प्रमाणक (ऑथेंटिकेटर): Difference between revisions
| Line 96: | Line 96: | ||
=== मल्टी-फैक्टर ऑथेंटिकेटर्स === | === मल्टी-फैक्टर ऑथेंटिकेटर्स === | ||
मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट पूर्ण उपयोगकर्ता सत्यापन करता है। मल्टी-फैक्टर ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास हो) एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता हो), या एक बायोमेट्रिक्स (कुछ ऐसा जो अपने लिए | मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट पूर्ण उपयोगकर्ता सत्यापन करता है। मल्टी-फैक्टर ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास हो) एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता हो), या एक बायोमेट्रिक्स (कुछ ऐसा जो अपने लिए यूनिक हो; जैसे फिंगरप्रिंट, चेहरा या आवाज की पहचान), या कुछ अन्य सत्यापन तकनीक द्वारा सक्रिय किया जाता है .<ref name="NIST-SP-800-63-3" />, | ||
==[[एटीएम]] कार्ड == | ==[[एटीएम]] कार्ड == | ||
| Line 102: | Line 102: | ||
एक स्वचालित टेलर मशीन (एटीएम) से नकदी निकालने के लिए, एक बैंक ग्राहक एटीएम कार्ड को कैश मशीन में डालता है और एक व्यक्तिगत पहचान संख्या (पिन) टाइप करता है। इनपुट पिन की तुलना कार्ड की चिप पर संग्रहीत पिन से की जाती है। यदि दोनों मेल खाते हैं, तो एटीएम से निकासी जारी रह सकती है। | एक स्वचालित टेलर मशीन (एटीएम) से नकदी निकालने के लिए, एक बैंक ग्राहक एटीएम कार्ड को कैश मशीन में डालता है और एक व्यक्तिगत पहचान संख्या (पिन) टाइप करता है। इनपुट पिन की तुलना कार्ड की चिप पर संग्रहीत पिन से की जाती है। यदि दोनों मेल खाते हैं, तो एटीएम से निकासी जारी रह सकती है। | ||
ध्यान दें कि एटीएम निकासी में एक याद किया हुआ सीक्रेट (यानी, एक पिन) | ध्यान दें कि एटीएम निकासी में एक याद किया हुआ सीक्रेट (यानी, एक पिन) सम्मिलित होता है, लेकिन सीक्रेट का सही मूल्य एटीएम को पहले से ज्ञात नहीं होता है। मशीन अंधाधुंध तरीके से कार्ड में इनपुट पिन पास करती है, जो ग्राहक के इनपुट की तुलना कार्ड की चिप पर संग्रहीत गुप्त पिन से करती है। यदि दोनों मेल खाते हैं, तो कार्ड एटीएम को सफलता की सूचना देता है और लेनदेन जारी रहता है। | ||
एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का मल्टी-फैक्टर ऑथेंटिकेशन है। | एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का मल्टी-फैक्टर ऑथेंटिकेशन है। | ||
| Line 108: | Line 108: | ||
==== सिक्योर शैल ==== | ==== सिक्योर शैल ==== | ||
[[सुरक्षित खोल|सिक्योर | [[सुरक्षित खोल|सिक्योर शैल]] (एसएसएच) एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क पर एक सिक्योर चैनल बनाने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। एक पारंपरिक पासवर्ड के विपरीत, एक एसएसएच कुंजी एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर है। प्राथमिक ऑथेंटिकेटर सीक्रेट एसएसएच निजी कुंजी है, जिसका उपयोग क्लाइंट द्वारा किसी संदेश पर डिजिटल रूप से हस्ताक्षर करने के लिए किया जाता है। संबंधित सार्वजनिक कुंजी का उपयोग सर्वर द्वारा संदेश हस्ताक्षर को सत्यापित करने के लिए किया जाता है, जो पुष्टि करता है कि क्लाइमेंट के पास निजी कुंजी का अधिकार और नियंत्रण है। | ||
चोरी से बचने के लिए, | चोरी से बचने के लिए, एसएसएच निजी कुंजी (जो किसी के पास है) को पासफ़्रेज़ (जिसे कोई जानता है) का उपयोग करके एन्क्रिप्ट किया जा सकता है। दो-कारक ऑथेंटिकेशन प्रक्रिया आरंभ करने के लिए, क्लाइमेंट क्लाइंट सिस्टम को पासफ़्रेज़ प्रदान करता है। | ||
एक पासवर्ड की तरह, | एक पासवर्ड की तरह, एसएसएच पासफ़्रेज़ एक याद किया हुआ सीक्रेट है लेकिन यहीं पर समानता समाप्त हो जाती है। जबकि एक पासवर्ड एक साझा सीक्रेट है जो नेटवर्क पर प्रसारित होता है, एसएसएच पासफ़्रेज़ साझा नहीं किया जाता है, और इसके अतिरिक्त, पासफ़्रेज़ का उपयोग क्लाइंट सिस्टम तक ही सीमित है। एसएसएच के माध्यम से ऑथेंटिकेशन [[पासवर्ड रहित प्रमाणीकरण|पासवर्ड रहित ऑथेंटिकेशन]] का एक उदाहरण है क्योंकि यह नेटवर्क पर एक साझा सीक्रेट के प्रसारण से बचा जाता है। वास्तव में, एसएसएच ऑथेंटिकेशन के लिए किसी साझा सीक्रेट की आवश्यकता नहीं होती है। | ||
====[[FIDO एलायंस|एफआईडीओ]]2==== | ====[[FIDO एलायंस|एफआईडीओ]]2==== | ||
FIDO U2F प्रोटोकॉल मानक, [[FIDO2 प्रोजेक्ट]] के लिए | FIDO U2F प्रोटोकॉल मानक, [[FIDO2 प्रोजेक्ट]] के लिए प्रारंभिक बिंदु बन गया, जो वर्ल्ड वाइड वेब कंसोर्टियम (W3C) और FIDO एलायंस के बीच एक संयुक्त प्रयास है। प्रोजेक्ट डिलिवरेबल्स में W3C वेब ऑथेंटिकेशन ([[WebAuthn]]) मानक और FIDO क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल (CTAP) सम्मिलित हैं।<ref name="FIDO-FIDO2">{{cite web |title=FIDO2: मूविंग द वर्ल्ड बियॉन्ड पासवर्ड्स|url=https://fidoalliance.org/fido2/ |publisher=FIDO Alliance |access-date=30 January 2019}}</ref> WebAuthn और CTAP मिलकर वेब के लिए एक [[मजबूत प्रमाणीकरण|मजबूत ऑथेंटिकेशन]] समाधान प्रदान करते हैं। | ||
एक FIDO2 ऑथेंटिकेटर, जिसे WebAuthn ऑथेंटिकेटर भी कहा जाता है, WebAuthn क्लाइंट के साथ इंटरऑपरेट करने के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, जो कि एक अनुरूप वेब उपयोगकर्ता एजेंट है जो WebAuthn [[JavaScript]] API को लागू करता है।<ref name="W3C-WebAuthn">{{cite web |editor1-last=Balfanz |editor1-first=Dirk |editor2-last=Czeskis |editor2-first=Alexei |editor3-last=Hodges |editor3-first=Jeff |editor4-last=Jones |editor4-first=J.C. |editor5-last=Jones |editor5-first=Michael B. |editor6-last=Kumar |editor6-first=Akshay |editor7-last=Liao |editor7-first=Angelo |editor8-last=Lindemann |editor8-first=Rolf |editor9-last=Lundberg |editor9-first=Emil |title=वेब प्रमाणीकरण: सार्वजनिक कुंजी क्रेडेंशियल स्तर 1 तक पहुँचने के लिए एक एपीआई|url=https://www.w3.org/TR/webauthn/ |publisher=World Wide Web Consortium (W3C) |access-date=30 January 2019}}</ref> ऑथेंटिकेटर एक प्लेटफॉर्म ऑथेंटिकेटर, एक रोमिंग ऑथेंटिकेटर या दोनों का कुछ संयोजन हो सकता है। उदाहरण के लिए, एक FIDO2 ऑथेंटिकेटर जो CTAP2 प्रोटोकॉल को लागू करता है<ref name="FIDO-CTAP" />एक रोमिंग ऑथेंटिकेटर है जो WebAuthn क्लाइंट के साथ निम्न परिवहन विकल्पों में से एक या अधिक के माध्यम से संचार करता है: USB, [[नजदीक फील्ड संचार]] (NFC), या [[ब्लूटूथ कम ऊर्जा]] (BLE)। FIDO2 प्लेटफॉर्म ऑथेंटिकेटर के ठोस उदाहरणों में विंडोज हैलो | एक FIDO2 ऑथेंटिकेटर, जिसे WebAuthn ऑथेंटिकेटर भी कहा जाता है, WebAuthn क्लाइंट के साथ इंटरऑपरेट करने के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, जो कि एक अनुरूप वेब उपयोगकर्ता एजेंट है जो WebAuthn [[JavaScript]] API को लागू करता है।<ref name="W3C-WebAuthn">{{cite web |editor1-last=Balfanz |editor1-first=Dirk |editor2-last=Czeskis |editor2-first=Alexei |editor3-last=Hodges |editor3-first=Jeff |editor4-last=Jones |editor4-first=J.C. |editor5-last=Jones |editor5-first=Michael B. |editor6-last=Kumar |editor6-first=Akshay |editor7-last=Liao |editor7-first=Angelo |editor8-last=Lindemann |editor8-first=Rolf |editor9-last=Lundberg |editor9-first=Emil |title=वेब प्रमाणीकरण: सार्वजनिक कुंजी क्रेडेंशियल स्तर 1 तक पहुँचने के लिए एक एपीआई|url=https://www.w3.org/TR/webauthn/ |publisher=World Wide Web Consortium (W3C) |access-date=30 January 2019}}</ref> ऑथेंटिकेटर एक प्लेटफॉर्म ऑथेंटिकेटर, एक रोमिंग ऑथेंटिकेटर या दोनों का कुछ संयोजन हो सकता है। उदाहरण के लिए, एक FIDO2 ऑथेंटिकेटर जो CTAP2 प्रोटोकॉल को लागू करता है<ref name="FIDO-CTAP" />एक रोमिंग ऑथेंटिकेटर है जो WebAuthn क्लाइंट के साथ निम्न परिवहन विकल्पों में से एक या अधिक के माध्यम से संचार करता है: USB, [[नजदीक फील्ड संचार]] (NFC), या [[ब्लूटूथ कम ऊर्जा|ब्लूटूथ लौ एनर्जी]] (BLE)। FIDO2 प्लेटफॉर्म ऑथेंटिकेटर के ठोस उदाहरणों में विंडोज हैलो सम्मिलित है<ref>{{cite web |last1=Simons |first1=Alex |title=सुरक्षा कुंजी या Windows Hello का उपयोग करके अपने Microsoft खाते के लिए सुरक्षित पासवर्ड-रहित साइन-इन करें|url=https://www.microsoft.com/en-us/microsoft-365/blog/2018/11/20/sign-in-to-your-microsoft-account-without-a-password-using-windows-hello-or-a-security-key/ |publisher=[[Microsoft]] |access-date=6 March 2019 |date=November 20, 2018}}</ref> और एंड्राइड ऑपरेटिंग सिस्टम।<ref>{{cite web |title=Android अब FIDO2 प्रमाणित, पासवर्ड से परे वैश्विक प्रवासन में तेजी|url=https://fidoalliance.org/android-now-fido2-certified-accelerating-global-migration-beyond-passwords/ |publisher=[[FIDO Alliance]] |access-date=6 March 2019 |location=BARCELONA |date=February 25, 2019}}</ref> | ||
एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या मल्टी-फैक्टर मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए | एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या मल्टी-फैक्टर मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए यूनिक है) द्वारा सक्रिय होता है। | ||
== सिक्योरिटी कोड == | == सिक्योरिटी कोड == | ||
सबसे पहले और सबसे महत्वपूर्ण, मजबूत ऑथेंटिकेशन मल्टी-फैक्टर ऑथेंटिकेशन से | सबसे पहले और सबसे महत्वपूर्ण, मजबूत ऑथेंटिकेशन मल्टी-फैक्टर ऑथेंटिकेशन से प्रारंभ होता है। व्यक्तिगत ऑनलाइन खाते की सिक्योरिटी के लिए सबसे अच्छी बात मल्टी-फैक्टर ऑथेंटिकेशन को सक्षम करना है।<ref name="Hoffman-Andrews and Gebhart 2017" /><ref name="NCSC 2FA">{{cite web |title=दो-कारक प्रमाणीकरण (2FA); एनसीएससी से नया मार्गदर्शन|url=https://www.ncsc.gov.uk/blog-post/two-factor-authentication-2fa-new-guidance-ncsc |publisher=[[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre]] (NCSC) |date=8 Aug 2018}}</ref> मल्टी-फैक्टर ऑथेंटिकेशन प्राप्त करने के दो तरीके हैं: | ||
# मल्टी-फैक्टर ऑथेंटिकेटर का | # मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करें | ||
# दो या दो से अधिक सिंगल-फैक्टर प्रमाणकों के संयोजन का उपयोग करें | # दो या दो से अधिक सिंगल-फैक्टर प्रमाणकों के संयोजन का उपयोग करें | ||
व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है। | व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है। | ||
सामान्यतया, एक #क्रिप्टोग्राफ़िक कुंजी को एक ऑथेंटिकेटर से अधिक पसंद किया जाता है जो क्रिप्टोग्राफ़िक विधियों का उपयोग नहीं करता है। अन्य सभी समान होने के नाते, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर जो सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, | सामान्यतया, एक #क्रिप्टोग्राफ़िक कुंजी को एक ऑथेंटिकेटर से अधिक पसंद किया जाता है जो क्रिप्टोग्राफ़िक विधियों का उपयोग नहीं करता है। अन्य सभी समान होने के नाते, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर जो सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, सिमेट्रिक-कुंजी क्रिप्टोग्राफी का उपयोग करने वाले से बेहतर है क्योंकि बाद वाले को साझा कुंजियों की आवश्यकता होती है (जो चोरी या दुरुपयोग हो सकती है)। | ||
एक हार्डवेयर-आधारित ऑथेंटिकेटर एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर से बेहतर है क्योंकि ऑथेंटिकेटर सीक्रेट संभवतः हार्डवेयर में बेहतर संरक्षित है। यह वरीयता अगले खंड में उल्लिखित एनआईएसटी आवश्यकताओं में परिलक्षित होती है। | |||
=== एनआईएसटी ऑथेंटिकेटर असुरेन्स लेवल्स === | === एनआईएसटी ऑथेंटिकेटर असुरेन्स लेवल्स === | ||
एनआईएसटी ऑथेंटिकेटर्स के संबंध में | एनआईएसटी ऑथेंटिकेटर्स के संबंध में असुरेन्स के तीन लेवल्स को परिभाषित करता है। उच्चतम ऑथेंटिकेटर असुरेन्स लेवल (AAL3) के लिए मल्टी-फैक्टर ऑथेंटिकेशन की आवश्यकता होती है या तो मल्टी-फैक्टर ऑथेंटिकेटर या सिंगल-फैक्टर ऑथेंटिकेटर्स के उपयुक्त संयोजन का उपयोग किया जाता है। AAL3 में, कम से कम एक ऑथेंटिकेटर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर होना चाहिए। इन मूलभूत आवश्यकताओं को देखते हुए, AAL3 में उपयोग किए जाने वाले संभावित ऑथेंटिकेटर संयोजनों में सम्मिलित हैं: | ||
# एक मल्टी-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर | # एक मल्टी-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर | ||
# एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है | # एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है | ||
ऑथेंटिकेटर | ऑथेंटिकेटर असुरेन्स लेवल्स की आगे की चर्चा के लिए एनआईएसटी डिजिटल आइडेंटिफिकेशन गाइडलाइन्स देखें।<ref name="NIST-SP-800-63B" /> | ||
===रिस्ट्रिक्टेड ऑथेंटिकेटर=== | ===रिस्ट्रिक्टेड ऑथेंटिकेटर=== | ||
ऑथेंटिकेटर आश्वासन स्तरों की तरह, रिस्ट्रिक्टेड ऑथेंटिकेटर की धारणा एक एनआईएसटी अवधारणा है।<ref name="NIST-SP-800-63-3" />यह शब्द एक ऑथेंटिकेटर को संदर्भित करता है जो | ऑथेंटिकेटर आश्वासन स्तरों की तरह, रिस्ट्रिक्टेड ऑथेंटिकेटर की धारणा एक एनआईएसटी अवधारणा है।<ref name="NIST-SP-800-63-3" />यह शब्द एक ऑथेंटिकेटर को संदर्भित करता है जो अटैक्स का प्रतिरोध करने में असमर्थता प्रदर्शित करता है, जो ऑथेंटिकेटर की विश्वसनीयता को संदेह में डालता है। संघीय एजेंसियां सब्सक्राइबर्स को एक वैकल्पिक ऑथेंटिकेटर प्रदान करके रिस्ट्रिक्टेड ऑथेंटिकेटर के उपयोग को कम करती हैं जो रिस्ट्रिक्टेड नहीं है और भविष्य में किसी बिंदु पर रिस्ट्रिक्टेड ऑथेंटिकेटर के उपयोग से रिस्ट्रिक्टेड होने की स्थिति में माइग्रेशन प्लान विकसित करके। | ||
वर्तमान में, [[लोगों द्वारा टेलीफोन नेटवर्क काटा गया|पब्लिक स्विचड टेलीफोन नेटवर्क]] का उपयोग एनआईएसटी द्वारा रिस्ट्रिक्टेड है। विशेष रूप से, रिकॉर्ड किए गए वॉयस संदेशों या [[एसएमएस]] संदेशों के माध्यम से वन-टाइम पासवर्ड (ओटीपी) का आउट-ऑफ-बैंड ट्रांसमिशन रिस्ट्रिक्टेड है। इसके अतिरिक्त, यदि कोई एजेंसी वॉइस- या एसएमएस-आधारित ओटीपी का उपयोग करना चुनती है, तो उस एजेंसी को यह सत्यापित करना होगा कि ओटीपी एक फोन पर प्रेषित किया जा रहा है न कि आईपी पते पर क्योंकि [[आईपी पर आवाज|वौइस् ओवर आईपी]] (वीओआईपी) खाते नियमित रूप से मल्टी-फैक्टर से सुरक्षित नहीं होते हैं। ऑथेंटिकेशन।<ref name="NIST-SP-800-63B" /> | वर्तमान में, [[लोगों द्वारा टेलीफोन नेटवर्क काटा गया|पब्लिक स्विचड टेलीफोन नेटवर्क]] का उपयोग एनआईएसटी द्वारा रिस्ट्रिक्टेड है। विशेष रूप से, रिकॉर्ड किए गए वॉयस संदेशों या [[एसएमएस]] संदेशों के माध्यम से वन-टाइम पासवर्ड (ओटीपी) का आउट-ऑफ-बैंड ट्रांसमिशन रिस्ट्रिक्टेड है। इसके अतिरिक्त, यदि कोई एजेंसी वॉइस- या एसएमएस-आधारित ओटीपी का उपयोग करना चुनती है, तो उस एजेंसी को यह सत्यापित करना होगा कि ओटीपी एक फोन पर प्रेषित किया जा रहा है न कि आईपी पते पर क्योंकि [[आईपी पर आवाज|वौइस् ओवर आईपी]] (वीओआईपी) खाते नियमित रूप से मल्टी-फैक्टर से सुरक्षित नहीं होते हैं। ऑथेंटिकेशन।<ref name="NIST-SP-800-63B" /> | ||
Revision as of 01:20, 25 December 2022
ऑथेंटिकेटर उपयोगकर्ता की डिजिटल ऑथेंटिकेशन की पुष्टि करने के लिए उपयोग किया जाने वाला एक साधन है।[1][2] एक व्यक्ति एक कंप्यूटर सिस्टम या एप्लिकेशन को यह प्रदर्शित करके सर्टिफाइ करता है कि उसके पास एक ऑथेंटिकेटर का अधिकार और नियंत्रण है।[3][4] सरलतम शब्दों में, ऑथेंटिकेटर एक सामान्य पासवर्ड है।
एनआईएसटी डिजिटल पहचान दिशानिर्देशों की शब्दावली का उपयोग करते हुए,[3]प्रमाणित होने वाली पार्टी को क्लाइमेंट (दावेदार) कहा जाता है जबकि क्लाइमेंट की पहचान की पुष्टि करने वाली पार्टी को वेरिफिएर (सत्यापनकर्ता) कहा जाता है। जब क्लाइमेंट एक स्थापित ऑथेंटिकेशन प्रोटोकॉल के माध्यम से वेरिफिएर को एक या अधिक ऑथेंटिकेटर्स के स्वामित्व और नियंत्रण को सफलतापूर्वक प्रदर्शित करता है, तो वेरिफिएर क्लाइमेंट की पहचान का अनुमान लगाने में सक्षम होता है।
वर्गीकरण
ऑथेंटिकेटर्स को सीक्रेट, फैक्टर्स और फिजिकल फॉर्म्स के संदर्भ में वर्णित किया जा सकता है।
ऑथेंटिकेटर सीक्रेट
प्रत्येक ऑथेंटिकेटर कम से कम एक सीक्रेट से जुड़ा होता है जिसका उपयोग क्लाइमेंट ऑथेंटिकेटर के स्वामित्व और नियंत्रण को प्रदर्शित करने के लिए करता है। चूंकि एक अटैकर इस सीक्रेट का उपयोग उपयोगकर्ता को प्रतिरूपित करने के लिए कर सकता है, इसलिए एक ऑथेंटिकेटर सीक्रेट को चोरी या हानि से संरक्षित करता है।
सीक्रेट का प्रकार ऑथेंटिकेटर की एक महत्वपूर्ण विशेषता है। ऑथेंटिकेटर सीक्रेट के तीन मूल प्रकार हैं: मेमोरीज़ेड सीक्रेट और दो प्रकार की क्रिप्टोग्राफ़िक कुंजियाँ, या तो एक सिमेट्रिक कुंजी या एक प्राइवेट कुंजी।
मेमोरीज़ेड सीक्रेट
एक याद किए गए सीक्रेट का उद्देश्य उपयोगकर्ता द्वारा याद किया जाना है। याद किए गए सीक्रेट का एक प्रसिद्ध उदाहरण सामान्य पासवर्ड है, जिसे पासकोड, पदबंध या व्यक्तिगत पहचान संख्या (पिन) भी कहा जाता है।
एक ऑथेंटिकेटर सीक्रेट जो क्लाइमेंट और वेरिफिएर दोनों के लिए जाना जाता है, उसे शेयर्ड सीक्रेट कहा जाता है। उदाहरण के लिए, एक याद किया हुआ सीक्रेट शेयर किया जा सकता है या नहीं भी किया जा सकता है। परिभाषा द्वारा एक सिमेट्रिक कुंजी शेयर की जाती है। एक निजी कुंजी शेयर नहीं की जाती है।
पासवर्ड एक महत्वपूर्ण प्रकार का सीक्रेट है जिसे याद रखा जाता है और साझा किया जाता है। पासवर्ड के विशेष स्थिति में, ऑथेंटिकेटर सीक्रेट है।
क्रिप्टोग्राफ़िक कुंजी
एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर वह है जो एक कुंजी (क्रिप्टोग्राफी) का उपयोग करता है। कुंजी सामग्री के आधार पर, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर, सिमेट्रिक-कुंजी क्रिप्टोग्राफी या पब्लिक-कुंजी क्रिप्टोग्राफी का उपयोग कर सकता है। दोनों मेमोरीज़ेड सीक्रेट से बचते हैं, और पब्लिक-कुंजी क्रिप्टोग्राफी के स्थिति में, कोई सीक्रेट साझा भी नहीं हैं, जो एक महत्वपूर्ण अंतर है।
क्रिप्टोग्राफ़िक ऑथेंटिकेटर के उदाहरणों में ओथ ऑथेंटिकेटर और एफआईडीओ ऑथेंटिकेटर सम्मिलित हैं। प्रति उदाहरण के माध्यम से, एक पासवर्ड ऑथेंटिकेटर क्रिप्टोग्राफ़िक ऑथेंटिकेटर नहीं है। विवरण के लिए #उदाहरण अनुभाग देखें।
सिमेट्रिक कुंजी
एक सिमेट्रिक कुंजी एक शेयर सीक्रेट है जिसका उपयोग सिमेट्रिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। क्लाइमेंट शेयर कुंजी की अपनी प्रतिलिपि को समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर या स्मार्टफ़ोन पर कार्यान्वित सॉफ़्टवेयर-आधारित ऑथेंटिकेटर में संग्रहीत करता है। वेरिफिएर सिमेट्रिक कुंजी की एक प्रतिलिपि रखता है।
पब्लिक-प्राइवेट कुंजी पेअर
पब्लिक-प्राइवेट कुंजी पेअर का उपयोग पब्लिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। पब्लिक कुंजी वेरिफिएर (और उसके द्वारा विश्वसनीय) के लिए जानी जाती है, जबकि संबंधित प्राइवेट कुंजी ऑथेंटिकेटर के लिए सुरक्षित रूप से बंधी होती है। एक समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर के स्थिति में, प्राइवेट कुंजी ऑथेंटिकेटर की सीमा को कभी नहीं छोड़ती है।
ऑथेंटिकेटर फैक्टर्स एंड फॉर्म्स
एक ऑथेंटिकेटर एक उपयोगकर्ता के लिए यूनिक या स्पेसिफिक होता है (कुछ ऐसा जो किसी के पास होता है), या तो एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता है) द्वारा सक्रिय किया जाता है, या एक बॉयोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए यूनिक है)। एक ऑथेंटिकेटर जो इनमें से केवल एक फैक्टर प्रदान करता है, उसे सिंगल-फैक्टर ऑथेंटिकेटर कहा जाता है जबकि एक मल्टी-फैक्टर ऑथेंटिकेटर में दो या अधिक फैक्टर सम्मिलित होते हैं। मल्टी-फैक्टर ऑथेंटिकेशन एक मल्टी-फैक्टर ऑथेंटिकेशन प्राप्त करने का एक तरीका है। दो या दो से अधिक सिंगल-फैक्टर ऑथेंटिकेटर्स का संयोजन मल्टी-फैक्टर ऑथेंटिकेशन नहीं है, फिर भी कुछ स्थितियों में उपयुक्त हो सकता है।
ऑथेंटिकेटर कई प्रकार के भौतिक रूप ले सकते हैं (एक मेमोरीज़ेड सीक्रेट को छोड़कर, जो अमूर्त है)। उदाहरण के लिए, एक ऑथेंटिकेटर को अपने हाथ में पकड़ सकते हैं या चेहरे, कलाई या उंगली पर पहन सकते हैं।[5][6][7] अपने हार्डवेयर और सॉफ़्टवेयर घटकों के संदर्भ में ऑथेंटिकेटर का वर्णन करना सुविधाजनक है। एक ऑथेंटिकेटर हार्डवेयर-आधारित या सॉफ़्टवेयर-आधारित होता है, जो इस बात पर निर्भर करता है कि सीक्रेट क्रमशः हार्डवेयर या सॉफ़्टवेयर में संग्रहीत है या नहीं।
एक महत्वपूर्ण प्रकार के हार्डवेयर-आधारित ऑथेंटिकेटर को सिक्योरिटी कुंजी कहा जाता है,[8] एक सिक्योरिटी टोकन भी कहा जाता है (एक्सेस टोकन, सत्र टोकन, या अन्य प्रकार के सिक्योरिटी टोकन के साथ भ्रमित नहीं होना चाहिए)। एक सिक्योरिटी कुंजी अपने सीक्रेट को हार्डवेयर में संग्रहीत करती है, जो सीक्रेट को निर्यात होने से रोकता है। एक सिक्योरिटी कुंजी भी मैलवेयर के लिए प्रतिरोधी है क्योंकि सीक्रेट होस्ट मशीन पर चल रहे सॉफ़्टवेयर के लिए किसी भी समय पहुंचने योग्य नहीं है।
एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर (कभी-कभी सॉफ्टवेयर टोकन कहा जाता है) एक सामान्य-उद्देश्य वाले इलेक्ट्रॉनिक उपकरण जैसे लैपटॉप, टैबलेट कंप्यूटर या स्मार्टफ़ोन पर कार्यान्वित किया जा सकता है। उदाहरण के लिए, क्लाइमेंट के स्मार्टफोन पर एक मोबाइल एप्लिकेशन के रूप में कार्यान्वित सॉफ़्टवेयर-आधारित ऑथेंटिकेटर एक प्रकार का फ़ोन-आधारित ऑथेंटिकेटर है। सीक्रेट तक पहुंच को रोकने के लिए, एक सॉफ्टवेयर-आधारित ऑथेंटिकेटर प्रोसेसर के विश्वसनीय निष्पादन वातावरण या क्लाइंट डिवाइस पर एक विश्वसनीय प्लेटफार्म मॉड्यूल (टीपीएम) का उपयोग कर सकता है।
एक प्लेटफ़ॉर्म ऑथेंटिकेटर एक विशेष क्लाइंट डिवाइस प्लेटफ़ॉर्म में बनाया गया है, अर्थात इसे डिवाइस पर लागू किया गया है। इसके विपरीत, रोमिंग ऑथेंटिकेटर एक क्रॉस-प्लेटफ़ॉर्म ऑथेंटिकेटर है जिसे डिवाइस से लागू किया जाता है। रोमिंग ऑथेंटिकेटर USB जैसे ट्रांसपोर्ट प्रोटोकॉल के माध्यम से डिवाइस प्लेटफॉर्म से जुड़ता है।
उदाहरण
निम्नलिखित खंड ऑथेंटिकेटर्स के संकीर्ण वर्गों का वर्णन करते हैं। अधिक व्यापक वर्गीकरण के लिए, एनआईएसटी डिजिटल आइडेंटिफिकेशन गाइडलाइन्स देखें।[9]
सिंगल-फैक्टर ऑथेंटिकेटर
एक ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट को प्रमाणित करने के अपने इरादे को स्पष्ट रूप से इंगित करना चाहिए। उदाहरण के लिए, निम्नलिखित में से प्रत्येक संकेत को स्थापित करने के लिए पर्याप्त है:
- क्लाइमेंट पासवर्ड फ़ील्ड में पासवर्ड टाइप करता है, या
- क्लाइमेंट अपनी अंगुली फ़िंगरप्रिंट रीडर पर रखता है, या
- क्लाइमेंट अनुमोदन इंगित करने के लिए एक बटन दबाता है
उत्तरार्द्ध को उपयोगकर्ता उपस्थिति (टीयूपी) का परीक्षण कहा जाता है। सिंगल-फैक्टर ऑथेंटिकेटर (जो किसी के पास है) को सक्रिय करने के लिए, क्लाइमेंट को टीयूपी करने की आवश्यकता हो सकती है, जो ऑथेंटिकेटर के अनपेक्षित संचालन से बचा जाता है।
एक पासवर्ड एक सीक्रेट है जिसे क्लाइमेंट द्वारा याद रखने और वेरिफिएर के साथ साझा करने का इरादा है। पासवर्ड ऑथेंटिकेशन वह प्रक्रिया है जिसके द्वारा क्लाइमेंट पासवर्ड के ज्ञान को वेरिफिएर को नेटवर्क पर प्रसारित करके प्रदर्शित करता है। यदि प्रेषित पासवर्ड पहले साझा किए गए सीक्रेट से मेल खाता है, तो उपयोगकर्ता ऑथेंटिकेशन सफल होता है।
ओथ ओटीपी
1980 के दशक से वन-टाइम पासवर्ड (ओटीपी) का उपयोग किया जाता रहा है।[citation needed] 2004 में, वार्षिक आरएसए सम्मेलन में ओटीपी के सुरक्षित उत्पादन के लिए एक ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर की घोषणा की गई थी।[10][11] ओपन ऑथेंटिकेशन (ओएटीएच) के लिए पहल एक साल बाद शुरू हुई।[citation needed] इस कार्य से दो IETF मानक विकसित हुए, HMAC-आधारित वन-टाइम पासवर्ड एल्गोरिथम | HMAC-आधारित वन-टाइम पासवर्ड (HOTP) एल्गोरिथम और समय-आधारित वन-टाइम पासवर्ड एल्गोरिथम | टाइम-आधारित वन-टाइम पासवर्ड (टीओटीपी) ) एल्गोरिथम क्रमशः RFC 4226 और RFC 6238 द्वारा निर्दिष्ट किया गया है। ओथ ओटीपी से हमारा मतलब या तो एचओटीपी या टीओटीपी से है। ओथ एचओटीपी और टीओटीपी मानकों के अनुरूप प्रमाणित करता है।[12] दो-कारक ऑथेंटिकेशन प्रदान करने के लिए एक पारंपरिक पासवर्ड (जो कुछ जानता है) को अधिकांशतः एक बार के पासवर्ड (कुछ ऐसा है) के साथ जोड़ा जाता है।[13] पासवर्ड और ओटीपी दोनों ही नेटवर्क पर वेरिफिएर को प्रेषित किए जाते हैं। यदि पासवर्ड पहले साझा किए गए सीक्रेट से सहमत है, और वेरिफिएर ओटीपी के मूल्य की पुष्टि कर सकता है, तो उपयोगकर्ता ऑथेंटिकेशन सफल होता है।
एक समर्पित ओथ ओटीपी ऑथेंटिकेटर द्वारा मांग पर वन-टाइम पासवर्ड उत्पन्न किए जाते हैं जो एक सीक्रेट को समाहित करता है जिसे पहले वेरिफिएर के साथ साझा किया गया था। ऑथेंटिकेटर का उपयोग करके, क्लाइमेंट क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी उत्पन्न करता है। वेरिफिएर उसी क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी भी उत्पन्न करता है। यदि दो ओटीपी मान मेल खाते हैं, तो वेरिफिएर यह निष्कर्ष निकाल सकता है कि क्लाइमेंट के पास साझा सीक्रेट है।
ओएटीएच ऑथेंटिकेटर का एक प्रसिद्ध उदाहरण ओपन-सोर्स गूगल ऑथेंटिकेटर है,[14] एक फोन-आधारित ऑथेंटिकेटर जो एचओटीपी और टीओटीपी दोनों को लागू करता है।
मोबाइल पुश
एक मोबाइल पुश ऑथेंटिकेटर अनिवार्य रूप से क्लाइमेंट के मोबाइल फोन पर चलने वाला एक देशी ऐप है। ऐप पुश सूचनाओं का जवाब देने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। दूसरे शब्दों में, एक मोबाइल पुश ऑथेंटिकेटर एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक सॉफ़्टवेयर ऑथेंटिकेटर है। दो-कारक ऑथेंटिकेशन प्रदान करने के लिए एक मोबाइल पुश ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास होता है) को सामान्यतः एक पासवर्ड (जिसे कोई जानता है) के साथ जोड़ा जाता है। वन-टाइम पासवर्ड के विपरीत, मोबाइल पुश के लिए पासवर्ड से परे किसी साझा सीक्रेट की आवश्यकता नहीं होती है।
क्लाइमेंट द्वारा एक पासवर्ड के साथ प्रमाणित करने के बाद, वेरिफिएर एक विश्वसनीय तृतीय पक्ष के लिए एक आउट-ऑफ-बैंड ऑथेंटिकेशन अनुरोध करता है जो वेरिफिएर की ओर से एक सार्वजनिक-कुंजी अवसंरचना का प्रबंधन करता है। विश्वसनीय तृतीय पक्ष क्लाइमेंट के मोबाइल फ़ोन पर एक पुश सूचना भेजता है. क्लाइमेंट उपयोगकर्ता इंटरफ़ेस में एक बटन दबाकर ऑथेंटिकेटर के स्वामित्व और नियंत्रण को प्रदर्शित करता है, जिसके बाद ऑथेंटिकेटर डिजिटल रूप से हस्ताक्षरित अभिकथन के साथ प्रतिक्रिया करता है। विश्वसनीय तृतीय पक्ष अभिकथन पर हस्ताक्षर की पुष्टि करता है और वेरिफिएर को ऑथेंटिकेशन प्रतिक्रिया देता है।
प्रोप्राइटरी मोबाइल पुश ऑथेंटिकेशन प्रोटोकॉल एक आउट-ऑफ़-बैंड सेकेंडरी चैनल पर चलता है, जो लचीले परिनियोजन विकल्प प्रदान करता है। चूंकि प्रोटोकॉल के लिए क्लाइमेंट के मोबाइल फोन के लिए एक खुले नेटवर्क पथ की आवश्यकता होती है, यदि ऐसा कोई पथ उपलब्ध नहीं है (नेटवर्क समस्याओं के कारण, उदाहरण के लिए), ऑथेंटिकेशन प्रक्रिया आगे नहीं बढ़ सकती है।[13]
एफ.आई.डी.ओ यू2एफ
एक एफआईडीओ एलायंस यूनिवर्सल और फैक्टर (U2F) ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास है) एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक ऑथेंटिकेटर है जिसका उपयोग सामान्य वेब पासवर्ड के साथ संयोजन के रूप में किया जाना है। चूंकि ऑथेंटिकेटर सार्वजनिक-कुंजी क्रिप्टोग्राफी पर निर्भर करता है, यू2एफ को पासवर्ड से परे एक अतिरिक्त साझा सीक्रेट की आवश्यकता नहीं होती है।
यू2एफ ऑथेंटिकेटर तक पहुँचने के लिए, क्लाइमेंट को उपयोगकर्ता उपस्थिति (TUP) का परीक्षण करने की आवश्यकता होती है, जो ऑथेंटिकेटर की कार्यक्षमता तक अनधिकृत पहुँच को रोकने में मदद करता है। व्यवहार में, एक TUP में एक साधारण बटन पुश होता है।
यू2एफ ऑथेंटिकेटर एक अनुरूप वेब उपयोगकर्ता एजेंट के साथ इंटरऑपरेट करता है जो यू2एफ जावास्क्रिप्ट एपीआई को लागू करता है।[15] यू2एफ ऑथेंटिकेटर आवश्यक रूप से CTAP1/U2F प्रोटोकॉल को लागू करता है, जो एफआईडीओ क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल में निर्दिष्ट दो प्रोटोकॉल में से एक है।[16] मोबाइल पुश ऑथेंटिकेशन के विपरीत, यू2एफ ऑथेंटिकेशन प्रोटोकॉल पूरी तरह से फ्रंट चैनल पर चलता है। दो चक्कर लगाने पड़ते हैं। पहला राउंड ट्रिप साधारण पासवर्ड ऑथेंटिकेशन है। क्लाइमेंट द्वारा एक पासवर्ड के साथ प्रमाणित किए जाने के बाद, वेरिफिएर एक अनुरूप ब्राउज़र को एक चुनौती भेजता है, जो एक कस्टम JavaScript API के माध्यम से U2F ऑथेंटिकेटर के साथ संचार करता है। क्लाइमेंट द्वारा TUP करने के बाद, ऑथेंटिकेटर चुनौती पर हस्ताक्षर करता है और ब्राउज़र के माध्यम से वेरिफिएर को हस्ताक्षरित अभिकथन लौटाता है।
मल्टी-फैक्टर ऑथेंटिकेटर्स
मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट पूर्ण उपयोगकर्ता सत्यापन करता है। मल्टी-फैक्टर ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास हो) एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता हो), या एक बायोमेट्रिक्स (कुछ ऐसा जो अपने लिए यूनिक हो; जैसे फिंगरप्रिंट, चेहरा या आवाज की पहचान), या कुछ अन्य सत्यापन तकनीक द्वारा सक्रिय किया जाता है .[3],
एटीएम कार्ड
एक स्वचालित टेलर मशीन (एटीएम) से नकदी निकालने के लिए, एक बैंक ग्राहक एटीएम कार्ड को कैश मशीन में डालता है और एक व्यक्तिगत पहचान संख्या (पिन) टाइप करता है। इनपुट पिन की तुलना कार्ड की चिप पर संग्रहीत पिन से की जाती है। यदि दोनों मेल खाते हैं, तो एटीएम से निकासी जारी रह सकती है।
ध्यान दें कि एटीएम निकासी में एक याद किया हुआ सीक्रेट (यानी, एक पिन) सम्मिलित होता है, लेकिन सीक्रेट का सही मूल्य एटीएम को पहले से ज्ञात नहीं होता है। मशीन अंधाधुंध तरीके से कार्ड में इनपुट पिन पास करती है, जो ग्राहक के इनपुट की तुलना कार्ड की चिप पर संग्रहीत गुप्त पिन से करती है। यदि दोनों मेल खाते हैं, तो कार्ड एटीएम को सफलता की सूचना देता है और लेनदेन जारी रहता है।
एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का मल्टी-फैक्टर ऑथेंटिकेशन है।
सिक्योर शैल
सिक्योर शैल (एसएसएच) एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क पर एक सिक्योर चैनल बनाने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। एक पारंपरिक पासवर्ड के विपरीत, एक एसएसएच कुंजी एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर है। प्राथमिक ऑथेंटिकेटर सीक्रेट एसएसएच निजी कुंजी है, जिसका उपयोग क्लाइंट द्वारा किसी संदेश पर डिजिटल रूप से हस्ताक्षर करने के लिए किया जाता है। संबंधित सार्वजनिक कुंजी का उपयोग सर्वर द्वारा संदेश हस्ताक्षर को सत्यापित करने के लिए किया जाता है, जो पुष्टि करता है कि क्लाइमेंट के पास निजी कुंजी का अधिकार और नियंत्रण है।
चोरी से बचने के लिए, एसएसएच निजी कुंजी (जो किसी के पास है) को पासफ़्रेज़ (जिसे कोई जानता है) का उपयोग करके एन्क्रिप्ट किया जा सकता है। दो-कारक ऑथेंटिकेशन प्रक्रिया आरंभ करने के लिए, क्लाइमेंट क्लाइंट सिस्टम को पासफ़्रेज़ प्रदान करता है।
एक पासवर्ड की तरह, एसएसएच पासफ़्रेज़ एक याद किया हुआ सीक्रेट है लेकिन यहीं पर समानता समाप्त हो जाती है। जबकि एक पासवर्ड एक साझा सीक्रेट है जो नेटवर्क पर प्रसारित होता है, एसएसएच पासफ़्रेज़ साझा नहीं किया जाता है, और इसके अतिरिक्त, पासफ़्रेज़ का उपयोग क्लाइंट सिस्टम तक ही सीमित है। एसएसएच के माध्यम से ऑथेंटिकेशन पासवर्ड रहित ऑथेंटिकेशन का एक उदाहरण है क्योंकि यह नेटवर्क पर एक साझा सीक्रेट के प्रसारण से बचा जाता है। वास्तव में, एसएसएच ऑथेंटिकेशन के लिए किसी साझा सीक्रेट की आवश्यकता नहीं होती है।
एफआईडीओ2
FIDO U2F प्रोटोकॉल मानक, FIDO2 प्रोजेक्ट के लिए प्रारंभिक बिंदु बन गया, जो वर्ल्ड वाइड वेब कंसोर्टियम (W3C) और FIDO एलायंस के बीच एक संयुक्त प्रयास है। प्रोजेक्ट डिलिवरेबल्स में W3C वेब ऑथेंटिकेशन (WebAuthn) मानक और FIDO क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल (CTAP) सम्मिलित हैं।[17] WebAuthn और CTAP मिलकर वेब के लिए एक मजबूत ऑथेंटिकेशन समाधान प्रदान करते हैं।
एक FIDO2 ऑथेंटिकेटर, जिसे WebAuthn ऑथेंटिकेटर भी कहा जाता है, WebAuthn क्लाइंट के साथ इंटरऑपरेट करने के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, जो कि एक अनुरूप वेब उपयोगकर्ता एजेंट है जो WebAuthn JavaScript API को लागू करता है।[18] ऑथेंटिकेटर एक प्लेटफॉर्म ऑथेंटिकेटर, एक रोमिंग ऑथेंटिकेटर या दोनों का कुछ संयोजन हो सकता है। उदाहरण के लिए, एक FIDO2 ऑथेंटिकेटर जो CTAP2 प्रोटोकॉल को लागू करता है[16]एक रोमिंग ऑथेंटिकेटर है जो WebAuthn क्लाइंट के साथ निम्न परिवहन विकल्पों में से एक या अधिक के माध्यम से संचार करता है: USB, नजदीक फील्ड संचार (NFC), या ब्लूटूथ लौ एनर्जी (BLE)। FIDO2 प्लेटफॉर्म ऑथेंटिकेटर के ठोस उदाहरणों में विंडोज हैलो सम्मिलित है[19] और एंड्राइड ऑपरेटिंग सिस्टम।[20] एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या मल्टी-फैक्टर मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए यूनिक है) द्वारा सक्रिय होता है।
सिक्योरिटी कोड
सबसे पहले और सबसे महत्वपूर्ण, मजबूत ऑथेंटिकेशन मल्टी-फैक्टर ऑथेंटिकेशन से प्रारंभ होता है। व्यक्तिगत ऑनलाइन खाते की सिक्योरिटी के लिए सबसे अच्छी बात मल्टी-फैक्टर ऑथेंटिकेशन को सक्षम करना है।[13][21] मल्टी-फैक्टर ऑथेंटिकेशन प्राप्त करने के दो तरीके हैं:
- मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करें
- दो या दो से अधिक सिंगल-फैक्टर प्रमाणकों के संयोजन का उपयोग करें
व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है।
सामान्यतया, एक #क्रिप्टोग्राफ़िक कुंजी को एक ऑथेंटिकेटर से अधिक पसंद किया जाता है जो क्रिप्टोग्राफ़िक विधियों का उपयोग नहीं करता है। अन्य सभी समान होने के नाते, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर जो सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, सिमेट्रिक-कुंजी क्रिप्टोग्राफी का उपयोग करने वाले से बेहतर है क्योंकि बाद वाले को साझा कुंजियों की आवश्यकता होती है (जो चोरी या दुरुपयोग हो सकती है)।
एक हार्डवेयर-आधारित ऑथेंटिकेटर एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर से बेहतर है क्योंकि ऑथेंटिकेटर सीक्रेट संभवतः हार्डवेयर में बेहतर संरक्षित है। यह वरीयता अगले खंड में उल्लिखित एनआईएसटी आवश्यकताओं में परिलक्षित होती है।
एनआईएसटी ऑथेंटिकेटर असुरेन्स लेवल्स
एनआईएसटी ऑथेंटिकेटर्स के संबंध में असुरेन्स के तीन लेवल्स को परिभाषित करता है। उच्चतम ऑथेंटिकेटर असुरेन्स लेवल (AAL3) के लिए मल्टी-फैक्टर ऑथेंटिकेशन की आवश्यकता होती है या तो मल्टी-फैक्टर ऑथेंटिकेटर या सिंगल-फैक्टर ऑथेंटिकेटर्स के उपयुक्त संयोजन का उपयोग किया जाता है। AAL3 में, कम से कम एक ऑथेंटिकेटर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर होना चाहिए। इन मूलभूत आवश्यकताओं को देखते हुए, AAL3 में उपयोग किए जाने वाले संभावित ऑथेंटिकेटर संयोजनों में सम्मिलित हैं:
- एक मल्टी-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर
- एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है
ऑथेंटिकेटर असुरेन्स लेवल्स की आगे की चर्चा के लिए एनआईएसटी डिजिटल आइडेंटिफिकेशन गाइडलाइन्स देखें।[9]
रिस्ट्रिक्टेड ऑथेंटिकेटर
ऑथेंटिकेटर आश्वासन स्तरों की तरह, रिस्ट्रिक्टेड ऑथेंटिकेटर की धारणा एक एनआईएसटी अवधारणा है।[3]यह शब्द एक ऑथेंटिकेटर को संदर्भित करता है जो अटैक्स का प्रतिरोध करने में असमर्थता प्रदर्शित करता है, जो ऑथेंटिकेटर की विश्वसनीयता को संदेह में डालता है। संघीय एजेंसियां सब्सक्राइबर्स को एक वैकल्पिक ऑथेंटिकेटर प्रदान करके रिस्ट्रिक्टेड ऑथेंटिकेटर के उपयोग को कम करती हैं जो रिस्ट्रिक्टेड नहीं है और भविष्य में किसी बिंदु पर रिस्ट्रिक्टेड ऑथेंटिकेटर के उपयोग से रिस्ट्रिक्टेड होने की स्थिति में माइग्रेशन प्लान विकसित करके।
वर्तमान में, पब्लिक स्विचड टेलीफोन नेटवर्क का उपयोग एनआईएसटी द्वारा रिस्ट्रिक्टेड है। विशेष रूप से, रिकॉर्ड किए गए वॉयस संदेशों या एसएमएस संदेशों के माध्यम से वन-टाइम पासवर्ड (ओटीपी) का आउट-ऑफ-बैंड ट्रांसमिशन रिस्ट्रिक्टेड है। इसके अतिरिक्त, यदि कोई एजेंसी वॉइस- या एसएमएस-आधारित ओटीपी का उपयोग करना चुनती है, तो उस एजेंसी को यह सत्यापित करना होगा कि ओटीपी एक फोन पर प्रेषित किया जा रहा है न कि आईपी पते पर क्योंकि वौइस् ओवर आईपी (वीओआईपी) खाते नियमित रूप से मल्टी-फैक्टर से सुरक्षित नहीं होते हैं। ऑथेंटिकेशन।[9]
कंपेरिजन
तुलना के आधार के रूप में पासवर्ड का उपयोग करना सुविधाजनक है क्योंकि यह व्यापक रूप से समझा जाता है कि पासवर्ड का उपयोग कैसे किया जाता है।[22] कम्प्यूटर सिस्टम पर, पासवर्ड का उपयोग कम से कम 1960 के दशक के प्रारंभ से किया जा रहा है।[23][24] अधिक सामान्यतः, पासवर्ड का उपयोग प्राचीन काल से किया जाता रहा है।[citation needed] 2012 में, बॉनौ एट अल। उपयोगिता, परिनियोजन और सिक्योरिटी के संदर्भ में 35 कॉम्पिटिटिव ऑथेंटिकेशन स्कीम्स के साथ व्यवस्थित रूप से वेब पासवर्ड की तुलना करके पासवर्ड को बदलने के दो दशकों के प्रस्तावों का मूल्यांकन किया।[25] (सीटेड टेक्निकल रिपोर्ट इसी नाम से सहकर्मी-समीक्षित पेपर का एक विस्तारित संस्करण है।[26]) उन्होंने पाया कि अधिकांश स्कीम्स सिक्योरिटी पर पासवर्ड से बेहतर करती हैं जबकि हर स्कीम्स डेप्लॉयबिलिटी पर पासवर्ड से खराब करती है। प्रयोज्यता के संदर्भ में, कुछ योजनाएँ बेहतर करती हैं और कुछ योजनाएँ पासवर्ड से भी बदतर।
गूगल ने बॉनौ एट अल के मूल्यांकन ढांचे का उपयोग किया। सिक्योरिटी कुंजियों की तुलना पासवर्ड और वन-टाइम पासवर्ड से करने के लिए।[27] उन्होंने निष्कर्ष निकाला कि सिक्योरिटी कुंजियाँ वन-टाइम वाले पासवर्ड की तुलना में अधिक उपयोगी, सिक्योर और लागू करने योग्य हैं।
यह भी देखें
इस पेज में लापता आंतरिक लिंक की सूची
- विश्वसनीय प्लेटफ़ॉर्म मॉड्यूल
- ओपन ऑथेंटिकेशन के लिए पहल
- HMAC- आधारित वन-टाइम पासवर्ड एल्गोरिथम
- उपभोक्ता अभिकर्ता
- एंड्रॉइड ऑपरेटिंग सिस्टम
संदर्भ
- ↑ "राष्ट्रीय सूचना आश्वासन (आईए) शब्दावली" (PDF). Committee on National Security Systems. 26 April 2010. Archived (PDF) from the original on 2022-10-09. Retrieved 31 March 2019.
- ↑ "दूरसंचार शर्तों की शब्दावली". Institute for Telecommunication Sciences. 7 August 1996. Retrieved 31 March 2019.
- ↑ 3.0 3.1 3.2 3.3 Grassi, Paul A.; Garcia, Michael E.; Fenton, James L. (June 2017). "NIST विशेष प्रकाशन 800-63-3: डिजिटल पहचान दिशानिर्देश". National Institute of Standards and Technology (NIST). doi:10.6028/NIST.SP.800-63-3. Retrieved 5 February 2019.
{{cite journal}}: Cite journal requires|journal=(help) - ↑ Lindemann, Rolf, ed. (11 April 2017). "FIDO तकनीकी शब्दावली". FIDO Alliance. Retrieved 26 March 2019.
- ↑ Bianchi, Andrea; Oakley, Ian (2016). "पहनने योग्य प्रमाणीकरण: रुझान और अवसर" (PDF). It - Information Technology. 58 (5): 255–262. doi:10.1515/itit-2016-0010. S2CID 12772550. Archived (PDF) from the original on 2022-10-09.
- ↑ Stein, Scott (26 July 2018). "Wear OS स्मार्टवॉच सुरक्षा कुंजी भी क्यों नहीं हो सकतीं?". CNET. Retrieved 31 March 2019.
- ↑ Williams, Brett (27 June 2017). "यह स्मार्ट रिंग आपको कड़ी सुरक्षा के साथ तत्काल मोबाइल भुगतान प्रदान करती है". Mashable. Retrieved 31 March 2019.
- ↑ "केस स्टडी: Google सुरक्षा कुंजियाँ कार्य करती हैं". FIDO Alliance. 7 December 2016. Retrieved 26 March 2019.
- ↑ 9.0 9.1 9.2 Grassi, Paul A.; Fenton, James L.; Newton, Elaine M.; Perlner, Ray A.; Regenscheid, Andrew R.; Burr, William E.; Richer, Justin P. (2017). "NIST विशेष प्रकाशन 800-63B: डिजिटल पहचान दिशानिर्देश: प्रमाणीकरण और जीवनचक्र प्रबंधन". National Institute of Standards and Technology (NIST). doi:10.6028/NIST.SP.800-63b. Retrieved 5 February 2019.
{{cite journal}}: Cite journal requires|journal=(help) - ↑ Kucan, Berislav (24 February 2004). "ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर घोषित". Help Net Security. Retrieved 26 March 2019.
- ↑ "शपथ निर्दिष्टीकरण और तकनीकी संसाधन". Initiative for Open Authentication. Retrieved 26 March 2019.
- ↑ "शपथ प्रमाणन". The Initiative for Open Authentication (OATH). Retrieved 3 February 2019.
- ↑ 13.0 13.1 13.2 Hoffman-Andrews, Jacob; Gebhart, Gennie (22 September 2017). "वेब पर सामान्य प्रकार के टू-फैक्टर ऑथेंटिकेशन के लिए एक गाइड". Electronic Frontier Foundation. Retrieved 26 March 2019.
- ↑ "गूगल प्रमाणक". GitHub. Retrieved 3 February 2019.
- ↑ Balfanz, Dirk; Birgisson, Arnar; Lang, Juan, eds. (11 April 2017). "FIDO U2F जावास्क्रिप्ट एपीआई". FIDO Alliance. Retrieved 22 March 2019.
- ↑ 16.0 16.1 Brand, Christiaan; Czeskis, Alexei; Ehrensvärd, Jakob; Jones, Michael B.; Kumar, Akshay; Lindemann, Rolf; Powers, Adam; Verrept, Johan, eds. (30 January 2019). "क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल (CTAP)". FIDO Alliance. Retrieved 22 March 2019.
- ↑ "FIDO2: मूविंग द वर्ल्ड बियॉन्ड पासवर्ड्स". FIDO Alliance. Retrieved 30 January 2019.
- ↑ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (eds.). "वेब प्रमाणीकरण: सार्वजनिक कुंजी क्रेडेंशियल स्तर 1 तक पहुँचने के लिए एक एपीआई". World Wide Web Consortium (W3C). Retrieved 30 January 2019.
- ↑ Simons, Alex (November 20, 2018). "सुरक्षा कुंजी या Windows Hello का उपयोग करके अपने Microsoft खाते के लिए सुरक्षित पासवर्ड-रहित साइन-इन करें". Microsoft. Retrieved 6 March 2019.
- ↑ "Android अब FIDO2 प्रमाणित, पासवर्ड से परे वैश्विक प्रवासन में तेजी". BARCELONA: FIDO Alliance. February 25, 2019. Retrieved 6 March 2019.
- ↑ "दो-कारक प्रमाणीकरण (2FA); एनसीएससी से नया मार्गदर्शन". National Cyber Security Centre (NCSC). 8 Aug 2018.
- ↑ Hunt, Troy (5 November 2018). "यहां बताया गया है कि क्यों [Insert Thing Here] पासवर्ड किलर नहीं है". Retrieved 24 March 2019.
- ↑ McMillan, Robert (27 January 2012). "दुनिया का पहला कंप्यूटर पासवर्ड? यह बेकार भी था". Wired magazine. Retrieved 22 March 2019.
- ↑ Hunt, Troy (26 July 2017). "विकसित पासवर्ड: आधुनिक युग के लिए प्रमाणीकरण मार्गदर्शन". Retrieved 22 March 2019.
- ↑ Bonneau, Joseph; Herley, Cormac; Oorschot, Paul C. van; Stajano, Frank (2012). "पासवर्ड बदलने की खोज: वेब प्रमाणीकरण योजनाओं के तुलनात्मक मूल्यांकन के लिए एक रूपरेखा". Technical Report - University of Cambridge. Computer Laboratory. Cambridge, UK: University of Cambridge Computer Laboratory. doi:10.48456/tr-817. ISSN 1476-2986. Retrieved 22 March 2019.
- ↑ Bonneau, Joseph; Herley, Cormac; Oorschot, Paul C. van; Stajano, Frank (2012). पासवर्ड बदलने की खोज: वेब प्रमाणीकरण योजनाओं के तुलनात्मक मूल्यांकन के लिए एक रूपरेखा. 2012 IEEE Symposium on Security and Privacy. San Francisco, CA. pp. 553–567. doi:10.1109/SP.2012.44.
- ↑ Lang, Juan; Czeskis, Alexei; Balfanz, Dirk; Schilder, Marius; Srinivas, Sampath (2016). "सुरक्षा कुंजी: आधुनिक वेब के लिए व्यावहारिक क्रिप्टोग्राफ़िक द्वितीय कारक" (PDF). Financial Cryptography and Data Security 2016. Archived (PDF) from the original on 2022-10-09. Retrieved 26 March 2019.
