प्रमाणक (ऑथेंटिकेटर): Difference between revisions
| Line 27: | Line 27: | ||
एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर वह है जो एक [[कुंजी (क्रिप्टोग्राफी)]] का उपयोग करता है। कुंजी सामग्री के आधार पर, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर क्रिप्टोग्राफी#सममित-कुंजी क्रिप्टोग्राफी|सममित-कुंजी क्रिप्टोग्राफी या क्रिप्टोग्राफी#सार्वजनिक-कुंजी क्रिप्टोग्राफी|सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग कर सकता है। दोनों कंठस्थ सीक्रेट से बचते हैं, और सार्वजनिक-कुंजी क्रिप्टोग्राफी के मामले में, कोई साझा सीक्रेट भी नहीं हैं, जो एक महत्वपूर्ण अंतर है। | एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर वह है जो एक [[कुंजी (क्रिप्टोग्राफी)]] का उपयोग करता है। कुंजी सामग्री के आधार पर, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर क्रिप्टोग्राफी#सममित-कुंजी क्रिप्टोग्राफी|सममित-कुंजी क्रिप्टोग्राफी या क्रिप्टोग्राफी#सार्वजनिक-कुंजी क्रिप्टोग्राफी|सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग कर सकता है। दोनों कंठस्थ सीक्रेट से बचते हैं, और सार्वजनिक-कुंजी क्रिप्टोग्राफी के मामले में, कोई साझा सीक्रेट भी नहीं हैं, जो एक महत्वपूर्ण अंतर है। | ||
क्रिप्टोग्राफ़िक ऑथेंटिकेटर के उदाहरणों में | क्रिप्टोग्राफ़िक ऑथेंटिकेटर के उदाहरणों में ओथ ऑथेंटिकेटर और FIDO ऑथेंटिकेटर शामिल हैं। प्रति उदाहरण के माध्यम से, एक पासवर्ड ऑथेंटिकेटर क्रिप्टोग्राफ़िक ऑथेंटिकेटर नहीं है। विवरण के लिए #उदाहरण अनुभाग देखें। | ||
=== सिमेट्रिक कुंजी === | === सिमेट्रिक कुंजी === | ||
| Line 37: | Line 37: | ||
पब्लिक-प्राइवेट कुंजी पेअर का उपयोग पब्लिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। पब्लिक कुंजी वेरिफिएर (और उसके द्वारा विश्वसनीय) के लिए जानी जाती है, जबकि संबंधित प्राइवेट कुंजी ऑथेंटिकेटर के लिए सुरक्षित रूप से बंधी होती है। एक समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर के मामले में, प्राइवेट कुंजी ऑथेंटिकेटर की सीमा को कभी नहीं छोड़ती है। | पब्लिक-प्राइवेट कुंजी पेअर का उपयोग पब्लिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। पब्लिक कुंजी वेरिफिएर (और उसके द्वारा विश्वसनीय) के लिए जानी जाती है, जबकि संबंधित प्राइवेट कुंजी ऑथेंटिकेटर के लिए सुरक्षित रूप से बंधी होती है। एक समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर के मामले में, प्राइवेट कुंजी ऑथेंटिकेटर की सीमा को कभी नहीं छोड़ती है। | ||
=== | === ऑथेंटिकेटर फैक्टर्स एंड फॉर्म्स === | ||
एक ऑथेंटिकेटर एक उपयोगकर्ता के लिए अद्वितीय या विशिष्ट होता है (कुछ ऐसा जो किसी के पास होता है), या तो एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता है) द्वारा सक्रिय किया जाता है, या एक [[बॉयोमेट्रिक्स]] (कुछ ऐसा जो स्वयं के लिए अद्वितीय है)। एक ऑथेंटिकेटर जो इनमें से केवल एक कारक प्रदान करता है, उसे एकल-कारक ऑथेंटिकेटर कहा जाता है जबकि एक बहु-कारक ऑथेंटिकेटर में दो या अधिक कारक शामिल होते हैं। मल्टी-फैक्टर ऑथेंटिकेशन एक मल्टी-फैक्टर ऑथेंटिकेशन हासिल करने का एक तरीका है। दो या दो से अधिक एकल-कारक प्रमाणीकरणकर्ताओं का संयोजन [[बहु-कारक प्रमाणीकरण]] नहीं है, फिर भी कुछ स्थितियों में उपयुक्त हो सकता है। | एक ऑथेंटिकेटर एक उपयोगकर्ता के लिए अद्वितीय या विशिष्ट होता है (कुछ ऐसा जो किसी के पास होता है), या तो एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता है) द्वारा सक्रिय किया जाता है, या एक [[बॉयोमेट्रिक्स]] (कुछ ऐसा जो स्वयं के लिए अद्वितीय है)। एक ऑथेंटिकेटर जो इनमें से केवल एक कारक प्रदान करता है, उसे एकल-कारक ऑथेंटिकेटर कहा जाता है जबकि एक बहु-कारक ऑथेंटिकेटर में दो या अधिक कारक शामिल होते हैं। मल्टी-फैक्टर ऑथेंटिकेशन एक मल्टी-फैक्टर ऑथेंटिकेशन हासिल करने का एक तरीका है। दो या दो से अधिक एकल-कारक प्रमाणीकरणकर्ताओं का संयोजन [[बहु-कारक प्रमाणीकरण]] नहीं है, फिर भी कुछ स्थितियों में उपयुक्त हो सकता है। | ||
| Line 55: | Line 55: | ||
=== | ===सिंगल-फैक्टर ऑथेंटिकेटर=== | ||
एक ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट को प्रमाणित करने के अपने इरादे को स्पष्ट रूप से इंगित करना चाहिए। उदाहरण के लिए, निम्नलिखित में से प्रत्येक इशारा इरादे को स्थापित करने के लिए पर्याप्त है: | एक ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट को प्रमाणित करने के अपने इरादे को स्पष्ट रूप से इंगित करना चाहिए। उदाहरण के लिए, निम्नलिखित में से प्रत्येक इशारा इरादे को स्थापित करने के लिए पर्याप्त है: | ||
| Line 67: | Line 67: | ||
एक पासवर्ड एक सीक्रेट है जिसे क्लाइमेंट द्वारा याद रखने और वेरिफिएर के साथ साझा करने का इरादा है। पासवर्ड प्रमाणीकरण वह प्रक्रिया है जिसके द्वारा क्लाइमेंट पासवर्ड के ज्ञान को वेरिफिएर को नेटवर्क पर प्रसारित करके प्रदर्शित करता है। यदि प्रेषित पासवर्ड पहले साझा किए गए सीक्रेट से मेल खाता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है। | एक पासवर्ड एक सीक्रेट है जिसे क्लाइमेंट द्वारा याद रखने और वेरिफिएर के साथ साझा करने का इरादा है। पासवर्ड प्रमाणीकरण वह प्रक्रिया है जिसके द्वारा क्लाइमेंट पासवर्ड के ज्ञान को वेरिफिएर को नेटवर्क पर प्रसारित करके प्रदर्शित करता है। यदि प्रेषित पासवर्ड पहले साझा किए गए सीक्रेट से मेल खाता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है। | ||
==== | ====ओथ ओटीपी==== | ||
1980 के दशक से वन-टाइम पासवर्ड (OTP) का उपयोग किया जाता रहा है।{{citation needed|date=March 2019}} 2004 में, वार्षिक [[आरएसए सम्मेलन]] में ओटीपी के सुरक्षित उत्पादन के लिए एक ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर की घोषणा की गई थी।<ref>{{cite web |last1=Kucan |first1=Berislav |title=ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर घोषित|url=https://www.helpnetsecurity.com/2004/02/24/open-authentication-reference-architecture-announced/ |publisher=Help Net Security |access-date=26 March 2019 |date=24 February 2004}}</ref><ref>{{cite web |title=शपथ निर्दिष्टीकरण और तकनीकी संसाधन|url=https://openauthentication.org/specifications-technical-resources/ |publisher=[[Initiative for Open Authentication]] |access-date=26 March 2019}}</ref> ओपन ऑथेंटिकेशन (ओएटीएच) के लिए पहल एक साल बाद शुरू हुई।{{citation needed|date=March 2019}} इस कार्य से दो IETF मानक विकसित हुए, HMAC-आधारित वन-टाइम पासवर्ड एल्गोरिथम | HMAC-आधारित वन-टाइम पासवर्ड (HOTP) एल्गोरिथम और [[समय-आधारित वन-टाइम पासवर्ड एल्गोरिथम]] | टाइम-आधारित वन-टाइम पासवर्ड (TOTP) ) एल्गोरिथम क्रमशः RFC 4226 और RFC 6238 द्वारा निर्दिष्ट किया गया है। | 1980 के दशक से वन-टाइम पासवर्ड (OTP) का उपयोग किया जाता रहा है।{{citation needed|date=March 2019}} 2004 में, वार्षिक [[आरएसए सम्मेलन]] में ओटीपी के सुरक्षित उत्पादन के लिए एक ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर की घोषणा की गई थी।<ref>{{cite web |last1=Kucan |first1=Berislav |title=ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर घोषित|url=https://www.helpnetsecurity.com/2004/02/24/open-authentication-reference-architecture-announced/ |publisher=Help Net Security |access-date=26 March 2019 |date=24 February 2004}}</ref><ref>{{cite web |title=शपथ निर्दिष्टीकरण और तकनीकी संसाधन|url=https://openauthentication.org/specifications-technical-resources/ |publisher=[[Initiative for Open Authentication]] |access-date=26 March 2019}}</ref> ओपन ऑथेंटिकेशन (ओएटीएच) के लिए पहल एक साल बाद शुरू हुई।{{citation needed|date=March 2019}} इस कार्य से दो IETF मानक विकसित हुए, HMAC-आधारित वन-टाइम पासवर्ड एल्गोरिथम | HMAC-आधारित वन-टाइम पासवर्ड (HOTP) एल्गोरिथम और [[समय-आधारित वन-टाइम पासवर्ड एल्गोरिथम]] | टाइम-आधारित वन-टाइम पासवर्ड (TOTP) ) एल्गोरिथम क्रमशः RFC 4226 और RFC 6238 द्वारा निर्दिष्ट किया गया है। ओथ ओटीपी से हमारा मतलब या तो HOTP या TOTP से है। ओथ HOTP और TOTP मानकों के अनुरूप प्रमाणित करता है।<ref name="OATH-cert">{{cite web |title=शपथ प्रमाणन|url=https://openauthentication.org/oath-certification/ |publisher=The [[Initiative for Open Authentication]] (OATH) |access-date=3 February 2019}}</ref> | ||
दो-कारक प्रमाणीकरण प्रदान करने के लिए एक पारंपरिक पासवर्ड (जो कुछ जानता है) को अक्सर एक बार के पासवर्ड (कुछ ऐसा है) के साथ जोड़ा जाता है।<ref name="Hoffman-Andrews and Gebhart 2017">{{cite web |last1=Hoffman-Andrews |first1=Jacob |last2=Gebhart |first2=Gennie |title=वेब पर सामान्य प्रकार के टू-फैक्टर ऑथेंटिकेशन के लिए एक गाइड|url=https://www.eff.org/deeplinks/2017/09/guide-common-types-two-factor-authentication-web |publisher=[[Electronic Frontier Foundation]] |access-date=26 March 2019 |date=22 September 2017}}</ref> पासवर्ड और ओटीपी दोनों ही नेटवर्क पर वेरिफिएर को प्रेषित किए जाते हैं। यदि पासवर्ड पहले साझा किए गए सीक्रेट से सहमत है, और वेरिफिएर ओटीपी के मूल्य की पुष्टि कर सकता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है। | दो-कारक प्रमाणीकरण प्रदान करने के लिए एक पारंपरिक पासवर्ड (जो कुछ जानता है) को अक्सर एक बार के पासवर्ड (कुछ ऐसा है) के साथ जोड़ा जाता है।<ref name="Hoffman-Andrews and Gebhart 2017">{{cite web |last1=Hoffman-Andrews |first1=Jacob |last2=Gebhart |first2=Gennie |title=वेब पर सामान्य प्रकार के टू-फैक्टर ऑथेंटिकेशन के लिए एक गाइड|url=https://www.eff.org/deeplinks/2017/09/guide-common-types-two-factor-authentication-web |publisher=[[Electronic Frontier Foundation]] |access-date=26 March 2019 |date=22 September 2017}}</ref> पासवर्ड और ओटीपी दोनों ही नेटवर्क पर वेरिफिएर को प्रेषित किए जाते हैं। यदि पासवर्ड पहले साझा किए गए सीक्रेट से सहमत है, और वेरिफिएर ओटीपी के मूल्य की पुष्टि कर सकता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है। | ||
एक समर्पित | एक समर्पित ओथ ओटीपी ऑथेंटिकेटर द्वारा मांग पर वन-टाइम पासवर्ड उत्पन्न किए जाते हैं जो एक सीक्रेट को समाहित करता है जिसे पहले वेरिफिएर के साथ साझा किया गया था। ऑथेंटिकेटर का उपयोग करके, क्लाइमेंट क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी उत्पन्न करता है। वेरिफिएर उसी क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी भी उत्पन्न करता है। यदि दो ओटीपी मान मेल खाते हैं, तो वेरिफिएर यह निष्कर्ष निकाल सकता है कि क्लाइमेंट के पास साझा सीक्रेट है। | ||
ओएटीएच ऑथेंटिकेटर का एक प्रसिद्ध उदाहरण ओपन-सोर्स [[गूगल प्रमाणक|गूगल ऑथेंटिकेटर]] है,<ref name="Google-Authenticator">{{cite web |title=गूगल प्रमाणक|website=[[GitHub]] |url=https://github.com/google/google-authenticator/wiki |access-date=3 February 2019}}</ref> एक फोन-आधारित ऑथेंटिकेटर जो HOTP और TOTP दोनों को लागू करता है। | ओएटीएच ऑथेंटिकेटर का एक प्रसिद्ध उदाहरण ओपन-सोर्स [[गूगल प्रमाणक|गूगल ऑथेंटिकेटर]] है,<ref name="Google-Authenticator">{{cite web |title=गूगल प्रमाणक|website=[[GitHub]] |url=https://github.com/google/google-authenticator/wiki |access-date=3 February 2019}}</ref> एक फोन-आधारित ऑथेंटिकेटर जो HOTP और TOTP दोनों को लागू करता है। | ||
| Line 106: | Line 106: | ||
एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का बहु-कारक प्रमाणीकरण है। | एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का बहु-कारक प्रमाणीकरण है। | ||
==== | ==== सिक्योर शैल ==== | ||
[[सुरक्षित खोल]] (एसएसएच) एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क पर एक | [[सुरक्षित खोल|सिक्योर खोल]] (एसएसएच) एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क पर एक सिक्योर चैनल बनाने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। एक पारंपरिक पासवर्ड के विपरीत, एक SSH कुंजी एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर है। प्राथमिक ऑथेंटिकेटर सीक्रेट SSH निजी कुंजी है, जिसका उपयोग क्लाइंट द्वारा किसी संदेश पर डिजिटल रूप से हस्ताक्षर करने के लिए किया जाता है। संबंधित सार्वजनिक कुंजी का उपयोग सर्वर द्वारा संदेश हस्ताक्षर को सत्यापित करने के लिए किया जाता है, जो पुष्टि करता है कि क्लाइमेंट के पास निजी कुंजी का अधिकार और नियंत्रण है। | ||
चोरी से बचने के लिए, SSH निजी कुंजी (जो किसी के पास है) को पासफ़्रेज़ (जिसे कोई जानता है) का उपयोग करके एन्क्रिप्ट किया जा सकता है। दो-कारक प्रमाणीकरण प्रक्रिया आरंभ करने के लिए, क्लाइमेंट क्लाइंट सिस्टम को पासफ़्रेज़ प्रदान करता है। | चोरी से बचने के लिए, SSH निजी कुंजी (जो किसी के पास है) को पासफ़्रेज़ (जिसे कोई जानता है) का उपयोग करके एन्क्रिप्ट किया जा सकता है। दो-कारक प्रमाणीकरण प्रक्रिया आरंभ करने के लिए, क्लाइमेंट क्लाइंट सिस्टम को पासफ़्रेज़ प्रदान करता है। | ||
| Line 121: | Line 121: | ||
एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या बहु-कारक मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए अद्वितीय है) द्वारा सक्रिय होता है। | एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या बहु-कारक मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए अद्वितीय है) द्वारा सक्रिय होता है। | ||
== | == सिक्योरिटी कोड == | ||
सबसे पहले और सबसे महत्वपूर्ण, मजबूत प्रमाणीकरण बहु-कारक प्रमाणीकरण से शुरू होता है। व्यक्तिगत ऑनलाइन खाते की सुरक्षा के लिए सबसे अच्छी बात बहु-कारक प्रमाणीकरण को सक्षम करना है।<ref name="Hoffman-Andrews and Gebhart 2017" /><ref name="NCSC 2FA">{{cite web |title=दो-कारक प्रमाणीकरण (2FA); एनसीएससी से नया मार्गदर्शन|url=https://www.ncsc.gov.uk/blog-post/two-factor-authentication-2fa-new-guidance-ncsc |publisher=[[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre]] (NCSC) |date=8 Aug 2018}}</ref> बहु-कारक प्रमाणीकरण प्राप्त करने के दो तरीके हैं: | सबसे पहले और सबसे महत्वपूर्ण, मजबूत प्रमाणीकरण बहु-कारक प्रमाणीकरण से शुरू होता है। व्यक्तिगत ऑनलाइन खाते की सुरक्षा के लिए सबसे अच्छी बात बहु-कारक प्रमाणीकरण को सक्षम करना है।<ref name="Hoffman-Andrews and Gebhart 2017" /><ref name="NCSC 2FA">{{cite web |title=दो-कारक प्रमाणीकरण (2FA); एनसीएससी से नया मार्गदर्शन|url=https://www.ncsc.gov.uk/blog-post/two-factor-authentication-2fa-new-guidance-ncsc |publisher=[[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre]] (NCSC) |date=8 Aug 2018}}</ref> बहु-कारक प्रमाणीकरण प्राप्त करने के दो तरीके हैं: | ||
# मल्टी-फैक्टर ऑथेंटिकेटर का इस्तेमाल करें | # मल्टी-फैक्टर ऑथेंटिकेटर का इस्तेमाल करें | ||
# दो या दो से अधिक | # दो या दो से अधिक सिंगल-फैक्टर प्रमाणकों के संयोजन का उपयोग करें | ||
व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है। | व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है। | ||
| Line 133: | Line 133: | ||
फिर से बाकी सभी समान हैं, एक हार्डवेयर-आधारित ऑथेंटिकेटर एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर से बेहतर है क्योंकि ऑथेंटिकेटर सीक्रेट संभवतः हार्डवेयर में बेहतर संरक्षित है। यह वरीयता अगले खंड में उल्लिखित एनआईएसटी आवश्यकताओं में परिलक्षित होती है। | फिर से बाकी सभी समान हैं, एक हार्डवेयर-आधारित ऑथेंटिकेटर एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर से बेहतर है क्योंकि ऑथेंटिकेटर सीक्रेट संभवतः हार्डवेयर में बेहतर संरक्षित है। यह वरीयता अगले खंड में उल्लिखित एनआईएसटी आवश्यकताओं में परिलक्षित होती है। | ||
=== एनआईएसटी ऑथेंटिकेटर | === एनआईएसटी ऑथेंटिकेटर असुरेन्स लेवल्स === | ||
एनआईएसटी प्रमाणीकरणकर्ताओं के संबंध में आश्वासन के तीन | एनआईएसटी प्रमाणीकरणकर्ताओं के संबंध में आश्वासन के तीन लेवल्स को परिभाषित करता है। उच्चतम ऑथेंटिकेटर आश्वासन स्तर (AAL3) के लिए बहु-कारक प्रमाणीकरण की आवश्यकता होती है या तो मल्टी-फैक्टर ऑथेंटिकेटर या सिंगल-फैक्टर प्रमाणीकरणकर्ताओं के उपयुक्त संयोजन का उपयोग किया जाता है। AAL3 में, कम से कम एक ऑथेंटिकेटर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर होना चाहिए। इन मूलभूत आवश्यकताओं को देखते हुए, AAL3 में उपयोग किए जाने वाले संभावित ऑथेंटिकेटर संयोजनों में शामिल हैं: | ||
# एक | # एक मल्टी-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर | ||
# एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है | # एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है | ||
ऑथेंटिकेटर आश्वासन | ऑथेंटिकेटर आश्वासन लेवल्स की आगे की चर्चा के लिए एनआईएसटी डिजिटल पहचान दिशानिर्देश देखें।<ref name="NIST-SP-800-63B" /> | ||
Revision as of 23:21, 23 December 2022
ऑथेंटिकेटर उपयोगकर्ता की पहचान की पुष्टि करने के लिए उपयोग किया जाने वाला एक साधन है,[1][2] यानी डिजिटल प्रमाणीकरण करने के लिए। एक व्यक्ति एक कंप्यूटर सिस्टम या एप्लिकेशन को यह प्रदर्शित करके प्रमाणित करता है कि उसके पास एक ऑथेंटिकेटर का अधिकार और नियंत्रण है।[3][4] सरलतम मामले में, ऑथेंटिकेटर एक सामान्य पासवर्ड है।
एनआईएसटी डिजिटल पहचान दिशानिर्देशों की शब्दावली का उपयोग करते हुए,[3]प्रमाणित होने वाली पार्टी को क्लाइमेंट (दावेदार) कहा जाता है जबकि क्लाइमेंट की पहचान की पुष्टि करने वाली पार्टी को वेरिफिएर (सत्यापनकर्ता) कहा जाता है। जब क्लाइमेंट एक स्थापित प्रमाणीकरण प्रोटोकॉल के माध्यम से वेरिफिएर को एक या अधिक प्रमाणीकरणकर्ताओं के कब्जे और नियंत्रण को सफलतापूर्वक प्रदर्शित करता है, तो वेरिफिएर क्लाइमेंट की पहचान का अनुमान लगाने में सक्षम होता है।
वर्गीकरण
प्रमाणीकरणकर्ताओं को सीक्रेट, कारकों और भौतिक रूपों के संदर्भ में वर्णित किया जा सकता है।
ऑथेंटिकेटर सीक्रेट
प्रत्येक ऑथेंटिकेटर कम से कम एक सीक्रेट से जुड़ा होता है जिसका उपयोग क्लाइमेंट ऑथेंटिकेटर के कब्जे और नियंत्रण को प्रदर्शित करने के लिए करता है। चूंकि एक हमलावर इस सीक्रेट का उपयोग उपयोगकर्ता को प्रतिरूपित करने के लिए कर सकता है, एक ऑथेंटिकेटर सीक्रेट को चोरी या हानि से संरक्षित किया जाना चाहिए।
सीक्रेट का प्रकार ऑथेंटिकेटर की एक महत्वपूर्ण विशेषता है। ऑथेंटिकेटर सीक्रेट के तीन मूल प्रकार हैं: एक याद रखा हुआ सीक्रेट और दो प्रकार की क्रिप्टोग्राफ़िक कुंजियाँ, या तो एक सममित कुंजी या एक निजी कुंजी।
मेमोरीज़ेड सीक्रेट
एक याद किए गए सीक्रेट का उद्देश्य उपयोगकर्ता द्वारा याद किया जाना है। याद किए गए सीक्रेट का एक प्रसिद्ध उदाहरण सामान्य पासवर्ड है, जिसे पासकोड, पदबंध या व्यक्तिगत पहचान संख्या (पिन) भी कहा जाता है।
एक ऑथेंटिकेटर सीक्रेट जो क्लाइमेंट और वेरिफिएर दोनों के लिए जाना जाता है, उसे साझा सीक्रेट कहा जाता है। उदाहरण के लिए, एक याद किया हुआ सीक्रेट साझा किया जा सकता है या नहीं भी किया जा सकता है। परिभाषा द्वारा एक सममित कुंजी साझा की जाती है। एक निजी कुंजी साझा नहीं की जाती है।
पासवर्ड एक महत्वपूर्ण प्रकार का सीक्रेट है जिसे याद रखा जाता है और साझा किया जाता है। पासवर्ड के विशेष मामले में, ऑथेंटिकेटर सीक्रेट है।
क्रिप्टोग्राफ़िक कुंजी
एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर वह है जो एक कुंजी (क्रिप्टोग्राफी) का उपयोग करता है। कुंजी सामग्री के आधार पर, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर क्रिप्टोग्राफी#सममित-कुंजी क्रिप्टोग्राफी|सममित-कुंजी क्रिप्टोग्राफी या क्रिप्टोग्राफी#सार्वजनिक-कुंजी क्रिप्टोग्राफी|सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग कर सकता है। दोनों कंठस्थ सीक्रेट से बचते हैं, और सार्वजनिक-कुंजी क्रिप्टोग्राफी के मामले में, कोई साझा सीक्रेट भी नहीं हैं, जो एक महत्वपूर्ण अंतर है।
क्रिप्टोग्राफ़िक ऑथेंटिकेटर के उदाहरणों में ओथ ऑथेंटिकेटर और FIDO ऑथेंटिकेटर शामिल हैं। प्रति उदाहरण के माध्यम से, एक पासवर्ड ऑथेंटिकेटर क्रिप्टोग्राफ़िक ऑथेंटिकेटर नहीं है। विवरण के लिए #उदाहरण अनुभाग देखें।
सिमेट्रिक कुंजी
एक सिमेट्रिक कुंजी एक साझा सीक्रेट है जिसका उपयोग सिमेट्रिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। क्लाइमेंट साझा कुंजी की अपनी प्रति को समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर या स्मार्टफ़ोन पर कार्यान्वित सॉफ़्टवेयर-आधारित ऑथेंटिकेटर में संग्रहीत करता है। वेरिफिएर सिमेट्रिक कुंजी की एक प्रति रखता है।
पब्लिक-प्राइवेट कुंजी पेअर
पब्लिक-प्राइवेट कुंजी पेअर का उपयोग पब्लिक-कुंजी क्रिप्टोग्राफी करने के लिए किया जाता है। पब्लिक कुंजी वेरिफिएर (और उसके द्वारा विश्वसनीय) के लिए जानी जाती है, जबकि संबंधित प्राइवेट कुंजी ऑथेंटिकेटर के लिए सुरक्षित रूप से बंधी होती है। एक समर्पित हार्डवेयर-आधारित ऑथेंटिकेटर के मामले में, प्राइवेट कुंजी ऑथेंटिकेटर की सीमा को कभी नहीं छोड़ती है।
ऑथेंटिकेटर फैक्टर्स एंड फॉर्म्स
एक ऑथेंटिकेटर एक उपयोगकर्ता के लिए अद्वितीय या विशिष्ट होता है (कुछ ऐसा जो किसी के पास होता है), या तो एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता है) द्वारा सक्रिय किया जाता है, या एक बॉयोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए अद्वितीय है)। एक ऑथेंटिकेटर जो इनमें से केवल एक कारक प्रदान करता है, उसे एकल-कारक ऑथेंटिकेटर कहा जाता है जबकि एक बहु-कारक ऑथेंटिकेटर में दो या अधिक कारक शामिल होते हैं। मल्टी-फैक्टर ऑथेंटिकेशन एक मल्टी-फैक्टर ऑथेंटिकेशन हासिल करने का एक तरीका है। दो या दो से अधिक एकल-कारक प्रमाणीकरणकर्ताओं का संयोजन बहु-कारक प्रमाणीकरण नहीं है, फिर भी कुछ स्थितियों में उपयुक्त हो सकता है।
ऑथेंटिकेटर कई प्रकार के भौतिक रूप ले सकते हैं (एक यादगार सीक्रेट को छोड़कर, जो अमूर्त है)। उदाहरण के लिए, एक ऑथेंटिकेटर को अपने हाथ में पकड़ सकते हैं या चेहरे, कलाई या उंगली पर पहन सकते हैं।[5][6][7] अपने हार्डवेयर और सॉफ़्टवेयर घटकों के संदर्भ में ऑथेंटिकेटर का वर्णन करना सुविधाजनक है। एक ऑथेंटिकेटर हार्डवेयर-आधारित या सॉफ़्टवेयर-आधारित होता है, जो इस बात पर निर्भर करता है कि सीक्रेट क्रमशः हार्डवेयर या सॉफ़्टवेयर में संग्रहीत है या नहीं।
एक महत्वपूर्ण प्रकार के हार्डवेयर-आधारित ऑथेंटिकेटर को सुरक्षा कुंजी कहा जाता है,[8] एक सुरक्षा टोकन भी कहा जाता है (एक्सेस टोकन, सत्र टोकन, या अन्य प्रकार के सुरक्षा टोकन के साथ भ्रमित नहीं होना चाहिए)। एक सुरक्षा कुंजी अपने सीक्रेट को हार्डवेयर में संग्रहीत करती है, जो सीक्रेट को निर्यात होने से रोकता है। एक सुरक्षा कुंजी भी मैलवेयर के लिए प्रतिरोधी है क्योंकि सीक्रेट मेजबान मशीन पर चल रहे सॉफ़्टवेयर के लिए किसी भी समय पहुंच योग्य नहीं है।
एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर (कभी-कभी सॉफ्टवेयर टोकन कहा जाता है) एक सामान्य-उद्देश्य वाले इलेक्ट्रॉनिक उपकरण जैसे लैपटॉप, टैबलेट कंप्यूटर या स्मार्टफ़ोन पर कार्यान्वित किया जा सकता है। उदाहरण के लिए, क्लाइमेंट के स्मार्टफोन पर एक मोबाइल एप्लिकेशन के रूप में कार्यान्वित सॉफ़्टवेयर-आधारित ऑथेंटिकेटर एक प्रकार का फ़ोन-आधारित ऑथेंटिकेटर है। सीक्रेट तक पहुंच को रोकने के लिए, एक सॉफ्टवेयर-आधारित ऑथेंटिकेटर प्रोसेसर के विश्वसनीय निष्पादन वातावरण या क्लाइंट डिवाइस पर एक विश्वसनीय प्लेटफार्म मॉड्यूल (टीपीएम) का उपयोग कर सकता है।
एक प्लेटफ़ॉर्म ऑथेंटिकेटर एक विशेष क्लाइंट डिवाइस प्लेटफ़ॉर्म में बनाया गया है, अर्थात इसे डिवाइस पर लागू किया गया है। इसके विपरीत, रोमिंग ऑथेंटिकेटर एक क्रॉस-प्लेटफ़ॉर्म ऑथेंटिकेटर है जिसे डिवाइस से लागू किया जाता है। रोमिंग ऑथेंटिकेटर USB जैसे ट्रांसपोर्ट प्रोटोकॉल के माध्यम से डिवाइस प्लेटफॉर्म से जुड़ता है।
उदाहरण
निम्नलिखित खंड प्रमाणीकरणकर्ताओं के संकीर्ण वर्गों का वर्णन करते हैं। अधिक व्यापक वर्गीकरण के लिए, एनआईएसटी डिजिटल पहचान दिशानिर्देश देखें।[9]
सिंगल-फैक्टर ऑथेंटिकेटर
एक ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट को प्रमाणित करने के अपने इरादे को स्पष्ट रूप से इंगित करना चाहिए। उदाहरण के लिए, निम्नलिखित में से प्रत्येक इशारा इरादे को स्थापित करने के लिए पर्याप्त है:
- क्लाइमेंट पासवर्ड फ़ील्ड में पासवर्ड टाइप करता है, या
- क्लाइमेंट अपनी अंगुली फ़िंगरप्रिंट रीडर पर रखता है, या
- क्लाइमेंट अनुमोदन इंगित करने के लिए एक बटन दबाता है
उत्तरार्द्ध को उपयोगकर्ता उपस्थिति (टीयूपी) का परीक्षण कहा जाता है। एकल-कारक ऑथेंटिकेटर (जो किसी के पास है) को सक्रिय करने के लिए, क्लाइमेंट को TUP करने की आवश्यकता हो सकती है, जो ऑथेंटिकेटर के अनपेक्षित संचालन से बचा जाता है।
एक पासवर्ड एक सीक्रेट है जिसे क्लाइमेंट द्वारा याद रखने और वेरिफिएर के साथ साझा करने का इरादा है। पासवर्ड प्रमाणीकरण वह प्रक्रिया है जिसके द्वारा क्लाइमेंट पासवर्ड के ज्ञान को वेरिफिएर को नेटवर्क पर प्रसारित करके प्रदर्शित करता है। यदि प्रेषित पासवर्ड पहले साझा किए गए सीक्रेट से मेल खाता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है।
ओथ ओटीपी
1980 के दशक से वन-टाइम पासवर्ड (OTP) का उपयोग किया जाता रहा है।[citation needed] 2004 में, वार्षिक आरएसए सम्मेलन में ओटीपी के सुरक्षित उत्पादन के लिए एक ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर की घोषणा की गई थी।[10][11] ओपन ऑथेंटिकेशन (ओएटीएच) के लिए पहल एक साल बाद शुरू हुई।[citation needed] इस कार्य से दो IETF मानक विकसित हुए, HMAC-आधारित वन-टाइम पासवर्ड एल्गोरिथम | HMAC-आधारित वन-टाइम पासवर्ड (HOTP) एल्गोरिथम और समय-आधारित वन-टाइम पासवर्ड एल्गोरिथम | टाइम-आधारित वन-टाइम पासवर्ड (TOTP) ) एल्गोरिथम क्रमशः RFC 4226 और RFC 6238 द्वारा निर्दिष्ट किया गया है। ओथ ओटीपी से हमारा मतलब या तो HOTP या TOTP से है। ओथ HOTP और TOTP मानकों के अनुरूप प्रमाणित करता है।[12] दो-कारक प्रमाणीकरण प्रदान करने के लिए एक पारंपरिक पासवर्ड (जो कुछ जानता है) को अक्सर एक बार के पासवर्ड (कुछ ऐसा है) के साथ जोड़ा जाता है।[13] पासवर्ड और ओटीपी दोनों ही नेटवर्क पर वेरिफिएर को प्रेषित किए जाते हैं। यदि पासवर्ड पहले साझा किए गए सीक्रेट से सहमत है, और वेरिफिएर ओटीपी के मूल्य की पुष्टि कर सकता है, तो उपयोगकर्ता प्रमाणीकरण सफल होता है।
एक समर्पित ओथ ओटीपी ऑथेंटिकेटर द्वारा मांग पर वन-टाइम पासवर्ड उत्पन्न किए जाते हैं जो एक सीक्रेट को समाहित करता है जिसे पहले वेरिफिएर के साथ साझा किया गया था। ऑथेंटिकेटर का उपयोग करके, क्लाइमेंट क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी उत्पन्न करता है। वेरिफिएर उसी क्रिप्टोग्राफ़िक विधि का उपयोग करके एक ओटीपी भी उत्पन्न करता है। यदि दो ओटीपी मान मेल खाते हैं, तो वेरिफिएर यह निष्कर्ष निकाल सकता है कि क्लाइमेंट के पास साझा सीक्रेट है।
ओएटीएच ऑथेंटिकेटर का एक प्रसिद्ध उदाहरण ओपन-सोर्स गूगल ऑथेंटिकेटर है,[14] एक फोन-आधारित ऑथेंटिकेटर जो HOTP और TOTP दोनों को लागू करता है।
मोबाइल पुश
एक मोबाइल पुश ऑथेंटिकेटर अनिवार्य रूप से क्लाइमेंट के मोबाइल फोन पर चलने वाला एक देशी ऐप है। ऐप पुश सूचनाओं का जवाब देने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। दूसरे शब्दों में, एक मोबाइल पुश ऑथेंटिकेटर एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक सॉफ़्टवेयर ऑथेंटिकेटर है। दो-कारक प्रमाणीकरण प्रदान करने के लिए एक मोबाइल पुश ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास होता है) को आमतौर पर एक पासवर्ड (जिसे कोई जानता है) के साथ जोड़ा जाता है। वन-टाइम पासवर्ड के विपरीत, मोबाइल पुश के लिए पासवर्ड से परे किसी साझा सीक्रेट की आवश्यकता नहीं होती है।
क्लाइमेंट द्वारा एक पासवर्ड के साथ प्रमाणित करने के बाद, वेरिफिएर एक विश्वसनीय तृतीय पक्ष के लिए एक आउट-ऑफ-बैंड प्रमाणीकरण अनुरोध करता है जो वेरिफिएर की ओर से एक सार्वजनिक-कुंजी अवसंरचना का प्रबंधन करता है। विश्वसनीय तृतीय पक्ष क्लाइमेंट के मोबाइल फ़ोन पर एक पुश सूचना भेजता है. क्लाइमेंट उपयोगकर्ता इंटरफ़ेस में एक बटन दबाकर ऑथेंटिकेटर के कब्जे और नियंत्रण को प्रदर्शित करता है, जिसके बाद ऑथेंटिकेटर डिजिटल रूप से हस्ताक्षरित अभिकथन के साथ प्रतिक्रिया करता है। विश्वसनीय तृतीय पक्ष अभिकथन पर हस्ताक्षर की पुष्टि करता है और वेरिफिएर को प्रमाणीकरण प्रतिक्रिया देता है।
मालिकाना मोबाइल पुश ऑथेंटिकेशन प्रोटोकॉल एक आउट-ऑफ़-बैंड सेकेंडरी चैनल पर चलता है, जो लचीले परिनियोजन विकल्प प्रदान करता है। चूंकि प्रोटोकॉल के लिए क्लाइमेंट के मोबाइल फोन के लिए एक खुले नेटवर्क पथ की आवश्यकता होती है, यदि ऐसा कोई पथ उपलब्ध नहीं है (नेटवर्क समस्याओं के कारण, उदाहरण के लिए), प्रमाणीकरण प्रक्रिया आगे नहीं बढ़ सकती है।[13]
FIDO U2F
एक FIDO एलायंस यूनिवर्सल और फैक्टर (U2F) ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास है) एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक ऑथेंटिकेटर है जिसका उपयोग सामान्य वेब पासवर्ड के साथ संयोजन के रूप में किया जाना है। चूंकि ऑथेंटिकेटर सार्वजनिक-कुंजी क्रिप्टोग्राफी पर निर्भर करता है, U2F को पासवर्ड से परे एक अतिरिक्त साझा सीक्रेट की आवश्यकता नहीं होती है।
U2F ऑथेंटिकेटर तक पहुँचने के लिए, क्लाइमेंट को उपयोगकर्ता उपस्थिति (TUP) का परीक्षण करने की आवश्यकता होती है, जो ऑथेंटिकेटर की कार्यक्षमता तक अनधिकृत पहुँच को रोकने में मदद करता है। व्यवहार में, एक TUP में एक साधारण बटन पुश होता है।
U2F ऑथेंटिकेटर एक अनुरूप वेब उपयोगकर्ता एजेंट के साथ इंटरऑपरेट करता है जो U2F जावास्क्रिप्ट एपीआई को लागू करता है।[15] U2F ऑथेंटिकेटर आवश्यक रूप से CTAP1/U2F प्रोटोकॉल को लागू करता है, जो FIDO क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल में निर्दिष्ट दो प्रोटोकॉल में से एक है।[16] मोबाइल पुश ऑथेंटिकेशन के विपरीत, U2F ऑथेंटिकेशन प्रोटोकॉल पूरी तरह से फ्रंट चैनल पर चलता है। दो चक्कर लगाने पड़ते हैं। पहला राउंड ट्रिप साधारण पासवर्ड ऑथेंटिकेशन है। क्लाइमेंट द्वारा एक पासवर्ड के साथ प्रमाणित किए जाने के बाद, वेरिफिएर एक अनुरूप ब्राउज़र को एक चुनौती भेजता है, जो एक कस्टम JavaScript API के माध्यम से U2F ऑथेंटिकेटर के साथ संचार करता है। क्लाइमेंट द्वारा TUP करने के बाद, ऑथेंटिकेटर चुनौती पर हस्ताक्षर करता है और ब्राउज़र के माध्यम से वेरिफिएर को हस्ताक्षरित अभिकथन लौटाता है।
मल्टी-फैक्टर ऑथेंटिकेटर्स
मल्टी-फैक्टर ऑथेंटिकेटर का उपयोग करने के लिए, क्लाइमेंट पूर्ण उपयोगकर्ता सत्यापन करता है। मल्टी-फैक्टर ऑथेंटिकेटर (ऐसा कुछ जो किसी के पास हो) एक व्यक्तिगत पहचान संख्या (जिसे कोई जानता हो), या एक बायोमेट्रिक्स (कुछ ऐसा जो अपने लिए अद्वितीय हो; जैसे फिंगरप्रिंट, चेहरा या आवाज की पहचान), या कुछ अन्य सत्यापन तकनीक द्वारा सक्रिय किया जाता है .[3],
एटीएम कार्ड
एक स्वचालित टेलर मशीन (एटीएम) से नकदी निकालने के लिए, एक बैंक ग्राहक एटीएम कार्ड को कैश मशीन में डालता है और एक व्यक्तिगत पहचान संख्या (पिन) टाइप करता है। इनपुट पिन की तुलना कार्ड की चिप पर संग्रहीत पिन से की जाती है। यदि दोनों मेल खाते हैं, तो एटीएम से निकासी जारी रह सकती है।
ध्यान दें कि एटीएम निकासी में एक याद किया हुआ सीक्रेट (यानी, एक पिन) शामिल होता है, लेकिन सीक्रेट का सही मूल्य एटीएम को पहले से ज्ञात नहीं होता है। मशीन अंधाधुंध तरीके से कार्ड में इनपुट पिन पास करती है, जो ग्राहक के इनपुट की तुलना कार्ड की चिप पर संग्रहीत गुप्त पिन से करती है। यदि दोनों मेल खाते हैं, तो कार्ड एटीएम को सफलता की सूचना देता है और लेनदेन जारी रहता है।
एटीएम कार्ड मल्टी-फैक्टर ऑथेंटिकेटर का एक उदाहरण है। कार्ड अपने आप में एक ऐसी चीज है जो किसी के पास होती है जबकि कार्ड की चिप पर संग्रहीत पिन संभवतः कुछ ऐसा होता है जिसे कोई जानता है। एटीएम में कार्ड प्रस्तुत करना और पिन की जानकारी प्रदर्शित करना एक प्रकार का बहु-कारक प्रमाणीकरण है।
सिक्योर शैल
सिक्योर खोल (एसएसएच) एक क्लाइंट-सर्वर प्रोटोकॉल है जो नेटवर्क पर एक सिक्योर चैनल बनाने के लिए सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करता है। एक पारंपरिक पासवर्ड के विपरीत, एक SSH कुंजी एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर है। प्राथमिक ऑथेंटिकेटर सीक्रेट SSH निजी कुंजी है, जिसका उपयोग क्लाइंट द्वारा किसी संदेश पर डिजिटल रूप से हस्ताक्षर करने के लिए किया जाता है। संबंधित सार्वजनिक कुंजी का उपयोग सर्वर द्वारा संदेश हस्ताक्षर को सत्यापित करने के लिए किया जाता है, जो पुष्टि करता है कि क्लाइमेंट के पास निजी कुंजी का अधिकार और नियंत्रण है।
चोरी से बचने के लिए, SSH निजी कुंजी (जो किसी के पास है) को पासफ़्रेज़ (जिसे कोई जानता है) का उपयोग करके एन्क्रिप्ट किया जा सकता है। दो-कारक प्रमाणीकरण प्रक्रिया आरंभ करने के लिए, क्लाइमेंट क्लाइंट सिस्टम को पासफ़्रेज़ प्रदान करता है।
एक पासवर्ड की तरह, SSH पासफ़्रेज़ एक याद किया हुआ सीक्रेट है लेकिन यहीं पर समानता समाप्त हो जाती है। जबकि एक पासवर्ड एक साझा सीक्रेट है जो नेटवर्क पर प्रसारित होता है, SSH पासफ़्रेज़ साझा नहीं किया जाता है, और इसके अलावा, पासफ़्रेज़ का उपयोग क्लाइंट सिस्टम तक ही सीमित है। एसएसएच के माध्यम से प्रमाणीकरण पासवर्ड रहित प्रमाणीकरण का एक उदाहरण है क्योंकि यह नेटवर्क पर एक साझा सीक्रेट के प्रसारण से बचा जाता है। वास्तव में, SSH प्रमाणीकरण के लिए किसी साझा सीक्रेट की आवश्यकता नहीं होती है।
FIDO2
FIDO U2F प्रोटोकॉल मानक, FIDO2 प्रोजेक्ट के लिए शुरुआती बिंदु बन गया, जो वर्ल्ड वाइड वेब कंसोर्टियम (W3C) और FIDO एलायंस के बीच एक संयुक्त प्रयास है। प्रोजेक्ट डिलिवरेबल्स में W3C वेब ऑथेंटिकेशन (WebAuthn) मानक और FIDO क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल (CTAP) शामिल हैं।[17] WebAuthn और CTAP मिलकर वेब के लिए एक मजबूत प्रमाणीकरण समाधान प्रदान करते हैं।
एक FIDO2 ऑथेंटिकेटर, जिसे WebAuthn ऑथेंटिकेटर भी कहा जाता है, WebAuthn क्लाइंट के साथ इंटरऑपरेट करने के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, जो कि एक अनुरूप वेब उपयोगकर्ता एजेंट है जो WebAuthn JavaScript API को लागू करता है।[18] ऑथेंटिकेटर एक प्लेटफॉर्म ऑथेंटिकेटर, एक रोमिंग ऑथेंटिकेटर या दोनों का कुछ संयोजन हो सकता है। उदाहरण के लिए, एक FIDO2 ऑथेंटिकेटर जो CTAP2 प्रोटोकॉल को लागू करता है[16]एक रोमिंग ऑथेंटिकेटर है जो WebAuthn क्लाइंट के साथ निम्न परिवहन विकल्पों में से एक या अधिक के माध्यम से संचार करता है: USB, नजदीक फील्ड संचार (NFC), या ब्लूटूथ कम ऊर्जा (BLE)। FIDO2 प्लेटफॉर्म ऑथेंटिकेटर के ठोस उदाहरणों में विंडोज हैलो शामिल है[19] और Android ऑपरेटिंग सिस्टम।[20] एक FIDO2 ऑथेंटिकेटर का उपयोग एकल-कारक मोड या बहु-कारक मोड में किया जा सकता है। एकल-कारक मोड में, ऑथेंटिकेटर उपयोगकर्ता उपस्थिति के एक साधारण परीक्षण (जैसे, एक बटन पुश) द्वारा सक्रिय होता है। मल्टी-फैक्टर मोड में, ऑथेंटिकेटर (कुछ ऐसा है जो किसी के पास है) या तो एक व्यक्तिगत पहचान संख्या (कुछ जिसे कोई जानता है) या बायोमेट्रिक्स (कुछ ऐसा जो स्वयं के लिए अद्वितीय है) द्वारा सक्रिय होता है।
सिक्योरिटी कोड
सबसे पहले और सबसे महत्वपूर्ण, मजबूत प्रमाणीकरण बहु-कारक प्रमाणीकरण से शुरू होता है। व्यक्तिगत ऑनलाइन खाते की सुरक्षा के लिए सबसे अच्छी बात बहु-कारक प्रमाणीकरण को सक्षम करना है।[13][21] बहु-कारक प्रमाणीकरण प्राप्त करने के दो तरीके हैं:
- मल्टी-फैक्टर ऑथेंटिकेटर का इस्तेमाल करें
- दो या दो से अधिक सिंगल-फैक्टर प्रमाणकों के संयोजन का उपयोग करें
व्यवहार में, एक सामान्य दृष्टिकोण एक पासवर्ड ऑथेंटिकेटर (जो कुछ जानता है) को किसी अन्य ऑथेंटिकेटर (जो किसी के पास है) जैसे कि क्रिप्टोग्राफ़िक ऑथेंटिकेटर के साथ संयोजित करना है।
सामान्यतया, एक #क्रिप्टोग्राफ़िक कुंजी को एक ऑथेंटिकेटर से अधिक पसंद किया जाता है जो क्रिप्टोग्राफ़िक विधियों का उपयोग नहीं करता है। अन्य सभी समान होने के नाते, एक क्रिप्टोग्राफ़िक ऑथेंटिकेटर जो सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करता है, सममित-कुंजी क्रिप्टोग्राफी का उपयोग करने वाले से बेहतर है क्योंकि बाद वाले को साझा कुंजियों की आवश्यकता होती है (जो चोरी या दुरुपयोग हो सकती है)।
फिर से बाकी सभी समान हैं, एक हार्डवेयर-आधारित ऑथेंटिकेटर एक सॉफ़्टवेयर-आधारित ऑथेंटिकेटर से बेहतर है क्योंकि ऑथेंटिकेटर सीक्रेट संभवतः हार्डवेयर में बेहतर संरक्षित है। यह वरीयता अगले खंड में उल्लिखित एनआईएसटी आवश्यकताओं में परिलक्षित होती है।
एनआईएसटी ऑथेंटिकेटर असुरेन्स लेवल्स
एनआईएसटी प्रमाणीकरणकर्ताओं के संबंध में आश्वासन के तीन लेवल्स को परिभाषित करता है। उच्चतम ऑथेंटिकेटर आश्वासन स्तर (AAL3) के लिए बहु-कारक प्रमाणीकरण की आवश्यकता होती है या तो मल्टी-फैक्टर ऑथेंटिकेटर या सिंगल-फैक्टर प्रमाणीकरणकर्ताओं के उपयुक्त संयोजन का उपयोग किया जाता है। AAL3 में, कम से कम एक ऑथेंटिकेटर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर होना चाहिए। इन मूलभूत आवश्यकताओं को देखते हुए, AAL3 में उपयोग किए जाने वाले संभावित ऑथेंटिकेटर संयोजनों में शामिल हैं:
- एक मल्टी-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर
- एक सिंगल-फैक्टर क्रिप्टोग्राफ़िक हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग किसी अन्य ऑथेंटिकेटर (जैसे पासवर्ड ऑथेंटिकेटर) के साथ किया जाता है
ऑथेंटिकेटर आश्वासन लेवल्स की आगे की चर्चा के लिए एनआईएसटी डिजिटल पहचान दिशानिर्देश देखें।[9]
प्रतिबंधित ऑथेंटिकेटर
ऑथेंटिकेटर आश्वासन स्तरों की तरह, प्रतिबंधित ऑथेंटिकेटर की धारणा एक एनआईएसटी अवधारणा है।[3]यह शब्द एक ऑथेंटिकेटर को संदर्भित करता है जो हमलों का प्रतिरोध करने में असमर्थता प्रदर्शित करता है, जो ऑथेंटिकेटर की विश्वसनीयता को संदेह में डालता है। संघीय एजेंसियां सब्सक्राइबर्स को एक वैकल्पिक ऑथेंटिकेटर प्रदान करके प्रतिबंधित ऑथेंटिकेटर के उपयोग को कम करती हैं जो प्रतिबंधित नहीं है और भविष्य में किसी बिंदु पर प्रतिबंधित ऑथेंटिकेटर के उपयोग से प्रतिबंधित होने की स्थिति में माइग्रेशन प्लान विकसित करके।
वर्तमान में, लोगों द्वारा टेलीफोन नेटवर्क काटा गया का उपयोग एनआईएसटी द्वारा प्रतिबंधित है। विशेष रूप से, रिकॉर्ड किए गए वॉयस संदेशों या एसएमएस संदेशों के माध्यम से वन-टाइम पासवर्ड (ओटीपी) का आउट-ऑफ-बैंड ट्रांसमिशन प्रतिबंधित है। इसके अलावा, यदि कोई एजेंसी वॉइस- या एसएमएस-आधारित ओटीपी का उपयोग करना चुनती है, तो उस एजेंसी को यह सत्यापित करना होगा कि ओटीपी एक फोन पर प्रेषित किया जा रहा है न कि आईपी पते पर क्योंकि आईपी पर आवाज (वीओआईपी) खाते नियमित रूप से मल्टी-फैक्टर से सुरक्षित नहीं होते हैं। प्रमाणीकरण।[9]
तुलना
तुलना के आधार के रूप में पासवर्ड का उपयोग करना सुविधाजनक है क्योंकि यह व्यापक रूप से समझा जाता है कि पासवर्ड का उपयोग कैसे किया जाता है।[22] कम्प्यूटर सिस्टम पर, पासवर्ड का उपयोग कम से कम 1960 के दशक के प्रारंभ से किया जा रहा है।[23][24] अधिक सामान्यतः, पासवर्ड का उपयोग प्राचीन काल से किया जाता रहा है।[citation needed] 2012 में, बॉनौ एट अल। उपयोगिता, परिनियोजन और सुरक्षा के संदर्भ में 35 प्रतिस्पर्धी प्रमाणीकरण योजनाओं के साथ व्यवस्थित रूप से वेब पासवर्ड की तुलना करके पासवर्ड को बदलने के दो दशकों के प्रस्तावों का मूल्यांकन किया।[25] (उद्धृत तकनीकी रिपोर्ट इसी नाम से सहकर्मी-समीक्षित पेपर का एक विस्तारित संस्करण है।[26]) उन्होंने पाया कि अधिकांश योजनाएँ सुरक्षा पर पासवर्ड से बेहतर करती हैं जबकि हर योजना तैनाती योग्यता पर पासवर्ड से खराब करती है। प्रयोज्यता के संदर्भ में, कुछ योजनाएँ बेहतर करती हैं और कुछ योजनाएँ पासवर्ड से भी बदतर।
Google ने Bonneau et al के मूल्यांकन ढांचे का उपयोग किया। सुरक्षा कुंजियों की तुलना पासवर्ड और वन-टाइम पासवर्ड से करने के लिए।[27] उन्होंने निष्कर्ष निकाला कि सुरक्षा कुंजियाँ एक-बार वाले पासवर्ड की तुलना में अधिक उपयोगी और लागू करने योग्य हैं, और पासवर्ड और एक-बार के पासवर्ड दोनों की तुलना में अधिक सुरक्षित हैं।
यह भी देखें
इस पेज में लापता आंतरिक लिंक की सूची
- विश्वसनीय प्लेटफ़ॉर्म मॉड्यूल
- ओपन प्रमाणीकरण के लिए पहल
- HMAC- आधारित वन-टाइम पासवर्ड एल्गोरिथम
- उपभोक्ता अभिकर्ता
- एंड्रॉइड ऑपरेटिंग सिस्टम
संदर्भ
- ↑ "राष्ट्रीय सूचना आश्वासन (आईए) शब्दावली" (PDF). Committee on National Security Systems. 26 April 2010. Archived (PDF) from the original on 2022-10-09. Retrieved 31 March 2019.
- ↑ "दूरसंचार शर्तों की शब्दावली". Institute for Telecommunication Sciences. 7 August 1996. Retrieved 31 March 2019.
- ↑ 3.0 3.1 3.2 3.3 Grassi, Paul A.; Garcia, Michael E.; Fenton, James L. (June 2017). "NIST विशेष प्रकाशन 800-63-3: डिजिटल पहचान दिशानिर्देश". National Institute of Standards and Technology (NIST). doi:10.6028/NIST.SP.800-63-3. Retrieved 5 February 2019.
{{cite journal}}: Cite journal requires|journal=(help) - ↑ Lindemann, Rolf, ed. (11 April 2017). "FIDO तकनीकी शब्दावली". FIDO Alliance. Retrieved 26 March 2019.
- ↑ Bianchi, Andrea; Oakley, Ian (2016). "पहनने योग्य प्रमाणीकरण: रुझान और अवसर" (PDF). It - Information Technology. 58 (5): 255–262. doi:10.1515/itit-2016-0010. S2CID 12772550. Archived (PDF) from the original on 2022-10-09.
- ↑ Stein, Scott (26 July 2018). "Wear OS स्मार्टवॉच सुरक्षा कुंजी भी क्यों नहीं हो सकतीं?". CNET. Retrieved 31 March 2019.
- ↑ Williams, Brett (27 June 2017). "यह स्मार्ट रिंग आपको कड़ी सुरक्षा के साथ तत्काल मोबाइल भुगतान प्रदान करती है". Mashable. Retrieved 31 March 2019.
- ↑ "केस स्टडी: Google सुरक्षा कुंजियाँ कार्य करती हैं". FIDO Alliance. 7 December 2016. Retrieved 26 March 2019.
- ↑ 9.0 9.1 9.2 Grassi, Paul A.; Fenton, James L.; Newton, Elaine M.; Perlner, Ray A.; Regenscheid, Andrew R.; Burr, William E.; Richer, Justin P. (2017). "NIST विशेष प्रकाशन 800-63B: डिजिटल पहचान दिशानिर्देश: प्रमाणीकरण और जीवनचक्र प्रबंधन". National Institute of Standards and Technology (NIST). doi:10.6028/NIST.SP.800-63b. Retrieved 5 February 2019.
{{cite journal}}: Cite journal requires|journal=(help) - ↑ Kucan, Berislav (24 February 2004). "ओपन ऑथेंटिकेशन रेफरेंस आर्किटेक्चर घोषित". Help Net Security. Retrieved 26 March 2019.
- ↑ "शपथ निर्दिष्टीकरण और तकनीकी संसाधन". Initiative for Open Authentication. Retrieved 26 March 2019.
- ↑ "शपथ प्रमाणन". The Initiative for Open Authentication (OATH). Retrieved 3 February 2019.
- ↑ 13.0 13.1 13.2 Hoffman-Andrews, Jacob; Gebhart, Gennie (22 September 2017). "वेब पर सामान्य प्रकार के टू-फैक्टर ऑथेंटिकेशन के लिए एक गाइड". Electronic Frontier Foundation. Retrieved 26 March 2019.
- ↑ "गूगल प्रमाणक". GitHub. Retrieved 3 February 2019.
- ↑ Balfanz, Dirk; Birgisson, Arnar; Lang, Juan, eds. (11 April 2017). "FIDO U2F जावास्क्रिप्ट एपीआई". FIDO Alliance. Retrieved 22 March 2019.
- ↑ 16.0 16.1 Brand, Christiaan; Czeskis, Alexei; Ehrensvärd, Jakob; Jones, Michael B.; Kumar, Akshay; Lindemann, Rolf; Powers, Adam; Verrept, Johan, eds. (30 January 2019). "क्लाइंट टू ऑथेंटिकेटर प्रोटोकॉल (CTAP)". FIDO Alliance. Retrieved 22 March 2019.
- ↑ "FIDO2: मूविंग द वर्ल्ड बियॉन्ड पासवर्ड्स". FIDO Alliance. Retrieved 30 January 2019.
- ↑ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (eds.). "वेब प्रमाणीकरण: सार्वजनिक कुंजी क्रेडेंशियल स्तर 1 तक पहुँचने के लिए एक एपीआई". World Wide Web Consortium (W3C). Retrieved 30 January 2019.
- ↑ Simons, Alex (November 20, 2018). "सुरक्षा कुंजी या Windows Hello का उपयोग करके अपने Microsoft खाते के लिए सुरक्षित पासवर्ड-रहित साइन-इन करें". Microsoft. Retrieved 6 March 2019.
- ↑ "Android अब FIDO2 प्रमाणित, पासवर्ड से परे वैश्विक प्रवासन में तेजी". BARCELONA: FIDO Alliance. February 25, 2019. Retrieved 6 March 2019.
- ↑ "दो-कारक प्रमाणीकरण (2FA); एनसीएससी से नया मार्गदर्शन". National Cyber Security Centre (NCSC). 8 Aug 2018.
- ↑ Hunt, Troy (5 November 2018). "यहां बताया गया है कि क्यों [Insert Thing Here] पासवर्ड किलर नहीं है". Retrieved 24 March 2019.
- ↑ McMillan, Robert (27 January 2012). "दुनिया का पहला कंप्यूटर पासवर्ड? यह बेकार भी था". Wired magazine. Retrieved 22 March 2019.
- ↑ Hunt, Troy (26 July 2017). "विकसित पासवर्ड: आधुनिक युग के लिए प्रमाणीकरण मार्गदर्शन". Retrieved 22 March 2019.
- ↑ Bonneau, Joseph; Herley, Cormac; Oorschot, Paul C. van; Stajano, Frank (2012). "पासवर्ड बदलने की खोज: वेब प्रमाणीकरण योजनाओं के तुलनात्मक मूल्यांकन के लिए एक रूपरेखा". Technical Report - University of Cambridge. Computer Laboratory. Cambridge, UK: University of Cambridge Computer Laboratory. doi:10.48456/tr-817. ISSN 1476-2986. Retrieved 22 March 2019.
- ↑ Bonneau, Joseph; Herley, Cormac; Oorschot, Paul C. van; Stajano, Frank (2012). पासवर्ड बदलने की खोज: वेब प्रमाणीकरण योजनाओं के तुलनात्मक मूल्यांकन के लिए एक रूपरेखा. 2012 IEEE Symposium on Security and Privacy. San Francisco, CA. pp. 553–567. doi:10.1109/SP.2012.44.
- ↑ Lang, Juan; Czeskis, Alexei; Balfanz, Dirk; Schilder, Marius; Srinivas, Sampath (2016). "सुरक्षा कुंजी: आधुनिक वेब के लिए व्यावहारिक क्रिप्टोग्राफ़िक द्वितीय कारक" (PDF). Financial Cryptography and Data Security 2016. Archived (PDF) from the original on 2022-10-09. Retrieved 26 March 2019.
