ٹو فیکٹر تصدیق (2FA) سائن اِن کے وقت دو مختلف چیزیں مانگ کر اکاؤنٹ کی حفاظت کرتی ہے: ایک چیز جو آپ جانتے ہیں، جیسے پاس ورڈ، اور ایک چیز جو آپ کے پاس ہے، جیسے فون پر authenticator ایپ سے ملنے والا چھ ہندسوں کا کوڈ۔ اگر کوئی آپ کا پاس ورڈ چرا بھی لے تو دوسرے فیکٹر کے بغیر اندر نہیں آ سکتا۔
یہ ان مؤثر ترین حفاظتی اقدامات میں سے ایک ہے جو ایک عام آدمی کر سکتا ہے، اور اسے سیٹ اپ کرنے میں عموماً چند منٹ ہی لگتے ہیں۔ یہ رہنما بتاتی ہے کہ 2FA کیسے کام کرتی ہے، کون سے طریقے چننے چاہییں، اور خود کو اکاؤنٹ سے باہر ہونے سے کیسے بچائیں۔
صرف پاس ورڈ کافی کیوں نہیں
پاس ورڈ کئی طریقوں سے لیک ہوتے ہیں۔ لوگ ایک ہی پاس ورڈ کئی سائٹس پر استعمال کرتے ہیں، ویب سائٹس میں ڈیٹا کی چوری (breach) ہوتی ہے، اور فشنگ صفحات لوگوں کو دھوکے سے جعلی فارم میں لاگ اِن تفصیلات لکھوا لیتے ہیں۔ پاس ورڈ معلوم ہو جائے تو کوئی بھی اسے آپ کی ای میل، سوشل میڈیا یا آن لائن شاپنگ اکاؤنٹ پر آزما سکتا ہے۔
2FA ایک دوسرا تالا لگا دیتی ہے۔ صرف چوری شدہ پاس ورڈ کافی نہیں رہتا، کیونکہ حملہ آور کو آپ کے آلے سے کوڈ بھی چاہیے۔ اس سے اکاؤنٹ پر قبضے کے بہت سے عام طریقے، خاص طور پر دوبارہ استعمال ہونے والے یا لیک شدہ پاس ورڈز پر انحصار کرنے والے، کہیں زیادہ مشکل ہو جاتے ہیں۔
دوسرے فیکٹر کی اہم اقسام
ہر دوسرا فیکٹر یکساں مضبوط نہیں ہوتا۔ سب سے عام آپشن یہ ہیں:
- Authenticator ایپس۔ Google Authenticator، Microsoft Authenticator اور دیگر ہم آہنگ ایپس ہر 30 سیکنڈ بعد نیا چھ ہندسوں کا کوڈ بناتی ہیں۔ کوڈ آپ کے فون پر بنتے ہیں، اس لیے موبائل نیٹ ورک سے گزر کر نہیں آتے۔
- SMS کوڈ۔ کوڈ ٹیکسٹ میسج کے ذریعے آتا ہے۔ 2FA نہ ہونے سے کہیں بہتر، مگر ٹیکسٹ میسج روکے یا کہیں اور موڑے جا سکتے ہیں، مثلاً SIM-swap فراڈ کے ذریعے، جس میں مجرم موبائل کمپنی کو قائل کر کے آپ کا نمبر اپنی SIM پر منتقل کروا لیتا ہے۔
- پش نوٹیفکیشن۔ کچھ سروسز آپ کے فون کی ایپ پر "کیا یہ آپ ہیں؟" کا پیغام بھیجتی ہیں۔ آسان ہے، مگر کبھی ایسی درخواست منظور نہ کریں جس کی آپ کو توقع نہ ہو۔
- سیکیورٹی کیز اور پاس کیز۔ فزیکل کیز یا آلے پر محفوظ پاس کیز مضبوط ترین آپشنز میں سے ہیں، کیونکہ انہیں فشنگ کے خلاف مزاحمت کے لیے بنایا گیا ہے۔ ان کی سہولت ہر سروس میں مختلف ہے۔
زیادہ تر لوگوں کے لیے authenticator ایپ ایک مضبوط اور عملی انتخاب ہے۔ اگر کوئی سروس صرف SMS پیش کرتی ہے تو اسے بھی ضرور آن کریں۔ یہ صرف پاس ورڈ کے مقابلے میں پھر بھی بڑی بہتری ہے۔
Authenticator ایپس کیسے کام کرتی ہیں
جب آپ authenticator ایپ کے ساتھ 2FA آن کرتے ہیں تو ویب سائٹ آپ کو ایک کیو آر کوڈ دکھاتی ہے۔ اس کیو آر کوڈ میں ایک خفیہ کلید (secret key) ہوتی ہے۔ آپ اسے ایک بار اپنی authenticator ایپ سے اسکین کرتے ہیں، اور اس کے بعد ایپ اور ویب سائٹ دونوں یہ مشترکہ خفیہ کلید اور موجودہ وقت استعمال کر کے ایک ہی چھ ہندسوں کا کوڈ حساب کرتی ہیں۔
چونکہ کوڈ ہر 30 سیکنڈ میں بدل جاتا ہے، کوئی آپ کے کندھے کے اوپر سے کوڈ دیکھ بھی لے تو کچھ دیر بعد وہ بے کار ہو جاتا ہے۔ اور چونکہ کوڈ آپ کے فون پر حساب ہوتے ہیں، ایپ انٹرنیٹ کنکشن کے بغیر بھی کام کرتی ہے۔
ایک اہم نکتہ: سیٹ اپ والا کیو آر کوڈ حساس ہوتا ہے۔ جو بھی اسے اسکین کرے وہ آپ کے کوڈ بنا سکتا ہے۔ اس کا اسکرین شاٹ نہ لیں، اسے شیئر نہ کریں، اور ایسی اسکرین پر کھلا نہ چھوڑیں جہاں دوسرے دیکھ سکیں۔
2FA مرحلہ وار کیسے سیٹ اپ کریں
ہر سروس کے مینو مختلف ہوتے ہیں، مگر عمل عموماً ایک جیسا ہوتا ہے:
- اپنے فون پر authenticator ایپ انسٹال کریں۔
- جس اکاؤنٹ کو محفوظ کرنا ہے اس میں سائن اِن کریں اور سیکیورٹی سیٹنگز کھولیں۔
- "Two-factor authentication"، "Two-step verification" یا "2-step sign-in" تلاش کریں اور authenticator ایپ کا آپشن چنیں۔
- اسکرین پر دکھایا گیا کیو آر کوڈ اپنی authenticator ایپ سے اسکین کریں۔
- تصدیق کے لیے ایپ سے چھ ہندسوں کا کوڈ ٹائپ کریں۔
- سروس کی طرف سے دیے گئے بیک اپ کوڈ محفوظ کریں (اگلا حصہ دیکھیں)۔
- سائن آؤٹ کر کے دوبارہ سائن اِن کریں اور دیکھیں کہ سب ٹھیک چل رہا ہے۔
ان اکاؤنٹس سے شروع کریں جو سب سے اہم ہیں: آپ کی مرکزی ای میل (کیونکہ اس سے دوسرے پاس ورڈ ری سیٹ ہو سکتے ہیں)، بینکنگ، سوشل میڈیا، کلاؤڈ اسٹوریج اور ہر وہ اکاؤنٹ جس میں ادائیگی کی تفصیلات ہوں۔ QR-TH پر آپ اکاؤنٹ سیٹنگز سے authenticator ایپ کے ساتھ دو مرحلہ سائن اِن آن کر سکتے ہیں، جو آپ کے کیو آر کوڈز اور مختصر لنکس کو کسی اور کے ہاتھوں بدلے جانے سے بچاتا ہے۔
بیک اپ کوڈ: واپسی کا راستہ
2FA کا سب سے عام مسئلہ ہیکنگ نہیں، بلکہ فون کا کھو جانا ہے۔ اگر آپ کا فون گم ہو جائے، چوری ہو جائے، ٹوٹ جائے یا بدل دیا جائے تو آپ کو سائن اِن کا کوئی اور طریقہ چاہیے۔
بیک اپ کوڈ اسی لیے ہوتے ہیں۔ زیادہ تر سروسز 2FA آن کرنے پر ایک بار استعمال ہونے والے کوڈز کی فہرست دیتی ہیں۔ ہر کوڈ ایپ والے کوڈ کی جگہ ایک بار استعمال ہو سکتا ہے۔
انہیں محفوظ رکھیں:
- انہیں پرنٹ کر کے کاغذ گھر میں کسی محفوظ جگہ رکھیں، یا
- کسی معتبر پاس ورڈ مینیجر میں محفوظ کریں، اور
- انہیں صرف اسی فون میں نہ رکھیں جس میں آپ کی authenticator ایپ ہے۔
ہر بیک اپ کوڈ صرف ایک بار کام کرتا ہے۔ ایک استعمال کریں تو اسے کاٹ دیں۔ کوڈ کم رہ جائیں تو زیادہ تر سروسز نیا سیٹ بنانے دیتی ہیں، جس سے پرانے منسوخ ہو جاتے ہیں۔
فون بدلتے وقت اکاؤنٹ سے باہر ہونے سے بچیں
پرانا فون ری سیٹ کرنے، بیچنے یا بدلنے سے پہلے اپنے authenticator کوڈ نئے فون پر منتقل کریں۔ کچھ authenticator ایپس منتقلی یا کلاؤڈ بیک اپ کی سہولت دیتی ہیں؛ کچھ میں ہر اکاؤنٹ کے لیے 2FA دوبارہ سیٹ اپ کرنا پڑتا ہے۔
ایک محفوظ طریقہ:
- پرانا فون اس وقت تک چلتا رکھیں جب تک ہر اکاؤنٹ نئے فون پر تصدیق نہ ہو جائے۔
- جو اکاؤنٹس منتقل نہیں ہو سکتے ان میں سائن اِن کریں، 2FA بند کر کے دوبارہ آن کریں، اور نیا کیو آر کوڈ نئے فون سے اسکین کریں۔
- پرانا آلہ صاف کرنے سے پہلے ہر اکاؤنٹ آزما لیں۔
2FA کی عام غلطیاں جن سے بچنا چاہیے
- کوڈ شیئر کرنا۔ کوئی اصلی بینک، دکان یا سپورٹ ٹیم آپ سے 2FA کوڈ پڑھ کر سنانے کو نہیں کہے گی۔ جو کہے وہ غالباً دھوکے باز ہے۔
- غیر متوقع درخواستیں منظور کرنا۔ اگر سائن اِن کی ایسی درخواست آئے جو آپ نے شروع نہیں کی تو اسے مسترد کریں اور پاس ورڈ بدلیں۔
- پیغام کے لنک سے کھلنے والے صفحات پر کوڈ لکھنا۔ فشنگ سائٹس بھی کوڈ مانگ سکتی ہیں۔ اس کے بجائے ویب سائٹ پر خود جائیں۔
- بیک اپ کوڈ نظر انداز کرنا۔ انہیں محفوظ کرنے میں ایک منٹ لگتا ہے اور یہ اکاؤنٹ کی بحالی کے کئی دن بچا سکتے ہیں۔
روزمرہ کی مزید حفاظت کے لیے ہمارے موبائل سیکیورٹی کے مشورے پڑھیں، اور لاگ اِن تفصیلات چرانے والے کیو آر کوڈ فراڈ کو پہچاننا سیکھیں۔
FAQ
کیا ٹو فیکٹر تصدیق واقعی ضروری ہے؟
ای میل، بینکنگ اور سوشل میڈیا جیسے اہم اکاؤنٹس کے لیے، جی ہاں۔ یہ ان بہت سے حملوں کو روکتی ہے جو چوری شدہ یا دوبارہ استعمال ہونے والے پاس ورڈز پر انحصار کرتے ہیں۔
کیا authenticator ایپ SMS سے زیادہ محفوظ ہے؟
عموماً ہاں۔ Authenticator کوڈ آپ کے فون پر بنتے ہیں، جبکہ SMS کوڈ روکے جا سکتے ہیں یا SIM-swap فراڈ کے ذریعے کہیں اور موڑے جا سکتے ہیں۔ پھر بھی SMS، 2FA نہ ہونے سے بہتر ہے۔
اگر میرا فون گم ہو جائے تو کیا ہوگا؟
اپنے محفوظ کیے گئے بیک اپ کوڈز میں سے ایک سے سائن اِن کریں، پھر نئے فون پر 2FA دوبارہ سیٹ اپ کریں۔ بیک اپ کوڈ نہ ہوں تو سروس کے اکاؤنٹ ریکوری کے عمل سے گزرنا ہوگا۔
اگر کسی کے پاس میرا 2FA کوڈ ہو تو کیا وہ اکاؤنٹ ہیک کر سکتا ہے؟
کوڈ صرف تھوڑی دیر کے لیے کارآمد ہوتا ہے، مگر جو دھوکے باز آپ سے اسی وقت کوڈ نکلوا لے وہ اسے استعمال کر سکتا ہے۔ اپنے کوڈ کبھی کسی کو نہ بتائیں۔
ٹو فیکٹر تصدیق میں چند منٹ لگتے ہیں اور یہ آپ کے اکاؤنٹس میں نقب لگانا کہیں زیادہ مشکل بنا دیتی ہے۔ آج ہی اپنی ای میل اور بینکنگ کے لیے اسے آن کریں، پھر اپنے QR-TH اکاؤنٹ کو دو مرحلہ سائن اِن سے محفوظ کریں۔ مزید معلومات ہمارے FAQ میں پڑھیں۔