साइट पर द्वितीयक खाता प्रमाणीकरण

माध्यमिक प्रमाणीकरण क्या है?
जब साइट में उपयोगकर्ता खाते हैं, तो प्रमाणीकरण या उपयोगकर्ता प्रमाणीकरण लागू होता है।
लेकिन कुछ समय के लिए अब उन्होंने माध्यमिक प्रमाणीकरण का उपयोग करना शुरू कर दिया - पासवर्ड चोरी हो गए, वे खो सकते हैं, अक्सर भूल जाते हैं। और त्रुटिपूर्ण उपयोगकर्ता कार्रवाई या प्रतिबंधात्मक लापरवाही इसके कारण हो सकती है।
माध्यमिक प्रमाणीकरण डेटा की पहचान करने और उसे फिर से हासिल करने में मदद करेगा।
विभिन्न माध्यमिक प्रमाणीकरण प्रक्रियाओं का उपयोग किया जाता है:
• उपयोगकर्ता को ई-मेल एक्सेस कुंजी भेजना;
• एक एक्सेस कोड के साथ एसएमएस भेजना;
• एक विशिष्ट सुरक्षा प्रश्न का उत्तर;
• पुराना पासवर्ड डालें;
• तीसरे पक्ष (तृतीय पक्ष) से ​​पहचान का प्रमाण।
यदि किसी साइट या सिस्टम को हैक करना एक सेकेंडरी ऑथेंटिकेशन सिस्टम (और अधिक जटिल पासवर्ड एक्सेस सिस्टम को बायपास न करने) के लिए निर्देशित किया जाएगा, तो खाता कम सुरक्षित हो सकता है।
उदाहरण के लिए, 2008 में यूएसए में, एक हैकर ने सारा पॉलिन (यूएसए के राष्ट्रपति पद के लिए उम्मीदवार) के खाते को हैक करके केवल उसके खाते के गुप्त प्रश्न के उत्तर का अनुमान लगाया: "आप अपने भावी जीवनसाथी से कहां मिले थे?" (I.e., हैकर ने प्रसिद्ध मॉरिस वायरस का अनुकरण किया था) ।

माध्यमिक प्रमाणीकरण मुद्दे
एक वेब संसाधन के माध्यमिक प्रमाणीकरण की समस्याएं प्राथमिक प्रमाणीकरण से पूरी तरह से अलग हैं:
• जटिल कोड को याद करने की कोई आवश्यकता नहीं है;
• लंबे समय तक उन्हें मास्टर करने की कोई आवश्यकता नहीं है;
• माध्यमिक प्रमाणीकरण की आवश्यकता, एक नियम के रूप में, प्राथमिक प्रमाणीकरण (दोनों उपयोगकर्ता और संसाधन के मालिक के लिए) की समस्याओं के कारण उत्पन्न होती है;
• माध्यमिक प्रमाणीकरण प्राथमिक की तुलना में कम बार उपयोग किया जाता है;
• असफल द्वितीयक प्रमाणीकरण से खाते तक पहुंच का नुकसान होता है।
द्वितीयक प्रमाणीकरण की समस्या को हल करते समय, न केवल "संरक्षित पक्ष" के व्यवहार, बल्कि "हमलावर" के व्यवहार को भी ध्यान में रखना आवश्यक है।

माध्यमिक प्रमाणीकरण के सबसे महत्वपूर्ण गुण
माध्यमिक प्रमाणीकरण के सबसे महत्वपूर्ण गुणों में शामिल हैं:
• विश्वसनीयता (माध्यमिक प्रमाणीकरण की सफलता);
• सुरक्षा (खाता धारक की आड़ में "गलत" प्रमाणीकरण या प्रमाणीकरण का विरोध);
• दक्षता (छोटे आवश्यक संसाधन - सामग्री, ऊर्जा, सूचना, संगठनात्मक, मानव);
• लचीलापन (पुनरावृत्ति);
• न्यूनतम पर्याप्तता (प्रमाणीकरण के दौरान खाता धारक द्वारा बताई गई गोपनीय डेटा की एक छोटी राशि);
• कम लाभप्रदता (यदि माध्यमिक प्रमाणीकरण का तंत्र प्राथमिक के रूप में फायदेमंद होगा, तो इसका उपयोग बिल्कुल नहीं किया जाएगा)।
माध्यमिक प्रमाणीकरण के सभी तंत्र (प्रक्रिया) को दो श्रेणियों में विभाजित किया जा सकता है:
• वैचारिक प्रमाणीकरण (ज्ञान पर आधारित);
• आउटसोर्सिंग प्रमाणीकरण (एक नियम के रूप में, एक और प्रणाली में विशेषज्ञता, एक प्रमाणीकरण के रूप में, सूचना सुरक्षा में प्रत्यायोजित)।

वैचारिक माध्यमिक प्रमाणीकरण
वैचारिक प्रमाणीकरण तंत्र (माध्यमिक) अपेक्षाकृत सरल हैं, अतिरिक्त संसाधनों की आवश्यकता नहीं है। इनमें शामिल हैं:
• एक नियंत्रण (गुप्त) प्रश्न, जो किसी बाहरी व्यक्ति के लिए उत्तर देना मुश्किल है, जैसे कि इसे खाते के मालिक द्वारा भूलना असंभव है, उदाहरण के लिए, "आपकी माता का पहला नाम क्या है?"
• मुद्रित साझा गुप्त डेटा, उदाहरण के लिए, कागज़ पर मुद्रित कीज़ का एक सेट, जिसमें से प्रमाणीकरण के दौरान, सिस्टम को कुछ यादृच्छिक चयन (उनकी संख्या द्वारा) दर्ज करने की आवश्यकता होगी;
• पहले इस्तेमाल किए गए पासवर्ड (पासवर्ड बदलते समय)।

आउटसोर्स किए गए माध्यमिक प्रमाणीकरण
आउटसोर्सिंग सेकेंडरी ऑथेंटिकेशन मेकेनिज्म (जिसे ट्रांसेटिव भी कहा जाता है) निम्न प्रणालियों और प्रक्रियाओं पर आधारित हैं:
• ईमेल (उपयोगकर्ता के ई-मेल पर एक्सेस कोड भेजना, जिसे वह खाते तक पहुंचते समय लौटाता है);
• मोबाइल संचार (एसएमएस या "आवाज" के माध्यम से भेजे गए टेलीफोन नंबर);
• तीसरे पक्ष (रिश्तेदारों या परिचितों) से पुष्टि;
• व्यक्तिगत उपस्थिति (बैंक, बिजली संरचना द्वारा पहचान की पुष्टि)।

पेशेवरों और माध्यमिक प्रमाणीकरण तंत्र के विपक्ष
प्रत्येक सेकेंडरी ऑथेंटिकेशन मैकेनिज्म के अपने प्लसस और मिनस हैं। "पेशेवरों" को मजबूत करना और "विपक्ष" को कमजोर करना महत्वपूर्ण है।
उदाहरण के लिए, वैचारिक प्रमाणीकरण प्रक्रियाओं का एक बड़ा प्लस है - प्रमाणीकरण का मुश्किल काम ईमेल नेटवर्क प्रदाता को हस्तांतरित किया जाता है, जो आमतौर पर सुरक्षा आवश्यकताओं (एन्क्रिप्शन, एन्कोडिंग, ट्रांसमिशन, लॉगिंग) के एक उच्च, उच्च स्तर पर सुरक्षा समस्याओं को हल करता है।
लेकिन उसके पास एक बड़ा "माइनस" भी है - आप मेलिंग एड्रेस टाइप करते समय या यहां तक ​​कि गलती कर सकते हैं, जिसमें कोई कम संभावना नहीं है - अपना मेल सिस्टम अकाउंट खो दें; हां, और तीसरे पक्ष के संगठन के डेटाबेस में मिला मेल का पता खाता मालिक और संसाधन के लिए एक अतिरिक्त "सिरदर्द" है।

द्वितीयक प्रमाणीकरण प्रणाली की विश्वसनीयता कैसे मजबूत करें?
इस महत्वपूर्ण प्रश्न का एक सार्वभौमिक उत्तर है: विभिन्न प्रमाणीकरण तंत्रों को मिलाएं। सरल गणितीय सूत्र दो तंत्रों का उपयोग करते समय विश्वसनीयता में वृद्धि का संकेत देते हैं। चरणों में तंत्र को मजबूत करना भी अच्छा है, क्योंकि साइट उपयोगकर्ताओं के लिए अधिक आकर्षक हो जाती है, और उनकी गतिविधि तेज हो जाती है। यह विचार करना महत्वपूर्ण है कि उपयोगकर्ता खाते को न केवल हैक किया जाएगा, बल्कि समझौता भी नहीं किया जाएगा। यदि हैकिंग के दौरान, जो आमतौर पर खाते के अवरोधन द्वारा किया जाता है, और पासवर्ड, उपयोगकर्ता लॉगिन के बाद के उपयोग, पासवर्ड और कोड जानकारी में किसी भी बदलाव के कार्यान्वयन में देरी ("अंतराल") का उपयोग करते हैं, तो उपयोगकर्ता को किए गए परिवर्तनों के बारे में खाते के मालिक को याद दिलाते हैं, तो आप माध्यमिक प्रमाणीकरण की विश्वसनीयता बढ़ा सकते हैं। । हमेशा एक सुरक्षा नीति रही है और पसंद की नीति है, और प्रमाणीकरण के दौरान पसंद की समस्या को हल करना आवश्यक है: विश्वसनीयता या सुरक्षा?