026 کے بڑے معیارات میں SMS ون ٹائم پاس ورڈز پر پابندی نہیں ہے، بلکہ انہیں محدود کیا گیا ہے۔ NIST SP 800-63B-4 (جولائی 2025) SMS اور وائس کوڈز کو ایک "محدود" تصدیق کنندہ (authenticator) کے طور پر درجہ بندی کرتا ہے جو AAL2 میں اب بھی جائز ہے اگر فراہم کنندہ متبادل پیش کرے اور خطرے کی وضاحت کرے، لیکن AAL3 میں نہیں۔ PSD2 کے تحت، یورپی بینکنگ اتھارٹی SMS OTP کو ملکیت کے عنصر کے طور پر قبول کرتی ہے۔ PCI DSS 4.0.1 بغیر SMS کا نام لیے ری پلے-ریزسٹنٹ (replay-resistant) اور ناقابلِ نظر انداز MFA کا تقاضا کرتا ہے۔ بھارت کے RBI نے 1 اپریل 2026 سے واضح طور پر SMS OTP کو برقرار رکھا ہے۔ اصل پابندیاں زیادہ محدود ہیں: سنگاپور، ہانگ کانگ، ملائیشیا، متحدہ عرب امارات اور فلپائن میں بینکوں نے لاگ ان یا زیادہ خطرے والے ٹرانزیکشنز کو ایپ یا ڈیوائس سے منسلک تصدیق (device-bound authentication) پر منتقل کر دیا ہے۔ نیچے دیا گیا ہر تقاضا اپنے ماخذ سے منسلک ہے۔
باقاعدہ متن کے مطابق 22 اکتوبر 2026 کو چیک کیا گیا، سوائے ان جگہوں کے جہاں "رپورٹ شدہ" لکھا گیا ہے۔ یہ صفحہ پروڈکٹ اور سیکیورٹی ٹیموں کے لیے قواعد کا خلاصہ فراہم کرتا ہے؛ یہ قانونی مشورہ نہیں ہے۔
قواعد کا ایک جائزہ
| معیار یا ریگولیٹر | SMS OTP کی صورتحال | اہم تقاضا | تاریخ |
|---|---|---|---|
| NIST SP 800-63B-4 (US) | محدود؛ AAL2 میں اجازت ہے، لیکن AAL3 میں نہیں | متبادل پیش کریں، صارفین کو خطرے سے آگاہ کریں، اور اس کا جائزہ لیں؛ کوڈز صرف ایک بار استعمال کے لیے ہیں، کم از کم 6 ہندسوں کے ہیں، اور 10 منٹ کے لیے کارآمد ہیں | جولائی 2025 |
| CISA رہنمائی (US) | انتہائی ہدف بنائے گئے افراد کے لیے اس کے خلاف مشورہ دیتی ہے | اعلیٰ حکام کو فشنگ کے خلاف مزاحمت رکھنے والے FIDO پر منتقل کریں | 18 Dec 2024 |
| PSD2 SCA پر RTS (EU) | قبضے کے عنصر کے طور پر قبول کیا گیا | صرف ایک بار استعمال ہونے والا کوڈ؛ رقم اور وصول کنندہ کے ساتھ ڈائنامک لنکنگ؛ نقل (replication) کے خلاف تحفظ | 14 Sep 2019 سے نافذ ہے |
| PSD3 / PSR (EU) | کوئی SMS مخصوص اصول نہیں ملا | ابھی تک نافذ العمل نہیں ہے | اکتوبر 2026 تک زیر التوا |
| PCI DSS 4.0.1 | نامعلوم | CDE میں تمام رسائی کے لیے MFA؛ ری پلے سے محفوظ، کوئی بائی پاس نہیں، دو مرحلہ تصدیق کی اقسام | 31 Mar 2025 کو لازمی ہے |
| MAS (سنگاپور) | بینک لاگ ان کے لیے ختم کر دیا گیا ہے | ڈیجیٹل ٹوکن رکھنے والے صارفین SMS OTP کے بغیر لاگ ان کرتے ہیں | جولائی 2024 سے |
| HKMA (ہانگ کانگ) | بائی ڈیفالٹ منسلک ڈیوائس | لاگ ان اور ہائی رسک ٹرانزیکشنز منسلک ڈیوائس کے ذریعے؛ SMS جہاں ایپ موجود نہ ہو | 2025 (Q3–Q4 اہداف) |
| HK SFC (بروکرز، ورچوئل اثاثہ جات) | لاگ ان یا ڈیوائس بائنڈنگ کے لیے نہیں | پاس کیز یا منسلک ڈیوائسز | 8 جول 2027 تک |
| BNM (ملائیشیا) | مائیگریشن ضروری ہے | زیادہ محفوظ تصدیق کی طرف منتقل ہوں | 26 ستمبر 2022 کو اعلان کیا گیا |
| CBUAE (متحدہ عرب امارات) (رپورٹ کے مطابق) | بینک OTP کے لیے بتدریج ختم کیا گیا | ان ایپ (in-app) تصدیق کی طرف منتقل ہوں | 25 جولائی 2025 – 31 مارچ 2026 |
| RBI (انڈیا) | اجازت ہے | دو عوامل، ایک متحرک؛ SMS OTP بند نہیں کیے گئے | 1 اپریل 2026 سے |
| BSP سرکولر 1213 (فلپائن) | بڑے اداروں کے لیے محدود ہے | زیادہ خطرے کی صورت میں بائیومیٹرک، رویہ جاتی یا پاس ورڈ کے بغیر؛ SMS میں لنکس نہیں | جون 2026 تک کمپلائنس |
NIST SP 800-63B-4: محدود ہے، ممنوع نہیں ہے
NIST نے جولائی 2025 میں حتمی SP 800-63B-4 شائع کی ہے، جو 800-63-3 کی جگہ لے لیتی ہے۔ یہ عوامی ٹیلی فون نیٹ ورک (SMS یا وائس) کے ذریعے بھیجے گئے ون ٹائم کوڈز کو **محدود تصدیق کنندہ** (سیکشن 3.2.9) کے طور پر شمار کرتا ہے۔ جو فراہم کنندہ اس کا استعمال کرتا ہے، اسے کم از کم ایک متبادل آپشن فراہم کرنا ہوگا جو محدود نہ ہو، صارفین کو خطرات کے بارے میں بامعنی اطلاع دینی ہوگی، اپنے رسک اسسمنٹ میں ان کا حساب رکھنا ہوگا اور مائیگریشن (migration) کا منصوبہ رکھنا ہوگا؛ اگر ری لائنگ پارٹی خطرے کو ناقابل قبول قرار دیتی ہے، تو اسے استعمال نہیں کیا جانا چاہیے۔
- **یقینی سطح (Assurance levels):** آؤٹ آف بینڈ کوڈز کی AAL2 پر اجازت ہے، بشرطیکہ انہیں پاس ورڈ یا بائیومیٹرک کے ساتھ استعمال کیا جائے، لیکن AAL3 پر نہیں، جس کے لیے فشنگ کے خلاف مزاحمت رکھنے والے کرپٹوگرافک تصدیق کنندہ درکار ہیں۔ AAL2 ویریفائرز کے لیے کم از کم ایک فشنگ کے خلاف مزاحمت رکھنے والا آپشن فراہم کرنا لازمی ہے۔
- **کوڈ کے قواعد:** منظور شدہ رینڈم جنریٹر سے کم از کم 6 ہندسے، جو صرف ایک بار قبول کیے جائیں، اور 10 منٹ سے زیادہ کے لیے کارآمد نہ ہوں؛ 100 مسلسل ناکام کوششوں کے بعد لاک کر دیا جائے۔
- **رسک سگنلز:** کوڈ بھیجنے سے پہلے، ویریفائرز کو ڈیوائس کی تبدیلی، SIM کی تبدیلی اور نمبر پورٹنگ کی جانچ کرنی چاہیے (یہ ایک "چاہیے" ہے، "لازم ہے" نہیں)۔
- **ای میل** کو آؤٹ آف بینڈ تصدیق کنندہ کے طور پر استعمال نہیں کیا جائے گا۔
SIM کی تبدیلی اور پورٹنگ کی جانچ کے لیے، Number Verify اور SIM Swap APIs اور SIM swap fraud defence دیکھیں
CISA: انتہائی ہدف بنائے گئے افراد کے لیے ہے
CISA کی Mobile Communications Best Practice Guidance جو کہ 18 دسمبر 2024 کو جاری ہوئی، کہتی ہے: "تصدیق کے دوسرے مرحلے کے طور پر SMS کا استعمال نہ کریں،" کیونکہ SMS انکرپٹڈ نہیں ہے اور "فشنگ کے خلاف مزاحمت نہیں رکھتی اور اس لیے انتہائی ہدف بنائے گئے افراد کے اکاؤنٹس کے لیے مضبوط تصدیق نہیں ہے"۔ اس کا ہدف اعلیٰ سرکاری اور سیاسی شخصیات ہیں، اور یہ FIDO کو واحد فشنگ کے خلاف مزاحمت رکھنے والا طریقہ تجویز کرتی ہے۔ یہ ایک رہنمائی ہے، صارفین کی خدمات کے لیے کوئی اصول نہیں ہے۔
EU: PSD2 SMS OTP کو قبول کرتا ہے؛ PSD3 ابھی قانون نہیں بنا
مضبوط کسٹمر تصدیق سے متعلق ریگولیٹری تکنیکی معیارات (Delegated Regulation (EU) 2018/389)، جو کہ 14 ستمبر 2019 سے نافذ ہیں، ادائیگیوں میں استعمال ہونے والے کسی بھی ون ٹائم کوڈ کے لیے معیار مقرر کرتے ہیں:
- **آرٹیکل 4:** تصدیقی کوڈ صرف ایک بار قبول کیا جاتا ہے اور اسے جعلی نہیں بنایا جا سکتا؛ بلاک ہونے سے پہلے زیادہ سے زیادہ 5 مسلسل ناکام کوششیں؛ لاگ ان کے بعد زیادہ سے زیادہ 5 منٹ کی عدم فعالیت۔
- **آرٹیکل 5 (ڈائنامک لنکنگ):** ادائیگی کرنے والے کو رقم اور وصول کنندہ دکھایا جاتا ہے، اور کوڈ خاص طور پر ان کے لیے ہوتا ہے؛ کوئی بھی تبدیلی اسے کالعدم کر دیتی ہے۔
- **آرٹیکل 7:** ملکیت کے عناصر کے لیے غیر مجاز استعمال اور نقل کے خلاف اقدامات کی ضرورت ہے۔
- **آرٹیکل 9:** عناصر کا آزاد ہونا ضروری ہے؛ فون جیسے کثیر المقاصد ڈیوائس پر، علیحدہ محفوظ ایگزیکیوشن اور ٹیمپر ڈیٹیکشن (tamper detection) کی ضرورت ہوتی ہے۔
EBA نے Q&A 2018_4039 میں تصدیق کی ہے کہ اگر SMS OTP کو ریپلیکیشن (نقل) سے محفوظ رکھا جائے تو اسے ملکیت کا عنصر (possession element) قرار دیا جا سکتا ہے، اور اس کی جون 2019 کی رائے میں SMS کے ذریعے OTP کو ایک درست ملکیت کے عنصر کے طور پر فہرست میں شامل کیا گیا ہے۔ PSD3 اور Payment Services Regulation کے درمیان نومبر 2025 میں سیاسی اتفاق رائے ہو گیا تھا، لیکن 22 اکتوبر 2026 تک وہ اب بھی حتمی منظوری اور اشاعت کے منتظر ہیں؛ ہمیں طے شدہ متن میں SMS OTP کو ہدف بنانے والی کوئی شق نہیں ملی۔
PCI DSS 4.0.1: SMS کا نام نہیں لیا گیا
PCI DSS 4.0.1 کارڈ ہولڈر ڈیٹا کے ماحول میں تمام رسائی کے لیے ملٹی فیکٹر آتھنٹیکیشن (MFA) کا تقاضا کرتا ہے (ضرورت 8.4.2) اور یہ طے کرتا ہے کہ MFA کو کیسے کام کرنا چاہیے (8.5.1): ری پلے (replay) کے خلاف مزاحمت، کسی دستاویزی اور وقت کی حد کے ساتھ مستثنیٰ کے بغیر بائی پاس کرنا ناممکن ہو، کم از کم دو مختلف فیکٹرز کے اقسام استعمال ہوں، اور ہر فیکٹر کا کامیاب ہونا ضروری ہو۔ یہ دونوں 31 مارچ 2025 کو لازمی قرار دیے گئے۔ معیار SMS کی ممانعت نہیں کرتا (رپورٹ شدہ الفاظ؛ معیار خود لائسنس کے تابع ہے)؛ PCI SSC کے MFA information supplement میں صرف SMS کے بارے میں NIST کی سابقہ احتیاط کا ذکر کیا گیا ہے۔
ایشیا پیسیفک ریگولیٹرز
- **سنگاپور:** MAS اور Association of Banks in Singapore نے 9 جولائی 2024 کو اعلان کیا کہ بڑے ریٹیل بینک ان صارفین کے لیے جو ڈیجیٹل ٹوکن رکھتے ہیں، لاگ ان کے لیے تین ماہ کے اندر OTPs کو مرحلہ وار ختم کر دیں گے (MAS release)۔ جسمانی ٹوکن رکھنے والے صارفین متاثر نہیں ہوئے۔
- **ہانگ کانگ (بینک):** HKMA کا 14 اپریل 2025 کا سرکلر لاگ ان اور ہائی رسک ٹرانزیکشنز کے لیے SMS OTP کے بجائے باؤنڈ ڈیوائس (bound device) کو ڈیفالٹ بنائے گا، جس کے اہداف 2025 کی Q3 اور Q4 میں ہیں۔ وہ صارفین جن کے پاس ایپ نہیں ہے یا جو آپٹ اِن کرتے ہیں، ان کے لیے SMS OTP ممکن ہے (HKMA circular)۔
- **ہانگ کانگ (بروکرز اور ورچوئل اثاثہ پلیٹ فارمز):** SFC کا 9 جولائی 2026 کا سرکلر 26EC35، 8 جولائی 2027 تک کی ڈیڈ لائن کے ساتھ، کلائنٹ لاگ ان اور ڈیوائس بائنڈنگ کے لیے OTPs پر پابندی لگاتا ہے اور پاس کیز (passkeys) یا باؤنڈ ڈیوائسز کے استعمال کا تقاضا کرتا ہے۔
- **ملائیشیا:** Bank Negara Malaysia نے مالیاتی اداروں کے لیے SMS OTP سے زیادہ محفوظ آتھنٹیکیشن پر منتقل ہونا لازمی قرار دیا، جس کا اعلان 26 ستمبر 2022 کو کیا گیا تھا (BNM)۔
- **انڈیا:** RBI کے ڈیجیٹل پیمنٹ ٹرانزیکشنز کے لیے آتھنٹیکیشن میکانزم ڈائریکٹنز، 2025، کے تحت 1 اپریل 2026 سے ایک ڈائنامک کے ساتھ دو عوامل (two factors) لازمی ہوں گے؛ RBI نے بیان کیا ہے کہ یہ فریم ورک "SMS پر مبنی OTP کو ختم کرنے کا مطالبہ نہیں کرتا" (RBI)۔
- **فلپائن:** BSP سرکولر 1213، جس پر مئی 2025 میں دستخط کیے گئے، بڑے اداروں کے لیے SMS OTP جیسے انٹرسیپٹ ہونے والے آتھنٹیکیشن کو محدود کرتا ہے، زیادہ خطرے والے ٹرانزیکشنز کے لیے بائیومیٹرک، بیہیویئرل یا پاس ورڈ لیس طریقوں کا تقاضا کرتا ہے اور SMS میں لنکس اور QR کوڈز پر پابندی لگاتا ہے، جس کی کمپلائنس جون 2026 تک مکمل ہونی چاہیے (BSP)۔
خلیجی ممالک
متحدہ عرب امارات میں، سینٹرل بینک کے نوٹس کی رپورٹس کے مطابق، بینکوں نے 25 جولائی 2025 اور 31 مارچ 2026 کے درمیان صارفین کو SMS اور ای میل OTP سے ان-ایپ (in-app) آتھنٹیکیشن پر منتقل کر دیا؛ کوئی عوامی CBUAE متن دستیاب نہیں تھا۔ متحدہ عرب امارات میں بینک کے علاوہ دیگر سینڈرز اب بھی بڑے پیمانے پر SMS OTP استعمال کرتے ہیں۔ بینک کی پابندی کے بعد SMS OTP دیکھیں اور A2P میسجنگ ریگولیشن ٹائم لائن دیکھیں۔
عام غلط فہمیاں
- **"NIST نے SMS پر پابندی لگا دی ہے۔"** نہیں۔ SMS ایک محدود آتھنٹیکیٹر ہے، جسے AAL2 میں شرائط کے تحت اجازت ہے اور صرف AAL3 میں اس سے مستثنیٰ رکھا گیا ہے۔
- **"PSD2 SMS OTP سے منع کرتا ہے۔"** نہیں۔ EBA اسے ملکیت کے عنصر کے طور پر قبول کرتا ہے؛ سخت تقاضے ڈائنامک لنکنگ اور ریپلیکیشن کے خلاف تحفظ ہیں۔
- **"PCI DSS 4.0 نے SMS MFA پر پابندی لگا دی ہے۔"** نہیں۔ یہ ری پلے-ریزسٹنٹ (replay-resistant) اور نان-بائی پاس ایبل (non-bypassable) MFA کا تقاضا کرتا ہے اور SMS کا نام نہیں لیتا۔
- **"CISA نے سب کو SMS کا استعمال روکنے کا کہا ہے۔"** یہ بات مبالغہ آرائی ہے۔ یہ رہنمائی خاص طور پر حکومت اور سیاسی شخصیات کو نشانہ بناتی ہے۔
- **"PSD3 پہلے ہی قانون بن چکا ہے۔"** 22 اکتوبر 2026 تک ایسا نہیں ہے۔
- **"انڈیا SMS OTP کو مرحلہ وار ختم کر رہا ہے۔"** نہیں۔ RBI نے واضح طور پر اسے بند کرنے کی ضرورت قرار نہیں دی۔
- **"سنگاپور نے SMS OTP پر پابندی لگا دی ہے۔"** یہ زیادہ محدود ہے: بینک لاگ ان کے لیے، ان صارفین کے لیے جن کے پاس ڈیجیٹل ٹوکن موجود ہے۔
ان معیارات پر پورا اترنے والے SMS OTP کے لیے ایک چیک لسٹ
- ایک کرپٹوگرافک طور پر محفوظ رینڈم جنریٹر سے کم از کم 6 ہندسوں کے کوڈز تیار کریں؛ ہر کوڈ کو صرف ایک بار قبول کریں؛ انہیں 10 منٹ کے اندر ختم (expire) کر دیں (ادائیگیوں کے لیے 5 منٹ عام ہے)۔
- کوششوں کی حد مقرر کریں: 5 مسلسل ناکامیوں کے بعد PSD2 بلاک کر دیتا ہے؛ NIST لاک آؤٹ سے پہلے زیادہ سے زیادہ 100 کوششوں کی اجازت دیتا ہے۔
- EU میں ادائیگیوں کے لیے، میسج میں رقم اور وصول کنندہ کا نام دکھائیں اور کوڈ کو ان کے ساتھ منسلک کریں (ڈائنامک لنکنگ)۔
- ہائی رسک سیشن کو کوڈ بھیجنے سے پہلے SIM-تبدیلی اور نمبر پورٹنگ کے سگنلز چیک کریں۔
- کم از کم ایک مضبوط متبادل (ایپ پش، پاس کی، FIDO) پیش کریں اور SMS کو فال بیک اور ریکوری چینل کے طور پر برقرار رکھیں۔
- OTP ٹریفک کو ٹرانزیکشنل رکھیں: کوڈ میسج میں کوئی لنکس یا آفرز نہ شامل کریں، جس سے یہ مارکیٹنگ کے خاموش اوقات اور لنک بلاکس سے بھی باہر رہتا ہے۔
- براہ راست اور مانیٹر شدہ آپریٹر روٹس کے ذریعے بھیجیں جو SMS فائر وال سے محفوظ ہوں، تاکہ کوڈز کو انٹرسیپٹ، تاخیر یا پمپ نہ کیا جا سکے۔
BroadNet کا OTP API ملٹی چینل فال بیک کے ساتھ 1,000+ براہ راست آپریٹر کنکشنز کے ذریعے کوڈز فراہم کرتا ہے؛ ملٹی چینل OTP تصدیق، SMS OTP سے پاس کیز تک دیکھیں اور، آپریٹرز کے لیے، SMS فائر وال اور SS7 پروٹیکشن دیکھیں۔
اکثر پوچھے جانے والے سوالات
کیا 2026 میں SMS OTP کی اجازت ہے؟
جی ہاں، زیادہ تر معیارات میں۔ NIST SP 800-63B-4 اسے محدود لیکن AAL2 پر قابلِ قبول قرار دیتا ہے، PSD2 اسے ملکیت کے عنصر کے طور پر قبول کرتا ہے، PCI DSS اس پر پابندی نہیں لگاتا اور انڈیا کی RBI نے اسے برقرار رکھا۔ سنگاپور کی MAS، ہانگ کانگ کی HKMA اور فلپائن کی BSP سمیت کچھ ریگولیٹرز نے بینک لاگ ان یا ہائی رسک ٹرانزیکشنز کو زیادہ مضبوط طریقوں پر منتقل کر دیا ہے۔
کیا NIST نے SMS دو مرحلہ تصدیق پر پابندی لگا دی ہے؟
نہیں۔ NIST SP 800-63B-4 (July 2025) SMS اور وائس کوڈز کو ایک محدود تصدیق کار (restricted authenticator) قرار دیتا ہے: فراہم کنندگان کے لیے ضروری ہے کہ وہ ایک غیر محدود (non-restricted) متبادل پیش کریں، خطرے کی وضاحت کریں اور اس کا جائزہ لیں۔ AAL2 میں SMS کی اجازت ہے لیکن AAL3 میں نہیں، جس کے لیے فشنگ کے خلاف مزاحمت رکھنے والے تصدیق کار درکار ہیں۔
کیا SMS OTP PSD2 کمپلائنس کے مطابق ہے؟
یہ ہو سکتا ہے۔ EBA کا Q&A 2018_4039 SMS OTP کو ملکیت کے عنصر (possession element) کے طور پر قبول کرتا ہے اگر اسے نقل (replication) کے خلاف محفوظ رکھا گیا ہو، اور ادائیگیوں کے لیے کوڈ کو strong customer authentication کے RTS کے آرٹیکل 5 کے تحت رقم اور وصول کنندہ کے ساتھ متحرک طور پر منسلک ہونا چاہیے۔
کیا PCI DSS 4.0 MFA کے لیے SMS کی اجازت دیتا ہے؟
PCI DSS 4.0.1 SMS کا نام نہیں لیتا اور نہ ہی اس پر پابندی لگاتا ہے۔ ضروریات 8.4.2 اور 8.5.1، جو 31 مارچ 2025 سے لازمی ہیں، کارڈ ہولڈر ڈیٹا کے ماحول میں تمام رسائی کے لیے MFA کا تقاضا کرتی ہیں جو ری پلے (replay) کا مقابلہ کرے، جسے بائی پاس نہ کیا جا سکے اور جس میں کم از کم دو مختلف فیکٹرز استعمال کیے گئے ہوں۔
ایک SMS OTP کتنی دیر تک کارآمد ہونا چاہیے؟
NIST SP 800-63B-4 کے تحت 10 منٹ سے زیادہ نہیں، اور ہر کوڈ کو صرف ایک بار استعمال کیا جا سکتا ہے۔ بہت سے ادائیگی کے طریقے 5 منٹ یا اس سے کم کا استعمال کرتے ہیں، جو PSD2 کی عدم فعالیت کی حد (inactivity limit) کے عین مطابق ہے۔
بینکنگ کے لیے SMS OTP پر کون سے ممالک پابندی لگاتے ہیں؟
سنگاپور (بینک لاگ ان، ڈیجیٹل ٹوکن رکھنے والے صارفین کے لیے، 2024 سے)، ہانگ کانگ (بینک لاگ ان اور ہائی رسک ٹرانزیکشنز کے لیے ڈیفالٹ کے طور پر منسلک ڈیوائسز، 2025 تک؛ بروکرز کے لیے جولائی 2027 تک)، ملائیشیا (2022 سے منتقلی لازمی ہے)، متحدہ عرب امارات (رپورٹ کے مطابق، بینک OTP مارچ 2026 تک ایپ کے اندر منتقل کر دیا جائے گا) اور فلپائن (بڑے اداروں میں ہائی رسک ٹرانزیکشنز کے لیے، جون 2026 تک)۔
کیا PSD3 نافذ العمل ہے؟
22 اکتوبر 2026 تک نہیں۔ PSD3 اور پیمنٹ سروسز ریگولیشن نومبر 2025 میں سیاسی اتفاق رائے پر پہنچ گئے ہیں اور اب آفیشل جرنل میں حتمی منظوری اور اشاعت کے منتظر ہیں۔
SMS کے ذریعے OTP بھیجنے کا سب سے محفوظ طریقہ کیا ہے؟
کم از کم 6 رینڈم ہندسوں والے سنگل یوز کوڈز استعمال کریں جو چند منٹوں میں ختم ہو جائیں، کوششوں کو محدود کریں، پرخطر سیشنز کے لیے SIM-swap اور پورٹنگ سگنلز کو چیک کریں، میسج کو لنکس سے پاک رکھیں، اور SMS فائر وال کے ذریعے محفوظ آپریٹرز سے براہ راست کنکشنز پر ڈیلیور کریں، جبکہ ساتھ میں ایک زیادہ مضبوط طریقہ بھی فراہم کیا جائے۔