जब आप घर पहुंचते हैं, तो आप दरवाजे के सामने खड़े होते हैं और अपनी चाबियों के लिए इधर-उधर भागते हैं, फिर उनका उपयोग अपने प्रवेश द्वार को खोलने के लिए करते हैं। आप कोड नहीं लिखते हैं, आप दरवाजे से बात नहीं करते हैं, और आप पहेलियों का जवाब नहीं देते हैं जैसे कि आप स्फिंक्स से बात कर रहे थे। आपको भारी सिरदर्द नहीं देते हुए यह अपेक्षाकृत सुरक्षित है।
इसका इंटरनेट का संस्करण मूल रूप से U2F कुंजी है। हालाँकि आपको अभी भी अपना पासवर्ड टाइप करना है, दो-कारक प्रमाणीकरण के साथ आपको जो अतिरिक्त काम करना है वह गायब हो जाता है क्योंकि आपको बस अपनी भौतिक कुंजी को USB स्लॉट में डालना है। लेकिन क्या यह विधि कम से कम अन्य प्रमाणीकरण विधियों की तरह सुरक्षित है? और शायद इससे भी महत्वपूर्ण बात यह है कि क्या यह कुछ नया करता है?
U2F प्रमाणीकरण पर एक त्वरित क्रैश कोर्स
यह समझाने के लिए कि U2F कैसे काम करता है, आपको पहले से ही दो-कारक प्रमाणीकरण को समझना होगा। यदि आप इस तरह की अवधारणा से अपरिचित हैं, तो Google प्रमाणक को एक कार्यशील उदाहरण के रूप में उपयोग करें:आप Google में प्रवेश करने के लिए अपना लॉगिन विवरण टाइप करते हैं, और फिर उनका सर्वर आपसे छह प्राप्त करने के लिए अपने फ़ोन पर Google प्रमाणक ऐप खोलने के लिए कहता है- अंक वन-टाइम पासवर्ड। यह अंतिम चरण सुनिश्चित करता है कि आपके खाते में लॉग इन करने वाला व्यक्ति वही व्यक्ति है जो उस फ़ोन का स्वामी है जिसमें GA स्थापित किया गया था (संभवतः, वह आप हैं!) कुछ संस्थाएं (उदाहरण के लिए, बैंक) आपके खाते से जुड़े फोन नंबर पर छह से आठ अंकों के कोड के साथ एक ही परिणाम प्राप्त करने के लिए एक एसएमएस भेजती हैं। अन्य (आमतौर पर बैंक भी) आपको एक टोकन डिवाइस देंगे जो इन नंबरों को उत्पन्न करता है।
ठीक है, इसलिए दो-कारक प्रमाणीकरण आपको लॉग इन करने के लिए दो चीजों का उपयोग करेगा (इसलिए नाम):आपका पासवर्ड और एक अतिरिक्त कोड आपके पास मौजूद किसी भौतिक चीज़ से जुड़ा है जिसे केवल एक बार इस्तेमाल किया जा सकता है।
अब जबकि हमें यह समझ में आ गया है, यू2एफ कुछ सरल शब्दों में इस प्रकार काम करता है:यह आपके लिए यह सब एक भौतिक कुंजी के रूप में करता है, जैसे कि आप एक दरवाजा खोलने के लिए उपयोग करते हैं। कुंजी को USB स्लॉट में डाला जाता है, और आप अपना लॉगिन समाप्त करने के लिए एक बटन दबाते हैं। उस बटन को दबाने से एक एल्गोरिथम ट्रिगर होता है जो आंतरिक रूप से एक कोड उत्पन्न करता है और इसे स्वचालित रूप से प्रमाणीकरण सर्वर पर भेजता है।
काफी सरल, है ना?
U2F क्यों?
यदि आप बिना कुछ अतिरिक्त खरीदे दो-कारक प्रमाणीकरण का उपयोग कर सकते हैं, तो लोगों को भौतिक कुंजी प्राप्त करने के लिए अपने रास्ते से बाहर क्यों जाना चाहिए? व्यवसायों के लिए, उत्तर स्पष्ट है:आपको अपने कर्मचारियों को महंगे टोकन उपकरण खरीदने की आवश्यकता नहीं है। लेकिन उपभोक्ताओं के लिए क्या फायदे हैं? आइए उन पर नजर डालते हैं:
- आपको कभी भी कोड लिखने की आवश्यकता नहीं होगी, जो बहुत सुविधाजनक है।
- चूंकि आपको कोड टाइप करने की आवश्यकता नहीं है, इसलिए कुंजी द्वारा स्वचालित रूप से प्रेषित आंतरिक कोड लंबा हो सकता है (आमतौर पर लगभग 32 वर्ण)।
- आपको अपने फ़ोन पर निर्भर रहने की आवश्यकता नहीं है। (क्या होगा अगर आपका फोन टूट जाए या आप अपना नंबर बदल दें?)
चेतावनी
U2F को इतने व्यापक रूप से लागू किए जाने का कारण यह है कि दो-कारक प्रमाणीकरण ने पहले ही मानक निर्धारित कर दिया है। यह आसानी से उपलब्ध है और सेवा प्रदाताओं के लिए इसे लागू करना काफी आसान है। वर्तमान में केवल Google, Facebook, Dropbox, और GitHub जैसी प्रमुख सेवाएं ही अनुकूलता का दावा करती हैं।
इस मुद्दे के अलावा, यह भी एक मुद्दा है कि यह क्या संबोधित करता है। सीधे शब्दों में कहें, तो इसे दो-कारक प्रमाणीकरण के गौरवशाली संस्करण के रूप में देखा जाएगा जो उपयोग करने के लिए थोड़ा अधिक सुविधाजनक है। इससे कोई फर्क नहीं पड़ता कि U2F मैन इन द मिडल हमलों को अधिक कुशलता से संबोधित करता है (हालांकि यह बहस का मुद्दा है, और हम उस पर पहुंचेंगे)। जब आप किसी विचार को बेचने की कोशिश कर रहे हों तो धारणा अधिक महत्वपूर्ण होती है।
संभवतः अधिक महत्वपूर्ण चेतावनी यह तथ्य है कि U2F किसी हैकर को आपके ट्रैफ़िक को हाईजैक करने और आपके ब्राउज़र में आपके उपयोगकर्ता एजेंट को धोखा देकर आपका प्रतिरूपण करने से रोकने के लिए बहुत कम करता है। यह तथ्य अकेले U2F के लिए "उच्च सुरक्षा" तर्क को बहस का विषय बनाता है।
द टेकअवे
हालांकि यू2एफ दो-कारक प्रमाणीकरण से अधिक सुरक्षित नहीं है, यह ध्यान देने योग्य है कि यह सकारात्मक दिशा में कुछ कदम उठाता है (उदाहरण के लिए कुंजी लंबाई बढ़ाना, अंतिम उपयोगकर्ताओं के लिए निराशाजनक प्रमाणीकरण बाधाओं को समाप्त करना आदि)। एक तकनीक के रूप में, यह "क्रांतिकारी" नहीं हो सकता है, लेकिन यह निश्चित रूप से अपना काम इस तरह से करता है जो इसमें निवेश करने वाले लोगों के लिए अधिक सुविधाजनक है। U2F व्यवसायों के लिए आकर्षक हो सकता है, लेकिन उपभोक्ताओं को लागत के इन छोटे उपकरणों पर $50 मूल्य का टैग नहीं मिल सकता है।
आइए कुछ दिलचस्प चर्चा करें। U2F कुंजी खरीदने के लिए आपको क्या मनाएगा? या आप पहले से ही आश्वस्त हैं? इसके बारे में हमें कमेंट में बताएं!