बहु-कारक प्रमाणीकरण (Multi-factor authentication, MFA)

सरल शब्दों में बहु-कारक प्रमाणीकरण क्या है

बहु-कारक प्रमाणीकरण (MFA) पहचान सत्यापन की एक विधि है जिसमें सिस्टम में लॉगिन के लिए केवल लॉगिन और पासवर्ड के अलावा सुरक्षा की विभिन्न श्रेणियों से पुष्टि की आवश्यकता होती है। यह दरवाजे पर दो ताले जैसा है: भले ही हमलावर एक ताले की चाबी बना ले, दूसरा ताला उसे रोक देगा।

क्लासिक उदाहरण एटीएम से नकदी निकालना है: पैसे पाने के लिए आपको भौतिक कार्ड (कुछ जो आपके पास है) डालना होगा और पिन कोड (कुछ जो आप जानते हैं) दर्ज करना होगा। डिजिटल दुनिया में, MFA उसी सिद्धांत पर काम करता है।

Microsoft के आंकड़ों के अनुसार, MFA का उपयोग 99.9% तक स्वचालित हमलों को रोकता है और खाते के समझौता होने के जोखिम को काफी कम करता है। इसके बावजूद, केवल लगभग 30% उपयोगकर्ता अपने खातों पर दो-कारक प्रमाणीकरण सक्षम करते हैं। सुरक्षा के अन्य तरीकों के बारे में सूचना सुरक्षा लेख में पढ़ें।

तीन मुख्य प्रमाणीकरण कारक

प्रमाणीकरण के लिए तीन मुख्य प्रकार के कारकों का उपयोग किया जाता है, जिन्हें बहु-कारक सुरक्षा बनाने के लिए जोड़ा जा सकता है:

• ज्ञान (कुछ जो आप जानते हैं): पासवर्ड, पिन कोड, गुप्त प्रश्न का उत्तर, कोड शब्द। सबसे आम, लेकिन सबसे कमजोर कारक भी — पासवर्ड का अनुमान लगाया, चुराया या ताक-झांक कर देखा जा सकता है।
• स्वामित्व (कुछ जो आपके पास है): एसएमएस से वन-टाइम कोड, स्मार्टफोन पर पुश सूचना, प्रमाणक ऐप (Google Authenticator, Yandex Key), भौतिक यूएसबी टोकन (YubiKey, Rutoken) या स्मार्ट कार्ड। यह सुरक्षा को काफी बढ़ाता है, क्योंकि हमलावर को आपके डिवाइस पर भौतिक रूप से कब्जा करना होता है।
• अंतर्निहितता (कुछ जो आप हैं): बायोमेट्रिक डेटा — फिंगरप्रिंट, चेहरा स्कैनिंग (Face ID), रेटिना स्कैन, आवाज या व्यवहार पैटर्न। जाली बनाना सबसे कठिन कारक।

MFA, 2FA से कैसे भिन्न है

इन शब्दों को अक्सर भ्रमित किया जाता है, लेकिन इनके बीच एक महत्वपूर्ण अंतर है:

• 2FA (दो-कारक प्रमाणीकरण): विभिन्न श्रेणियों से ठीक दो कारकों का उपयोग करता है (उदाहरण के लिए, पासवर्ड + एसएमएस कोड)। यह MFA का एक विशेष मामला है, जो व्यवहार में सबसे आम है।
• MFA (बहु-कारक प्रमाणीकरण): दो या अधिक कारकों का उपयोग करता है (उदाहरण के लिए, पासवर्ड + फिंगरप्रिंट + पुश सूचना)। MFA में तीन या अधिक कारक शामिल हो सकते हैं, जो सुरक्षा का अधिकतम स्तर प्रदान करता है।

प्रमाणीकरण और प्राधिकरण के बीच अंतर के बारे में प्रमाणीकरण लेख में पढ़ें।

MFA व्यवहार में कैसे काम करता है

खाते में लॉगिन करते समय विशिष्ट बहु-कारक प्रमाणीकरण प्रक्रिया इस तरह दिखती है:

1. आप अपना लॉगिन और पासवर्ड दर्ज करते हैं (कारक सं. 1 — ज्ञान)।
2. सिस्टम एसएमएस के माध्यम से आपके फोन पर एक कोड भेजता है, पुश सूचना भेजता है, या प्रमाणक ऐप में कोड उत्पन्न करता है (कारक सं. 2 — स्वामित्व)।
3. आप प्राप्त कोड दर्ज करते हैं या ऐप में लॉगिन की पुष्टि करते हैं।
4. लॉगिन केवल तभी अनुमत होता है जब दोनों चरण सफलतापूर्वक पार हो जाते हैं। यदि हमलावर ने आपका पासवर्ड चुरा लिया लेकिन उसके पास आपके फोन तक पहुंच नहीं है — तो वह लॉगिन नहीं कर पाएगा।

MFA सेटअप के बारे में OAuth लेख में पढ़ें।

MFA को लागू करने के तरीके

MFA लागू करने के कई तरीके हैं, जिनमें से प्रत्येक के अपने फायदे और नुकसान हैं:

• एसएमएस और वॉयस कॉल: सबसे सरल और लोकप्रिय तरीका। कोड एसएमएस या वॉयस कॉल के माध्यम से फोन पर आता है। नुकसान — सिम स्वैपिंग (जब हमलावर सिम कार्ड फिर से जारी करवाता है) और संदेश अवरोधन के प्रति कमजोरी।
• प्रमाणक ऐप्स: Google Authenticator, Microsoft Authenticator, Authy, Yandex Key। डिवाइस पर कोड उत्पन्न करते हैं, इंटरनेट की आवश्यकता नहीं होती। एसएमएस से अधिक सुरक्षित, क्योंकि कोड नेटवर्क पर प्रसारित नहीं होते।
• पुश सूचनाएं: ऐप लॉगिन की पुष्टि करने का अनुरोध भेजता है। स्मार्टफोन पर "हां" दबाना पर्याप्त है। सुविधाजनक और तेज, लेकिन डिवाइस पर इंटरनेट की आवश्यकता होती है।
• हार्डवेयर कुंजियां (U2F): भौतिक उपकरण (YubiKey, Rutoken)। सबसे विश्वसनीय तरीका — कुंजी भौतिक रूप से यूएसबी पोर्ट से या एनएफसी के माध्यम से जुड़ी होती है। फ़िशिंग और दूरस्थ हमलों के प्रति प्रतिरोधी। Google और अन्य बड़ी कंपनियों में उपयोग होती है।
• बायोमेट्रिक्स: फिंगरप्रिंट, Face ID, आईरिस स्कैनर, वॉयस बायोमेट्रिक्स। सुविधाजनक और सुरक्षित, लेकिन डिवाइस पर बायोमेट्रिक सेंसर की आवश्यकता होती है।

बायोमेट्रिक सुरक्षा के बारे में बायोमेट्रिक्स लेख में पढ़ें।

MFA के जोखिम और सीमाएं

अपनी उच्च प्रभावशीलता के बावजूद, MFA की कुछ सीमाएं हैं जिन्हें ध्यान में रखना महत्वपूर्ण है:

• उपकरणों पर निर्भरता: यदि आप प्रमाणक या सिम कार्ड वाला फोन खो देते हैं, तो पहुंच खो सकती है। MFA सेट करते समय जारी किए गए बैकअप पुनर्प्राप्ति कोड को हमेशा सहेजें।
• सिम स्वैपिंग: हमलावर ऑपरेटर के माध्यम से सिम कार्ड फिर से जारी करवा सकता है और कोड वाले एसएमएस को अवरोधित कर सकता है। इसलिए, एसएमएस कोड को सबसे कम विश्वसनीय तरीका माना जाता है।
• फ़िशिंग: नकली वेबसाइटें दूसरे कारक के अनुरोध की नकल कर सकती हैं। उदाहरण के लिए, हमलावर एक नकली लॉगिन पेज बना सकता है जो एसएमएस कोड का अनुरोध करता है और उसे अवरोधित कर लेता है। हार्डवेयर कुंजियों (U2F) का उपयोग इससे बचाता है।
• असुविधा: प्रत्येक लॉगिन पर अतिरिक्त समय और क्रियाओं की आवश्यकता होती है। हालांकि, यह छोटी असुविधा सुरक्षा में महत्वपूर्ण वृद्धि से क्षतिपूर्ति हो जाती है।

डिजिटल स्वच्छता के बारे में डिजिटल फुटप्रिंट लेख में पढ़ें।