Skip to content

सीखिए

2FA क्या है? और वे 30 सेकंड वाले कोड असल में कैसे काम करते हैं?

पूरी गाइड, आसान भाषा में: टू-फ़ैक्टर ऑथेंटिकेशन क्या है, 6 अंकों के TOTP कोड के पीछे की क्रिप्टोग्राफ़ी क्या है, हर अकाउंट में कौन-सा फ़ैक्टर चुनें, और आप कभी बाहर क्यों नहीं रहेंगे।

अकेले पासवर्ड क्यों काफ़ी नहीं

हर लॉगिन को पासवर्ड चाहिए, और पासवर्ड की तीन बुनियादी कमियाँ हैं: वे दोहराए जाते हैं, लीक हुए डेटाबेस पर क्रेडेंशियल स्टफ़िंग से अंदाज़े से पकड़े जाते हैं और फ़िशिंग जाल में मछली की तरह पकड़े जाते हैं। टू-फ़ैक्टर ऑथेंटिकेशन (2FA) एक सीधी सच्चाई मानता है — सबसे कमज़ोर कड़ी इंसान है — और एक दूसरी, अलग चीज़ जोड़ता है जो हमलावर के पास भी होनी चाहिए। 2FA के साथ चोरी हुआ अकेला पासवर्ड आपका अकाउंट नहीं खोल सकता।

ज़्यादातर बड़ी सर्विसेज़ 2FA पहले से देती हैं या माँगती हैं: GitHub 2023 से यह लागू करता है, क्रिप्टो एक्सचेंज (Binance, Coinbase, Kraken) हर गिरावट पर इसकी याद दिलाते हैं, और Microsoft, Google व Apple इसे अकाउंट सिक्योरिटी में डिफ़ॉल्ट विकल्प बना चुके हैं।

तीन फ़ैक्टर

ऑथेंटिकेशन के फ़ैक्टर तीन श्रेणियों में आते हैं:

  • कुछ जो आपको पता है — पासवर्ड, PIN। बनाने में सस्ते, फ़िशिंग में आसान।
  • कुछ जो आपके पास है — कोड बनाने वाला ऑथेंटिकेटर, फ़िज़िकल सिक्योरिटी की या पासकी, SMS पाने वाला फ़ोन। 2FA यहीं रहता है।
  • कुछ जो आप हैं — फ़िंगरप्रिंट, फ़ेस स्कैन। आसान हैं, पर ये ज़्यादातर डिवाइस पर ही दर्ज होते हैं — रिमोट लॉगिन का मुख्य फ़ैक्टर बनने से ज़्यादा।

सच्चा दो-फ़ैक्टर चेक दो अलग श्रेणियों को जोड़ता है। पासवर्ड और फ़ोन का अनलॉक पैटर्न 2FA नहीं है; पासवर्ड और घूमता हुआ ऑथेंटिकेटर कोड — यह 2FA है।

TOTP कैसे काम करता है, स्टेप-बाय-स्टेप

  1. रजिस्ट्रेशन. जब आप किसी सर्विस में यह फ़ीचर चालू करते हैं, वह एक रैंडम सीक्रेट बनाकर सिर्फ़ एक बार आपके साथ साझा करती है — QR कोड के रूप में या Base32 सेटअप की के तौर पर। सिक्योरिटी के लिहाज़ से पूरा रिस्क इसी एक पल में है; इसलिए की सिर्फ़ वहीं खोलें जहाँ पर आपको पूरा भरोसा हो।
  2. समय चलता रहता है. मौजूदा समय 30 सेकंड के “स्टेप्स” में बँटा होता है: step = floor(unixTime / 30)। ये 30 कोई ख़ास नंबर नहीं: RFC 6238 सर्विस को 15, 30 या 60 सेकंड स्वीकारने की इज़ाज़त देता है।
  3. HMAC. आपका ऑथेंटिकेटर स्टेप वैल्यू पर HMAC हैश निकालता है (ज़्यादातर सर्विसेज़ में SHA-1, कभी-कभी SHA-256/512), सीक्रेट को की मानकर। HMAC एक-तरफ़ा गणित है: नतीजा देखकर सीक्रेट का पता नहीं चल सकता।
  4. अंक निकालना. HMAC नतीजे से आख़िरी निबल के हिसाब से चार बाइट चुने जाते हैं, सबसे ऊँचा बिट साफ़ किया जाता है, और नतीजा मॉड्यूलो 10n आपका कोड बन जाता है — आमतौर पर n = 6, कभी 7 या 8।
  5. वेरिफिकेशन विंडो. सर्वर मौजूदा और पिछले स्टेप के लिए वही वैल्यू दोबारा बनाता है (छोटे घड़ी-अंतर बर्दाश्त करने के लिए)। परीक्षण मैच हो जाए तो लॉगिन स्वीकार हो जाता है।

यह सब माइक्रोसेकंड में, पूरी तरह डिवाइस पर ही चलता है। इसीलिए 2FA COUNTERजैसा क्लाइंट-साइड टूल पूरा काम लोकल कर सकता है — पेज लोड करें, इंटरनेट बंद कर दें, कोड हर 30 सेकंड में फूटते रहेंगे, हमेशा।

सीक्रेट और QR कोड

Base32 स्ट्रिंग कोई बीच का फ़ॉर्मैट नहीं — यही सीक्रेट के रॉ बाइट्स, कीबोर्ड-फ़्रेंडली अल्फ़ाबेट (A–Z और 2–7; 0 और 1 जान-बूझकर छोड़े गए हैं, क्योंकि वे भ्रमित करते हैं, और किसी भी कीबोर्ड पर सुरक्षित हैं) में कोड किए हुए हैं। जब कोई प्लेटफ़ॉर्म “स्कैन नहीं हो पा रहा?” लिंक देता है, तो खुलने वाली स्ट्रिंग में बिलकुल वही प्राइवेट मैटेरियलहोता है जो QR में कोड होता है। दोनों में से कोई भी शक्ल सेव करें; मतलब एक ही है:

otpauth://totp/GitHub:you%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub
otpauth://totp/Binance:me?secret=JBSWY3DPEHPK3PXP&digits=6&period=30&algorithm=SHA1
otpauth://hotp/Steam:sda?secret=...&counter=5   ← counter variant (HOTP)

आधुनिक जेनरेटर हर पैरामीटर की इज़्ज़त करता है: अंकों की गिनती, पीरियड, हैश एल्गोरिद्म और HOTP काउंटर — क्योंकि SHA-256 माँगने वाली सर्विस डिफ़ॉल्ट SHA-1 वाला कोड भी रिजेक्ट कर देगी। खालिस Base32 की पर 6 अंक, 30 सेकंड और SHA-1 लागू होते हैं — जो ज़्यादातर सर्विसेज़ इस्तेमाल करती हैं।

TOTP बनाम SMS बनाम फ़िज़िकल कीज़

  • SMS कोड टेलीकॉम नेटवर्क से सफ़र करते हैं। SIM-स्वैप हमलों से विरोधी आपका नंबर हथियाकर आपके सारे कोड पा सकता है। अमेरिकी स्टैंडर्ड्स (NIST SP 800-63B) में SMS को ऑथेंटिकेशन से नामंज़ूर कर दिया गया है।
  • TOTP कुछ भी ट्रांसमिट नहीं करता — कोड लोकल बनता है और 30 सेकंड में एक्सपायर हो जाता है। फ्री, स्टैंडर्ड-आधारित, हर जगह कंपैटिबल। कमज़ोर कड़ी: वैलिड विंडो के अंदर फ़िश हो सकता है।
  • सिक्योरिटी कीज़ और पासकीज़ (WebAuthn/FIDO2) क्रिप्टोग्राफ़िक तौर पर ठीक-ठाक डोमेन से बँधे होते हैं, इसलिए नक़ली पेज अपने-आप फेल हो जाते हैं। सबसे मज़बूत विकल्प; थोड़े कम सपोर्ट और की की क़ीमत के साथ।

व्यावहारिक सीढ़ी: SMS सिर्फ़ जब कोई चारा न हो, TOTP डिफ़ॉल्ट विकल्प, और सबसे प्यारे अकाउंट्स के लिए फ़िज़िकल कीज़ या पासकीज़।

अपने बेहतरीन विकल्पों की गहराई में जाने के लिए: TOTP बनाम पासकीज़ — कौन-सा फ़ैक्टर कहाँ, SIM-स्वैप हमले SMS को कैसे हराते हैं और ऐप्स का क्लाउड सिंक आपकी सीक्रेट कीज़ का क्या करता है।

जो 2FA ठीक नहीं कर सकता

टू-स्टेप वेरिफिकेशन पासवर्ड चोरी का इलाज है। वह न तो सेशन कुकी चोरी रोकता है (आपके कंप्यूटर पर पहले से चल रहा मैलवेयर), न ज़्यादा परमिशन वाले ब्राउज़र एक्सटेंशन, न वह रिकवरी ईमेल जिसका क़ाबू आपने खो दिया, न वह सोशल इंजीनियरिंग जिसमें हमलावर आपसे 30 सेकंड की विंडो में ताज़ा कोड पढ़वा लेता है। ब्राउज़र अपडेट रखें, एक्सटेंशन पर बेमेहर छाँटा करें, और ताज़ा कोड की कोई भी जल्दी माँग — वही लाल झंडा समझें जो वह है।

कभी बाहर क्यों नहीं रहेंगे

  1. बैकअप कोड संभाल कर रखें. हर सर्विस 2FA चालू करने पर वन-टाइम रिकवरी कोड्स का एक पैकेट देती है। उन्हें प्रिंट करें या एन्क्रिप्टेड और ऑफ़लाइन सेव करें।
  2. सिर्फ़ टूल नहीं, सीक्रेट भी रखें. पासवर्ड मैनेजर के वॉल्ट में लिखी Base32 की से कोड किसी भी ऑथेंटिकेटर में दोबारा बनाए जा सकते हैं — मोबाइल ऐप या ब्राउज़र जेनरेटर — उस डिवाइस पर जो उस दिन हाथ में हो।
  3. एक नहीं, दो डिवाइस पर रजिस्टर करें. एक की दो भरोसेमंद डिवाइस पर साथ-साथ सुरक्षित रह सकती है। TOTP डिटरमिनिस्टिक है: वही सीक्रेट, वही कोड।
  4. अपनी घड़ी पर नज़र रखें. अगर कोड बार-बार फेल हों, तो पहले डिवाइस का टाइम सिंक ठीक करें — “इनवैलिड कोड” त्रुटियों की यही सबसे आम वजह है, और कोई टूल उसे टाल नहीं सकता।

सामान्य सवाल

2FA क्या है?

2FA (टू-फ़ैक्टर ऑथेंटिकेशन) का मतलब है अपनी पहचान दो अलग तरह के सबूतों से साबित करना: कुछ जो आपको पता है (आपका पासवर्ड) और कुछ जो आपके पास है (हर 30 सेकंड में बदलने वाला कोड, सिक्योरिटी की या आपका फ़ोन)। अकेला पासवर्ड लीक हो सकता है या अंदाज़े से पकड़ा जा सकता है; दूसरा फ़ैक्टर लीक हुए पासवर्ड को बेअसर कर देता है अगर उसके साथ कुछ और न हो।

2FA इतना ज़रूरी क्यों है?

क्योंकि पासवर्ड हर बार एक ही तरह फेल होते हैं। लीक से अरबों असली पासवर्ड पहले से सार्वजनिक हैं, और हमलावर उन्हें दिन-रात दूसरों के अकाउंट्स में घुसने के लिए बार-बार इस्तेमाल करते हैं (क्रेडेंशियल स्टफ़िंग)। Microsoft के मुताबिक़ 2FA 99.9% से ज़्यादा ऑटोमेटेड अकाउंट-टेकओवर हमलों को रोकता है — आपके ईमेल, बैंक, सोशल मीडिया, गेम्स और क्रिप्टो को ठीक उन्हीं असली ख़तरों से बचाता है जो सच में घटित होते हैं।

2FA किस काम आता है?

हर उस लॉगिन की रक्षा करता है जिसे चुराना बेशक़ीमती हो: ईमेल और क्लाउड अकाउंट्स (Google, Microsoft, Apple), बैंकिंग और फ़ाइनैंस, क्रिप्टो एक्सचेंज (Binance, Coinbase, Kraken), डेवलपर प्लेटफ़ॉर्म (GitHub, AWS), गेमिंग (Steam, Discord, Twitch) और सोशल मीडिया (X, Instagram)। कंपनियाँ इसे VPN, ईमेल और एडमिन कंसोल के लिए भी इस्तेमाल करती हैं। जहाँ सर्विस “ऑथेंटिकेशन ऐप” का विकल्प दे, समझिए 2FA का सही औज़ार वहीं है।

2FA काम कैसे करता है?

पासवर्ड के बाद सर्विस दूसरा सबूत माँगती है। सबसे आम तरीके (TOTP) में आपका ऑथेंटिकेटर एक शेयर्ड सीक्रेट की और मौजूदा समय से नया 6 अंकों का कोड बनाता है (RFC 6238 स्टैंडर्ड), और सर्वर वही कैलकुलेशन करके नतीजे मिलाता है। कोड हर 30 सेकंड में बदलता है और दोबारा इस्तेमाल नहीं हो सकता, इसलिए जिसके पास सिर्फ़ आपका पासवर्ड हो, वह भी अंदर नहीं घुस सकता।

TOTP कोड कैसे बनता है?

वेबसाइट आपको एक सीक्रेट की देती है (आमतौर पर QR कोड या Base32 स्ट्रिंग के रूप में)। आपका ऑथेंटिकेटर उस की से, मौजूदा 30 सेकंड की टाइम विंडो पर HMAC (SHA-1, SHA-256 या SHA-512 के साथ) हिसाब करता है और नतीजे से 6 अंक निकालता है। वेबसाइट वही कैलकुलेशन करके मिलाती है। नेटवर्क की ज़रूरत नहीं, क्योंकि दोनों पास सीक्रेट पहले से मौजूद है।

2FA कैसे मिलता है?

2FA उसी अकाउंट से मिलता है जिसे आपको सुरक्षित करना है: उसकी सेटिंग्स खोलें, “सेक्योरिटी” या “साइन-इन और सिक्योरिटी” सेक्शन में जाएँ और “टू-फ़ैक्टर ऑथेंटिकेशन” या “टू-स्टेप वेरिफिकेशन” ढूँढें। ऑथेंटिकेशन ऐप का विकल्प चुनें, QR कोड स्कैन करें (या सेटअप की दिखाएँ) और अपने ऑथेंटिकेटर का कोड डालकर कन्फ़र्म करें। हमारी स्टेप-बाय-स्टेप गाइड बताती है कि बिना मोबाइल कोड कैसे मिलता है: /hi/how-to-get-2fa-code/।

2FA कैसे चालू करें?

चार स्टेप: 1) सर्विस की अकाउंट या सिक्योरिटी सेटिंग्स खोलें और “टू-फ़ैक्टर ऑथेंटिकेशन” चुनें। 2) “ऑथेंटिकेशन ऐप इस्तेमाल करें” चुनें (हो सके तो SMS से बचें)। 3) QR कोड अपने ऑथेंटिकेटर से स्कैन करें — या “स्कैन नहीं हो पा रहा?” पर क्लिक करके सेटअप की सेव करें। 4) लाइव कोड डालकर प्रोसेस पूरी करें और जो बैकअप कोड दिखें, उन्हें डाउनलोड या प्रिंट कर लें। Google, GitHub, Discord, Binance समेत कई सर्विसेज़ की सेटअप गाइड्स हम /guides/ पर प्रकाशित करते हैं।

2FA कितना मज़बूत है?

यह पूरी तरह इस बात पर है कि दूसरा फ़ैक्टर क्या है। SMS कोड सबसे कमज़ोर हैं — SIM-स्वैप में हमलावर आपका नंबर हथियाकर कोड ख़ुद पाता है। ऑथेंटिकेटर के TOTP कोड — 30 सेकंड वाले — कम्प्यूटेशनल तौर पर मज़बूत हैं: ऑफ़लाइन हमलावर उन्हें अंदाज़ा नहीं लगा सकता और हर कोड सेकंडों में एक्सपायर हो जाता है। फ़िज़िकल सिक्योरिटी कीज़ और पासकीज़ सबसे मज़बूत हैं, क्योंकि वे फ़िशिंग के ख़िलाफ़ टिकती हैं और क्रिप्टोग्राफ़िक तौर पर असली डोमेन से बँधी होती हैं।

क्या 2FA 100% सुरक्षित है?

कोई सिक्योरिटी उपाय 100% नहीं होता, और ईमानदार 2FA गाइड्स यही मानती हैं। 2FA चोरी हुए पासवर्ड को हरा देता है, लेकिन फ़िशिंग साइट पर 30 सेकंड की वैलिड विंडो में ताज़ा कोड टाइप कर दिया तो कोड फिर भी पकड़ में आ सकता है; डिवाइस में पहले से मौजूद मैलवेयर सेशन चुरा सकता है; और दूसरा फ़ैक्टर SMS हो तो SIM-स्वैप असली ख़तरा है। फिर भी, 2FA चालू करने पर आपको अकेले-पासवर्ड वाले अकाउंट से कहीं ज़्यादा हमला करना मुश्किल हो जाता है।

क्या 2FA ज़रूरी है?

क़ानून से नहीं, लेकिन बढ़ती सर्विसेज़ इसे थोप रही हैं: GitHub 2023 से कोड कंट्रिब्यूट करने वालों के लिए इसे माँगता है, कई बैंक और क्रिप्टो एक्सचेंज इसे ज़बरदस्ती चालू रखते हैं, और नियोक्ता अक्सर ऑफ़िस एक्सेस के लिए इसे अनिवार्य रखते हैं। बाकी जगहों पर यह वैकल्पिक है, पर बेहद सिफ़ारिशी। व्यावहारिक नियम: अपने सबसे क़ीमती अकाउंट्स में इसे ज़रूरी मानिए — पहले ईमेल, क्योंकि इनबॉक्स के क़ाबू में आने वाला बाक़ी सब कुछ रीसेट कर सकता है।

अब सब जगह 2FA क्यों है?

क्योंकि अकेले पासवर्ड का दौर ढह चुका है। बड़े पैमाने की लीक में अरबों क्रेडेंशियल सार्वजनिक हो गए, क्रेडेंशियल स्टफ़िंग हमले ऑटोमेटेड और सस्ते हो गए, और अब प्लेटफ़ॉर्म चोरी हुए अकाउंट्स की क़ीमत चुकाने पर हैं। रेगुलेटर्स ने भी धक्का दिया: NIST ने अपने अमेरिकी स्टैंडर्ड्स में SMS को ऑथेंटिकेशन से हटा दिया और यूरोपीय PSD2 मज़बूत कस्टमर ऑथेंटिकेशन माँगता है। जब कुछ दिग्गजों ने 2FA को नॉर्मल बनाया, बाक़ी सब सर्विसेज़ भी चल दीं।

TOTP, HOTP और OTP में क्या फ़र्क़ है?

OTP सिर्फ़ “वन-टाइम पासवर्ड” का छोटा रूप है। TOTP (टाइम-आधारित OTP, RFC 6238) कोड मौजूदा समय से बनता है, इसलिए हर 30 सेकंड में बदलता है। HOTP (RFC 4226) काउंटर पर टिका है: हर कोड सिर्फ़ एक बार इस्तेमाल होता है और काउंटर बढ़ता रहता है। लगभग हर “ऑथेंटिकेशन ऐप” सर्विस — Google, Microsoft, Discord, GitHub — TOTP इस्तेमाल करती है।

TOTP, SMS से बेहतर क्यों है?

SMS कोड टेलीफ़ोन नेटवर्क से सफ़र करते हैं, जहाँ SIM-स्वैप हमला उन्हें रोक या चुरा सकता है — और SMS की डिलीवरी, आख़िरकार, आराम से फेल हो सकती है। TOTP कोड आपके डिवाइस पर बनते हैं, कभी ट्रांसमिट नहीं होते और सेकंडों में एक्सपायर हो जाते हैं। NIST जैसी सिक्योरिटी संस्थाओं ने ऑथेंटिकेशन के लिए SMS को नामंज़ूर कर दिया है।

क्या फ़िशिंग साइट TOTP कोड चुरा सकती है?

हाँ — अगर आप ताज़ा बना कोड नक़ली पेज पर उसकी वैलिडिटी के दौरान (30 सेकंड) टाइप कर दें, तो हमलावर को काम करने वाला लॉगिन मिल जाता है। इसीलिए फ़िशिंग-रेसिस्टेंट फ़ैक्टर (फ़िज़िकल सिक्योरिटी कीज़ और पासकीज़, जो क्रिप्टोग्राफ़िक तौर पर असली डोमेन से बँधे होते हैं) जहाँ मिलें, सबसे मज़बूत विकल्प वही हैं। TOTP, SMS और पासवर्ड से तो बेहतर है, पर फ़िज़िकल कीज़ से नहीं।

अपनी 2FA सीक्रेट की कहाँ रखनी चाहिए?

पासवर्ड मैनेजर के एन्क्रिप्टेड वॉल्ट में, मास्टर कॉपी की तरह। इससे आप किसी भी भरोसेमंद डिवाइस पर — यहाँ तक कि 2facounter.com जैसे टूल वाले ब्राउज़र में — कोड दोबारा बना सकते हैं जब फ़ोन आस-पास न हो। हर सर्विस के 2FA चालू करने पर मिलने वाले बैकअप या रिकवरी कोड भी रखें; असली सहारा वही है।

इसे आज़माकर देखें

जेनरेटर में एक सीक्रेट की पेस्ट करें और देखिए लाइव 2FA कोड कैसे दिखता है — ऑफ़लाइन चलता है, अकाउंट नहीं चाहिए, और कुछ भी कभी किसी सर्वर पर नहीं जाता।

जेनरेटर खोलें