OTP एक अल्पकालिक प्रमाणीकरण कोड (authentication secret) है जिसे केवल एक बार उपयोग करने के लिए डिज़ाइन किया गया है। इसका संक्षिप्त रूप आमतौर पर One-Time Password (वन-टाइम पासवर्ड) होता है, हालांकि “वन-टाइम पासकोड” शब्द का भी व्यापक रूप से उपयोग किया जाता है।
आप किसी खाते में साइन इन करते समय, किसी कार्य की पुष्टि करते समय, टू-फैक्टर ऑथेंटिकेशन सक्षम करते समय या कोई अन्य सुरक्षा जांच पूरी करते समय OTP कोड का सामना करते हैं।
इसका एक सामान्य उदाहरण छह अंकों का वह कोड है जो किसी ऑथेंटिकेटर ऐप में दिखाई देता है या सत्यापन के दौरान आपके फोन पर भेजा जाता है।
इसके पीछे का मूल विचार सरल है: एक सामान्य पासवर्ड जो महीनों या वर्षों तक वैध रह सकता है, उसके विपरीत वन-टाइम कोड की उपयोगी समय-सीमा बहुत सीमित होती है। एक बार सफलतापूर्वक उपयोग किए जाने के बाद — या इसकी वैधता अवधि समाप्त होने के बाद — वही कोड दोबारा आपको प्रमाणित नहीं कर सकता।
हालाँकि, तकनीकी रूप से हर छोटा सत्यापन कोड एक ही तरह से उत्पन्न नहीं होता है। एक SMS कोड, एक ऑथेंटिकेटर ऐप का कोड और एक रिकवरी कोड इन्हें दर्ज करने वाले व्यक्ति को एक जैसे लग सकते हैं, लेकिन वे अलग-अलग प्रमाणीकरण तंत्रों का प्रतिनिधित्व कर सकते हैं।
इन अंतरों को समझने से OTP शब्दावली को समझना बहुत आसान हो जाता है।
OTP का फुल फॉर्म क्या है?
OTP का सबसे आम अर्थ One-Time Password होता है। पारंपरिक पुन: प्रयोज्य (reusable) पासवर्ड, जो बदले जाने तक सक्रिय रहता है, के विपरीत OTP केवल एकल प्रमाणीकरण प्रक्रिया के लिए होता है। रोज़मर्रा की ऑनलाइन सेवाओं में, इस शब्द का उपयोग व्यापक रूप से किसी भी छोटे अस्थायी सत्यापन कोड के लिए किया जाता है, जिसमें SMS के माध्यम से भेजे गए कोड भी शामिल हैं।
हालाँकि, अधिक सख्त तकनीकी दृष्टिकोण से, ऑथेंटिकेटर ऐप द्वारा स्थानीय रूप से गणना किए गए OTP और सर्वर द्वारा उत्पन्न व दूरसंचार नेटवर्क के माध्यम से भेजे गए अस्थायी कोड के बीच अंतर करना उपयोगी है। हालाँकि दोनों ही मामलों में उपयोगकर्ता को केवल एक बॉक्स में अंक दर्ज करने होते हैं, लेकिन इनके अंतर्निहित तंत्र पूरी तरह से अलग तरीके से काम करते हैं।
OTP कैसे काम करता है?
सटीक प्रक्रिया प्रमाणीकरण तंत्र पर निर्भर करती है, लेकिन जब कोई सेवा पहचान या डिवाइस एक्सेस के प्रमाण की मांग करती है, तो अधिकांश प्रक्रियाएं एक सीधी श्रृंखला का पालन करती हैं:
सेवा एक प्रमाणीकरण चुनौती शुरू करती है या आपसे अतिरिक्त सत्यापन के लिए संकेत देती है।
एक अल्पकालिक मान या तो ऑथेंटिकेटर द्वारा स्थानीय रूप से उत्पन्न किया जाता है या मैसेजिंग चैनल के माध्यम से बाहरी रूप से वितरित किया जाता है।
आप सत्यापन फ़ॉर्म में कोड दर्ज करते हैं।
सेवा सत्यापित करती है कि सबमिट किया गया मान मेल खाता है और अनुमत वैधता विंडो के भीतर है या नहीं।
कोड कैसे तैयार किया जाता है, यह अलग-अलग होता है: समय-आधारित एल्गोरिदम (TOTP) सिंक्रनाइज़ किए गए टाइमस्टैम्प के आधार पर अंकों की गणना करते हैं, काउंटर-आधारित टोकन (HOTP) प्रत्येक लॉगिन इवेंट के साथ आगे बढ़ते हैं, और SMS सत्यापन उस सेवा पर निर्भर करता है जो एक अस्थायी कोड उत्पन्न करती है और इसे सेलुलर नेटवर्क पर प्रेषित करती है।
OTP बनाम सत्यापन कोड (Verification Code)
“OTP” और “सत्यापन कोड” का उपयोग अक्सर इस तरह किया जाता है जैसे कि उनका अर्थ बिल्कुल एक ही हो।
आम बोलचाल की भाषा में, यह स्वाभाविक है।
यदि कोई वेबसाइट छह अंकों का कोड भेजती है और आपको इसे एक बार दर्ज करने के लिए कहती है, तो इसे OTP कहना सामान्य है।
लेकिन सत्यापन कोड एक अधिक व्यापक शब्द है।
सत्यापन कोड का उपयोग फ़ोन नंबर की पुष्टि करने, ईमेल पते को मान्य करने, साइन-इन प्रयास को प्रमाणित करने, किसी कार्रवाई की पुष्टि करने या खाता पुनर्प्राप्ति का समर्थन करने के लिए किया जा सकता है।
एक OTP विशेष रूप से एक-बार उपयोग होने वाले प्रमाणीकरण कोड को संदर्भित करता है।
यह अंतर मायने रखता है क्योंकि प्रत्येक सत्यापन प्रक्रिया प्रमाणीकरण नहीं होती है।
उदाहरण के लिए, कोई वेबसाइट केवल यह प्रदर्शित करने के लिए एक कोड भेज सकती है कि आप किसी खाते में जोड़े जा रहे ईमेल पते या फ़ोन नंबर को नियंत्रित करते हैं।
उपयोगकर्ता के दृष्टिकोण से, यह प्रक्रिया प्रमाणीकरण के लगभग समान लग सकती है।
लेकिन इसका उद्देश्य अलग होता है।
SMS OTP क्या है?
SMS OTP शब्द का उपयोग आमतौर पर टेक्स्ट संदेश द्वारा मोबाइल फोन पर भेजे जाने वाले अस्थायी कोड के लिए किया जाता है।
एक सामान्य प्रक्रिया इस प्रकार दिखती है:
आप अपना फ़ोन नंबर दर्ज करते हैं या साइन-इन प्रक्रिया शुरू करते हैं।
सेवा एक अस्थायी सत्यापन कोड उत्पन्न करती है।
कोड SMS द्वारा उस फ़ोन नंबर पर भेजा जाता है।
आप प्राप्त कोड दर्ज करते हैं।
सेवा कोड और उसकी वैधता की जांच करती है।
खाता बनाते समय, फ़ोन नंबर की पुष्टि करते समय, साइन इन करते समय या अतिरिक्त सुरक्षा जांच पूरी करते समय आपका सामना इससे हो सकता है।
SMS डिलीवरी चैनल प्रदान करता है। वेबसाइट या सेवा यह तय करती है कि कोड क्यों भेजा जा रहा है और इसे कैसे मान्य किया जाएगा।
यही कारण है कि SMS प्राप्त करने में सक्षम फ़ोन नंबर हर वेबसाइट के लिए स्वचालित रूप से मान्य नहीं होता है। कोई प्लेटफ़ॉर्म कोई भी कोड भेजे जाने से पहले ही किसी नंबर को अस्वीकार कर सकता है। यह एक अलग समस्या है, जिसे हम अपनी गाइड वेबसाइटें वर्चुअल नंबरों को अस्वीकार क्यों करती हैं में समझाते हैं।
SMS कोड और ऑथेंटिकेटर कोड एक समान नहीं हैं
मान लीजिए कि कोई वेबसाइट SMS द्वारा छह अंकों का कोड भेजती है, और इसकी तुलना किसी ऑथेंटिकेटर ऐप में दिखाए गए छह अंकों के कोड से करें। यद्यपि दोनों मान फ़ॉर्म में टाइप करने वाले व्यक्ति को व्यावहारिक रूप से समान लग सकते हैं, उनका तकनीकी ढांचा पूरी तरह से अलग है।
एक SMS कोड दूरसंचार नेटवर्क के माध्यम से वितरित किया जाता है, जबकि एक ऑथेंटिकेटर ऐप पहले से साझा की गई क्रिप्टोग्राफ़िक कुंजी का उपयोग करके स्थानीय रूप से कोड की गणना करता है। नतीजतन, ऑथेंटिकेटर ऐप तब भी वैध सत्यापन कोड उत्पन्न करते हैं जब डिवाइस पूरी तरह से ऑफ़लाइन हो या उसमें कोई मोबाइल नेटवर्क न हो।
TOTP क्या है?
TOTP का अर्थ Time-Based One-Time Password (समय-आधारित वन-टाइम पासवर्ड) है। किसी बाहरी सर्वर द्वारा संदेश भेजने की प्रतीक्षा करने के बजाय, एक TOTP ऑथेंटिकेटर ऐप वर्तमान टाइमस्टैम्प और सेटअप के दौरान कॉन्फ़िगर की गई साझा गुप्त कुंजी का उपयोग करके एक छोटे कोड की गणना करता है। सर्वर एक साथ समान गणितीय गणना करता है, और यदि सबमिट किए गए अंक एक स्वीकार्य समय विंडो के भीतर मेल खाते हैं, तो एक्सेस सत्यापित हो जाता है।
चूँकि समय गणना में एक आवश्यक इनपुट है, इसलिए TOTP कोड स्वाभाविक रूप से हर 30 से 60 सेकंड में समाप्त और रीफ्रेश होते हैं। यह किसी भी इंटरसेप्ट किए गए कोड के उपयोगी जीवनकाल को सख्ती से सीमित करता है: एक पुराना TOTP मान तुरंत अप्रचलित हो जाता है। हालाँकि, क्योंकि उपयोगकर्ता को अभी भी कोड पढ़ना और दर्ज करना होता है, यह अपनी संक्षिप्त वैधता अवधि के दौरान रीयल-टाइम रिले हमलों के प्रति संवेदनशील बना रहता है।
HOTP क्या है?
HOTP का अर्थ HMAC-Based One-Time Password है। हालाँकि TOTP और HOTP क्रिप्टोग्राफ़िक नींव साझा करते हैं, वे अगले क्रेडेंशियल में आगे बढ़ने के तरीके में भिन्न होते हैं: TOTP बीते हुए समय के आधार पर बदलता है, जबकि HOTP एक बढ़ते इवेंट काउंटर के आधार पर आगे बढ़ता है।
HOTP सिस्टम में हर बार जब प्रमाणीकरण कोड का अनुरोध किया जाता है, तो क्लाइंट ऑथेंटिकेटर और सत्यापन सर्वर दोनों अगला वन-टाइम पासवर्ड तैयार करने के लिए अपने आंतरिक काउंटर को बढ़ाते हैं। जहाँ TOTP स्मार्टफोन ऑथेंटिकेटर ऐप के लिए प्रमुख उपभोक्ता मानक बन गया है, वहीं HOTP हार्डवेयर सुरक्षा टोकन में व्यापक रूप से समर्थित है।
| प्रकार | उत्पत्ति स्रोत | अगले कोड का ट्रिगर | नेटवर्क पर निर्भर |
|---|---|---|---|
| SMS OTP | सेवा सर्वर | नया प्रमाणीकरण अनुरोध | हाँ (मोबाइल सिग्नल आवश्यक) |
| TOTP | स्थानीय ऑथेंटिकेटर ऐप | बीता हुआ समय अंतराल (उदा. 30 सेकंड) | नहीं (ऑफ़लाइन काम करता है) |
| HOTP | स्थानीय ऑथेंटिकेटर टोकन | इवेंट काउंटर वृद्धि | नहीं (ऑफ़लाइन काम करता है) |
OTP बनाम पासवर्ड
मुख्य अंतर पुन: प्रयोज्यता (reusability) का है।
एक सामान्य पासवर्ड आमतौर पर एक दीर्घकालिक गुप्त कुंजी होती है।
आप महीनों या वर्षों तक हर बार साइन इन करते समय वही पासवर्ड दर्ज कर सकते हैं।
एक वन-टाइम पासवर्ड केवल एक बार उपयोग के लिए डिज़ाइन किया गया है।
यह एक महत्वपूर्ण सुरक्षा लाभ पैदा करता है।
यदि कोई हमलावर पुराना OTP उपयोग किए जाने या समाप्त होने के बाद प्राप्त भी कर लेता है, तो उस कोड से भविष्य में खाता एक्सेस नहीं मिलना चाहिए।
एक चोरी हुआ पुन: प्रयोज्य पासवर्ड अलग होता है। जब तक इसे बदला नहीं जाता या कोई अन्य सुरक्षा नियंत्रण पहुंच को नहीं रोकता, पासवर्ड काम करना जारी रख सकता है।
हालाँकि, इसका मतलब यह नहीं है कि OTP हर सिस्टम में पासवर्ड की जगह ले लेते हैं।
वे अक्सर एक अतिरिक्त प्रमाणीकरण कारक (authentication factor) के रूप में उपयोग किए जाते हैं।
OTP बनाम PIN
एक OTP और एक PIN दोनों में पूरी तरह से संख्याएं हो सकती हैं, लेकिन वे अलग-अलग उद्देश्यों को पूरा करते हैं।
PIN आमतौर पर याद रखने या बार-बार उपयोग करने के लिए होता है।
एक OTP अस्थायी होता है।
उदाहरण के लिए, किसी डिवाइस को अनलॉक करने के लिए उपयोग किया जाने वाला चार या छह अंकों का PIN तब तक वही रह सकता है जब तक कि स्वामी इसे बदल नहीं देता।
प्रमाणीकरण प्रयास के लिए उत्पन्न छह अंकों का वन-टाइम कोड अपने अनुमत उपयोग या वैधता अवधि के बाद उपयोगी नहीं रहना चाहिए।
यह तथ्य कि दोनों मानों में छह अंक हो सकते हैं, उन्हें एक ही प्रकार का क्रेडेंशियल नहीं बनाता है।
OTP बनाम 2FA और MFA
OTP, टू-फैक्टर ऑथेंटिकेशन (2FA), और मल्टी-फैक्टर ऑथेंटिकेशन (MFA) संबंधित अवधारणाएं हैं, लेकिन वे विभिन्न वास्तुशिल्प परतों (architectural layers) का वर्णन करते हैं। OTP किसी कार्रवाई को सत्यापित करने के लिए उपयोग किए जाने वाले अस्थायी कोड या तंत्र के प्रकार को संदर्भित करता है। इसके विपरीत, 2FA और MFA उस व्यापक प्रमाणीकरण नीति का वर्णन करते हैं जिसमें दो या अधिक स्वतंत्र कारक श्रेणियों की आवश्यकता होती है:
वह जो आप जानते हैं (Something you know): जैसे कि एक स्थिर पासवर्ड या PIN।
वह जो आपके पास है (Something you have): जैसे कि एक भौतिक सुरक्षा कुंजी, एक पंजीकृत सिम कार्ड, या एक ऑथेंटिकेटर डिवाइस।
वह जो आप स्वयं हैं (Something you are): जैसे कि फिंगरप्रिंट या चेहरे का स्कैन।
एक OTP अक्सर दूसरे कारक के रूप में कार्य करता है (किसी डिवाइस या फ़ोन नंबर पर कब्जे का प्रतिनिधित्व करता है), लेकिन केवल एक बार का कोड दर्ज करने से लॉगिन स्वचालित रूप से मल्टी-फैक्टर नहीं बन जाता है। उदाहरण के लिए, केवल एक ईमेल OTP का उपयोग करके पासवर्ड रहित साइन-इन सिंगल-फैक्टर प्रमाणीकरण का प्रतिनिधित्व करता है। समग्र सिस्टम डिज़ाइन यह निर्धारित करता है कि प्रमाणीकरण प्रक्रिया 2FA या MFA के रूप में योग्य है या नहीं।
OTP कोड समाप्त (Expire) क्यों होते हैं?
संक्षिप्त वैधता अवधि इस बात को सीमित करती है कि कोई चोरी हुआ कोड कब तक उपयोगी हो सकता है।
कल्पना कीजिए कि यदि कोई सत्यापन कोड अनिश्चित काल तक वैध रहे।
वह कोड प्राप्त करने वाला कोई भी व्यक्ति दिनों या महीनों बाद भी इसका उपयोग करने का प्रयास कर सकता है।
एक अल्पकालिक कोड उस अवसर को कम कर देता है।
प्रमाणीकरण विधि के आधार पर समाप्ति को अलग-अलग तरीके से लागू किया जा सकता है।
TOTP कोड अपने समय अंतराल के अनुसार स्वाभाविक रूप से बदलते हैं।
एक अस्थायी कोड भेजने वाली सेवा अलग से यह स्थापित कर सकती है कि कोड कितने समय तक स्वीकार किया जाएगा।
एकल उपयोग और सीमित वैधता पुन: प्रयोज्य स्थिर पासवर्ड की तुलना में रीप्ले जोखिम को कम करने में मदद करती है।
क्या एक ही OTP का दो बार उपयोग किया जा सकता है?
एक ठीक से लागू किया गया वन-टाइम पासवर्ड उपयोग किए जाने के बाद दोबारा काम नहीं करना चाहिए।
यही "वन-टाइम" डिज़ाइन का मुख्य उद्देश्य है।
हालाँकि, बार-बार सत्यापन का अनुरोध करने के बाद उपयोगकर्ताओं को कभी-कभी कई कोड प्राप्त होते हैं।
इससे भ्रम पैदा हो सकता है।
कार्यान्वयन के आधार पर, एक नए कोड का अनुरोध करने से पुराना कोड अमान्य हो सकता है, या कई कोड अन्य सेवा-विशिष्ट नियमों के अनुसार व्यवहार कर सकते हैं।
सबसे सुरक्षित तरीका यह है कि वर्तमान प्रमाणीकरण प्रयास से जुड़े नवीनतम कोड का उपयोग किया जाए और सेवा द्वारा दिखाए गए निर्देशों का पालन किया जाए।
यह न मानें कि कोई पुराना कोड केवल इसलिए वैध रहेगा क्योंकि वह अभी तक अपनी स्पष्ट समाप्ति समय तक नहीं पहुंचा है।
एक OTP कितने समय तक वैध रहता है?
प्रत्येक OTP या सत्यापन कोड के लिए कोई सार्वभौमिक समाप्ति अवधि नहीं है।
वैधता अवधि प्रमाणीकरण प्रणाली द्वारा निर्धारित की जाती है।
कुछ कोड तेजी से बदलते हैं, विशेष रूप से समय-आधारित ऑथेंटिकेटर कोड।
अन्य अस्थायी कोड कई मिनटों तक वैध रह सकते हैं।
इसलिए सही वैधता अवधि वही है जो उपयोग की जा रही सेवा या प्रमाणीकरण प्रोटोकॉल द्वारा परिभाषित की गई है।
यह हर छह अंकों के कोड को तकनीकी रूप से समान न मानने का एक और कारण है।
क्या OTP कोड सुरक्षित हैं?
OTP पुन: प्रयोज्य पासवर्ड से जुड़ी कई समस्याओं का समाधान करते हैं।
एक बार उपयोग के लिए बनाए गए कोड का उपयोग किए जाने के बाद कोई मूल्य नहीं रह जाता।
समय-आधारित कोड भी स्वचालित रूप से बदलते हैं।
ये गुण केवल एक स्थिर पासवर्ड पर आधारित प्रमाणीकरण की तुलना में OTP प्रमाणीकरण को रीप्ले हमलों के प्रति अधिक प्रतिरोधी बना सकते हैं।
हालाँकि, OTP का अर्थ पूरी तरह से अभेद्य होना नहीं है।
एक वैध कोड अभी भी चुराया जा सकता है।
सिस्टम की सुरक्षा इस बात पर निर्भर करती है कि कोड कैसे उत्पन्न होता है, वितरित होता है, दर्ज किया जाता है और संरक्षित किया जाता है।
प्रमाणीकरण कोड को रखने या प्राप्त करने वाले डिवाइस की सुरक्षा भी मायने रखती है।
OTP फ़िशिंग-प्रतिरोधी क्यों नहीं हैं?
हाँ, एक आम गलतफहमी के विपरीत, वन-टाइम पासवर्ड फ़िशिंग के माध्यम से कैप्चर किए जा सकते हैं। यद्यपि एक OTP तेजी से बदलता है या एकल उपयोग के बाद समाप्त हो जाता है, मानक OTP तंत्र कोड को आपके ब्राउज़र में विशिष्ट डोमेन या सत्र से क्रिप्टोग्राफ़िक रूप से नहीं बांधते हैं।
एक सामान्य एडवर्सरी-इन-द-मिडिल (AiTM) फ़िशिंग हमले में, पीड़ित किसी वैध सेवा की नकल करने के लिए डिज़ाइन की गई फर्जी वेबसाइट में अपने क्रेडेंशियल दर्ज करता है। फ़िशिंग इंफ्रास्ट्रक्चर तुरंत उन क्रेडेंशियल्स को वास्तविक प्लेटफ़ॉर्म पर अग्रेषित करता है, जिससे एक OTP अनुरोध ट्रिगर होता है। जब पीड़ित नकली प्रॉम्प्ट में वन-टाइम कोड दर्ज करता है, तो हमलावर कोड समाप्त होने से पहले वास्तविक सेवा में उन वैध अंकों को रिले कर देता है।
यह मूलभूत भेद्यता बताती है कि मैन्युअल रूप से दर्ज किए गए कोड—चाहे SMS द्वारा भेजे गए हों या ऑथेंटिकेटर ऐप में उत्पन्न किए गए हों—फ़िशिंग-प्रतिरोधी प्रमाणीकरण के रूप में वर्गीकृत क्यों नहीं किए जाते हैं। इसके विपरीत, FIDO2 और WebAuthn (पासकीज़ सहित) जैसे आधुनिक मानक सीधे ब्राउज़र के सत्यापित मूल (origin) से बंधे सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करते हैं, जिससे यह सुनिश्चित होता है कि क्रेडेंशियल किसी नकली डोमेन द्वारा इंटरसेप्ट नहीं किए जा सकते।
क्या SMS OTP कोड सुरक्षित हैं?
SMS सत्यापन किसी फ़ोन नंबर तक पहुंच प्रदर्शित करने के लिए एक सुविधाजनक तंत्र प्रदान करता है और अकेले स्थिर पासवर्ड की तुलना में काफी बेहतर सुरक्षा प्रदान करता है। हालाँकि, SMS की अपनी अलग सुरक्षा सीमाएँ हैं जिन्हें खाता स्वामियों को समझना चाहिए।
SMS-आधारित सत्यापन की सुरक्षा सेलुलर रूटिंग और ग्राहक पहचान पर नियंत्रण पर निर्भर करती है। सिम स्वैपिंग (SIM swapping), मोबाइल कैरियर सोशल इंजीनियरिंग, डिवाइस से छेड़छाड़ और फ़ोन नंबर पुनर्गठन जैसे जोखिमों का मतलब है कि SMS महत्वपूर्ण सुरक्षा स्तरों के लिए उपयुक्त नहीं हो सकता है। उच्च-मूल्य वाले खातों के लिए, सुरक्षा विशेषज्ञ हार्डवेयर सुरक्षा कुंजियों, पासकीज़ या समर्पित ऑथेंटिकेटर अनुप्रयोगों की सलाह देते हैं।
यदि आपको कोई ऐसा OTP प्राप्त होता है जिसका आपने अनुरोध नहीं किया था, तो क्या करें?
इसे किसी के साथ साझा न करें।
एक अप्रत्याशित OTP का स्वचालित रूप से यह मतलब नहीं है कि आपका खाता हैक हो गया है।
हो सकता है कि किसी ने गलती से आपका फ़ोन नंबर या ईमेल पता दर्ज कर दिया हो।
यह यह भी संकेत दे सकता है कि कोई आपके खाते में साइन इन करने, पासवर्ड रीसेट करने या आपकी संपर्क जानकारी से संबंधित कोई अन्य कार्य करने का प्रयास कर रहा है।
यदि संदेश आपके स्वामित्व वाले किसी खाते से संबंधित लगता है, तो सीधे वैध सेवा खोलें और खाते की सुरक्षा की समीक्षा करें।
उस व्यक्ति को कोड न दें जो आपसे संपर्क करता है और इसे मांगता है।
एक वैध प्रमाणीकरण कोड को तब तक एक गुप्त कुंजी माना जाना चाहिए जब तक कि वह वैध रहता है।
किसी अन्य व्यक्ति को कभी भी OTP न भेजें
सोशल इंजीनियरिंग सुरक्षा कोड को विफल करने के सबसे सरल तरीकों में से एक है।
यदि कोई हमलावर पीड़ित को स्वेच्छा से कोड का खुलासा करने के लिए मना सकता है, तो उसे एन्क्रिप्शन को तोड़ने या दूरसंचार नेटवर्क से छेड़छाड़ करने की आवश्यकता नहीं है।
सामान्य बहानों में निम्नलिखित का ढोंग करना शामिल है:
ग्राहक सहायता (कस्टमर सपोर्ट);
एक बैंक कर्मचारी;
मार्केटप्लेस का खरीदार या विक्रेता;
कंपनी का प्रतिनिधि;
एक सुरक्षा विशेषज्ञ।
कहानी अलग हो सकती है, लेकिन उद्देश्य एक ही है: वर्तमान प्रमाणीकरण कोड प्राप्त करना।
यदि आपके प्रमाणीकरण सत्र के लिए कोई कोड उत्पन्न किया गया था, तो इसे केवल उसी वैध सेवा में दर्ज करें जहाँ आपने अनुरोध शुरू किया था।
क्या वर्चुअल नंबर SMS OTP कोड प्राप्त कर सकते हैं?
एक वर्चुअल नंबर SMS प्राप्त करने में सक्षम हो सकता है, जिसमें सत्यापन संदेश भी शामिल हैं।
क्या यह किसी विशेष सेवा के लिए काम करता है, यह एक अलग प्रश्न है।
नंबर को प्रासंगिक SMS ट्रैफ़िक का समर्थन करना चाहिए, और वेबसाइट को सत्यापन प्रक्रिया के लिए उस नंबर को स्वीकार करना चाहिए।
कुछ सेवाएँ नंबर के प्रकार या अन्य पात्रता आवश्यकताओं के आधार पर प्रतिबंध लगाती हैं।
इसलिए:
SMS क्षमता प्लेटफ़ॉर्म स्वीकृति की गारंटी नहीं देती है।
इसी तरह, प्लेटफ़ॉर्म स्वीकृति इस बात की गारंटी नहीं देती है कि प्रत्येक SMS सफलतापूर्वक वितरित हो जाएगा।
ये सत्यापन प्रक्रिया के अलग-अलग हिस्से हैं।
क्या OTP आपका पासवर्ड प्रकट करता है?
नहीं।
एक OTP आमतौर पर आपके नियमित खाता पासवर्ड का रूपांतरित रूप नहीं होता है।
यह एक अलग प्रमाणीकरण मान है।
OTP देखने वाले किसी भी व्यक्ति को कोड के अंकों से आपका सामान्य पासवर्ड पता लगाने में सक्षम नहीं होना चाहिए।
हालाँकि, एक सक्रिय OTP स्वयं संवेदनशील हो सकता है।
यदि किसी हमलावर के पास पहले से ही अन्य आवश्यक क्रेडेंशियल हैं, तो प्रमाणीकरण प्रयास को पूरा करने के लिए एक वैध वन-टाइम कोड की ही आवश्यकता हो सकती है।
यही कारण है कि OTP को निजी रखा जाना चाहिए, भले ही वह जल्दी समाप्त हो जाए।
OTP समाप्त होने के बाद क्या होता है?
एक समाप्त हो चुके OTP को प्रमाणीकरण के लिए स्वीकार नहीं किया जाना चाहिए।
यदि प्रमाणीकरण अभी भी आवश्यक है, तो एक नया कोड या नया प्रमाणीकरण प्रयास आवश्यक हो सकता है।
बार-बार नए कोड का अनुरोध करने से कभी-कभी प्रक्रिया भ्रमित करने वाली हो सकती है क्योंकि पुराने संदेश नए संदेशों के बाद आ सकते हैं।
जब कई कोड का अनुरोध किया गया हो, तो यह मानने के बजाय कि हाल ही में प्राप्त प्रत्येक कोड वैध रहेगा, सेवा के वर्तमान निर्देशों का पालन करें।
मेरा OTP क्यों नहीं आया?
इसके कई संभावित कारण हो सकते हैं।
हो सकता है कि फ़ोन नंबर गलत दर्ज किया गया हो। SMS डिलीवरी में देरी हो सकती है। प्राप्त करने वाला नंबर प्रासंगिक संदेश ट्रैफ़िक का समर्थन नहीं कर सकता है। कैरियर या रूटिंग समस्याएं हो सकती हैं। सेवा स्वयं भी किसी अस्थायी समस्या का सामना कर रही हो सकती है।
यह लेख विस्तृत SMS-डिलीवरी समस्या निवारण के बजाय इस बात पर केंद्रित है कि OTP कोड क्या हैं।
महत्वपूर्ण अंतर यह है कि कोड प्राप्त करने में विफलता का अर्थ यह नहीं है कि प्रमाणीकरण कोड स्वयं गलत तरीके से उत्पन्न हुआ था।
उत्पत्ति, वितरण और सत्यापन अलग-अलग चरण हैं।
अक्सर पूछे जाने वाले प्रश्न (FAQ)
OTP और सत्यापन कोड में क्या अंतर है?
“सत्यापन कोड” एक व्यापक शब्द है जिसमें फ़ोन नंबर, ईमेल पते या खाता पुनर्प्राप्ति की पुष्टि करने के लिए उपयोग किया जाने वाला कोई भी अस्थायी कोड शामिल है। एक OTP विशेष रूप से किसी प्रमाणीकरण घटना के लिए उपयोग किए जाने वाले एकल-उपयोग वाले गुप्त कोड को दर्शाता है।
ऑथेंटिकेटर ऐप कोड SMS OTP की तुलना में अधिक विश्वसनीय क्यों हैं?
ऑथेंटिकेटर ऐप पहले से साझा क्रिप्टोग्राफी का उपयोग करके स्थानीय रूप से समय-आधारित कोड उत्पन्न करते हैं, जिससे वे मोबाइल नेटवर्क रिसेप्शन के बिना पूरी तरह से ऑफ़लाइन काम कर सकते हैं। SMS OTP सेलुलर नेटवर्क पर निर्भर करते हैं और कैरियर की देरी, रूटिंग विफलताओं या सिम-स्वैपिंग जोखिमों का सामना कर सकते हैं।
क्या OTP फ़िशिंग हमलों से रक्षा कर सकता है?
मानक OTP—चाहे SMS के माध्यम से वितरित किए गए हों या ऑथेंटिकेटर ऐप द्वारा उत्पन्न किए गए हों—फ़िशिंग-प्रतिरोधी नहीं हैं। एक एडवर्सरी-इन-द-मिडिल हमले में, एक फर्जी वेबसाइट आपके दर्ज किए गए OTP को कैप्चर कर सकती है और समाप्त होने से पहले इसे तुरंत वैध सेवा पर रिले कर सकती है। फ़िशिंग प्रतिरोध के लिए FIDO2/WebAuthn जैसे ओरिजिन-बाउंड प्रोटोकॉल की आवश्यकता होती है।
क्या वर्चुअल फ़ोन नंबर SMS OTP सत्यापन कोड प्राप्त कर सकते हैं?
कई वर्चुअल नंबर आने वाले SMS सत्यापन संदेश प्राप्त कर सकते हैं, लेकिन तकनीकी संदेश समर्थन सेवा स्वीकृति की गारंटी नहीं देता है। ऑनलाइन प्लेटफ़ॉर्म नंबर वर्गीकरण और जोखिम प्रोफाइल का स्वतंत्र रूप से मूल्यांकन करते हैं, और वे कोड भेजे जाने से पहले ही वीओआईपी (VoIP) या वर्चुअल नंबरों को अस्वीकार कर सकते हैं।
यदि मुझे कोई ऐसा OTP प्राप्त हो जिसका मैंने अनुरोध नहीं किया था, तो मुझे क्या करना चाहिए?
आपसे संपर्क करने वाले किसी भी व्यक्ति के साथ कोड कभी साझा न करें। एक अप्रत्याशित कोड किसी अन्य उपयोगकर्ता द्वारा अनजाने में की गई टाइपो या एक अनधिकृत साइन-इन प्रयास का संकेत दे सकता है। बिना किसी बाहरी लिंक पर क्लिक किए सीधे आधिकारिक प्लेटफ़ॉर्म पर जाएं और अपनी खाता सुरक्षा सेटिंग्स की समीक्षा करें।
निष्कर्ष
एक OTP एक सरल समस्या को हल करने के लिए डिज़ाइन किया गया है: पुन: प्रयोज्य पासवर्ड चोरी होने पर हमलावर के लिए उपयोगी बने रहते हैं, जबकि एक वन-टाइम गुप्त कोड का उपयोगी जीवन बहुत कम होता है।
लेकिन OTP शब्द परिचित छह अंकों के कोड की तुलना में अधिक बारीकियों को समाहित करता है।
TOTP कोड एक ऑथेंटिकेटर द्वारा समय के अनुसार उत्पन्न किए जा सकते हैं। HOTP कोड एक काउंटर के अनुसार उत्पन्न किए जा सकते हैं। अस्थायी SMS सत्यापन कोड मोबाइल नेटवर्क के माध्यम से वितरित किए जाते हैं और आमतौर पर SMS OTP के रूप में वर्णित किए जाते हैं, हालांकि सख्त प्रमाणीकरण शब्दावली विभिन्न तंत्रों में अंतर करती है।
OTP को टू-फैक्टर ऑथेंटिकेशन या मल्टी-फैक्टर ऑथेंटिकेशन के साथ भी भ्रमित नहीं किया जाना चाहिए। एक OTP उन प्रणालियों का हिस्सा हो सकता है, लेकिन ये शब्द विभिन्न अवधारणाओं का वर्णन करते हैं।
अंत में, वन-टाइम होने का मतलब फ़िशिंग-प्रूफ़ होना नहीं है। एक वैध OTP अभी भी चुराया जा सकता है और सक्रिय रहने के दौरान उपयोग किया जा सकता है।
इन अंतरों को समझने से प्रमाणीकरण विधियों का मूल्यांकन इस आधार पर करना आसान हो जाता है कि वे वास्तव में कैसे काम करती हैं, न कि केवल इस आधार पर कि वे एक अस्थायी कोड प्रदर्शित करती हैं या नहीं।
