Two-Factor Authentication म्हणजे काय? सोपी माहिती
Two-factor authentication (2FA) म्हणजे तुम्ही तेच व्यक्ती आहात हे सिद्ध करण्यासाठी दोन वेगवेगळ्या प्रकारचे पुरावे मागणारे लॉगिन — सहसा तुम्हाला माहित असलेली गोष्ट, जसे पासवर्ड, आणि तुमच्याजवळ असलेली गोष्ट, जसे फोन किंवा security key. गुन्हेगाराने तुमचा पासवर्ड चोरला किंवा अंदाजे ओळखला, तरी दुसऱ्या factor शिवाय त्याला आत जाता येत नाही. महत्त्वाची खाती संरक्षित करण्याचा हा सर्वात सोपा मार्ग आहे.
AI सह बनवताना हे का महत्त्वाचे आहे
AI builder कडे “login” मागितले की सहसा ईमेल आणि पासवर्ड मिळतो. ही चांगली सुरुवात आहे, पण पासवर्ड पुन्हा वापरले जातात, फिशिंगमध्ये अडकतात आणि गळतात. तुमच्या अॅपमध्ये मौल्यवान काही असेल — ग्राहकांच्या नोंदी, इनव्हॉइस, admin नियंत्रणे, पेमेंट सेटिंग्ज — तर एकच चोरलेला पासवर्ड हे सगळे उघड करू शकतो.
2FA तुम्ही सुरुवातीला विचार न केलेल्या निर्णयांवरही परिणाम करते:
- ते कोणी वापरायचे. सगळ्यांसाठी ऐच्छिक, admins साठी अनिवार्य, की सगळ्यांसाठी अनिवार्य?
- कोणत्या पद्धती सपोर्ट करायच्या. अॅपचे कोड, मजकूर संदेश, passkeys, security keys.
- कोणी लॉक आउट झाले तर काय होते. हरवलेले फोन हे 2FA असलेल्या कोणत्याही अॅपसाठी सर्वात सामान्य सपोर्ट विनंती असतात.
- ते कुठे लागू होते. तपासणी सर्व्हरवर झाली पाहिजे. फक्त ब्राउझरमध्ये पेज लपवणारी 2FA स्क्रीन वगळली जाऊ शकते.
Cryptography स्वतः बनवण्याची गरज नाही — चांगल्या प्रकारे चाचणी केलेली libraries आणि auth providers ते हाताळतात. पण काय मागायचे ते तुम्हाला माहित असणे आवश्यक आहे.
रोजच्या आयुष्यातील उदाहरण
बँकेच्या safe-deposit box चा विचार करा. तो उघडण्यासाठी तुमचे ओळखपत्र (बँक तपासते ते तुम्ही आहात किंवा तुम्हाला माहित आहे ते) आणि भौतिक किल्ली (तुमच्याजवळ असलेली गोष्ट) लागते. तुमची सही कॉपी करणाऱ्या चोराकडे किल्ली नसते. किल्ली चोरणाऱ्या चोराला ओळखपत्र तपासणी पार करता येत नाही.
2FA असेच काम करते. पासवर्ड म्हणजे सही; फोन किंवा security key म्हणजे भौतिक किल्ली. एकटी प्रत्येक गोष्ट पुरेशी नाही.
Factors चे तीन प्रकार
अमेरिकेच्या National Institute of Standards and Technology च्या digital identity मार्गदर्शक तत्त्वांसारखी सुरक्षा मानके factors ना तीन प्रकारांत विभागतात:
| Factor | उदाहरणे |
|---|---|
| तुम्हाला माहित असलेली गोष्ट | पासवर्ड, PIN |
| तुमच्याजवळ असलेली गोष्ट | Authenticator app असलेला फोन, security key, passkey असलेले डिव्हाइस |
| तुम्ही असलेली गोष्ट | फिंगरप्रिंट, चेहरा — सहसा असे डिव्हाइस अनलॉक करण्यासाठी जे नंतर खरी तपासणी करते |
महत्त्वाचा शब्द आहे वेगळे. पासवर्ड आणि सुरक्षा प्रश्न ही दोन्ही तुम्हाला माहित असलेली गोष्ट आहेत, त्यामुळे ते खरे two-factor authentication नाही. एकाच गळतीमुळे दोन्ही उघड होऊ शकत असतील, तर ते एकच factor मानले जाते.
सामान्य 2FA पद्धतींची तुलना
| पद्धत | ती कशी काम करते | मजबुती | टिप्पणी |
|---|---|---|---|
| SMS कोड | तुमच्या फोन नंबरवर कोड मजकूर संदेशाने पाठवला जातो | सर्वात कमकुवत | SIM swapping आणि फिशिंगला बळी पडू शकते, पण 2FA नसण्यापेक्षा खूप चांगले |
| ईमेल कोड | कोड तुम्हाला ईमेलने पाठवला जातो | कमकुवत | ईमेल खाते जितके सुरक्षित तितकेच हे सुरक्षित |
| Authenticator app (TOTP) | Google Authenticator सारखे अॅप दर ३० सेकंदांनी नवीन ६-अंकी कोड तयार करते | चांगला | ऑफलाइन चालतो; बनावट साइटने कोड मागितला तर तरीही फिशिंग होऊ शकते |
| Push मंजुरी | अॅप “हे तुम्ही आहात का?” विचारते आणि तुम्ही मंजूर करता | चांगला | “approve fatigue” कडे लक्ष द्या, जिथे वारंवार येणाऱ्या विनंत्या थांबवण्यासाठी वापरकर्ते सरळ होय म्हणतात |
| Passkey किंवा security key | डिव्हाइसवरची cryptographic key तुम्ही खऱ्या साइटवर आहात हे सिद्ध करते | सर्वात मजबूत | बनावट डोमेनला ती प्रतिसाद देत नाही, त्यामुळे फिशिंग-प्रतिरोधक आहे |
NIST च्या मार्गदर्शनात, जिथे तुम्ही कोड टाइप करता (SMS, ईमेल, authenticator apps) अशा पद्धती फिशिंग-प्रतिरोधक नाहीत असे मानले जाते, आणि फोन नेटवर्कवरून कोड पाठवणे “restricted” म्हणून चिन्हांकित केले जाते. WebAuthn/FIDO2 मानकांवर आधारित passkeys आणि हार्डवेअर security keys हेच फिशिंग-प्रतिरोधक मानले जातात.
व्यावहारिक निष्कर्ष: बहुतेक अॅप्ससाठी authenticator app हा मजबूत आणि सोपा डीफॉल्ट आहे, आणि तुमचे वापरकर्ते passkeys सोबत सहज असतील तर ते देणे फायदेशीर आहे.
एक प्रत्यक्ष उदाहरण: क्लायंट पोर्टलसाठी 2FA
समजा तुम्ही एक पोर्टल बनवले आहे, जिथे एक छोटी अकाउंटिंग फर्म क्लायंट्सना कर कागदपत्रे शेअर करते. योग्य 2FA सेटअप टप्प्याटप्प्याने कसा चालतो ते पाहा.
ते चालू करणे (नोंदणी). Priya ही क्लायंट Settings उघडते आणि “Turn on two-factor authentication” वर क्लिक करते. अॅप एक secret तयार करते आणि ते QR code म्हणून दाखवते. ती ते तिच्या authenticator अॅपने स्कॅन करते, जे सहा-अंकी कोड दाखवू लागते. सेटअप यशस्वी झाला हे सिद्ध करण्यासाठी ती सध्याचा कोड पोर्टलमध्ये टाइप करते. अॅप दहा recovery codes दाखवते आणि ते सुरक्षित ठिकाणी ठेवायला सांगते.
नंतर लॉगिन करणे.
- Priya तिचा ईमेल आणि पासवर्ड टाकते. सर्व्हर ते तपासतो.
- तिला थेट आत न घेता, सर्व्हर सत्र “पासवर्ड ठीक, दुसरा factor बाकी” अशा स्थितीत ठेवतो आणि कोड स्क्रीन दाखवतो.
- ती तिच्या अॅपमधला कोड टाइप करते. सर्व्हर तो तिच्या साठवलेल्या secret शी तपासतो, थोड्या clock drift ला परवानगी देऊन.
- आताच सर्व्हर पूर्ण सत्र तयार करतो आणि तिला कागदपत्रे पाहू देतो.
हल्लेखोराला काय दिसते. Priya चा पासवर्ड दुसऱ्या साइटवरून गळाला असेल, तर हल्लेखोर चरण 3 वर अडकतो. प्रत्येक चुकीचा कोड प्रयत्न मोजला जातो, आणि अनेक चुकीच्या प्रयत्नांनंतर खाते तात्पुरते लॉक होते आणि Priya ला ईमेल येतो.
फोन हरवणे. Priya तिच्या recovery codes पैकी एक वापरून लॉगिन करते, नवीन फोनसह 2FA बंद करून पुन्हा चालू करते आणि ताज्या recovery codes मिळवते. वापरलेला कोड पुन्हा कधीच वापरता येत नाही.
कर्मचाऱ्यांसाठी. फर्मच्या अकाउंटंट्सना प्रत्येक क्लायंटच्या फाईल्स दिसतात, म्हणून पोर्टल कर्मचारी खात्यांसाठी 2FA आवश्यक करते; नोंदणी होईपर्यंत त्यांना डॅशबोर्डपर्यंत पोहोचता येत नाही.
महत्त्वाच्या संज्ञा
| संज्ञा | अर्थ |
|---|---|
| 2FA / MFA | Two-factor / multi-factor authentication: एकापेक्षा जास्त प्रकारच्या पुराव्याने लॉगिन करणे. |
| Factor | एक प्रकारचा पुरावा: तुम्हाला माहित, तुमच्याजवळ किंवा तुम्ही असलेली गोष्ट. |
| TOTP | Time-based one-time password — authenticator apps मधील फिरणारे कोड. |
| Shared secret | QR कोडद्वारे सेट होणारे लपलेले मूल्य, जे अॅप आणि तुमचा फोन दोघेही जुळणारे कोड तयार करण्यासाठी वापरतात. |
| Recovery (backup) codes | दुसरा factor हरवल्यावर आत येण्यासाठीचे एक-वेळचे कोड. |
| Passkey | तुमच्या डिव्हाइसवर साठवलेले लॉगिन credential, जे पासवर्डऐवजी public-key cryptography वापरते. |
| Security key | passkey सारखेच काम करणारे छोटे भौतिक डिव्हाइस (USB किंवा NFC). |
| SIM swapping | मोबाइल कंपनीला फसवून कोणाचा नंबर नव्या SIM वर हलवणे, जेणेकरून संदेश हल्लेखोराकडे जातील. |
| Phishing | बनावट साइट किंवा संदेश, जो लोकांना पासवर्ड किंवा कोड देण्यास फसवतो. |
| Step-up authentication | पेमेंट तपशील बदलण्यासारख्या संवेदनशील कृतीपूर्वी दुसरा factor पुन्हा मागणे. |
सामान्य चुका आणि गैरसमज
- “2FA मुळे खाते हॅक न होणारे होते.” ते खूप अवघड बनवते. फिशिंग साइट्स टाइप केलेले कोड तरीही लगेच पकडू शकतात, म्हणूनच passkeys अस्तित्वात आहेत.
- कोड फक्त ब्राउझरमध्ये तपासणे. पासवर्डनंतर सर्व्हर पूर्ण सत्र देत असेल, तर कोड स्क्रीन फक्त शोभेची असते. दुसरा factor पार होईपर्यंत सर्व्हरने प्रवेश नाकारला पाहिजे.
- कोड अंदाजांवर मर्यादा नसणे. सहा-अंकी कोडचे दहा लाख पर्याय असतात. Rate limiting आणि लॉकआउट्सशिवाय हल्लेखोर सतत अंदाज लावत राहू शकतो.
- Recovery विसरणे. Recovery codes नसतील, तर प्रत्येक हरवलेला फोन सपोर्ट तिकीट किंवा लॉक आउट झालेला ग्राहक बनतो.
- TOTP secret निष्काळजीपणे साठवणे. शेअर केलेला secret डेटाबेसमध्ये एन्क्रिप्ट केलेला असावा, आणि सेटअपनंतर तो पुन्हा कधीही दाखवू नये.
- पुन्हा तपासणी न करता वापरकर्त्यांना 2FA बंद करू देणे. 2FA बंद करणे किंवा खात्याचा ईमेल बदलणे यासाठी पासवर्ड आणि सध्याचा कोड लागला पाहिजे.
- पासवर्ड + सुरक्षा प्रश्न म्हणजे 2FA. तसे नाही — दोन्ही तुम्हाला माहित असलेल्या गोष्टी आहेत.
तुमच्या AI builder कडे काय मागायचे
- “Authenticator app (TOTP) वापरून ऐच्छिक two-factor authentication जोडा, सेटअपसाठी QR code आणि चालू करण्यापूर्वी पुष्टी कोड सह.”
- “2FA चालू असताना दहा एक-वेळचे recovery codes दाखवा. ते पासवर्डप्रमाणे hash करून साठवा.”
- “सर्व्हरवर 2FA लागू करा: दुसरा factor पार होईपर्यंत पूर्ण सत्र नाही.”
- “कोड प्रयत्नांवर मर्यादा घाला आणि वारंवार अपयश आल्यावर लॉगिन 15 मिनिटांसाठी लॉक करा. तेव्हा वापरकर्त्याला ईमेल पाठवा.”
- “Admin खात्यांसाठी 2FA आवश्यक करा.”
- “2FA बंद करण्यापूर्वी किंवा खात्याचा ईमेल बदलण्यापूर्वी पासवर्ड आणि सध्याचा कोड मागा.”
- “सुप्रसिद्ध library किंवा आमच्या auth provider चे अंगभूत 2FA वापरा — cryptography स्वतः लिहू नका.”
- “तुम्ही कोणती पद्धत वापरली आणि secrets कुठे साठवली आहेत ते सांगा.”
जर तुम्ही hosted auth provider वापरत असाल, तर त्यात आधीच 2FA किंवा passkeys आहेत का ते तपासा; अंगभूत फीचर चालू करणे सहसा स्वतःच्या कोडपेक्षा सुरक्षित असते. टप्प्याटप्प्याने माहिती two-factor authentication कसे जोडायचे मध्ये आहे, आणि authentication म्हणजे काय हे त्यामागची लॉगिनची मूलभूत माहिती स्पष्ट करते.
Mythex मधील two-factor authentication
Mythex तुमच्या अॅपच्या वापरकर्त्यांसाठी अंगभूत लॉगिन सिस्टीम देत नाही, त्यामुळे 2FA हा तुम्ही निवडलेल्या auth पद्धतीचा भाग आहे — प्रकल्पाच्या डेटाबेस वर चालणारे तुमचे स्वतःचे ईमेल-आणि-पासवर्ड लॉगिन, किंवा 2FA देणारा hosted provider. ते चॅटमध्ये जोडायला agent ला सांगा, आणि कोणत्याही provider keys चॅटमध्ये नव्हे तर project secrets मध्ये ठेवा. तुमच्या अॅपमध्ये लॉगिन जोडणे या docs रेसिपीमध्ये जुळवून घेण्यासारखा starter prompt आहे, आणि तुम्ही बनवलेल्या अॅप्सची सुरक्षा keys भोवतीच्या सवयी स्पष्ट करते. लाँचपूर्वी AI ने बनवलेल्या अॅप्ससाठी सुरक्षा checklist पूर्ण करा.
प्रश्न
Two-factor authentication म्हणजे सोप्या भाषेत काय?
Two-factor authentication (2FA) म्हणजे लॉगिनसाठी दोन वेगवेगळ्या प्रकारचे पुरावे लागतात, सहसा तुमचा पासवर्ड आणि तुमच्या फोनवरचा कोड किंवा security key. फक्त तुमचा पासवर्ड चोरणारी व्यक्ती तरीही आत प्रवेश करू शकत नाही.
2FA म्हणजे MFA सारखेच आहे का?
जवळपास हो. Multi-factor authentication (MFA) म्हणजे दोन किंवा अधिक factors; two-factor authentication हे सर्वात सामान्य प्रकरण आहे, ज्यात नेमके दोनच factors असतात. दैनंदिन वापरात या संज्ञा एकमेकांच्या जागी वापरल्या जातात.
SMS two-factor authentication सुरक्षित आहे का?
फक्त पासवर्डपेक्षा ते खूप चांगले आहे, पण ते सर्वात कमकुवत सामान्य पर्याय आहे. मजकूर संदेश अडवले जाऊ शकतात किंवा SIM swapping द्वारे वळवले जाऊ शकतात, आणि बनावट लॉगिन पेज लोकांकडून कोड टाइप करवून घेऊ शकते. Authenticator apps अधिक मजबूत आहेत, आणि passkeys किंवा security keys त्याहूनही मजबूत आहेत.
माझ्या अॅपला two-factor authentication हवे का?
खात्यांमध्ये पैसे, खासगी डेटा किंवा इतर वापरकर्त्यांवर admin अधिकार असतील तर 2FA देणे चांगली कल्पना आहे, आणि admins साठी ते अनिवार्य करणे सामान्य आहे. साध्या छंदासाठी बनवलेल्या अॅपमध्ये ते ऐच्छिक ठेवता येते किंवा नंतरसाठी सोडता येते.
वापरकर्त्याचा फोन हरवला तर काय होते?
त्यासाठीच recovery codes असतात: 2FA चालू करताना दाखवलेल्या एक-वेळच्या बॅकअप कोडची छोटी यादी. ते नसतील तर पुनर्प्राप्तीसाठी सहसा अॅपच्या मालकाकडून मॅन्युअल ओळख पडताळणी लागते, म्हणून लाँचपूर्वीच त्याचे नियोजन करा.