HOTP बनाम TOTP बनाम OTP: आपको क्या जानने की जरूरत है?

ऑथेंटिकेटर ऐप, हार्डवेयर टोकन और एसएमएस कोड, दो-फैक्टर सत्यापन (2-एफए) सेटअप करते वक्त आपको मिलने वाले आम सत्यापन तरीके हैं। ये सभी वन-टाइम पासवर्ड (OTP) पे निर्भर करते हैं। TOTP और HOTP, OTP के दो मानकीकृत प्रकार हैं, जबकि एसएमएस और ईमेल कोड, OTP डिलीवर करने के अन्य आम तरीके हैं। हालांकि बुनियादी तौर पे ये सब एक ही मकसद पूरा करते हैं, इनके लागू होने के तरीके अलग हैं, जिससे इनके अपने खास फायदे और सीमाएं हैं। इस लेख में हम HOTP बनाम TOTP बनाम OTP को समझाएंगे और ये भी बताएंगे कि अलग-अलग इस्तेमाल के मामलों के लिए कौन सा विकल्प सबसे सही रहेगा।

HOTP, TOTP और OTP को समझना

वन-टाइम पासवर्ड (OTP)

OTP अस्थायी कोड होते हैं, जिन्हें कभी-कभी सिंगल-यूज़ पासवर्ड या 2-एफए कोड भी कहा जाता है, और इनका इस्तेमाल सिर्फ एक बार होता है। ये पासवर्ड की जगह नहीं लेते; बल्कि सुरक्षा की एक अतिरिक्त परत देते हैं। OTP का इस्तेमाल आम तौर पे बैंकिंग एप्लीकेशन में लॉगइन के दौरान पहचान सत्यापन के लिए या ऑनलाइन खाता सेटअप करते वक्त किया जाता है।

नोट: OTP, TOTP, HOTP और ईमेल/एसएमएस समेत अलग-अलग तरह के सिंगल-यूज़ पासवर्ड के लिए इस्तेमाल होने वाला सामान्य शब्द है।

समय-आधारित वन-टाइम पासवर्ड (TOTP)

TOTP कोड आम तौर पे 6 अंकों वाले कोड होते हैं, जिन्हें ऑथेंटिकेटर ऐप जनरेट करते हैं। ये करीब 30 सेकंड (कभी-कभी सर्विस के हिसाब से 60 सेकंड तक) वैध रहते हैं। कोड का समय खत्म हुआ, तो वो अब काम नहीं करता और नया कोड बन जाता है। TOTP का समय-आधारित होना इसे बेहद सुरक्षित बनाता है, क्योंकि इससे हमलावरों के पास कोई चुराया हुआ कोड इस्तेमाल करने का मौका बहुत कम रहता है।

HMAC-आधारित वन-टाइम पासवर्ड (HOTP)

HOTP आम तौर पे YubiKey जैसे हार्डवेयर टोकन में मिलते हैं और कोड जनरेट करने के लिए काउंटर-आधारित सिस्टम पे निर्भर करते हैं। ये सिस्टम नंबर वाले वाउचरों की बही की तरह काम करता है: कोड का एक क्रम चलता रहता है, जिसे सिस्टम से मैच किया जाता है। जब तक हार्डवेयर टोकन और एप्लीकेशन सर्वर सिंक में रहते हैं, आप एक्सेस कर पाते हैं।

TOTP के उल्टे, HOTP कोड टाइमर पे समय खत्म नहीं होते। ये तब तक वैध रहते हैं, जब तक आप उनका इस्तेमाल न करें या नया कोड जनरेट न करें। इससे ये ऑफलाइन स्थितियों के लिए बेहतरीन हो जाता है, लेकिन इसका ये भी मतलब है कि अगर आप कोई कोड जनरेट करें और उसका इस्तेमाल न करें, तो वो एक वैध चाबी बना रहता है, जिसे हमलावर ढूंढकर इस्तेमाल कर सकता है।

HOTP, TOTP और OTP: मुख्य अंतर

TOTP और HOTP, दोनों OTP के प्रकार हैं, लेकिन इनके जनरेट होने के तरीके अलग हैं। उदाहरण के लिए, अगर आप TOTP की तुलना OTP से कर रहे हैं, तो शायद आप ऑथेंटिकेटर ऐप के समय-आधारित कोड की तुलना एसएमएस और ईमेल कोड जैसे सामान्य OTP तरीकों से कर रहे हैं।

*सुरक्षा स्तर कोड की वैधता अवधि और बीच में पकड़े जाने के जोखिम पे आधारित है।

सुरक्षा

HOTP, TOTP और OTP अलग-अलग स्तर की सुरक्षा देते हैं, जिनमें एक्सपोज़र का समय और ट्रांसमिशन का तरीका सबसे जरूरी बातें हैं।

TOTP आम तौर पे एसएमएस या ईमेल कोड से ज्यादा मजबूत सुरक्षा देता है, क्योंकि कोड डिवाइस पे ही जनरेट होते हैं और इनकी वैधता बहुत कम होती है। अगर हमलावर किसी तरह आपका TOTP कोड हासिल कर लें, तो वो बेकार हो जाता है।

HOTP क्रिप्टोग्राफिक बुनियाद पे बना है, जो ठोस सुरक्षा देता है। हालांकि, HOTP कोड टाइमर पे समय खत्म नहीं होते, इसलिए काफी लंबी वैधता अवधि चुराए गए कोड को कमजोरी बना सकती है।

एसएमएस और ईमेल कोड इन सबमें सबसे कम सुरक्षित हैं। ये ऐसे नेटवर्क से गुजरते हैं जिन्हें बीच में पकड़ा या मोड़ा जा सकता है, जिससे ये सिम स्वैप या फिशिंग हमलों के लिए ज्यादा कमजोर हो जाते हैं।।

नोट: कोई भी OTP तरीका, फिशिंग जैसे सोशल इंजीनियरिंग हमलों से पूरी तरह सुरक्षित नहीं है। अपना ठीक से बचाव करने के लिए ये जानना जरूरी है कि फिशिंग को कैसे पहचानें।

उपयोगकर्ता अनुभव

सेटअप की जटिलता, समय का दबाव और भरोसेमंद होना इन तीनों तरीकों के उपयोगकर्ता अनुभव पे असर डालता है।

TOTP भरोसेमंद और सुविधाजनक है। इसका सेटअप आसान है (अक्सर बस QR कोड स्कैन करना होता है), और बिना सक्रिय नेटवर्क के भी कोड जनरेट हो जाते हैं। हालांकि, कोड जल्दी समय खत्म होने से समय का दबाव रहता है, जो धीमे उपयोगकर्ताओं या कई खाते संभालने वाले लोगों के लिए परेशानी पैदा कर सकता है।

इसके मुकाबले HOTP काफी आरामदायक है, इसमें समय की कोई रोक नहीं है। लेकिन इसका सेटअप कहीं ज्यादा जटिल है और इसमें अतिरिक्त हार्डवेयर खरीदना पड़ सकता है।

एसएमएस और ईमेल कोड सबसे आसान हैं, इनमें कोई सेटअप नहीं, लेकिन ये नेटवर्क कनेक्शन पे निर्भर करते हैं, जिससे नेटवर्क डाउन होने या गड़बड़ी के दौरान देरी हो सकती है।

सीमाएं

हर तरीके की अपनी खास सीमाएं हैं, जो असर डालेंगी कि आप इनका इस्तेमाल कैसे और कब करते हैं। एसएमएस और ईमेल कोड आपके मौजूदा डिवाइस पे काम करते हैं, लेकिन इनका आपके नेटवर्क और इंटरनेट कनेक्शन पे निर्भर होना कोड डिलीवर होने में देरी कर सकता है, जो कभी-कभी इनकी वैधता से भी ज्यादा लंबी हो सकती है।

TOTP को कोड जनरेट करने के लिए नेटवर्क कनेक्शन की जरूरत नहीं होती, लेकिन आपका कोड काम करे, इसके लिए आपके स्मार्टफोन का समय सर्वर के समय के साथ सिंक में होना जरूरी है। इसे पक्का करने का सबसे अच्छा तरीका है कि आपके डिवाइस की घड़ी अपने आप इंटरनेट से सिंक होती रहे। इससे सफर करते वक्त भी टाइम सिंक बना रहता है।

कमजोर नेटवर्क कनेक्शन के दौरान ऑफलाइन नए कोड जनरेट करना फायदेमंद हो सकता है। लेकिन ये दोधारी तलवार है। बिना इस्तेमाल किए कोड दोबारा जनरेट करने से आपका डिवाइस सर्वर के साथ सिंक से बाहर हो सकता है, जिससे सत्यापन असफल हो सकता है। साथ ही, HOTP में जो मैन्युअल दोबारा जनरेशन जरूरी है, वो सुरक्षा की एक बड़ी जिम्मेदारी उपयोगकर्ता पे डाल देता है।

आपको कौन सा OTP तरीका इस्तेमाल करना चाहिए?

छोटा जवाब ये है कि ज्यादातर लोगों के लिए TOTP सबसे अच्छा स्टैंडर्ड है, जबकि HOTP खास ऑफलाइन जरूरतों को पूरा करता है। दोनों एसएमएस से बेहतर हैं।

हालांकि हर किसी की जरूरतें अलग-अलग हैं, ज्यादातर स्थितियों में TOTP ज्यादा संतुलित विकल्प लगता है। इसका समय-आधारित होना सुरक्षा की एक अतिरिक्त परत देता है, और स्मार्टफोन से इस्तेमाल होने की वजह से ये उन खातों के लिए आसान और सुरक्षित विकल्प है जिन्हें आप नियमित तौर पे एक्सेस करते हैं। लेकिन फिशिंग से और भी मजबूत बचाव के लिए FIDO2/पासकी जैसे हार्डवेयर-आधारित तरीके किसी भी OTP तरीके से बेहतर काम करते हैं।

पासवर्ड सुरक्षित रखें और OTP सुरक्षित तरीके से जनरेट करें

पासवर्ड और TOTP सत्यापन कोड संभालना मुश्किल काम हो सकता है, क्योंकि लॉगइन के दौरान बार-बार ऐप बदलने से कोड दर्ज करने के लिए मिलने वाला पहले से सीमित समय और घट जाता है। Proton Pass एक सुरक्षित पासवर्ड मैनेजर है, जो हमारी इंटीग्रेटेड 2-एफए (TOTP) सुविधा से इस परेशानी को कम करता है। अपने पासवर्ड, 2-एफए कोड और बहुत कुछ एक ही सुरक्षित, एन्क्रिप्ट किए हुए तिजोरी से एक्सेस करें।