Two-Factor Authentication என்றால் என்ன? எளிய வழிகாட்டி
Two-factor authentication (2FA) என்பது நீங்கள் கூறும் நபர்தான் என்று நிரூபிக்க இரண்டு வெவ்வேறு வகைச் சான்றுகளைக் கேட்கும் உள்நுழைவு — பொதுவாக கடவுச்சொல் போன்ற உங்களுக்குத் தெரிந்த ஒன்று, மேலும் உங்கள் தொலைபேசி அல்லது பாதுகாப்பு விசை போன்ற உங்களிடம் உள்ள ஒன்று. ஒரு குற்றவாளி உங்கள் கடவுச்சொல்லைத் திருடினாலோ யூகித்தாலோ, இரண்டாவது காரணி இல்லாமல் அவரால் உள்ளே நுழைய முடியாது. முக்கியமான கணக்குகளைப் பாதுகாப்பதற்கான எளிய வழிகளில் இது ஒன்று.
AI உடன் உருவாக்கும்போது இது ஏன் முக்கியம்
AI பில்டரிடம் "login" கேட்டால், பொதுவாக மின்னஞ்சல் மற்றும் கடவுச்சொல் கிடைக்கும். அது நல்ல தொடக்கம்தான், ஆனால் கடவுச்சொற்கள் மீண்டும் பயன்படுத்தப்படலாம், ஏமாற்றி பெறப்படலாம், கசியலாம். உங்கள் ஆப்பில் மதிப்புமிக்கது ஏதேனும் இருந்தால் — வாடிக்கையாளர் பதிவுகள், விலைப்பட்டியல்கள், நிர்வாகக் கட்டுப்பாடுகள், கட்டண அமைப்புகள் — ஒரே ஒரு திருடப்பட்ட கடவுச்சொல் அனைத்தையும் வெளிப்படுத்தலாம்.
2FA முதலில் நீங்கள் நினைக்காத முடிவுகளையும் பாதிக்கிறது:
- யார் பயன்படுத்த வேண்டும். எல்லோருக்கும் விருப்பத்தேர்வா, நிர்வாகிகளுக்குக் கட்டாயமா, அல்லது அனைவருக்கும் கட்டாயமா?
- எந்த முறைகளை ஆதரிப்பது. ஆப்பிலிருந்து குறியீடுகள், குறுஞ்செய்திகள், passkey-கள், பாதுகாப்பு விசைகள்.
- ஒருவர் பூட்டப்பட்டால் என்ன ஆகும். 2FA உள்ள எந்த ஆப்புக்கும் தொலைந்த தொலைபேசிகளே மிகப் பொதுவான ஆதரவுக் கோரிக்கை.
- எங்கே கட்டாயப்படுத்தப்படுகிறது. சோதனை சேவையகத்தில் நடக்க வேண்டும். உலாவியில் மட்டும் பக்கத்தை மறைக்கும் 2FA திரையைத் தவிர்த்துவிடலாம்.
குறியாக்கவியலை நீங்களே உருவாக்க வேண்டியதில்லை — நன்கு சோதிக்கப்பட்ட நூலகங்களும் auth வழங்குநர்களும் அதைக் கையாளுகின்றன. ஆனால் எதைக் கேட்க வேண்டும் என்று தெரிந்திருக்க வேண்டும்.
அன்றாட உதாரணம்
வங்கிப் பாதுகாப்புப் பெட்டகத்தை நினையுங்கள். திறக்க உங்களுக்கு அடையாள அட்டை (வங்கி சரிபார்க்கும் நீங்கள் யார் அல்லது என்ன தெரியும் என்பது) மற்றும் இயற்பியல் சாவி (நீங்கள் வைத்திருப்பது) தேவை. உங்கள் கையொப்பத்தை நகலெடுக்கும் திருடனிடம் சாவி இருக்காது. சாவியைத் திருடும் திருடனால் அடையாளச் சோதனையைக் கடக்க முடியாது.
2FA-வும் இப்படியே வேலை செய்கிறது. கடவுச்சொல் கையொப்பம், தொலைபேசி அல்லது பாதுகாப்பு விசை இயற்பியல் சாவி. ஒவ்வொன்றும் தனியாகப் போதாது.
மூன்று வகைக் காரணிகள்
அமெரிக்காவின் National Institute of Standards and Technology-இன் டிஜிட்டல் அடையாள வழிகாட்டுதல்கள் போன்ற பாதுகாப்புத் தரங்கள் காரணிகளை மூன்று வகைகளாகப் பிரிக்கின்றன:
| காரணி | எடுத்துக்காட்டுகள் |
|---|---|
| உங்களுக்குத் தெரிந்த ஒன்று | கடவுச்சொல், PIN |
| உங்களிடம் உள்ள ஒன்று | authenticator ஆப் கொண்ட தொலைபேசி, பாதுகாப்பு விசை, passkey வைத்திருக்கும் சாதனம் |
| நீங்கள் யார் என்பது | கைரேகை, முகம் — பொதுவாக உண்மையான சோதனையைச் செய்யும் சாதனத்தைத் திறக்கப் பயன்படும் |
முக்கியச் சொல் வேறுபட்டது. கடவுச்சொல்லுடன் பாதுகாப்புக் கேள்வி இரண்டும் நீங்கள் அறிந்த விஷயங்கள், எனவே அது உண்மையான two-factor authentication அல்ல. ஒரே கசிவு இரண்டையும் வெளிப்படுத்தினால், அது ஒன்றாகவே கணக்கிடப்படும்.
பொதுவான 2FA முறைகள் ஒப்பீடு
| முறை | எப்படி வேலை செய்கிறது | வலிமை | குறிப்புகள் |
|---|---|---|---|
| SMS குறியீடு | உங்கள் தொலைபேசி எண்ணுக்கு ஒரு குறியீடு அனுப்பப்படுகிறது | மிகப் பலவீனம் | SIM swapping மற்றும் phishing-க்கு ஆளாகும், ஆனால் 2FA இல்லாததை விட மிகச் சிறந்தது |
| மின்னஞ்சல் குறியீடு | உங்களுக்கு மின்னஞ்சலில் குறியீடு அனுப்பப்படுகிறது | பலவீனம் | மின்னஞ்சல் கணக்கு அளவுக்கே பாதுகாப்பானது |
| Authenticator ஆப் (TOTP) | Google Authenticator போன்ற ஆப் ஒவ்வொரு 30 வினாடிக்கும் புதிய 6-இலக்கக் குறியீடு உருவாக்கும் | நல்லது | இணையம் இல்லாமலும் வேலை செய்யும்; போலி தளம் குறியீட்டைக் கேட்டால் இன்னும் phishing-க்கு ஆளாகும் |
| Push ஒப்புதல் | "இது நீங்கள்தானா?" என்று ஆப் கேட்கும், நீங்கள் approve தட்டுவீர்கள் | நல்லது | "approve fatigue" குறித்து கவனியுங்கள்: தொடர் கேள்விகளை நிறுத்த பயனர்கள் தானாக yes தட்டுவது |
| Passkey அல்லது பாதுகாப்பு விசை | ஒரு சாதனத்திலுள்ள குறியாக்க விசை நீங்கள் உண்மையான தளத்தில் இருக்கிறீர்கள் என்று நிரூபிக்கும் | மிக வலிமை | போலி டொமைனுக்குப் பதில் அளிக்காது என்பதால் phishing-ஐ எதிர்க்கும் |
NIST-இன் வழிகாட்டுதல் குறியீட்டை தட்டச்சு செய்யும் முறைகளை (SMS, மின்னஞ்சல், authenticator ஆப்கள்) phishing-ஐ எதிர்க்காதவை என்று கருதுகிறது, மேலும் தொலைபேசி வலையமைப்பில் குறியீடு அனுப்புவதை "restricted" என்று குறிக்கிறது. WebAuthn/FIDO2 தரங்களின் அடிப்படையில் அமைந்த passkey-கள் மற்றும் வன்பொருள் பாதுகாப்பு விசைகளையே அது phishing-ஐ எதிர்க்கும் என்று கருதுகிறது.
நடைமுறைப் பாடம்: பெரும்பாலான ஆப்புகளுக்கு authenticator ஆப் வலுவான, எளிதான இயல்புநிலை; உங்கள் பயனர்கள் பழக்கப்பட்டிருந்தால் passkey-களை வழங்குவது மதிப்புள்ளது.
ஓர் எடுத்துக்காட்டு: வாடிக்கையாளர் போர்ட்டலுக்கான 2FA
ஒரு சிறிய கணக்கியல் நிறுவனம் வரி ஆவணங்களை வாடிக்கையாளர்களுடன் பகிரும் போர்ட்டல் ஒன்றை உருவாக்கியுள்ளீர்கள் என்று வைத்துக்கொள்ளுங்கள். ஒரு நல்ல 2FA அமைப்பு படிப்படியாக எப்படி வேலை செய்கிறது என்று பார்ப்போம்.
இயக்குவது (பதிவு). வாடிக்கையாளர் பிரியா அமைப்புகளைத் திறந்து "இரண்டு-காரணி அங்கீகாரத்தை இயக்கு" என்பதைக் கிளிக் செய்கிறார். ஆப் ஒரு ரகசியத்தை உருவாக்கி QR குறியீடாகக் காட்டுகிறது. அவர் தன் authenticator ஆப்பால் அதை ஸ்கேன் செய்கிறார், அது ஆறு இலக்கக் குறியீடுகளைக் காட்டத் தொடங்குகிறது. அமைப்பு வேலை செய்ததை நிரூபிக்க அவர் தற்போதைய குறியீட்டைப் போர்ட்டலில் தட்டச்சு செய்கிறார். ஆப் பத்து மீட்புக் குறியீடுகளைக் காட்டி அவற்றைப் பாதுகாப்பான இடத்தில் சேமிக்கச் சொல்கிறது.
பின்னர் உள்நுழைவது.
- பிரியா தன் மின்னஞ்சலையும் கடவுச்சொல்லையும் உள்ளிடுகிறார். சேவையகம் அவற்றைச் சரிபார்க்கிறது.
- நேராக உள்நுழைய அனுமதிப்பதற்குப் பதிலாக, சேவையகம் அமர்வை "கடவுச்சொல் சரி, இரண்டாவது காரணி நிலுவையில்" என்று குறிக்கிறது, குறியீடு திரையைக் காட்டுகிறது.
- அவர் தன் ஆப்பிலுள்ள குறியீட்டை உள்ளிடுகிறார். சேவையகம் அதைச் சேமிக்கப்பட்ட ரகசியத்துடன் ஒப்பிடுகிறது, சிறிய கடிகார வேறுபாட்டையும் அனுமதித்து.
- அப்போதுதான் சேவையகம் முழு அமர்வை உருவாக்கி ஆவணங்களைப் பார்க்க அனுமதிக்கிறது.
தாக்குபவர் என்ன பார்ப்பார். பிரியாவின் கடவுச்சொல் வேறொரு தளத்திலிருந்து கசிந்திருந்தால், தாக்குபவர் படி 3-இல் சிக்கிக்கொள்வார். ஒவ்வொரு தோல்வியான குறியீட்டு முயற்சியும் எண்ணப்படும், பல தவறான முயற்சிகளுக்குப் பிறகு கணக்கு தற்காலிகமாகப் பூட்டப்பட்டு பிரியாவுக்கு மின்னஞ்சல் வரும்.
தொலைபேசியை இழந்தால். பிரியா தன் மீட்புக் குறியீடுகளில் ஒன்றைப் பயன்படுத்தி உள்நுழைகிறார், தன் புதிய தொலைபேசியுடன் 2FA-வை அணைத்து மீண்டும் இயக்குகிறார், புதிய மீட்புக் குறியீடுகளைப் பெறுகிறார். பயன்படுத்திய குறியீடு மீண்டும் ஒருபோதும் வேலை செய்யாது.
ஊழியர்களுக்கு. அந்த நிறுவனத்தின் கணக்கியலாளர்கள் ஒவ்வொரு வாடிக்கையாளரின் கோப்புகளையும் பார்க்க முடியும், எனவே போர்ட்டல் ஊழியர் கணக்குகளுக்கு 2FA-வை கட்டாயமாக்குகிறது; அவர்கள் பதிவு செய்யும் வரை டாஷ்போர்டை அணுக முடியாது.
பொதுவான சொற்கள் விளக்கம்
| சொல் | பொருள் |
|---|---|
| 2FA / MFA | Two-factor / multi-factor authentication: ஒன்றுக்கும் மேற்பட்ட வகைச் சான்றுடன் உள்நுழைவது. |
| Factor (காரணி) | ஒரு வகைச் சான்று: உங்களுக்குத் தெரிந்தது, உங்களிடம் உள்ளது அல்லது நீங்கள் யார் என்பது. |
| TOTP | Time-based one-time password — authenticator ஆப்களில் சுழலும் குறியீடுகள். |
| Shared secret (பகிரப்பட்ட ரகசியம்) | QR குறியீடு மூலம் அமைக்கப்படும் மறைந்த மதிப்பு; ஆப்பும் உங்கள் தொலைபேசியும் பொருந்தும் குறியீடுகளை உருவாக்கப் பயன்படுத்தும். |
| மீட்பு (காப்பு) குறியீடுகள் | இரண்டாவது காரணியை இழந்தால் உள்ளே நுழைவதற்கான ஒரு முறை பயன்படுத்தும் குறியீடுகள். |
| Passkey | கடவுச்சொல்லுக்குப் பதிலாக public-key குறியாக்கத்தைப் பயன்படுத்தும், உங்கள் சாதனத்தில் சேமிக்கப்படும் உள்நுழைவுச் சான்று. |
| பாதுகாப்பு விசை (Security key) | passkey போன்ற வேலையைச் செய்யும் ஒரு சிறிய இயற்பியல் சாதனம் (USB அல்லது NFC). |
| SIM swapping | ஒருவரின் எண்ணை புதிய SIM-க்கு மாற்றும்படி மொபைல் நிறுவனத்தை ஏமாற்றுவது, குறுஞ்செய்திகள் தாக்குபவருக்குச் செல்லும். |
| Phishing | கடவுச்சொற்களையோ குறியீடுகளையோ ஒப்படைக்க மக்களை ஏமாற்றும் போலி தளம் அல்லது செய்தி. |
| Step-up authentication | பணம் செலுத்தும் விவரங்களை மாற்றுவது போன்ற முக்கியச் செயலுக்கு முன் இரண்டாவது காரணியை மீண்டும் கேட்பது. |
பொதுவான தவறுகளும் தவறான கருத்துகளும்
- "2FA கணக்கை ஊடுருவ முடியாததாக்குகிறது." அது மிகவும் கடினமாக்குகிறது. Phishing தளங்கள் தட்டச்சு செய்த குறியீடுகளை நேரடியாகப் பிடிக்க முடியும், அதனால்தான் passkey-கள் உள்ளன.
- குறியீட்டை உலாவியில் மட்டும் சரிபார்ப்பது. கடவுச்சொல்லுக்குப் பிறகு சேவையகம் முழு அமர்வை வழங்கினால், குறியீடு திரை அலங்காரம்தான். இரண்டாவது காரணி கடந்த வரை சேவையகம் அணுகலை மறுக்க வேண்டும்.
- குறியீடு யூகங்களுக்கு வரம்பு இல்லாதது. ஆறு இலக்கக் குறியீட்டுக்கு ஒரு மில்லியன் சாத்தியங்கள். Rate limiting மற்றும் பூட்டுதல் இல்லாவிட்டால், தாக்குபவர் தொடர்ந்து யூகித்துக்கொண்டே இருக்கலாம்.
- மீட்பை மறப்பது. மீட்புக் குறியீடுகள் இல்லாவிட்டால், தொலைந்த ஒவ்வொரு தொலைபேசியும் ஒரு ஆதரவுக் கோரிக்கையாகவோ பூட்டப்பட்ட வாடிக்கையாளராகவோ மாறும்.
- TOTP ரகசியத்தை அலட்சியமாகச் சேமிப்பது. பகிரப்பட்ட ரகசியம் தரவுத்தளத்தில் குறியாக்கம் செய்யப்பட்டிருக்க வேண்டும், அமைத்த பிறகு மீண்டும் ஒருபோதும் காட்டப்படக் கூடாது.
- மீண்டும் சரிபார்க்காமல் பயனர்கள் 2FA-வை அணைக்க அனுமதிப்பது. 2FA-வை அணைப்பதற்கோ மின்னஞ்சலை மாற்றுவதற்கோ கடவுச்சொல்லும் தற்போதைய குறியீடும் கேட்கப்பட வேண்டும்.
- கடவுச்சொல் + பாதுகாப்புக் கேள்வி 2FA-வாகக் கருதப்படும் என்பது. அது அப்படியல்ல — இரண்டுமே நீங்கள் அறிந்த விஷயங்கள்.
உங்கள் AI பில்டரிடம் என்ன கேட்பது
- "Authenticator ஆப் (TOTP) மூலம் விருப்பத்தேர்வு two-factor authentication சேர்க்கவும், அமைப்புக்கு QR குறியீடு, இயக்குவதற்கு முன் உறுதிப்படுத்தும் குறியீடு இருக்கட்டும்."
- "2FA இயக்கப்படும்போது பத்து ஒரு முறை பயன்படுத்தும் மீட்புக் குறியீடுகளைக் காட்டவும். அவற்றைக் கடவுச்சொற்களைப் போல hash செய்து சேமிக்கவும்."
- "2FA-வை சேவையகத்தில் கட்டாயப்படுத்தவும்: இரண்டாவது காரணி கடக்கும் வரை முழு அமர்வு கூடாது."
- "குறியீட்டு முயற்சிகளை வரம்பிடவும்; பல தோல்விகளுக்குப் பிறகு 15 நிமிடங்களுக்கு உள்நுழைவைப் பூட்டவும். அது நிகழும்போது பயனருக்கு மின்னஞ்சல் அனுப்பவும்."
- "நிர்வாகக் கணக்குகளுக்கு 2FA-வைக் கட்டாயமாக்கவும்."
- "2FA-வை அணைக்கும் முன் அல்லது கணக்கு மின்னஞ்சலை மாற்றும் முன் கடவுச்சொல்லையும் தற்போதைய குறியீட்டையும் கேட்கவும்."
- "நன்கு அறியப்பட்ட நூலகத்தையோ எங்கள் auth வழங்குநரின் உள்ளமைந்த 2FA-வையோ பயன்படுத்தவும் — குறியாக்கத்தை நீங்களே எழுத வேண்டாம்."
- "எந்த முறையைப் பயன்படுத்தினீர்கள், ரகசியங்கள் எங்கே சேமிக்கப்படுகின்றன என்று விளக்கவும்."
நீங்கள் ஒரு ஹோஸ்ட் செய்யப்பட்ட auth வழங்குநரைப் பயன்படுத்தினால், அது ஏற்கனவே 2FA அல்லது passkey-களை வழங்குகிறதா என்று சரிபாருங்கள்; உள்ளமைந்த அம்சத்தை இயக்குவது பொதுவாக தனிப்பயன் கோடை விட பாதுகாப்பானது. படிப்படியான வழிகாட்டி இரண்டு-காரணி அங்கீகாரத்தைச் சேர்ப்பது எப்படி என்பதில் உள்ளது, அதன் அடியிலுள்ள உள்நுழைவு அடிப்படைகளை authentication என்றால் என்ன விளக்குகிறது.
Mythex-இல் Two-factor authentication
Mythex உங்கள் ஆப்பின் பயனர்களுக்கான உள்ளமைந்த உள்நுழைவு அமைப்பைச் சேர்ப்பதில்லை, எனவே 2FA நீங்கள் தேர்ந்தெடுக்கும் auth அணுகுமுறையின் ஒரு பகுதி — திட்டத்தின் தரவுத்தளத்தின் ஆதரவுடன் உங்கள் சொந்த மின்னஞ்சல்-கடவுச்சொல் உள்நுழைவு, அல்லது 2FA வழங்கும் ஹோஸ்ட் செய்யப்பட்ட வழங்குநர். அரட்டையில் ஏஜெண்டிடம் அதைச் சேர்க்கச் சொல்லுங்கள்; வழங்குநர் விசைகள் அரட்டையில் அல்ல, திட்டத்தின் secrets-இல் வைக்கப்படும். ஆப்புக்கு உள்நுழைவைச் சேர்ப்பது என்ற docs செய்முறையில் மாற்றிப் பயன்படுத்தக்கூடிய தொடக்க prompt உள்ளது, விசைகளைச் சுற்றியுள்ள பழக்கங்களை நீங்கள் உருவாக்கும் ஆப்புகளுக்கான பாதுகாப்பு விளக்குகிறது. வெளியிடுவதற்கு முன் AI உருவாக்கிய ஆப்புகளுக்கான பாதுகாப்புச் சரிபார்ப்புப் பட்டியல் வழியாகச் செல்லுங்கள்.
கேள்விகள்
Two-factor authentication என்றால் எளிய வார்த்தையில் என்ன?
Two-factor authentication (2FA) என்றால் உள்நுழைவுக்கு இரண்டு வெவ்வேறு வகைச் சான்றுகள் தேவை: பொதுவாக உங்கள் கடவுச்சொல் மற்றும் உங்கள் தொலைபேசியிலிருந்து வரும் குறியீடு அல்லது ஒரு பாதுகாப்பு விசை. கடவுச்சொல்லை மட்டும் திருடுபவரால் உள்ளே நுழைய முடியாது.
2FA என்பது MFA-வுடன் ஒன்றா?
கிட்டத்தட்ட ஆம். Multi-factor authentication (MFA) என்றால் இரண்டு அல்லது அதற்கு மேற்பட்ட காரணிகள்; two-factor authentication என்பது சரியாக இரண்டு காரணிகள் கொண்ட மிகப் பொதுவான வழக்கு. அன்றாடப் பயன்பாட்டில் இரண்டு சொற்களும் மாற்றிப் பயன்படுத்தப்படுகின்றன.
SMS இரண்டு-காரணி அங்கீகாரம் பாதுகாப்பானதா?
கடவுச்சொல்லை மட்டும் வைத்திருப்பதை விட இது மிகச் சிறந்தது, ஆனால் இது பொதுவான விருப்பங்களில் மிகப் பலவீனமானது. குறுஞ்செய்திகளை இடைமறிக்கலாம் அல்லது SIM swapping மூலம் திருப்பிவிடலாம், போலி உள்நுழைவுப் பக்கம் குறியீட்டைத் தட்டச்சு செய்ய மக்களை ஏமாற்றலாம். Authenticator ஆப்கள் வலுவானவை, passkey அல்லது பாதுகாப்பு விசைகள் இன்னும் வலுவானவை.
என் ஆப்புக்கு two-factor authentication தேவையா?
கணக்குகளில் பணம், தனிப்பட்ட தரவு அல்லது மற்ற பயனர்கள் மீது நிர்வாக அதிகாரம் இருந்தால், 2FA வழங்குவது நல்ல யோசனை, நிர்வாகிகளுக்கு அதைக் கட்டாயமாக்குவது பொதுவானது. எளிய பொழுதுபோக்கு ஆப்புக்கு இது விருப்பத் தேர்வாக இருக்கலாம் அல்லது பின்னர் சேர்க்கலாம்.
பயனர் தன் தொலைபேசியை இழந்தால் என்ன ஆகும்?
அதற்காகத்தான் மீட்புக் குறியீடுகள் (recovery codes) உள்ளன: 2FA இயக்கப்படும்போது காட்டப்படும் ஒரு முறை பயன்படுத்தும் காப்புக் குறியீடுகளின் சிறிய பட்டியல். அவை இல்லாவிட்டால், மீட்புக்கு பொதுவாக ஆப்பின் உரிமையாளரின் கைமுறை அடையாள சரிபார்ப்பு தேவைப்படும், எனவே வெளியிடுவதற்கு முன்பே திட்டமிடுங்கள்.