ٹو فیکٹر اتھینٹیکیشن کیا ہے؟ آسان زبان میں گائیڈ
ٹو فیکٹر اتھینٹیکیشن (2FA) ایک لاگ اِن ہے جو اس بات کے دو مختلف ثبوت مانگتا ہے کہ آپ وہی ہیں جو آپ کہتے ہیں: عموماً کوئی ایسی چیز جو آپ جانتے ہیں، جیسے پاس ورڈ، اور کوئی ایسی چیز جو آپ کے پاس ہے، جیسے آپ کا فون یا سیکیورٹی کی۔ اگر کوئی مجرم آپ کا پاس ورڈ چرا لے یا اندازہ لگا لے، تو وہ دوسرے فیکٹر کے بغیر اندر نہیں جا سکتا۔ یہ اہم اکاؤنٹس کی حفاظت کا سب سے سادہ طریقہ ہے۔
AI کے ساتھ بناتے وقت یہ کیوں اہم ہے
جب آپ AI بلڈر سے “لاگ اِن” مانگتے ہیں تو عموماً ای میل اور پاس ورڈ ملتا ہے۔ یہ ایک اچھا آغاز ہے، لیکن پاس ورڈز دوبارہ استعمال ہوتے ہیں، فشنگ کا شکار ہوتے ہیں اور لیک ہو جاتے ہیں۔ اگر آپ کی ایپ میں کوئی قیمتی چیز ہے، جیسے گاہکوں کا ریکارڈ، انوائسز، ایڈمن کنٹرولز، یا ادائیگی کی ترتیبات، تو ایک چرایا ہوا پاس ورڈ سب کچھ کھول سکتا ہے۔
2FA کچھ ایسے فیصلوں پر بھی اثر ڈالتا ہے جن کے بارے میں شروع میں شاید آپ نے سوچا نہ ہو:
- کس کے لیے لازمی ہے۔ سب کے لیے اختیاری، ایڈمنز کے لیے لازمی، یا سب کے لیے لازمی؟
- کون سے طریقے سپورٹ کریں۔ ایپ سے کوڈز، ٹیکسٹ میسجز، passkeys، سیکیورٹی کیز۔
- جب کوئی لاک آؤٹ ہو تو کیا ہو۔ گم شدہ فون کسی بھی 2FA والی ایپ کی سب سے عام سپورٹ درخواست ہوتی ہے۔
- اسے کہاں نافذ کیا جائے۔ جانچ سرور پر ہونی چاہیے۔ وہ 2FA اسکرین جو صرف براؤزر میں صفحہ چھپاتی ہو، اسے چھوڑا جا سکتا ہے۔
آپ کو کرپٹوگرافی خود بنانے کی ضرورت نہیں؛ اچھی طرح جانچی ہوئی لائبریریاں اور auth providers یہ کام کرتے ہیں۔ لیکن آپ کو یہ جاننا ضروری ہے کہ کیا مانگنا ہے۔
روزمرہ کی ایک مثال
بینک کے سیف ڈپازٹ باکس کا تصور کریں۔ اسے کھولنے کے لیے آپ کو اپنی شناخت (کوئی ایسی چیز جسے بینک چیک کرتا ہے کہ آپ ہیں یا آپ جانتے ہیں) اور جسمانی چابی (کوئی ایسی چیز جو آپ کے پاس ہے) درکار ہوتی ہے۔ جو چور آپ کے دستخط کی نقل کر لے، اس کے پاس پھر بھی چابی نہیں ہوتی۔ جو جیب کترا چابی نکال لے، وہ پھر بھی شناخت کی جانچ سے نہیں گزر سکتا۔
2FA بھی اسی طرح کام کرتا ہے۔ پاس ورڈ دستخط ہے؛ فون یا سیکیورٹی کی جسمانی چابی ہے۔ ان میں سے کوئی ایک اکیلا کافی نہیں ہے۔
فیکٹرز کی تین اقسام
سیکیورٹی معیارات، جیسے امریکی National Institute of Standards and Technology کی ڈیجیٹل شناخت کی رہنمائی، فیکٹرز کو تین اقسام میں تقسیم کرتے ہیں:
| فیکٹر | مثالیں |
|---|---|
| کوئی چیز جو آپ جانتے ہیں | پاس ورڈ، PIN |
| کوئی چیز جو آپ کے پاس ہے | authenticator ایپ والا فون، سیکیورٹی کی، passkey رکھنے والا ڈیوائس |
| کوئی چیز جو آپ ہیں | فنگر پرنٹ، چہرہ — عموماً کسی ڈیوائس کو کھولنے کے لیے، جو پھر اصل جانچ کرتا ہے |
اہم لفظ مختلف ہے۔ پاس ورڈ کے ساتھ سیکیورٹی سوال دو ایسی چیزیں ہیں جو آپ جانتے ہیں، اس لیے یہ حقیقی ٹو فیکٹر اتھینٹیکیشن نہیں ہے۔ اگر ایک ہی لیک دونوں ظاہر کر دے تو وہ صرف ایک شمار ہوتا ہے۔
عام 2FA طریقوں کا موازنہ
| طریقہ | کیسے کام کرتا ہے | مضبوطی | نوٹس |
|---|---|---|---|
| SMS کوڈ | آپ کے فون نمبر پر کوڈ ٹیکسٹ کیا جاتا ہے | سب سے کمزور | SIM swapping اور فشنگ کا خطرہ ہے، لیکن 2FA نہ ہونے سے بہت بہتر ہے |
| ای میل کوڈ | آپ کو ای میل پر کوڈ بھیجا جاتا ہے | کمزور | صرف اتنا ہی محفوظ جتنا ای میل اکاؤنٹ |
| Authenticator ایپ (TOTP) | Google Authenticator جیسی ایپ عموماً ہر 30 سیکنڈ میں نیا 6 ہندسوں کا کوڈ بناتی ہے | اچھا | آف لائن کام کرتا ہے؛ پھر بھی اگر جعلی سائٹ کوڈ مانگے تو فشنگ ممکن ہے |
| Push منظوری | ایپ پوچھتی ہے “کیا یہ آپ ہیں؟” اور آپ منظوری پر ٹیپ کرتے ہیں | اچھا | “approve fatigue” سے خبردار رہیں، جہاں صارفین بار بار کے پرامپٹس روکنے کے لیے ہاں کہہ دیتے ہیں |
| Passkey یا سیکیورٹی کی | ڈیوائس پر موجود کرپٹوگرافک کی ثابت کرتی ہے کہ آپ اصل سائٹ پر ہیں | سب سے مضبوط | فشنگ کے خلاف مزاحم، کیونکہ یہ ملتی جلتے ڈومین پر جواب نہیں دیتی |
NIST کی رہنمائی ان طریقوں کو جن میں آپ کوڈ ٹائپ کرتے ہیں (SMS، ای میل، authenticator ایپس) فشنگ کے خلاف مزاحم نہیں سمجھتی، اور فون نیٹ ورک پر کوڈ بھیجنے کو “restricted” قرار دیتی ہے۔ WebAuthn/FIDO2 معیارات پر مبنی passkeys اور ہارڈویئر سیکیورٹی کیز وہ ہیں جنہیں وہ فشنگ کے خلاف مزاحم شمار کرتی ہے۔
عملی نتیجہ یہ ہے کہ زیادہ تر ایپس کے لیے authenticator ایپ ایک مضبوط اور آسان ڈیفالٹ ہے، اور اگر آپ کے صارفین اس سے مانوس ہوں تو passkeys پیش کرنا قابلِ قدر ہے۔
عملی مثال: کلائنٹ پورٹل کے لیے 2FA
فرض کریں آپ نے ایک پورٹل بنایا ہے جہاں ایک چھوٹی اکاؤنٹنگ فرم اپنے کلائنٹس کے ساتھ ٹیکس دستاویزات شیئر کرتی ہے۔ ایک معقول 2FA سیٹ اپ قدم بہ قدم کچھ یوں کام کرتا ہے۔
اسے آن کرنا (اندراج)۔ پریا، ایک کلائنٹ، Settings کھولتی ہیں اور “ٹو فیکٹر اتھینٹیکیشن آن کریں” پر کلک کرتی ہیں۔ ایپ ایک secret بناتی ہے اور اسے QR کوڈ کے طور پر دکھاتی ہے۔ وہ اسے اپنی authenticator ایپ سے اسکین کرتی ہیں، جو 6 ہندسوں کے کوڈ دکھانا شروع کر دیتی ہے۔ وہ موجودہ کوڈ پورٹل میں واپس ٹائپ کرتی ہیں تاکہ ثابت ہو کہ سیٹ اپ کام کر گیا۔ ایپ دس ریکوری کوڈز دکھاتی ہے اور انہیں کسی محفوظ جگہ پر محفوظ کرنے کو کہتی ہے۔
بعد میں لاگ اِن کرنا۔
- پریا اپنی ای میل اور پاس ورڈ درج کرتی ہیں۔ سرور انہیں چیک کرتا ہے۔
- انہیں سیدھا اندر لانے کے بجائے، سرور سیشن کو “پاس ورڈ درست، دوسرا فیکٹر باقی” کے طور پر نشان زد کرتا ہے اور کوڈ اسکرین دکھاتا ہے۔
- وہ اپنی ایپ کا کوڈ ٹائپ کرتی ہیں۔ سرور اسے ان کے محفوظ secret سے ملاتا ہے، اور تھوڑی سی clock drift کی گنجائش رکھتا ہے۔
- صرف اب سرور مکمل سیشن بناتا ہے اور وہ دستاویزات دیکھ سکتی ہیں۔
حملہ آور کیا دیکھتا ہے۔ اگر پریا کا پاس ورڈ کسی دوسری سائٹ سے لیک ہو جائے تو حملہ آور مرحلہ 3 پر رک جاتا ہے۔ ہر ناکام کوڈ کوشش گنی جاتی ہے، اور کئی غلط کوششوں کے بعد اکاؤنٹ عارضی طور پر لاک ہو جاتا ہے اور پریا کو ای میل ملتی ہے۔
فون کھونا۔ پریا اپنے ریکوری کوڈز میں سے ایک استعمال کر کے لاگ اِن کرتی ہیں، نئے فون کے ساتھ 2FA بند کر کے دوبارہ آن کرتی ہیں، اور نئے ریکوری کوڈز لیتی ہیں۔ استعمال شدہ کوڈ دوبارہ کبھی کام نہیں کر سکتا۔
عملے کے لیے۔ فرم کے اکاؤنٹنٹس ہر کلائنٹ کی فائلیں دیکھ سکتے ہیں، اس لیے پورٹل عملے کے اکاؤنٹس کے لیے 2FA لازمی کرتا ہے؛ اندراج مکمل ہونے تک وہ ڈیش بورڈ تک رسائی نہیں پا سکتے۔
عام اصطلاحات کی وضاحت
| اصطلاح | مطلب |
|---|---|
| 2FA / MFA | Two-factor / multi-factor authentication: ایک سے زیادہ قسم کے ثبوت کے ساتھ لاگ اِن۔ |
| Factor | ثبوت کی ایک قسم: کوئی چیز جو آپ جانتے، رکھتے یا ہیں۔ |
| TOTP | Time-based one-time password — authenticator ایپس میں گھومنے والے کوڈز۔ |
| Shared secret | QR کوڈ کے ذریعے سیٹ ہونے والی پوشیدہ قدر، جسے ایپ اور آپ کا فون دونوں ملتے جلتے کوڈ بنانے کے لیے استعمال کرتے ہیں۔ |
| Recovery (backup) codes | دوسرا فیکٹر کھو جانے پر اندر جانے کے لیے ایک بار استعمال ہونے والے کوڈز۔ |
| Passkey | آپ کے ڈیوائس پر محفوظ لاگ اِن کریڈینشل، جو پاس ورڈ کے بجائے public-key کرپٹوگرافی استعمال کرتا ہے۔ |
| Security key | ایک چھوٹا جسمانی ڈیوائس (USB یا NFC) جو passkey جیسا ہی کام کرتا ہے۔ |
| SIM swapping | کسی موبائل کمپنی کو دھوکہ دے کر کسی کا نمبر نئے SIM پر منتقل کروانا، تاکہ ٹیکسٹس حملہ آور کے پاس جائیں۔ |
| Phishing | جعلی سائٹ یا پیغام جو لوگوں کو پاس ورڈ یا کوڈز دینے پر بہکاتا ہے۔ |
| Step-up authentication | کسی حساس کارروائی سے پہلے، جیسے ادائیگی کی تفصیلات بدلنا، دوسرا فیکٹر دوبارہ مانگنا۔ |
عام غلطیاں اور غلط فہمیاں
- “2FA اکاؤنٹ کو ناقابلِ ہیک بنا دیتا ہے۔” یہ اسے کہیں زیادہ مشکل بناتا ہے۔ فشنگ سائٹس پھر بھی حقیقی وقت میں ٹائپ کیے گئے کوڈز حاصل کر سکتی ہیں، اسی لیے passkeys موجود ہیں۔
- کوڈ کی جانچ صرف براؤزر میں کرنا۔ اگر سرور پاس ورڈ کے بعد مکمل سیشن جاری کر دے تو کوڈ اسکرین محض آرائش ہے۔ سرور دوسرا فیکٹر پاس ہونے تک رسائی سے انکار کرے۔
- کوڈ اندازوں پر کوئی حد نہ ہونا۔ چھ ہندسوں کے کوڈ کے ایک ملین امکانات ہیں۔ rate limiting اور لاک آؤٹ کے بغیر حملہ آور بس اندازے لگاتا رہ سکتا ہے۔
- بحالی کو بھول جانا۔ ریکوری کوڈز نہ ہوں تو ہر گم شدہ فون ایک سپورٹ ٹکٹ بن جاتا ہے، یا ایک لاک آؤٹ گاہک۔
- TOTP secret کو لاپروائی سے محفوظ کرنا۔ shared secret ڈیٹا بیس میں خفیہ ہونا چاہیے، اور سیٹ اپ کے بعد دوبارہ کبھی نہ دکھایا جائے۔
- صارفین کو بغیر دوبارہ جانچ کے 2FA بند کرنے دینا۔ 2FA بند کرنے یا اکاؤنٹ کی ای میل بدلنے کے لیے پاس ورڈ اور موجودہ کوڈ درکار ہونا چاہیے۔
- پاس ورڈ اور سیکیورٹی سوال کو 2FA سمجھنا۔ ایسا نہیں ہے — دونوں چیزیں آپ کی جانی ہوئی ہیں۔
اپنے AI بلڈر سے کیا مانگیں
- “authenticator ایپ (TOTP) استعمال کرتے ہوئے اختیاری ٹو فیکٹر اتھینٹیکیشن شامل کریں، جس میں سیٹ اپ کے لیے QR کوڈ ہو اور آن کرنے سے پہلے تصدیقی کوڈ مانگا جائے۔”
- “2FA فعال ہونے پر دس ایک بار استعمال ہونے والے ریکوری کوڈز دکھائیں۔ انہیں پاس ورڈز کی طرح hash کر کے محفوظ کریں۔”
- “2FA سرور پر نافذ کریں: دوسرا فیکٹر پاس ہونے تک مکمل سیشن نہ دیں۔”
- “کوڈ کی کوششیں محدود کریں اور بار بار ناکامی پر لاگ اِن کو 15 منٹ کے لیے لاک کریں۔ ایسا ہونے پر صارف کو ای میل بھیجیں۔”
- “ایڈمن اکاؤنٹس کے لیے 2FA لازمی کریں۔”
- “2FA بند کرنے یا اکاؤنٹ کی ای میل بدلنے سے پہلے پاس ورڈ اور موجودہ کوڈ مانگیں۔”
- “کوئی معروف لائبریری یا ہمارے auth provider کا بلٹ اِن 2FA استعمال کریں — کرپٹوگرافی خود نہ لکھیں۔”
- “بتائیں کہ آپ نے کون سا طریقہ استعمال کیا اور secrets کہاں محفوظ ہیں۔”
اگر آپ کوئی hosted auth provider استعمال کرتے ہیں تو دیکھیں کہ وہ پہلے سے 2FA یا passkeys پیش کرتا ہے یا نہیں؛ بلٹ اِن فیچر آن کرنا عموماً کسٹم کوڈ سے زیادہ محفوظ ہوتا ہے۔ قدم بہ قدم طریقہ ٹو فیکٹر اتھینٹیکیشن کیسے شامل کریں میں ہے، اور اتھینٹیکیشن کیا ہے اس کے نیچے موجود لاگ اِن کی بنیادی باتوں کی وضاحت کرتا ہے۔
Mythex میں ٹو فیکٹر اتھینٹیکیشن
Mythex آپ کی ایپ کے صارفین کے لیے کوئی بلٹ اِن لاگ اِن سسٹم شامل نہیں کرتا، اس لیے 2FA اس auth طریقے کا حصہ ہے جو آپ چنتے ہیں — پروجیکٹ کے ڈیٹا بیس پر مبنی اپنا ای میل اور پاس ورڈ لاگ اِن، یا ایک hosted provider جو 2FA پیش کرے۔ آپ چیٹ میں ایجنٹ سے اسے شامل کرنے کو کہتے ہیں، اور کسی بھی provider کی keys چیٹ میں نہیں بلکہ پروجیکٹ secrets میں جاتی ہیں۔ ایپ میں لاگ اِن شامل کرنے کے docs recipe میں ایک starter prompt ہے جسے آپ ڈھال سکتے ہیں، اور آپ کی بنائی ایپس کی سیکیورٹی کی عادات کی وضاحت کرتا ہے۔ لانچ سے پہلے AI سے بنی ایپس کے لیے سیکیورٹی چیک لسٹ سے گزریں۔
سوالات
آسان الفاظ میں ٹو فیکٹر اتھینٹیکیشن کیا ہے؟
ٹو فیکٹر اتھینٹیکیشن (2FA) کا مطلب ہے کہ لاگ اِن کے لیے دو مختلف قسم کے ثبوت درکار ہوں، عموماً آپ کا پاس ورڈ اور آپ کے فون کا کوڈ یا سیکیورٹی کی۔ جو شخص صرف آپ کا پاس ورڈ چرا لے وہ پھر بھی اندر نہیں جا سکتا۔
کیا 2FA اور MFA ایک ہی چیز ہیں؟
تقریباً۔ Multi-factor authentication (MFA) کا مطلب دو یا زیادہ فیکٹرز ہیں؛ ٹو فیکٹر اتھینٹیکیشن اس کی سب سے عام صورت ہے جس میں بالکل دو ہوں۔ روزمرہ استعمال میں یہ دونوں اصطلاحات ایک دوسرے کی جگہ استعمال ہوتی ہیں۔
کیا SMS والی ٹو فیکٹر اتھینٹیکیشن محفوظ ہے؟
یہ صرف پاس ورڈ سے کہیں بہتر ہے، لیکن یہ عام آپشنز میں سب سے کمزور ہے۔ ٹیکسٹ میسجز SIM swapping کے ذریعے روکے یا موڑے جا سکتے ہیں، اور جعلی لاگ اِن صفحہ لوگوں کو کوڈ ٹائپ کرنے پر بہکا سکتا ہے۔ Authenticator ایپس زیادہ مضبوط ہیں، اور passkeys یا سیکیورٹی کیز اس سے بھی زیادہ مضبوط ہیں۔
کیا میری ایپ کو ٹو فیکٹر اتھینٹیکیشن کی ضرورت ہے؟
اگر اکاؤنٹس میں پیسہ، نجی ڈیٹا، یا دوسرے صارفین پر ایڈمن اختیارات ہوں تو 2FA پیش کرنا اچھا خیال ہے، اور ایڈمنز کے لیے اسے لازمی کرنا عام ہے۔ سادہ شوقیہ ایپ کے لیے یہ اختیاری ہو سکتا ہے یا بعد کے لیے چھوڑا جا سکتا ہے۔
اگر صارف اپنا فون کھو دے تو کیا ہوگا؟
اسی کے لیے ریکوری کوڈز ہوتے ہیں: 2FA آن کرتے وقت دکھائے جانے والے ایک بار استعمال ہونے والے بیک اپ کوڈز کی مختصر فہرست۔ ان کے بغیر بحالی عموماً ایپ کے مالک کی طرف سے دستی شناخت کی تصدیق سے ہوتی ہے، اس لیے لانچ سے پہلے اس کا منصوبہ بنا لیں۔