Two-Factor Authentication શું છે? સરળ માર્ગદર્શિકા
Two-factor authentication (2FA) એ એવું login છે જે તમે જ એ વ્યક્તિ છો એ સાબિત કરવા બે અલગ પ્રકારના પુરાવા માગે છે — સામાન્ય રીતે કંઈક જે તમે જાણો છો, જેમ કે પાસવર્ડ, અને કંઈક જે તમારી પાસે છે, જેમ કે તમારો ફોન અથવા security key. જો કોઈ ગુનેગાર તમારો પાસવર્ડ ચોરે અથવા અનુમાન કરે, તો બીજા factor વિના તે અંદર પ્રવેશી શકતો નથી. મહત્વના accounts ને સુરક્ષિત રાખવાની આ સૌથી સરળ રીતોમાંની એક છે.
AI સાથે બનાવતી વખતે તે શા માટે મહત્વનું છે
જ્યારે તમે AI builder પાસે "login" માગો છો, ત્યારે સામાન્ય રીતે તમને email અને પાસવર્ડ મળે છે. તે સારી શરૂઆત છે, પણ પાસવર્ડ ફરી વપરાય છે, phishing થાય છે અને લીક થાય છે. જો તમારી app માં કિંમતી કંઈ હોય — ગ્રાહક રેકોર્ડ્સ, ઇનવૉઇસ, admin નિયંત્રણો, payment settings — તો એક ચોરાયેલો પાસવર્ડ બધું ખુલ્લું પાડી શકે છે.
2FA કેટલાક નિર્ણયોને પણ અસર કરે છે, જેનો તમે કદાચ શરૂઆતમાં વિચાર ન કર્યો હોય:
- કોણે તેનો ઉપયોગ કરવો પડે. બધા માટે વૈકલ્પિક, admins માટે જરૂરી, કે બધા માટે જરૂરી?
- કઈ રીતો સપોર્ટ કરવી. Appમાંથી કોડ, ટેક્સ્ટ મેસેજ, passkeys, security keys.
- કોઈ લૉક આઉટ થાય ત્યારે શું થાય. 2FA ધરાવતી કોઈ પણ app માટે ગુમ થયેલો ફોન સૌથી સામાન્ય સપોર્ટ વિનંતી છે.
- તે ક્યાં લાગુ થાય છે. તપાસ સર્વર પર થવી જોઈએ. જો 2FA સ્ક્રીન ફક્ત બ્રાઉઝરમાં પેજ છુપાવે, તો તેને બાયપાસ કરી શકાય છે.
Cryptography જાતે બનાવવાની જરૂર નથી — સારી રીતે ચકાસાયેલી libraries અને auth providers તે સંભાળે છે. પણ શું માગવું તે તમારે જાણવું જોઈએ.
એક રોજિંદો ઉદાહરણ
બેંકના safe-deposit box નો વિચાર કરો. તેને ખોલવા માટે તમારે તમારું ID (કંઈક જે બેંક તપાસે છે કે તમે છો અથવા તમે જાણો છો) અને ભૌતિક ચાવી (કંઈક જે તમારી પાસે છે) જોઈએ. જે ચોર તમારી સહી કૉપિ કરે તેની પાસે ચાવી નથી. જે ચોર ચાવી ખિસ્સામાંથી કાઢે તે પણ ID તપાસમાં નિષ્ફળ જાય છે.
2FA પણ આ જ રીતે કામ કરે છે. પાસવર્ડ સહી છે; ફોન અથવા security key ભૌતિક ચાવી છે. બંનેમાંથી એક એકલું પૂરતું નથી.
Factors ના ત્રણ પ્રકાર
સુરક્ષા ધોરણો, જેમ કે US National Institute of Standards and Technology ની digital identity માર્ગદર્શિકા, factors ને ત્રણ પ્રકારમાં વહેંચે છે:
| Factor | ઉદાહરણો |
|---|---|
| કંઈક જે તમે જાણો છો | પાસવર્ડ, PIN |
| કંઈક જે તમારી પાસે છે | authenticator app ધરાવતો ફોન, security key, passkey ધરાવતું device |
| કંઈક જે તમે છો | ફિંગરપ્રિન્ટ, ચહેરો — સામાન્ય રીતે એવા device ને અનલૉક કરવા જે પછી સાચી તપાસ કરે છે |
મુખ્ય શબ્દ છે અલગ. પાસવર્ડ અને સુરક્ષા પ્રશ્ન બે વસ્તુઓ છે જે તમે જાણો છો, તેથી તે સાચું two-factor authentication નથી. જો એક જ લીકથી બંને ખુલ્લા પડી શકે, તો તે એક જ factor ગણાય.
સામાન્ય 2FA રીતોની તુલના
| રીત | કેવી રીતે કામ કરે છે | મજબૂતી | નોંધ |
|---|---|---|---|
| SMS કોડ | તમારા ફોન નંબર પર કોડ ટેક્સ્ટ થાય છે | સૌથી નબળો | SIM swapping અને phishing માટે સંવેદનશીલ, છતાં 2FA ન હોવા કરતાં ઘણું સારું |
| Email કોડ | તમને કોડ email થાય છે | નબળો | ફક્ત email account જેટલો જ સુરક્ષિત |
| Authenticator app (TOTP) | Google Authenticator જેવી app દર 30 સેકન્ડે નવો 6-અંકનો કોડ બનાવે છે | સારો | ઑફલાઇન કામ કરે છે; નકલી સાઇટ કોડ માગે તો હજી phishing થઈ શકે |
| Push approval | એક app પૂછે "શું આ તમે છો?" અને તમે approve ટેપ કરો | સારો | "Approve fatigue" પર ધ્યાન આપો, જ્યાં વપરાશકર્તાઓ વારંવારની પૂછપરછ બંધ કરવા હા કહી દે છે |
| Passkey અથવા security key | એક cryptographic key device પર સાબિત કરે છે કે તમે સાચી સાઇટ પર છો | સૌથી મજબૂત | નકલી domain પર પ્રતિસાદ ન આપતી હોવાથી phishing સામે પ્રતિરોધક |
NIST ની માર્ગદર્શિકા કોડ લખવાની રીતો (SMS, email, authenticator apps) ને phishing-resistant નથી ગણે છે, અને ફોન નેટવર્ક પર કોડ મોકલવાને "restricted" ચિહ્નિત કરે છે. WebAuthn/FIDO2 ધોરણો પર આધારિત passkeys અને hardware security keys ને તે phishing-resistant ગણે છે.
એક વ્યવહારુ સાર: મોટાભાગની app માટે authenticator app સારો અને સરળ ડિફોલ્ટ છે, અને જો તમારા વપરાશકર્તાઓ તેનાથી આરામદાયક હોય તો passkeys ઓફર કરવા યોગ્ય છે.
એક કામ કરેલું ઉદાહરણ: client portal માટે 2FA
માની લો કે તમે એક portal બનાવ્યું છે જ્યાં એક નાની એકાઉન્ટિંગ કંપની ક્લાયન્ટ્સ સાથે ટેક્સ દસ્તાવેજો વહેંચે છે. સમજદાર 2FA સેટઅપ પગલાં પ્રમાણે કેવી રીતે કામ કરે તે અહીં છે.
તેને ચાલુ કરવું (નોંધણી). પ્રિયા, એક ક્લાયન્ટ, Settings ખોલે છે અને "Turn on two-factor authentication" ક્લિક કરે છે. App એક secret બનાવે છે અને તેને QR code તરીકે બતાવે છે. તે તેને પોતાની authenticator app વડે સ્કેન કરે છે, જે છ-અંકના કોડ બતાવવા લાગે છે. સેટઅપ કામ કરે છે તે સાબિત કરવા તે વર્તમાન કોડ portal માં લખે છે. App દસ recovery codes બતાવે છે અને તેને સુરક્ષિત જગ્યાએ સાચવવા કહે છે.
પછી લોગ ઇન કરવું.
- પ્રિયા email અને પાસવર્ડ લખે છે. સર્વર તે તપાસે છે.
- તેને સીધી અંદર લઈ જવાને બદલે, સર્વર session ને "પાસવર્ડ ઠીક, બીજો factor બાકી" તરીકે ચિહ્નિત કરે છે અને કોડ સ્ક્રીન બતાવે છે.
- તે પોતાની app નો કોડ લખે છે. સર્વર તેને તેના સંગ્રહિત secret સામે તપાસે છે, થોડા clock drift માટે છૂટ આપીને.
- ફક્ત હવે સર્વર સંપૂર્ણ session બનાવે છે અને તેને દસ્તાવેજો જોવા દે છે.
હુમલાખોર શું જુએ છે. જો પ્રિયાનો પાસવર્ડ બીજી સાઇટ પરથી લીક થયો હોય, તો હુમલાખોર પગલું 3 પર અટકી જાય છે. દરેક નિષ્ફળ કોડ પ્રયાસ ગણાય છે, અને ઘણા ખોટા પ્રયાસો પછી account થોડા સમય માટે લૉક થાય છે અને પ્રિયાને email મળે છે.
ફોન ખોવો. પ્રિયા તેના એક recovery code વડે લોગ ઇન કરે છે, 2FA બંધ કરીને નવા ફોન સાથે ફરી ચાલુ કરે છે, અને નવા recovery codes મેળવે છે. વપરાયેલો કોડ ફરી ક્યારેય વાપરી શકાતો નથી.
સ્ટાફ માટે. કંપનીના accountants દરેક ક્લાયન્ટની ફાઇલો જોઈ શકે છે, તેથી portal સ્ટાફ accounts માટે 2FA જરૂરી બનાવે છે; નોંધણી ન કરે ત્યાં સુધી તેઓ dashboard સુધી પહોંચી શકતા નથી.
સામાન્ય શબ્દો સમજાવ્યા
| શબ્દ | તેનો અર્થ |
|---|---|
| 2FA / MFA | Two-factor / multi-factor authentication: એક કરતાં વધુ પ્રકારના પુરાવા સાથે લોગ ઇન કરવું. |
| Factor | પુરાવાનો એક પ્રકાર: કંઈક જે તમે જાણો, પાસે રાખો અથવા છો. |
| TOTP | Time-based one-time password — authenticator apps ના ફરતા કોડ. |
| Shared secret | QR code દ્વારા સેટ થતી છુપી કિંમત, જે app અને તમારા ફોન બંનેમાં મેળ ખાતા કોડ બનાવવા વાપરાય છે. |
| Recovery (backup) codes | બીજો factor ખોવાઈ જાય ત્યારે અંદર આવવા માટેના એક-વાર વપરાતા કોડ. |
| Passkey | Public-key cryptography વાપરતું, પાસવર્ડને બદલે તમારા device પર સંગ્રહિત login credential. |
| Security key | USB અથવા NFC પર ચાલતું નાનું ભૌતિક device જે passkey જેવું જ કામ કરે છે. |
| SIM swapping | મોબાઇલ carrier ને કોઈનો નંબર નવા SIM પર ખસેડવા છેતરવું, જેથી ટેક્સ્ટ હુમલાખોર પાસે જાય. |
| Phishing | પાસવર્ડ અથવા કોડ આપવા લોકોને છેતરતી નકલી સાઇટ કે સંદેશ. |
| Step-up authentication | ચુકવણીની વિગતો બદલવા જેવી સંવેદનશીલ ક્રિયા પહેલાં બીજો factor ફરી માગવો. |
સામાન્ય ભૂલો અને ગેરસમજો
- "2FA account ને અભેદ્ય બનાવે છે." તે તેને ઘણું મુશ્કેલ બનાવે છે. Phishing સાઇટ્સ ટાઇપ થયેલા કોડ રિયલ-ટાઇમમાં કેપ્ચર કરી શકે છે, એટલે જ passkeys અસ્તિત્વમાં છે.
- ફક્ત બ્રાઉઝરમાં કોડ તપાસવો. જો સર્વર પાસવર્ડ પછી સંપૂર્ણ session આપે, તો કોડ સ્ક્રીન ફક્ત દેખાડો છે. બીજો factor પાસ ન થાય ત્યાં સુધી સર્વરે પ્રવેશ નકારવો જોઈએ.
- કોડ અનુમાનની કોઈ મર્યાદા નહીં. છ-અંકના કોડની એક મિલિયન શક્યતાઓ છે. Rate limiting અને લૉકઆઉટ વિના, હુમલાખોર સતત અનુમાન કરતો રહી શકે છે.
- રિકવરી ભૂલી જવી. recovery codes ન હોય તો દરેક ખોવાયેલો ફોન સપોર્ટ ટિકિટ, અથવા લૉક થયેલો ગ્રાહક બની જાય છે.
- TOTP secret બેદરકારીથી સંગ્રહિત કરવું. shared secret database માં encrypted હોવું જોઈએ, અને સેટઅપ પછી ફરી ક્યારેય બતાવવું ન જોઈએ.
- વપરાશકર્તાઓને ફરી તપાસ્યા વિના 2FA બંધ કરવા દેવું. 2FA બંધ કરવા અથવા account email બદલવા માટે પાસવર્ડ અને વર્તમાન કોડ જોઈએ.
- પાસવર્ડ સાથે સુરક્ષા પ્રશ્ન એ 2FA ગણાય છે. એવું નથી — બંને એવી વસ્તુઓ છે જે તમે જાણો છો.
તમારા AI builder ને શું માગવું
- "એક authenticator app (TOTP) વડે વૈકલ્પિક two-factor authentication ઉમેરો, સેટઅપ માટે QR code સાથે, અને ચાલુ કરતાં પહેલાં પુષ્ટિ કોડ સાથે."
- "2FA ચાલુ હોય ત્યારે દસ એક-વાર વપરાતા recovery codes બતાવો. પાસવર્ડની જેમ તેમને hash કરીને સંગ્રહિત કરો."
- "સર્વર પર 2FA લાગુ કરો: બીજો factor પાસ ન થાય ત્યાં સુધી સંપૂર્ણ session નહીં."
- "કોડ પ્રયાસો મર્યાદિત કરો, અને વારંવાર નિષ્ફળતા પછી login 15 મિનિટ માટે લૉક કરો. તે થાય ત્યારે વપરાશકર્તાને email મોકલો."
- "Admin accounts માટે 2FA જરૂરી બનાવો."
- "2FA બંધ કરતાં પહેલાં અથવા account email બદલતાં પહેલાં પાસવર્ડ અને વર્તમાન કોડ માગો."
- "કોઈ પ્રસિદ્ધ library અથવા અમારા auth provider નું built-in 2FA વાપરો — crypto જાતે લખશો નહીં."
- "તમે કયી રીત વાપરી અને secrets ક્યાં સંગ્રહિત છે તે સમજાવો."
જો તમે hosted auth provider વાપરો છો, તો તપાસો કે તે પહેલેથી 2FA અથવા passkeys ઓફર કરે છે કે નહીં; built-in સુવિધા ચાલુ કરવી સામાન્ય રીતે કસ્ટમ કોડ કરતાં સુરક્ષિત હોય છે. પગલાવાર સંસ્કરણ two-factor authentication કેવી રીતે ઉમેરવું માં છે, અને authentication શું છે તેની નીચેના login ના મૂળભૂત બાબતો સમજાવે છે.
Mythex માં Two-factor authentication
Mythex તમારી app ના વપરાશકર્તાઓ માટે બિલ્ટ-ઇન login સિસ્ટમ આપતું નથી, તેથી 2FA એ તમે પસંદ કરેલા auth અભિગમનો ભાગ છે — તમારો પોતાનો email-અને-પાસવર્ડ login, જે પ્રોજેક્ટના database દ્વારા સમર્થિત હોય, અથવા 2FA ઓફર કરતો hosted provider. તમે chat માં agent ને તે ઉમેરવા કહો છો, અને કોઈ પણ provider keys chat માં નહીં પણ project secrets માં જાય છે. તમારી app માં login ઉમેરવા વિશેના docs recipe માં અનુકૂલન કરવા માટે starter prompt છે, અને તમે બનાવેલી apps માટે security keys આસપાસની આદતો સમજાવે છે. લોન્ચ પહેલાં, AI-બનાવેલી apps માટે security checklist માંથી પસાર થાઓ.
પ્રશ્નો
Two-factor authentication સરળ શબ્દોમાં શું છે?
Two-factor authentication (2FA) નો અર્થ છે કે લોગ ઇન કરવા માટે બે અલગ પ્રકારના પુરાવા જોઈએ, સામાન્ય રીતે તમારો પાસવર્ડ અને તમારા ફોનમાંથી કોડ અથવા security key. જે વ્યક્તિ ફક્ત તમારો પાસવર્ડ ચોરે તે પણ અંદર પ્રવેશી શકતી નથી.
શું 2FA એ MFA જેવું જ છે?
લગભગ. Multi-factor authentication (MFA) નો અર્થ બે કે વધુ factors છે; two-factor authentication એ સૌથી સામાન્ય કિસ્સો છે જેમાં બરાબર બે હોય. રોજિંદા ઉપયોગમાં બંને શબ્દો એકબીજાની જગ્યાએ વપરાય છે.
શું SMS two-factor authentication સલામત છે?
તે ફક્ત પાસવર્ડ કરતાં ઘણું સારું છે, પણ તે સૌથી નબળો સામાન્ય વિકલ્પ છે. SIM swapping દ્વારા ટેક્સ્ટ મેસેજ અટકાવી અથવા બીજે વાળી શકાય છે, અને નકલી login પેજ લોકોને કોડ લખવા છેતરી શકે છે. Authenticator apps વધુ મજબૂત છે, અને passkeys અથવા security keys તેનાથી પણ વધુ મજબૂત છે.
શું મારી app ને two-factor authentication ની જરૂર છે?
જો accounts માં પૈસા, ખાનગી ડેટા અથવા બીજા વપરાશકર્તાઓ પર admin સત્તા હોય, તો 2FA ઓફર કરવું સારો વિચાર છે, અને admins માટે તે જરૂરી બનાવવું સામાન્ય છે. સાદી શોખની app માટે તે વૈકલ્પિક રહી શકે છે અથવા પછી માટે છોડી શકાય છે.
જો વપરાશકર્તા પોતાનો ફોન ખોઈ બેસે તો શું થાય?
તે માટે recovery codes છે: 2FA ચાલુ કરતી વખતે બતાવાતી one-time backup codes ની ટૂંકી યાદી. તેના વિના, રિકવરી સામાન્ય રીતે app ના માલિક દ્વારા મેન્યુઅલ ઓળખ ચકાસણી પર આધારિત હોય છે, તેથી લોન્ચ પહેલાં તેની યોજના બનાવો.