టూ-ఫ్యాక్టర్ అథెంటికేషన్ అంటే ఏమిటి? సరళ గైడ్
టూ-ఫ్యాక్టర్ అథెంటికేషన్ (2FA) అనేది లాగిన్ కావడానికి రెండు వేర్వేరు రకాల రుజువు అడిగే ఒక ప్రక్రియ — సాధారణంగా మీకు తెలిసినది, పాస్‌వర్డ్ వంటిది, మరియు మీ దగ్గర ఉన్నది, ఫోన్ లేదా సెక్యూరిటీ కీ వంటిది. ఒక నేరగాడు మీ పాస్‌వర్డ్‌ను దొంగిలించినా లేదా ఊహించినా, రెండో ఫ్యాక్టర్ లేకుండా లోపలికి రాలేడు. ముఖ్యమైన ఖాతాలను రక్షించడానికి ఇది అత్యంత సరళమైన మార్గాలలో ఒకటి.
AI తో నిర్మించేటప్పుడు ఇది ఎందుకు ముఖ్యం
AI బిల్డర్‌ను "లాగిన్" అడిగితే, సాధారణంగా ఇమెయిల్ మరియు పాస్‌వర్డ్ వస్తుంది. అది మంచి ప్రారంభమే, కానీ పాస్‌వర్డ్‌లు తిరిగి వాడబడతాయి, ఫిషింగ్‌కు గురవుతాయి, లీక్ అవుతాయి. మీ యాప్‌లో కస్టమర్ రికార్డులు, ఇన్వాయిస్‌లు, అడ్మిన్ నియంత్రణలు లేదా చెల్లింపు సెట్టింగ్‌లు వంటి విలువైనవి ఉంటే, ఒకే దొంగిలించిన పాస్‌వర్డ్ అన్నింటినీ బయటపెట్టగలదు.
2FA మొదట్లో మీరు ఆలోచించని నిర్ణయాలను కూడా ప్రభావితం చేస్తుంది:
- ఎవరు ఉపయోగించాలి. అందరికీ ఐచ్ఛికమా, అడ్మిన్‌లకు మాత్రమే తప్పనిసరా, లేదా అందరికీ తప్పనిసరా?
- ఏ పద్ధతులకు మద్దతివ్వాలి. యాప్ నుండి కోడ్‌లు, SMS, పాస్‌కీలు, సెక్యూరిటీ కీలు.
- ఎవరైనా లాక్ అయితే ఏమవుతుంది. పోయిన ఫోన్‌లు 2FA ఉన్న ఏ యాప్‌లోనైనా అత్యంత సాధారణ సపోర్ట్ అభ్యర్థన.
- ఎక్కడ అమలు చేయాలి. తనిఖీ సర్వర్‌లో జరగాలి. బ్రౌజర్‌లో మాత్రమే పేజీని దాచే 2FA స్క్రీన్‌ను దాటవేయవచ్చు.
క్రిప్టోగ్రఫీని మీరే నిర్మించాల్సిన అవసరం లేదు — బాగా పరీక్షించిన లైబ్రరీలు మరియు అథెంటికేషన్ ప్రొవైడర్లు అది చూసుకుంటాయి. కానీ ఏమి అడగాలో తెలుసుకోవాలి.
రోజువారీ ఉదాహరణ
బ్యాంక్ సేఫ్-డిపాజిట్ బాక్స్ గురించి ఆలోచించండి. దాన్ని తెరవడానికి మీ ID (బ్యాంక్ తనిఖీ చేసేది — మీరు అని లేదా మీకు తెలిసినది) మరియు భౌతిక కీ (మీ దగ్గర ఉన్నది) కావాలి. మీ సంతకాన్ని కాపీ చేసిన దొంగ ఇంకా కీ లేకుండా ఉంటాడు. కీని దొంగిలించిన వ్యక్తి కూడా ID తనిఖీ దాటలేడు.
2FA ఇలాగే పనిచేస్తుంది. పాస్‌వర్డ్ సంతకం; ఫోన్ లేదా సెక్యూరిటీ కీ భౌతిక కీ. ప్రతిదీ ఒంటరిగా సరిపోదు.
మూడు రకాల ఫ్యాక్టర్లు
భద్రతా ప్రమాణాలు, ఉదాహరణకు యునైటెడ్ స్టేట్స్ యొక్క National Institute of Standards and Technology డిజిటల్ ఐడెంటిటీ మార్గదర్శకాలు, ఫ్యాక్టర్లను మూడు రకాలుగా వర్గీకరిస్తాయి:
| ఫ్యాక్టర్ | ఉదాహరణలు |
|---|---|
| మీకు తెలిసినది | పాస్‌వర్డ్, PIN |
| మీ దగ్గర ఉన్నది | అథెంటికేటర్ యాప్ ఉన్న ఫోన్, సెక్యూరిటీ కీ, పాస్‌కీ ఉన్న పరికరం |
| మీరు ఉన్నది | వేలిముద్ర, ముఖం — సాధారణంగా నిజమైన తనిఖీ చేసే పరికరాన్ని అన్‌లాక్ చేయడానికి ఉపయోగిస్తారు |
ముఖ్య పదం వేరు. పాస్‌వర్డ్ మరియు భద్రతా ప్రశ్న రెండూ మీకు తెలిసిన విషయాలే, కాబట్టి అది నిజమైన టూ-ఫ్యాక్టర్ అథెంటికేషన్ కాదు. ఒకే లీక్ రెండింటినీ బయటపెట్టగలిగితే, అది ఒక్కటిగానే లెక్క.
సాధారణ 2FA పద్ధతుల పోలిక
| పద్ధతి | ఇది ఎలా పనిచేస్తుంది | బలం | గమనికలు |
|---|---|---|---|
| SMS కోడ్ | మీ ఫోన్ నంబర్‌కు కోడ్ టెక్స్ట్ చేస్తారు | అత్యంత బలహీనం | SIM స్వాపింగ్ మరియు ఫిషింగ్‌కు గురవుతుంది, కానీ 2FA లేకపోవడం కంటే చాలా మెరుగు |
| ఇమెయిల్ కోడ్ | కోడ్ మీకు ఇమెయిల్ చేస్తారు | బలహీనం | ఇమెయిల్ ఖాతా ఎంత సురక్షితమో అంతే సురక్షితం |
| అథెంటికేటర్ యాప్ (TOTP) | Google Authenticator వంటి యాప్ సాధారణంగా ప్రతి 30 సెకన్లకు కొత్త 6-అంకెల కోడ్ ఇస్తుంది | మంచిది | ఆఫ్‌లైన్‌లో పనిచేస్తుంది; నకిలీ సైట్ కోడ్ అడిగితే ఇప్పటికీ ఫిషింగ్‌కు గురవుతుంది |
| పుష్ ఆమోదం | యాప్ "ఇది మీరేనా?" అని అడుగుతుంది, మీరు ఆమోదం నొక్కుతారు | మంచిది | "అప్రూవ్ ఫెటీగ్"పై జాగ్రత్త — పదే పదే వచ్చే ప్రాంప్ట్‌లు ఆపడానికి వినియోగదారులు అవును నొక్కవచ్చు |
| పాస్‌కీ లేదా సెక్యూరిటీ కీ | పరికరంలోని క్రిప్టోగ్రాఫిక్ కీ మీరు నిజమైన సైట్‌లో ఉన్నారని రుజువు చేస్తుంది | అత్యంత బలమైనది | నకిలీ డొమైన్‌కు స్పందించదు కాబట్టి ఫిషింగ్‌ను నిరోధిస్తుంది |
NIST మార్గదర్శకత్వం కోడ్ టైప్ చేసే పద్ధతులను (SMS, ఇమెయిల్, అథెంటికేటర్ యాప్‌లు) ఫిషింగ్-నిరోధకం కాదు అని భావిస్తుంది, మరియు ఫోన్ నెట్‌వర్క్ ద్వారా కోడ్‌లు పంపడాన్ని "పరిమితం"గా గుర్తిస్తుంది. WebAuthn/FIDO2 ప్రమాణాల ఆధారంగా పాస్‌కీలు మరియు హార్డ్‌వేర్ సెక్యూరిటీ కీలు ఫిషింగ్-నిరోధకమని అది లెక్కిస్తుంది.
ఆచరణాత్మక సారాంశం: చాలా యాప్‌లకు అథెంటికేటర్ యాప్ బలమైన, సులభమైన డిఫాల్ట్; మీ వినియోగదారులు సౌకర్యంగా ఉంటే పాస్‌కీలు అందించడం విలువైనది.
ఒక ఉదాహరణ: క్లయింట్ పోర్టల్ కోసం 2FA
ఒక చిన్న అకౌంటింగ్ సంస్థ క్లయింట్లతో పన్ను పత్రాలు పంచుకునే పోర్టల్ నిర్మించారని అనుకుందాం. మంచి 2FA సెటప్ దశలవారీగా ఇలా పనిచేస్తుంది.
ఆన్ చేయడం (నమోదు). క్లయింట్ ప్రియా Settings తెరిచి "టూ-ఫ్యాక్టర్ అథెంటికేషన్ ఆన్ చేయండి" నొక్కుతుంది. యాప్ ఒక రహస్యాన్ని రూపొందించి QR కోడ్‌గా చూపుతుంది. ఆమె తన అథెంటికేటర్ యాప్‌తో స్కాన్ చేస్తుంది, అది ఆరు-అంకెల కోడ్‌లు చూపడం మొదలుపెడుతుంది. సెటప్ పనిచేసిందని నిరూపించడానికి ప్రస్తుత కోడ్‌ను ఆమె పోర్టల్‌లో టైప్ చేస్తుంది. యాప్ పది రికవరీ కోడ్‌లు చూపి, వాటిని సురక్షితంగా ఉంచమని అడుగుతుంది.
తర్వాత లాగిన్ చేయడం.
- ప్రియా ఇమెయిల్ మరియు పాస్‌వర్డ్ నమోదు చేస్తుంది. సర్వర్ వాటిని తనిఖీ చేస్తుంది.
- ఆమెను నేరుగా లోపలికి పంపకుండా, సర్వర్ సెషన్‌ను "పాస్‌వర్డ్ సరిగ్గా ఉంది, రెండో ఫ్యాక్టర్ పెండింగ్" అని గుర్తించి కోడ్ స్క్రీన్ చూపుతుంది.
- ఆమె తన యాప్ నుండి కోడ్ టైప్ చేస్తుంది. సర్వర్ దాన్ని ఆమె నిల్వ చేసిన రహస్యంతో పోల్చుతుంది, కొద్దిగా క్లాక్ తేడాను అనుమతిస్తూ.
- అప్పుడే సర్వర్ పూర్తి సెషన్ సృష్టించి ఆమెకు పత్రాలు చూడనిస్తుంది.
దాడి చేసేవారికి ఏమి కనిపిస్తుంది. ప్రియా పాస్‌వర్డ్ మరొక సైట్ నుండి లీక్ అయితే, దాడి చేసేవాడు దశ 3 వద్ద ఆగిపోతాడు. ప్రతి విఫల కోడ్ ప్రయత్నం లెక్కించబడుతుంది, మరియు కొన్ని తప్పుల తర్వాత ఖాతా తాత్కాలికంగా లాక్ అవుతుంది, ప్రియాకు ఇమెయిల్ వస్తుంది.
ఫోన్ పోతే. ప్రియా లాగిన్ చేయడానికి రికవరీ కోడ్‌లలో ఒకటి వాడుతుంది, 2FAను ఆఫ్ చేసి, తన కొత్త ఫోన్‌తో మళ్ళీ ఆన్ చేసి, కొత్త రికవరీ కోడ్‌లు పొందుతుంది. వాడిన కోడ్ మళ్ళీ ఎప్పటికీ పనిచేయదు.
సిబ్బంది కోసం. సంస్థ అకౌంటెంట్లు ప్రతి క్లయింట్ ఫైళ్లను చూడగలరు, కాబట్టి పోర్టల్ సిబ్బంది ఖాతాలకు 2FA తప్పనిసరి చేస్తుంది; వారు నమోదు చేసుకునే వరకు డ్యాష్‌బోర్డ్‌కు చేరలేరు.
సాధారణ పదాలు వివరించబడ్డాయి
| పదం | అర్థం |
|---|---|
| 2FA / MFA | టూ-ఫ్యాక్టర్ / మల్టీ-ఫ్యాక్టర్ అథెంటికేషన్: ఒకటి కంటే ఎక్కువ రకాల రుజువుతో లాగిన్ కావడం. |
| Factor | ఒక రకం రుజువు: మీకు తెలిసినది, మీ దగ్గర ఉన్నది లేదా మీరు ఉన్నది. |
| TOTP | టైమ్-బేస్డ్ వన్-టైమ్ పాస్‌వర్డ్ — అథెంటికేటర్ యాప్‌లలో మారే కోడ్‌లు. |
| Shared secret | QR కోడ్ ద్వారా సెటప్ చేసే దాచిన విలువ; యాప్ మరియు మీ ఫోన్ రెండూ ఒకే కోడ్‌లు రూపొందించడానికి దాన్ని ఉపయోగిస్తాయి. |
| Recovery (backup) codes | మీ రెండో ఫ్యాక్టర్ పోయినప్పుడు లోపలికి రావడానికి ఒకసారి మాత్రమే ఉపయోగించే కోడ్‌లు. |
| Passkey | పాస్‌వర్డ్‌కు బదులు పబ్లిక్-కీ క్రిప్టోగ్రఫీని ఉపయోగించి మీ పరికరంలో నిల్వ చేయబడిన లాగిన్ ఆధారం. |
| Security key | పాస్‌కీ లాగే పనిచేసే చిన్న భౌతిక పరికరం (USB లేదా NFC). |
| SIM swapping | మొబైల్ క్యారియర్‌ను మోసగించి ఒకరి నంబర్‌ను కొత్త SIMకు మార్పించడం, తద్వారా SMSలు దాడి చేసేవారికి వెళ్తాయి. |
| Phishing | పాస్‌వర్డ్‌లు లేదా కోడ్‌లు ఇచ్చేలా ప్రజలను మోసగించే నకిలీ సైట్ లేదా సందేశం. |
| Step-up authentication | చెల్లింపు వివరాలు మార్చడం వంటి సున్నితమైన చర్యకు ముందు రెండో ఫ్యాక్టర్ మళ్ళీ అడగడం. |
సాధారణ తప్పులు మరియు అపోహలు
- "2FA ఖాతాను హ్యాక్ చేయలేనిదిగా చేస్తుంది." ఇది చాలా కష్టతరం చేస్తుంది. ఫిషింగ్ సైట్‌లు టైప్ చేసిన కోడ్‌లను నిజ సమయంలో పట్టుకోగలవు, అందుకే పాస్‌కీలు ఉన్నాయి.
- బ్రౌజర్‌లో మాత్రమే కోడ్ తనిఖీ. పాస్‌వర్డ్ తర్వాత సర్వర్ పూర్తి సెషన్ ఇస్తే, కోడ్ స్క్రీన్ అలంకారమే. రెండో ఫ్యాక్టర్ దాటే వరకు సర్వర్ ప్రవేశాన్ని నిరాకరించాలి.
- కోడ్ ఊహలకు పరిమితి లేకపోవడం. ఆరు-అంకెల కోడ్‌కు మిలియన్ అవకాశాలు ఉంటాయి. రేట్ లిమిటింగ్ మరియు లాక్‌అవుట్‌లు లేకుండా, దాడి చేసేవాడు ఊహిస్తూనే ఉండవచ్చు.
- రికవరీ మర్చిపోవడం. రికవరీ కోడ్‌లు లేకపోతే, పోయిన ప్రతి ఫోన్ ఒక సపోర్ట్ టికెట్ లేదా లాక్ అయిన కస్టమర్ అవుతుంది.
- TOTP రహస్యాన్ని అజాగ్రత్తగా నిల్వ చేయడం. షేర్డ్ రహస్యం డేటాబేస్‌లో ఎన్‌క్రిప్ట్ చేయబడి ఉండాలి, సెటప్ తర్వాత మళ్ళీ ఎప్పుడూ చూపకూడదు.
- తనిఖీ లేకుండా 2FAను ఆఫ్ చేయడానికి అనుమతించడం. 2FAను ఆఫ్ చేయడానికి లేదా ఖాతా ఇమెయిల్ మార్చడానికి పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ అవసరం కావాలి.
- పాస్‌వర్డ్ ప్లస్ భద్రతా ప్రశ్న 2FA అని భావించడం. కాదు — రెండూ మీకు తెలిసినవే.
మీ AI బిల్డర్‌ను ఏమి అడగాలి
- "అథెంటికేటర్ యాప్ (TOTP) ఉపయోగించి ఐచ్ఛిక టూ-ఫ్యాక్టర్ అథెంటికేషన్ జోడించండి, సెటప్ కోసం QR కోడ్ మరియు ఆన్ చేసే ముందు నిర్ధారణ కోడ్‌తో."
- "2FA ఆన్ చేసినప్పుడు పది ఒకసారి మాత్రమే ఉపయోగించే రికవరీ కోడ్‌లు చూపండి. పాస్‌వర్డ్‌ల లాగే హ్యాష్ చేసి నిల్వ చేయండి."
- "సర్వర్‌లో 2FA అమలు చేయండి: రెండో ఫ్యాక్టర్ దాటే వరకు పూర్తి సెషన్ ఉండకూడదు."
- "కోడ్ ప్రయత్నాలను పరిమితం చేయండి, పదే పదే విఫలమైతే లాగిన్‌ను 15 నిమిషాలు లాక్ చేయండి. అప్పుడు వినియోగదారుకు ఇమెయిల్ పంపండి."
- "అడ్మిన్ ఖాతాలకు 2FA తప్పనిసరి చేయండి."
- "2FA ఆఫ్ చేయడానికి లేదా ఖాతా ఇమెయిల్ మార్చడానికి ముందు పాస్‌వర్డ్ మరియు ప్రస్తుత కోడ్ అడగండి."
- "క్రిప్టో మీరే రాయవద్దు — బాగా తెలిసిన లైబ్రరీ లేదా మా అథెంటికేషన్ ప్రొవైడర్‌లో ఉన్న 2FA ఉపయోగించండి."
- "మీరు ఏ పద్ధతి ఉపయోగించారో, రహస్యాలు ఎక్కడ నిల్వ చేయబడ్డాయో వివరించండి."
మీరు హోస్ట్ చేసిన అథెంటికేషన్ ప్రొవైడర్ ఉపయోగిస్తే, వారు ఇప్పటికే 2FA లేదా పాస్‌కీలు అందిస్తారో లేదో తనిఖీ చేయండి; అంతర్నిర్మిత ఫీచర్ ఆన్ చేయడం సాధారణంగా కస్టమ్ కోడ్ కంటే సురక్షితం. దశలవారీ వివరణ టూ-ఫ్యాక్టర్ అథెంటికేషన్ ఎలా జోడించాలి లో ఉంది, మరియు అథెంటికేషన్ అంటే ఏమిటి దీని కింద ఉన్న లాగిన్ ప్రాథమికాలను వివరిస్తుంది.
Mythex లో టూ-ఫ్యాక్టర్ అథెంటికేషన్
Mythex మీ యాప్ వినియోగదారుల కోసం అంతర్నిర్మిత లాగిన్ వ్యవస్థను ఇవ్వదు, కాబట్టి 2FA మీరు ఎంచుకున్న అథెంటికేషన్ విధానంలో భాగం — ప్రాజెక్ట్ డేటాబేస్ ఆధారంగా మీ స్వంత ఇమెయిల్-పాస్‌వర్డ్ లాగిన్, లేదా 2FA అందించే హోస్ట్ చేసిన ప్రొవైడర్. మీరు చాట్‌లో ఏజెంట్‌ను జోడించమని అడుగుతారు, మరియు ఏ ప్రొవైడర్ కీలు ఉన్నా అవి చాట్‌లో కాకుండా ప్రాజెక్ట్ సీక్రెట్స్‌లో వెళ్తాయి. మీ యాప్‌కు లాగిన్ జోడించడం డాక్స్ రెసిపీలో అనుకూలీకరించదగిన స్టార్టర్ ప్రాంప్ట్ ఉంది, మరియు మీరు నిర్మించే యాప్‌ల కోసం భద్రత కీల చుట్టూ ఉన్న అలవాట్లను వివరిస్తుంది. ప్రారంభించే ముందు, AI-నిర్మిత యాప్‌ల కోసం భద్రతా చెక్‌లిస్ట్ ద్వారా వెళ్ళండి.
ప్రశ్నలు
టూ-ఫ్యాక్టర్ అథెంటికేషన్ సరళంగా చెప్పాలంటే ఏమిటి?
టూ-ఫ్యాక్టర్ అథెంటికేషన్ (2FA) అంటే లాగిన్ కావడానికి రెండు వేర్వేరు రకాల రుజువు కావాలి — సాధారణంగా మీ పాస్‌వర్డ్ ప్లస్ మీ ఫోన్ నుండి కోడ్ లేదా సెక్యూరిటీ కీ. కేవలం మీ పాస్‌వర్డ్‌ను దొంగిలించిన వ్యక్తి ఇంకా లోపలికి రాలేడు.
2FA అంటే MFA లాంటిదేనా?
దాదాపుగా. మల్టీ-ఫ్యాక్టర్ అథెంటికేషన్ (MFA) అంటే రెండు లేదా అంతకంటే ఎక్కువ ఫ్యాక్టర్లు; టూ-ఫ్యాక్టర్ అథెంటికేషన్ సరిగ్గా రెండు ఉండే అత్యంత సాధారణ సందర్భం. రోజువారీ వాడుకలో ఈ పదాలను పరస్పరం ఉపయోగిస్తారు.
SMS టూ-ఫ్యాక్టర్ అథెంటికేషన్ సురక్షితమా?
పాస్‌వర్డ్ ఒక్కటే ఉండటం కంటే ఇది చాలా మెరుగు, కానీ ఇది అత్యంత బలహీనమైన సాధారణ ఎంపిక. టెక్స్ట్ మెసేజ్‌లను అడ్డగించవచ్చు లేదా SIM స్వాపింగ్ ద్వారా దారి మళ్లించవచ్చు, మరియు నకిలీ లాగిన్ పేజీ కోడ్ టైప్ చేయమని ప్రజలను మోసగించగలదు. అథెంటికేటర్ యాప్‌లు బలమైనవి, పాస్‌కీలు లేదా సెక్యూరిటీ కీలు ఇంకా బలమైనవి.
నా యాప్‌కు టూ-ఫ్యాక్టర్ అథెంటికేషన్ అవసరమా?
ఖాతాల్లో డబ్బు, ప్రైవేట్ డేటా లేదా ఇతర వినియోగదారులపై అడ్మిన్ అధికారం ఉంటే, 2FA అందించడం మంచిది, మరియు అడ్మిన్‌లకు దీన్ని తప్పనిసరి చేయడం సాధారణం. సాధారణ హాబీ యాప్ కోసం ఇది ఐచ్ఛికంగా ఉండవచ్చు లేదా తర్వాతకు వదిలేయవచ్చు.
వినియోగదారు ఫోన్ పోగొట్టుకుంటే ఏమవుతుంది?
అందుకే రికవరీ కోడ్‌లు ఉన్నాయి: 2FA ఆన్ చేసినప్పుడు చూపే ఒకసారి మాత్రమే ఉపయోగించే బ్యాకప్ కోడ్‌ల చిన్న జాబితా. అవి లేకుండా, రికవరీ సాధారణంగా యాప్ యజమాని చేసే మాన్యువల్ గుర్తింపు తనిఖీ అవుతుంది, కాబట్టి ప్రారంభానికి ముందే ప్లాన్ చేయండి.