2FASync
تصدیق کنندہ ایپ کا نمبر کہاں سے آتا ہے؟
کوڈ جنریٹر ہر وقت ویب سائٹ سے پیغام وصول نہیں کر رہا ہوتا۔ وہ پہلے فراہم کیے گئے راز اور موجودہ لمحے سے جواب اخذ کرتا ہے؛ اسی لیے ایک اکاؤنٹ کا درست نمبر دوسرے اکاؤنٹ میں کام نہیں کرتا۔
QR یا سیٹ اپ کلید پہلا قدم ہے
اکاؤنٹ میں Authenticator فعال کرتے وقت سروس خفیہ کلید اور کبھی issuer، اکاؤنٹ، digits یا algorithm کی معلومات دیتی ہے۔ یہ دستی کلید یا QR میں بند ہو سکتی ہیں؛ QR محض آرائشی تصویر نہیں بلکہ حساس اندراج ہے۔
ایک ہی سروس میں دو ذاتی اکاؤنٹس ہوں تو ان کی کلیدیں الگ ہو سکتی ہیں۔ اس لیے QR منتقل کرنے کے بعد نام اور صارف شناخت کو پیش نظارہ میں دیکھنا، غلط کوڈ استعمال ہونے سے بچاتا ہے۔
راز کو کھلے متن میں بار بار بھیجنا ضروری نہیں
عام TOTP میں HMAC کی معیاری قسم سے وقت اور کلید پر حساب ہوتا ہے، پھر نتیجہ محدود ہندسوں کی صورت میں پیش کیا جاتا ہے۔ 2FASync کے موافق پروفائل میں چھ یا آٹھ ہندسے اور SHA-1، SHA-256 یا SHA-512 استعمال ہو سکتے ہیں۔
نمبر چھوٹا ہونے کے باوجود یہ مستقل شناخت کا ثبوت نہیں۔ اس کی عمر محدود ہے، جبکہ اصلی کلید تب تک اہم رہتی ہے جب تک سروس اسے تبدیل یا منسوخ نہ کرے۔
آخر میں سروس خود تصدیق کرتی ہے
جب آپ ویب سائٹ میں کوڈ ٹائپ کرتے ہیں، وہ اپنی محفوظ کردہ کلید اور وقت کی حد سے جواب جانچتی ہے۔ بعض سائٹس محدود clock skew برداشت کرتی ہیں؛ 2FASync ان کی پالیسی کو بدلنے کا اختیار نہیں رکھتا۔
غلط کوڈ کی صورت میں سیٹ اپ درست ہونے کا اندازہ صرف ڈسپلے دیکھ کر نہ لگائیں۔ آلے کی گھڑی، درست اکاؤنٹ اور منتخب TOTP پروفائل کی جانچ کریں۔