مضبوط ترین پاس ورڈ بھی چوری ہو سکتا ہے — فشنگ، ڈیٹا بریچ یا میلویئر کے ذریعے۔ ٹو فیکٹر تصدیق (2FA) ہی چوری شدہ پاس ورڈ کو چوری شدہ اکاؤنٹ بننے سے روکتی ہے۔ سیکیورٹی ماہرین اسے سب سے اہم سیکیورٹی بہتری کہتے ہیں جو آپ کر سکتے ہیں۔ یہ گائیڈ بالکل بتاتی ہے کہ یہ کیسے کام کرتی ہے اور اسے صحیح طریقے سے کیسے سیٹ کریں۔
ٹو فیکٹر تصدیق کیا ہے؟
ٹو فیکٹر تصدیق لاگ ان کے لیے دو مختلف ثبوت مانگتی ہے: کوئی چیز جو آپ جانتے ہیں (آپ کا پاس ورڈ) کے ساتھ کوئی چیز جو آپ کے پاس ہے (آپ کا فون) یا کوئی چیز جو آپ ہیں (آپ کی انگلی کا نشان)۔ صرف پاس ورڈ اب کافی نہیں۔
اسے بینک کے والٹ کی طرح سمجھیں جس کے لیے چابی اور کمبی نیشن دونوں چاہئیں۔ چابی (آپ کا پاس ورڈ) چوری کرنا حملہ آور کو کہیں نہیں پہنچاتا بغیر کمبی نیشن (آپ کے دوسرے عنصر) کے۔
صرف پاس ورڈ کافی کیوں نہیں
پاس ورڈز مسلسل لیک ہوتے ہیں۔ بریچ ڈیٹا بیسز میں اربوں یوزر نیم پاس ورڈ جوڑے گردش کرتے ہیں جو حملہ آور سستے خریدتے ہیں۔ اگر آپ پاس ورڈ دوبارہ استعمال کرتے ہیں — یا آپ کی بھروسہ مند کمپنی ہیک ہو جائے — تو حملہ آور بغیر کسی محنت کے آپ بن کر لاگ ان کر سکتے ہیں۔ 2FA اس سلسلے کو توڑ دیتی ہے: آپ کا بالکل درست پاس ورڈ ہونے کے باوجود وہ آپ کی ڈیوائس کے بغیر دوسری جانچ پاس نہیں کر سکتے۔
اہم نکتہ: 2FA آپ کا پاس ورڈ مضبوط نہیں بناتی — یہ آپ کے پاس ورڈ کو کم اہم بنا دیتی ہے۔ اسی لیے یہ آپ کی حفاظت کرتی ہے یہاں تک کہ جب کوئی بریچ آپ کی لاگ ان تفصیل ظاہر کر دے۔
دوسرے عنصر کی اقسام (بہترین سے کمزور تک)
2FA کے تمام طریقے برابر نہیں ہیں۔ مضبوط ترین سے کمزور ترین تک:
1۔ تصدیقی ایپس (زیادہ تر لوگوں کے لیے تجویز کردہ)
Google Authenticator، Microsoft Authenticator یا Authy جیسی ایپس ہر 30 سیکنڈ میں ایک تازہ چھ ہندسوں والا کوڈ بناتی ہیں۔ آپ سیٹ اپ کے دوران ایک بار کیو آر کوڈ اسکین کرتے ہیں، اور ایپ ہمیشہ کوڈ بناتی رہتی ہے — انٹرنیٹ کی ضرورت نہیں۔ کوڈز مشترکہ راز اور موجودہ وقت پر مبنی ہوتے ہیں، اس لیے دنیا بھر کا کوئی حملہ آور انہیں اندازہ نہیں لگا سکتا۔
- فائدے: مفت، آف لائن کام کرتی ہے، اضافی ہارڈویئر نہیں، عملی طور پر فشنگ سے محفوظ۔
- نقصانات: اگر آپ کے فون میں میلویئر ہو تو کوڈز چوری ہو سکتے ہیں؛ بیک اپ کے بغیر فون کھو دینے کا مطلب لاک آؤٹ ہے۔
2۔ ہارڈویئر سیکیورٹی کیز (سنہری معیار)
YubiKey جیسی فزیکل کیز آپ کے یو ایس بی پورٹ میں لگتی ہیں (یا این ایف سی سے ٹیپ ہوتی ہیں)۔ وہ آپ کی شناخت ثابت کرنے کے لیے کرپٹوگرافی استعمال کرتی ہیں — کی سائٹ کی طرف سے بھیجے گئے چیلنج پر دستخط کرتی ہے، اور نجی کی کبھی ڈیوائس سے باہر نہیں جاتی۔ کوڈز کے برعکس انہیں فش نہیں کیا جا سکتا: کی صرف اصلی ویب سائٹ کو جواب دیتی ہے۔
- فائدے: دستیاب مضبوط ترین حفاظت، فشنگ اور سم سویپ حملوں سے محفوظ۔
- نقصانات: پیسے لگتے ہیں (دو خریدیں — ایک بنیادی، ایک بیک اپ محفوظ جگہ پر)۔
اگر آپ پیسے سنبھالتے ہیں، کاروبار چلاتے ہیں، یا عوامی شخصیت ہیں تو ہارڈویئر کیز ہر پیسے کے قابل ہیں۔
3۔ ایس ایم ایس کوڈز (کچھ نہ ہونے سے بہتر)
سائٹ آپ کو کوڈ ٹیکسٹ کرتی ہے۔ یہ آسان ہے — ہر کسی کے پاس فون ہے — لیکن یہ کمزور ترین آپشن ہے۔ حملہ آور سم سویپ حملوں (آپ کے کیریئر کو قائل کر کے آپ کا نمبر اپنی سم پر منتقل کروانا) یا موبائل نیٹ ورک کی کمزوریوں کا فائدہ اٹھا کر ایس ایم ایس روک سکتے ہیں۔
اصول: ایس ایم ایس صرف تب استعمال کریں جب کوئی مضبوط آپشن موجود نہ ہو۔ تصدیقی ایپس ہمیشہ بہتر ہیں۔
4۔ ای میل کوڈز
کچھ سائٹس آپ کی ای میل پر کوڈ بھیجتی ہیں۔ یہ صرف اتنا ہی محفوظ ہے جتنا آپ کا ای میل اکاؤنٹ — اور یہی وجہ ہے کہ آپ کی ای میل پر خود مضبوط 2FA ہونا چاہیے (ترجیحاً ہارڈویئر کی)۔ کمزور ان باکس پر ای میل 2FA ایک دائرہ وار کمزوری ہے۔
کون سے اکاؤنٹس پہلے محفوظ کریں
آج ہی ہر چیز پر 2FA سیٹ کرنے کی ضرورت نہیں۔ اس ترتیب میں ترجیح دیں:
- آپ کی ای میل — یہ ہر جگہ پاس ورڈ ری سیٹ کر سکتی ہے۔ اس کی حفاظت ماسٹر چابی کی طرح کریں۔
- بینکنگ اور ادائیگی کی ایپس — آپ کے پیسے تک براہ راست رسائی۔
- کلاؤڈ اسٹوریج — آپ کی تصاویر، دستاویزات اور بیک اپ یہیں ہیں۔
- سوشل میڈیا — یہاں اکاؤنٹ چوری آپ کے دوستوں اور خاندان کے خلاف فراڈ کا راستہ کھولتی ہے۔
- کام کے اکاؤنٹس — آپ کے آجر کی سیکیورٹی بھی آپ پر منحصر ہے۔
2FA سیٹ کرنا: قدم بہ قدم
- تصدیقی ایپ انسٹال کریں (Authy یا Microsoft Authenticator نئے لوگوں کے لیے آسان ہیں؛ Authy ڈیوائسز کے درمیان سنک ہوتی ہے، جو بیک اپ میں مدد کرتی ہے)۔
- اپنے اکاؤنٹ کی سیکیورٹی سیٹنگز کھولیں اور "Two-factor authentication" یا "2-Step Verification" ڈھونڈیں۔
- "Authenticator app" چنیں۔ سائٹ کیو آر کوڈ دکھاتی ہے۔
- اپنی تصدیقی ایپ سے کیو آر کوڈ اسکین کریں۔ یہ کوڈ بنانا شروع کر دیتی ہے۔
- سیٹ اپ کی تصدیق کے لیے موجودہ کوڈ درج کریں۔
- سائٹ جو بیک اپ کوڈز دے انہیں محفوظ کریں — پرنٹ کریں اور محفوظ جگہ رکھیں (نیچے دیکھیں)۔
بیک اپ کوڈز: آپ کی حفاظتی جال
جب آپ 2FA آن کرتے ہیں تو زیادہ تر سائٹس 8 سے 10 ایک بار استعمال ہونے والے بیک اپ کوڈز دیتی ہیں۔ ہر ایک ایک بار دوسرے عنصر کی جگہ کام کرتا ہے۔ اگر آپ کا فون کھو جائے تو انہی کوڈز سے آپ واپس اندر جاتے ہیں۔
- انہیں پرنٹ کریں اور جسمانی طور پر محفوظ جگہ رکھیں — بند دراز، تجوری۔
- انہیں اپنے پاس ورڈز والی جگہ پر نہ رکھیں (اس سے مقصد ختم ہو جاتا ہے)۔
- بیک اپ کوڈز کسی کے ساتھ بھی، کسی بھی وجہ سے شیئر نہ کریں۔
سب سے عام 2FA تباہی: بغیر بیک اپ کوڈز محفوظ کیے فون کھو دینا۔ لوگ سالوں کی ای میل اور تصاویر سے ہمیشہ کے لیے بند ہو جاتے ہیں۔ بیک اپ کوڈز ضرورت پڑنے سے پہلے محفوظ کریں۔
"اس ڈیوائس کو یاد رکھیں" کا کیا مطلب ہے؟
زیادہ تر سائٹس "اس ڈیوائس پر بھروسہ کریں" پیش کرتی ہیں تاکہ آپ اپنے کمپیوٹر پر 2FA چھوڑ سکیں۔ یہ صرف آپ کی استعمال کردہ ڈیوائسز پر ٹھیک ہے — یہ تھوڑی سی سیکیورٹی کے بدلے بہت سہولت دیتی ہے۔ عوامی یا شیئر شدہ کمپیوٹرز پر کبھی بھروسہ نہ کریں، اور اپنے اکاؤنٹ کی سیکیورٹی سیٹنگز میں بھروسہ مند ڈیوائسز کی فہرست وقتاً فوقتاً چیک کریں۔
2FA بمقابلہ MFA بمقابلہ پاس کیز
آپ یہ اصطلاحات ایک دوسرے کی جگہ استعمال ہوتے دیکھیں گے، لیکن ان میں تھوڑا فرق ہے:
- 2FA = بالکل دو عوامل (پاس ورڈ + کوڈ)۔
- MFA (ملٹی فیکٹر تصدیق) = دو یا زیادہ عوامل؛ وسیع اصطلاح۔
- پاس کیز = اگلی نسل۔ پاس ورڈ اور کوڈ کی بجائے آپ کی ڈیوائس ایک کرپٹوگرافک کی جوڑا بناتی ہے جو آپ کی انگلی کے نشان یا چہرے سے کھلتا ہے۔ فشنگ کے لیے کوئی پاس ورڈ نہیں، روکنے کے لیے کوئی کوڈ نہیں۔ جب کوئی سائٹ پاس کیز پیش کرے تو انہیں استعمال کریں — وہ 2FA سے آسان اور مضبوط ہیں۔
عام غلطیاں جن سے بچیں
- ایپ دستیاب ہونے پر ایس ایم ایس استعمال کرنا — سم سویپ حملے حقیقی اور عام ہیں۔
- بیک اپ کوڈز چھوڑ دینا — "بعد میں محفوظ کر لوں گا" لاک آؤٹ پر ختم ہوتا ہے۔
- ای میل کے سوا ہر جگہ 2FA — آپ کی ای میل تمام پاس ورڈ ری سیٹس کی ماسٹر چابی ہے۔
- شیئر شدہ کمپیوٹرز پر بھروسہ کرنا — ہوٹل اور لائبریری کے کمپیوٹر کبھی "بھروسہ مند ڈیوائس" نہیں ہونے چاہئیں۔
- یہ ماننا کہ 2FA آپ کو ناقابل شکست بنا دیتا ہے — یہ چوری شدہ پاس ورڈ کے حملے روکتا ہے، ہر حملہ نہیں۔ فشنگ پھر بھی آپ کو جعلی لاگ ان منظور کرنے پر دھوکہ دے سکتی ہے ("MFA تھکاوٹ" حملے منظوری کی درخواستیں بھیجتے رہتے ہیں یہاں تک کہ آپ ہاں دبا دیں)۔ ہوشیار رہیں۔
آپ کا عملی منصوبہ
- آج ہی تصدیقی ایپ انسٹال کریں۔
- پہلے اپنی ای میل پر 2FA آن کریں، بیک اپ کوڈز محفوظ کریں۔
- پھر بینکنگ، کلاؤڈ اسٹوریج اور سوشل میڈیا — ضرورت ہو تو روز ایک۔
- ایک مہینے میں جائزہ لیں: ہر اکاؤنٹ کا سیکیورٹی صفحہ چیک کریں اور تصدیق کریں کہ 2FA آن ہے۔
اسے ہماری پاس ورڈ سیکیورٹی گائیڈ کے مضبوط، منفرد پاس ورڈز کے ساتھ جوڑیں، اور ان حملوں کو پہچاننا سیکھیں جن سے 2FA بچاتی ہے — ہماری فشنگ سے حفاظت والی گائیڈ میں۔