किसी अन्य उपयोगकर्ता का रूप धारण कर सकता था। Verizon के अनुसार, सभी डेटा उल्लंघनों में से 81% कमजोर या समझौता किए गए पासवर्ड के उपयोग से संबंधित हैं, जो सही प्रमाणीकरण के महत्व पर जोर देता है। प्रमाणीकरण प्राधिकरण से कैसे भिन्न है, इसके बारे में प्राधिकरण लेख में पढ़ें।

तीन मुख्य प्रमाणीकरण कारक

प्रामाणिकता सत्यापित करने के लिए तीन मुख्य प्रकार के कारकों का उपयोग किया जाता है, जिन्हें सुरक्षा बढ़ाने के लिए जोड़ा जा सकता है:

• ज्ञान कारक (आप क्या जानते हैं): पासवर्ड, पिन कोड, गुप्त प्रश्न का उत्तर, कोड शब्द। सबसे आम, लेकिन सबसे कमजोर तरीका भी, क्योंकि पासवर्ड का अनुमान लगाया, चुराया या ताक-झांक कर देखा जा सकता है।
• स्वामित्व कारक (आपके पास क्या है): एसएमएस कोड प्राप्त करने के लिए स्मार्टफोन, प्रमाणक ऐप (Google Authenticator, Yandex Key), यूएसबी टोकन (YubiKey, Rutoken), स्मार्ट कार्ड या बैंक कार्ड।
• बायोमेट्रिक कारक (आप क्या हैं): फिंगरप्रिंट, चेहरा स्कैन (Face ID), रेटिना स्कैन, आवाज, व्यवहार पैटर्न (टाइपिंग गतिशीलता)।

बायोमेट्रिक्स सुरक्षा के बारे में बायोमेट्रिक्स लेख में पढ़ें।

प्रमाणीकरण के प्रकार

उपयोग किए गए कारकों की संख्या और अनुप्रयोग परिदृश्य के आधार पर, प्रमाणीकरण को कई प्रकारों में विभाजित किया जाता है:

• एकल-कारक (1FA): केवल एक कारक का उपयोग होता है — आमतौर पर एक पासवर्ड। सबसे सरल, लेकिन सबसे कम सुरक्षित तरीका। कम जोखिम वाली प्रणालियों के लिए उपयुक्त (उदाहरण के लिए, समाचार साइट तक पहुंच)।
• दो-कारक (2FA): विभिन्न श्रेणियों से दो कारकों का उपयोग होता है — उदाहरण के लिए, एक पासवर्ड (ज्ञान) + एक एसएमएस कोड या पुश सूचना (स्वामित्व)। यह 99.9% स्वचालित हमलों को रोकता है और सुरक्षा में काफी सुधार करता है।
• बहु-कारक (MFA): तीन या अधिक कारकों का उपयोग होता है — उदाहरण के लिए, पासवर्ड + फिंगरप्रिंट + ऐप कोड। सबसे विश्वसनीय तरीका, महत्वपूर्ण प्रणालियों (बैंक, सरकारी प्रणालियां) के लिए अनुशंसित।
• पासवर्ड-रहित प्रमाणीकरण: बिना पासवर्ड के लॉगिन — बायोमेट्रिक्स (Face ID, फिंगरप्रिंट), ईमेल लिंक, पुश सूचना के माध्यम से वन-टाइम कोड या हार्डवेयर कुंजी के माध्यम से। इसे सबसे सुरक्षित और सुविधाजनक तरीका माना जाता है, क्योंकि यह पासवर्ड चोरी के जोखिम को समाप्त करता है।

MFA के बारे में बहु-कारक प्रमाणीकरण (MFA) लेख में पढ़ें।

प्रमाणीकरण व्यवहार में कैसे काम करता है

एक विशिष्ट प्रणाली में प्रमाणीकरण प्रक्रिया कई क्रमिक चरणों से मिलकर बनी होती है:

1. पहचान: उपयोगकर्ता सिस्टम को बताता है कि वह कौन है (उदाहरण के लिए, लॉगिन या ईमेल दर्ज करता है)। यह जांच नहीं है, बल्कि केवल पहचान का संकेत है।
2. साक्ष्य प्रदान करना: उपयोगकर्ता पासवर्ड दर्ज करता है, स्कैनर पर उंगली रखता है, एसएमएस कोड दर्ज करता है या प्रमाणक ऐप में लॉगिन की पुष्टि करता है।
3. सिस्टम द्वारा सत्यापन: सिस्टम प्रदान किए गए डेटा की तुलना डेटाबेस में संग्रहीत डेटा से करता है (पासवर्ड हैश, बायोमेट्रिक टेम्पलेट, टोकन)।
4. परिणाम: यदि डेटा मेल खाता है, तो प्रमाणीकरण सफल होता है और उपयोगकर्ता पहुंच प्राप्त करता है (आमतौर पर सत्र टोकन या कुकी के रूप में)। यदि नहीं, तो पहुंच अस्वीकृत होती है, और सिस्टम कई असफल प्रयासों के बाद खाते को लॉक कर सकता है।

आधुनिक प्रमाणीकरण रुझान

प्रमाणीकरण आधुनिक सुरक्षा और सुविधा आवश्यकताओं को पूरा करने के लिए सक्रिय रूप से विकसित हो रहा है:

• पासवर्ड-रहित लॉगिन: पासवर्ड के बजाय बायोमेट्रिक्स, वन-टाइम लिंक या हार्डवेयर कुंजियों का उपयोग। उपयोगकर्ताओं के लिए अधिक सुरक्षित और सुविधाजनक। रूस में इसे बैंकिंग अनुप्रयोगों और राज्य सेवाओं के पोर्टल पर सक्रिय रूप से पेश किया जा रहा है।
• अनुकूली (प्रासंगिक) प्रमाणीकरण: सिस्टम लॉगिन के संदर्भ का विश्लेषण करता है: भू-स्थान, डिवाइस, समय, उपयोगकर्ता व्यवहार। यदि सब कुछ सामान्य है, तो लॉगिन अतिरिक्त अनुरोधों के बिना आगे बढ़ता है; यदि संदेह हैं, तो सिस्टम एक अतिरिक्त कारक का अनुरोध करता है।
• सतत प्रमाणीकरण: केवल लॉगिन पर नहीं, बल्कि पूरे सत्र में निरंतर पहचान सत्यापन। यह सत्र अधिग्रहण का पता लगाने के लिए व्यवहारिक बायोमेट्रिक्स (टाइपिंग गतिशीलता, माउस गति) का उपयोग करता है।
• सरकारी प्रणालियों के साथ एकीकरण: रूस में, अधिक से अधिक प्रणालियां राज्य सेवाओं के पोर्टल और अन्य सरकारी सेवाओं में लॉगिन के लिए ईएसआईए (यूनिफाइड पहचान और प्रमाणीकरण प्रणाली) का उपयोग करती हैं, जो नागरिकों के लिए पहुंच को सरल बनाता है।

अनधिकृत पहुंच से सुरक्षा के बारे में एक्सेस कंट्रोल लेख में पढ़ें।