नेटवर्क सुरक्षा में प्रमाणीकरण चरण
दो-चरण प्रमाणीकरण प्रक्रिया (बुनियादी मॉडल)
- चरण 1 - पहचान और क्रेडेंशियल प्रस्तुति:
- उपयोगकर्ता एप्लिकेशन/वेबसाइट/सिस्टम पर लॉगिन प्रॉम्प्ट देखता है
- उपयोगकर्ता ज्ञान-आधारित क्रेडेंशियल प्रदान करता है: आमतौर पर उपयोगकर्ता नाम और पासवर्ड
- पासवर्ड-रहित विधियों के लिए: सिस्टम अद्वितीय सुरक्षा कुंजी/चुनौती उत्पन्न करता है
- चरण 2 - सत्यापन और पहुंच निर्णय:
- सिस्टम प्रस्तुत क्रेडेंशियल्स को संग्रहीत क्रेडेंशियल्स के विरुद्ध सत्यापित करता है
- सफलता पर: सत्र टोकन/कुकी/प्रमाणपत्र जारी करता है
- विफलता पर: पहुंच अस्वीकार, लॉकआउट नीतियां लागू
- द्वि-कारक प्रमाणीकरण (2FA/MFA) के लिए: दूसरा कारक मांगा जाता है (OTP, पुश, बायोमेट्रिक, हार्डवेयर कुंजी)
प्रमाणीकरण कारक (तीन श्रेणियां)
| कारक प्रकार | विवरण | उदाहरण |
|---|---|---|
| ज्ञान (कुछ जो आप जानते हैं) | गुप्त जानकारी | पासवर्ड, पिन, सुरक्षा प्रश्न |
| कब्जा (कुछ जो आपके पास है) | भौतिक/तार्किक टोकन | स्मार्टफोन (OTP ऐप), हार्डवेयर टोकन, स्मार्ट कार्ड, FIDO2 कुंजी |
| अंतर्निहित (कुछ जो आप हैं) | जैविक विशेषताएं | फिंगरप्रिंट, चेहरा पहचान, रेटिना स्कैन, आवाज पहचान |
सामान्य प्रमाणीकरण विधियां
- एक-कारक (1FA): केवल पासवर्ड
- द्वि-कारक (2FA): पासवर्ड + दूसरा कारक (SMS OTP, प्रमाणक ऐप, पुश, हार्डवेयर कुंजी)
- बहु-कारक (MFA): 2+ कारक
- सिंगल साइन-ऑन (SSO): एक लॉगिन, एकाधिक सिस्टम पहुंच
- पासवर्ड प्रमाणीकरण प्रोटोकॉल (PAP): सादे पाठ पासवर्ड (असुरक्षित)
- चैलेंज-हैंडशेक प्रमाणीकरण प्रोटोकॉल (CHAP): चुनौती-प्रतिक्रिया, हैशेड
- एक्स्टेंसिबल प्रमाणीकरण प्रोटोकॉल (EAP): प्रमाणीकरण विधियों के लिए ढांचा
दो सबसे आम प्रमाणीकरण कारक
अधिकांश MFA समाधान उपयोग करते हैं:
- ज्ञान: पासवर्ड/पिन
- कब्जा: स्मार्टफोन (OTP ऐप/पुश/SMS) या हार्डवेयर टोकन
2FA प्रकार
- SMS OTP: सुविधाजनक लेकिन सिम स्वैपिंग के लिए संवेदनशील
- प्रमाणक ऐप (TOTP): Google Authenticator, Authy, Microsoft Authenticator - अनुशंसित
- पुश अधिसूचना: Duo, Microsoft Authenticator - उपयोगकर्ता-अनुकूल
- FIDO2/WebAuthn हार्डवेयर कुंजी: YubiKey, Titan Key - सबसे सुरक्षित, फ़िशिंग-प्रतिरोधी
- बैकअप कोड: ऑफ़लाइन/आपातकालीन पहुंच
सबसे सुरक्षित प्रमाणीकरण विधि
बायोमेट्रिक्स + हार्डवेयर कुंजी (FIDO2/WebAuthn) - फ़िशिंग-प्रतिरोधी, उपयोगकर्ता-अनुकूल, मजबूत क्रिप्टोग्राफिक गारंटी।
चार-कारक प्रमाणीकरण (4FA)
ज्ञान + कब्जा + अंतर्निहित + स्थान/समय संदर्भ। उच्च-सुरक्षा वातावरण के लिए।
प्रमाणीकरण कार्यान्वयन सर्वोत्तम अभ्यास
- HTTPS हर जगह लागू करें
- टोकन में संवेदनशील डेटा न रखें
- टोकन समाप्ति और रोटेशन लागू करें
- सभी प्राधिकरण परिदृश्यों पर विचार करें
- जोखिम-आधारित प्रमाणीकरण (अनुकूली MFA) उपयोग करें
- लॉगिंग और ऑडिट ट्रेल बनाए रखें
