पासवर्ड क्यों काफ़ी नहीं है
एक मज़बूत पासवर्ड भी चुराया जा सकता है। एक फ़र्ज़ी लॉगिन पेज इसे चुरा सकता है, और डेटा लीक होने पर ऐसा पासवर्ड भी उजागर हो सकता है जिसे आपने दूसरी जगह इस्तेमाल किया हो। इसके बाद हमलावर अन्य खातों पर उस पासवर्ड को आज़मा सकते हैं। टू-फ़ैक्टर ऑथेंटिकेशन यह सुनिश्चित करता है कि पासवर्ड चोरी होने के बाद भी खाते में प्रवेश के लिए एक और जाँच पूरी करनी पड़े। यूके का नेशनल साइबर सिक्योरिटी सेंटर महत्वपूर्ण खातों पर टू-स्टेप वेरिफ़िकेशन चालू करने की सलाह देता है, तब भी जब उनके पास मज़बूत पासवर्ड हों।
अपने मुख्य ईमेल खाते से शुरुआत करें: दूसरी सेवाओं के पासवर्ड रीसेट करने के लिंक अक्सर इसी पर आते हैं। फिर वित्तीय खातों, काम में इस्तेमाल होने वाले टूल, क्लाउड स्टोरेज और सोशल मीडिया खातों की सुरक्षा करें। खाते पर किसी और का कब्ज़ा हो जाने से निजी दस्तावेज़ उजागर हो सकते हैं, आपका काम बाधित हो सकता है, या कोई आपके नाम पर दोस्तों और ग्राहकों से संपर्क कर सकता है।
टू-फ़ैक्टर वेरिफ़िकेशन कोड कैसे काम करते हैं
टू-फ़ैक्टर ऑथेंटिकेशन दो अलग-अलग प्रकार के प्रमाणों को मिलाता है। पासवर्ड और वेरिफ़िकेशन कोड के साथ, इनमें एक चीज़ वह है जो आप जानते हैं—आपका पासवर्ड—और दूसरी वह है जो आपके पास है—आपके खाते की सीक्रेट की सुरक्षित रखने वाले ऑथेंटिकेटर ऐप तक पहुँच। मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) पहचान की पुष्टि के लिए एक से अधिक फ़ैक्टर इस्तेमाल करने का व्यापक नाम है।
समय-आधारित वन-टाइम पासवर्ड, या TOTP, एक गुप्त सेटअप की और वर्तमान समय से बनने वाला, थोड़ी देर के लिए मान्य कोड होता है। जब आप ऑथेंटिकेटर-आधारित 2FA चालू करते हैं, तो सेवा आपको वह की देती है, आम तौर पर QR कोड के अंदर। Sign In स्थानीय रूप से कोड बनाने के लिए इसका उपयोग करता है; सेवा उनकी जाँच करने के लिए अपनी प्रति का उपयोग करती है। TOTP स्पेसिफ़िकेशन, RFC 6238 में वर्णित अनुसार कोड आमतौर पर हर 30 सेकंड में बदलते हैं।
सेटअप की किसी भी एक कोड से अधिक महत्वपूर्ण है: जो कोई भी इसे कॉपी करता है वह आगे के कोड बना सकता है। सेटअप कीज़ और QR कोड को निजी रखें। उन्हें सपोर्ट संदेशों में न भेजें, उनके स्क्रीनशॉट साझा न करें, या उन्हें चैट में पेस्ट न करें।
अपने 2FA कोड के लिए Sign In क्यों चुनें?
रोज़मर्रा के iPhone उपयोगकर्ताओं के लिए, हमारा मानना है कि ऑथेंटिकेशन सीक्रेट कीज़ को स्टोर करने का सबसे सुरक्षित तरीका उन्हें आपके नियंत्रण में रखने से शुरू होता है। हमने अपने ऑथेंटिकेटर ऐप Sign In को उस सिद्धांत के इर्द-गिर्द बनाया है: डिवाइस पर ही कोड बनाना, हमारे सर्वर पर ऑथेंटिकेशन सीक्रेट कीज़ स्टोर न करना, और सुरक्षित सिंक केवल आपकी मर्ज़ी से।
- आपके कोड आपके डिवाइस पर बनते हैं। एक बार खाता सेट हो जाने के बाद, Sign In इंटरनेट कनेक्शन के बिना उस खाते के कोड बना सकता है।
- हम आपका ऑथेंटिकेशन डेटा अपने सर्वर पर नहीं रखते। आपकी सेटअप कीज़, खाता लेबल और बनाए गए कोड Sign In के सर्वर पर नहीं भेजे जाते हैं और न ही उन पर स्टोर किए जाते हैं। हमारे सर्वर पर आपकी ऑथेंटिकेशन सीक्रेट कीज़ का कोई संग्रह है ही नहीं, जिसे हमलावर हमसे चुरा सके।
- किसी Sign In खाते की आवश्यकता नहीं है। आप एक और खाता बनाए बिना ऐप का उपयोग कर सकते हैं।
- बैकअप आपकी पसंद है। अपने ऐप में जोड़े गए खातों को अपने डिवाइस पर रखें, या अपने व्यक्तिगत iCloud कीचेन के माध्यम से सिंकिंग चालू करें।
इसका सुरक्षा लाभ साफ़ है: आपकी ऑथेंटिकेशन सीक्रेट कीज़ कम जगहों पर रखी जाती हैं। आपके डिवाइस की सुरक्षा और आपके द्वारा उपयोग की जाने वाली सेवाओं की सुरक्षा अभी भी मायने रखती है। प्रत्येक सेवा अपने स्वयं के कोड को सत्यापित करने के लिए आवश्यक जानकारी रखती है। हमारी गोपनीयता नीति वैकल्पिक सेवा-लोगो अनुरोधों सहित Sign In के स्टोरेज और डेटा हैंडलिंग की व्याख्या करती है।
Apple के iCloud कीचेन के साथ वैकल्पिक सुरक्षित सिंक
यदि आप चाहते हैं कि आपके ऐप में जोड़े गए खाते एक से अधिक डिवाइस पर उपलब्ध हों, तो Sign In का वैकल्पिक खाता बैकअप चालू करें। यह Apple के सुरक्षित कीचेन सिंकिंग सिस्टम, आपके व्यक्तिगत iCloud कीचेन का उपयोग करता है, ताकि समान Apple Account में साइन इन किए गए आपके iOS डिवाइस पर उन्हें सिंक रखा जा सके। Sign In हमारे अपने सर्वर पर कोई प्रति अपलोड नहीं करता है।
Apple के दस्तावेज़ बताते हैं कि पासवर्ड और कीचेन डेटा एंड-टू-एंड एन्क्रिप्टेड हैं, मानक iCloud डेटा सुरक्षा के तहत भी। आपको उस कीचेन सुरक्षा के लिए उन्नत डेटा सुरक्षा (Advanced Data Protection) की आवश्यकता नहीं है। Apple यह भी बताता है कि वह आपके iCloud कीचेन का डेटा नहीं पढ़ सकता है।
सिंक कोड बनाने के लिए आवश्यक सुरक्षित रूप से रखी गई खातों की सीक्रेट कीज़ को एक डिवाइस से दूसरे तक पहुँचाता है; प्रत्येक डिवाइस अपने स्वयं के मौजूदा कोड की गणना करता है। यह आपको Sign In के सर्वर को अपनी सीक्रेट कीज़ सौंपे बिना कई डिवाइस का उपयोग करने की सुविधा देता है।
| स्थान | वहाँ क्या होता है |
|---|---|
| आपके डिवाइस | आपके ऐप में जोड़े गए खाते यहाँ स्टोर किए जाते हैं, और कोड स्थानीय रूप से बनते हैं। |
| आपका iCloud कीचेन | जब आप खाता बैकअप चालू करते हैं, तो आपके ऐप में जोड़े गए खाते Apple के एंड-टू-एंड एन्क्रिप्शन का उपयोग करके सिंक होते हैं। |
| Sign In के सर्वर | हम आपकी ऑथेंटिकेशन सीक्रेट कीज़, खाता लेबल या बनाए गए कोड स्टोर नहीं करते हैं। |
आप किसी भी समय खाता बैकअप बंद कर सकते हैं। इसे बंद करने से मौजूदा सिंक की गई प्रति ज़रूरी नहीं कि डिलीट हो जाए; ऐप और iCloud की संबंधित सेटिंग्स में सेव की गई प्रतियों को अलग से प्रबंधित करें। सिंक की उपलब्धता और डेटा की रिकवरी Apple की सेवाओं और आपकी खाता सेटिंग्स पर निर्भर करती हैं।
वेरिफ़िकेशन कोड, पासकी या SMS?
एक ऐसा तरीका चुनें जिसका आपकी सेवा समर्थन करती है और समझें कि यह किसकी सुरक्षा करता है:
- वेरिफ़िकेशन कोड: जब कोई सेवा TOTP का समर्थन करती है तो हम Sign In इस्तेमाल करने की सलाह देते हैं। कोड ऑफ़लाइन काम करते हैं और SMS मिलने या आपके फ़ोन नंबर के नियंत्रण पर निर्भर नहीं होते हैं।
- पासकी और FIDO सिक्योरिटी कीज़: ये वास्तविक सेवा से ऑथेंटिकेशन को जोड़कर फ़िशिंग-प्रतिरोधी साइन-इन प्रदान करती हैं। जहाँ समर्थित हो वहाँ उनका उपयोग करें, विशेष रूप से संवेदनशील खातों के लिए। FIDO Alliance बताती है कि पासकी कैसे काम करती हैं।
- SMS या टेक्स्ट संदेश: जब मज़बूत विकल्प उपलब्ध न हों तो सुरक्षा की एक उपयोगी अतिरिक्त जाँच, लेकिन फ़ोन नंबर पर कब्ज़ा और संदेशों को बीच में पढ़ लिया जाना ऐसे जोखिम पैदा करते हैं जिनसे स्थानीय रूप से बनाए गए कोड बचते हैं।
कोड वाले 2FA के साथ भी फ़िशिंग का जोखिम रहता है: एक फ़र्ज़ी वेबसाइट आपका पासवर्ड और आपका मौजूदा कोड माँग सकती है, और फिर दोनों का तुरंत उपयोग कर सकती है। NIST का ऑथेंटिकेशन मार्गदर्शन वन-टाइम कोड को फ़िशिंग-प्रतिरोधी तरीकों से अलग करता है और फ़ोन-नेटवर्क जोखिमों का वर्णन करता है। केवल उस वास्तविक सेवा पर कोड दर्ज करें जिसमें आप साइन इन करना चाहते थे, और अचानक फ़ोन करने वाले किसी व्यक्ति को कोड कभी न बताएँ।
Sign In के साथ अपने पहले खाते की सुरक्षा करें
- सेवा की सुरक्षा सेटिंग्स खोलें। इसकी टू-फ़ैक्टर ऑथेंटिकेशन या टू-स्टेप वेरिफ़िकेशन सेटिंग्स ढूँढें और ऑथेंटिकेटर ऐप विकल्प चुनें, अगर यह विकल्प उपलब्ध हो।
- Sign In में इसकी सेटअप की जोड़ें। दूसरी स्क्रीन पर प्रदर्शित QR कोड के लिए, Add → Scan QR Code का उपयोग करें। उसी फ़ोन पर, Add → Enter Setup Key के साथ सेवा की मैन्युअल सेटअप की का उपयोग करें, फिर Add Account का उपयोग करें।
- सेवा की वेबसाइट या ऐप पर सेटअप पूरा करें। Sign In में अभी दिख रहा कोड दर्ज करें और पुष्टि करें कि 2FA चालू है। अकेले Sign In में खाता जोड़ना सेवा के सेटअप को पूरा नहीं करता है।
- सेवा के रिकवरी कोड सहेजें। उन्हें किसी सुरक्षित स्थान पर रखें जहाँ तक आप पहुँच सकें यदि आपका फ़ोन उपलब्ध न हो।
किसी सेवा का पूरा तरीका जानने के लिए, हमारे Google 2FA गाइड, Instagram 2FA गाइड से शुरू करें, या सभी सेटअप गाइड ब्राउज़ करें। यदि आपको iPhone के लिए ऑथेंटिकेटर ऐप चाहिए, तो App Store पर Sign In प्राप्त करें।
फ़ोन खोने की स्थिति के लिए पहले से तैयारी करें
वैकल्पिक iCloud कीचेन सिंक आपको अपने सभी डिवाइस पर एक्सेस बनाए रखने में मदद कर सकता है, लेकिन यह हर सेवा के अपने रिकवरी तरीकों का विकल्प नहीं है। रिकवरी कोड को उस खाते से अलग रखें जिसे वे अनलॉक करते हैं, और जाँच करें कि आप खोए हुए फ़ोन के बिना उन तक पहुँच सकते हैं।
अपने डिवाइस को एक मज़बूत पासकोड से सुरक्षित रखें, उनके सॉफ़्टवेयर को अपडेट रखें, और अपने Apple Account के रिकवरी विकल्प भी अपडेट रखें। पुराने फ़ोन का डेटा मिटाने से पहले, सत्यापित करें कि नए फ़ोन पर आपके खाते और कोड काम करते हैं। चूँकि हम आपकी सीक्रेट कीज़ अपने सर्वर पर स्टोर नहीं करते, इसलिए हम उन्हें वापस नहीं ला सकते और न ही आपका व्यक्तिगत iCloud बैकअप रिस्टोर कर सकते हैं।
2FA और Sign In के बारे में सामान्य प्रश्न
अगर मेरा पासवर्ड मज़बूत है और मैं उसे किसी दूसरे खाते में इस्तेमाल नहीं करता, तो भी क्या मुझे 2FA चाहिए?
हाँ, जब आप पासवर्ड से साइन इन करते हैं और सेवा इसका समर्थन करती है। हर खाते के लिए अलग पासवर्ड रखने से एक जगह लीक हुआ पासवर्ड दूसरे खातों को खतरे में नहीं डालता, जबकि पासवर्ड चोरी होने पर भी 2FA एक और जाँच की सुरक्षा देता है। जहाँ उपलब्ध हों, पासकी लॉगिन का एक अलग, फ़िशिंग-प्रतिरोधी तरीका देती हैं।
क्या Sign In मेरे 2FA कोड स्टोर करता है?
Sign In आपके डिवाइस पर स्टोर ऑथेंटिकेशन सीक्रेट कीज़ से स्थानीय रूप से कोड बनाता है। हम उन सीक्रेट कीज़, आपके खाता लेबल या बनाए गए कोड को अपने सर्वर पर स्टोर नहीं करते हैं। यदि आप खाता बैकअप चालू करते हैं, तो आपके ऐप में जोड़े गए खाते आपके व्यक्तिगत iCloud कीचेन के माध्यम से भी सिंक होते हैं।
क्या मैं iCloud सिंक के बिना Sign In का उपयोग कर सकता हूँ?
हाँ। ऐप में जोड़े गए खातों का बैकअप वैकल्पिक है। आप इसे चालू किए बिना अपने डिवाइस पर कोड बना सकते हैं। सेवाओं के रिकवरी कोड सहेजें ताकि डिवाइस खो जाने पर भी आपके पास साइन इन करने का दूसरा तरीका हो।
क्या वेरिफ़िकेशन कोड इंटरनेट एक्सेस के बिना काम करते हैं?
हाँ। सेटअप के बाद, Sign In सेव की गई सीक्रेट की और आपके डिवाइस की घड़ी का उपयोग करके TOTP कोड बनाता है। जिस वेबसाइट या सेवा में आप साइन इन कर रहे हैं, उसे आम तौर पर अभी भी इंटरनेट कनेक्शन की आवश्यकता होती है। अपने डिवाइस की तारीख और समय सही रखें।
स्रोत और अधिक जानकारी
यह मार्गदर्शिका टू-स्टेप वेरिफ़िकेशन पर NCSC के मार्गदर्शन, TOTP पर RFC 6238, NIST के ऑथेंटिकेशन मार्गदर्शन, और FIDO Alliance की पासकी संबंधी जानकारी पर आधारित है। Apple अपने एन्क्रिप्शन का वर्णन iCloud डेटा सुरक्षा जानकारी और iCloud कीचेन गोपनीयता सूचना में करता है। Sign In में डेटा के इस्तेमाल और रखरखाव का वर्णन हमारी गोपनीयता नीति में किया गया है।