पासकी / पासवर्ड / प्रमाणीकरण
पासवर्ड बनाम पासकी: आधुनिक साइन-इन वास्तव में कैसे काम करता है
पासवर्ड और पासकी एक ही साइन-इन स्क्रीन पर दिख सकते हैं, लेकिन वे अलग-अलग सुरक्षा मॉडल पर निर्भर करते हैं। पासवर्ड एक पुन: प्रयोज्य गुप्त जानकारी है जिसे आप जानते हैं और किसी सेवा को भेजते हैं। पासकी सार्वजनिक-कुंजी क्रिप्टोग्राफी का उपयोग करती है: एक निजी कुंजी आपके पासकी प्रदाता के पास रहती है, जबकि सेवा मिलान वाली सार्वजनिक कुंजी संग्रहीत करती है। साइन-इन निजी कुंजी को प्रकट किए बिना उसके नियंत्रण को सिद्ध करता है।
यह अंतर कई सामान्य पासवर्ड समस्याओं को दूर करता है, लेकिन यह खाते के बाकी हिस्से को अभेद्य नहीं बनाता है। डिवाइस सुरक्षा, पासकी-प्रदाता पुनर्प्राप्ति, एप्लिकेशन कार्यान्वयन, और खाता पुनर्प्राप्ति अभी भी मायने रखते हैं। इसलिए उपयोगी तुलना यह नहीं है कि पासवर्ड खराब हैं, पासकी परिपूर्ण हैं। यह है कि प्रत्येक डिज़ाइन कौन से हमलों को रोकता है और कौन सी जिम्मेदारियाँ शेष रहती हैं।
पासवर्ड साइन-इन कैसे काम करता है
जब आप एक पासवर्ड बनाते हैं, तो एक उचित रूप से डिज़ाइन की गई सेवा को सादा पासवर्ड संग्रहीत करने की आवश्यकता नहीं होती है। यह एक अद्वितीय नमक के साथ पासवर्ड-हैशिंग प्रक्रिया द्वारा उत्पादित परिणाम संग्रहीत करती है। साइन-इन के दौरान, सेवा आपके द्वारा दर्ज किए गए पासवर्ड को संसाधित करती है और परिणाम की तुलना करती है। हालाँकि, यदि कोई हमलावर आपको किसी नकली साइट पर पासवर्ड दर्ज करने के लिए धोखा देता है, तो हमलावर को पुन: प्रयोज्य गुप्त जानकारी प्राप्त होती है और वह इसे वास्तविक सेवा पर आज़मा सकता है।
पुन: उपयोग से क्षति फैलती है। यदि एक ही पासवर्ड कई खातों की सुरक्षा करता है, तो एक उजागर क्रेडेंशियल को क्रेडेंशियल स्टफिंग के माध्यम से कहीं और परीक्षण किया जा सकता है। पासवर्ड मैनेजर द्वारा उत्पन्न और सहेजे गए अद्वितीय पासवर्ड उस प्रसार को सीमित करते हैं। मल्टी-फैक्टर प्रमाणीकरण एक और बाधा जोड़ता है, हालाँकि जिन कोडों को उपयोगकर्ता फ़िशिंग पेज पर टाइप कर सकता है, उन्हें हमलावर द्वारा भी रिले किया जा सकता है।
पासकी में क्या होता है
पासकी एक FIDO क्रेडेंशियल है जो किसी विशेष वेबसाइट या एप्लिकेशन पर किसी खाते से जुड़ा होता है। निर्माण के दौरान, प्रमाणक एक क्रिप्टोग्राफ़िक कुंजी युग्म उत्पन्न करता है। सार्वजनिक कुंजी सेवा के साथ पंजीकृत होती है। निजी कुंजी किसी डिवाइस, सुरक्षा कुंजी, ऑपरेटिंग-सिस्टम क्रेडेंशियल मैनेजर, या संगत तृतीय-पक्ष मैनेजर पर पासकी प्रदाता द्वारा सुरक्षित रहती है।
डिवाइस को PIN, फिंगरप्रिंट, चेहरे की जाँच, या पैटर्न से अनलॉक करना निजी कुंजी के उपयोग को अधिकृत करता है। बायोमेट्रिक जाँच सामान्यतः स्थानीय रूप से होती है; सेवा को क्रिप्टोग्राफ़िक प्रमाण मिलता है, फिंगरप्रिंट या चेहरे का डेटा नहीं। FIDO Alliance पासकी अवलोकन पासकी को क्रॉस-प्लेटफ़ॉर्म FIDO क्रेडेंशियल के रूप में वर्णित करता है जो डिवाइस को अनलॉक करने वाली उसी क्रिया के माध्यम से उपयोग किए जाते हैं।
पासकी साइन-इन कैसे काम करता है
- सेवा ब्राउज़र या एप्लिकेशन को एक नई क्रिप्टोग्राफ़िक चुनौती भेजती है।
- प्रमाणक पुष्टि करता है कि अनुरोध पंजीकृत सेवा का है और आवश्यक होने पर उपयोगकर्ता की सहमति या डिवाइस सत्यापन माँगता है।
- निजी कुंजी चुनौती पर स्थानीय रूप से हस्ताक्षर करती है।
- सेवा अपने पास पहले से संग्रहीत सार्वजनिक कुंजी के साथ हस्ताक्षर सत्यापित करती है।
- नई चुनौती किसी पुराने प्रतिक्रिया को नए साइन-इन के लिए पुन: उपयोग होने से रोकती है।
वेब तंत्र WebAuthn के माध्यम से मानकीकृत है। W3C Web Authentication विनिर्देश क्रेडेंशियल को एक निर्भर पार्टी तक सीमित और ब्राउज़र और प्रमाणक द्वारा मध्यस्थ के रूप में परिभाषित करता है। यह ओरिजिन बाइंडिंग फ़िशिंग प्रतिरोध के लिए केंद्रीय है: एक सेवा के लिए पंजीकृत क्रेडेंशियल किसी नकली डोमेन को नहीं दिया जाता है।
पासकी क्या सुधारती हैं
- साइन-इन के दौरान कोई पुन: प्रयोज्य पासवर्ड नहीं भेजा जाता है।
- प्रत्येक सेवा को एक अलग क्रेडेंशियल मिलता है, जिससे साइटों के बीच पासवर्ड पुन: उपयोग समाप्त हो जाता है।
- किसी अन्य ओरिजिन पर एक फ़िशिंग पेज वैध सेवा के लिए पंजीकृत क्रेडेंशियल का अनुरोध नहीं कर सकता है।
- सर्वर उल्लंघन से पासवर्ड डेटाबेस के बजाय सार्वजनिक कुंजियाँ उजागर होती हैं जिसे क्रैक और पुन: उपयोग किया जा सकता है।
- डिवाइस अनलॉक एक जटिल गुप्त जानकारी को याद रखने और टाइप करने की जगह ले सकता है।
पासकी अकेले क्या हल नहीं करती हैं
- एक समझौता या अनलॉक किया गया डिवाइस अभी भी एक सक्रिय सत्र उजागर कर सकता है या क्रेडेंशियल उपयोग की अनुमति दे सकता है।
- दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन, एप्लिकेशन दोष, और सत्र चोरी पासकी प्रोटोकॉल के बाहर मौजूद हैं।
- कमज़ोर खाता पुनर्प्राप्ति एक मजबूत साइन-इन विधि को बायपास कर सकती है।
- हर डिवाइस और पुनर्प्राप्ति विधि तक पहुँच खोना अभी भी उपयोगकर्ता को बाहर कर सकता है।
- एक उपयोगकर्ता अभी भी वैध साइन-इन के बाद हानिकारक कार्रवाई को अधिकृत करने के लिए धोखा दिया जा सकता है।
FIDO मार्गदर्शन इस बात पर जोर देता है कि पूर्ण फ़िशिंग प्रतिरोध में नामांकन और पुनर्प्राप्ति शामिल है, न कि केवल सामान्य साइन-इन चरण। एक सेवा जो हमलावर को कमज़ोर फ़ॉलबैक के माध्यम से खाता रीसेट करने देती है, उसने कमज़ोर बिंदु को हटाने के बजाय स्थानांतरित कर दिया है।
एक व्यावहारिक माइग्रेशन योजना
- उन महत्वपूर्ण सेवाओं के लिए पासकी बनाएँ जो उनका समर्थन करती हैं, फिर पुष्टि करें कि वे पासकी कहाँ संग्रहीत हैं और वे कैसे सिंक होती हैं या डिवाइस-बद्ध रहती हैं।
- जब सेवा अनुमति देती है तो एक से अधिक पुनर्प्राप्ति पथ जोड़ें, जैसे दूसरा विश्वसनीय डिवाइस या हार्डवेयर सुरक्षा कुंजी।
- उन सेवाओं के लिए जिन्हें अभी भी पासवर्ड की आवश्यकता है, पासवर्ड मैनेजर में अद्वितीय पासवर्ड रखें।
- शेष पासवर्ड खातों के लिए उपलब्ध सबसे मजबूत दूसरा कारक सक्षम करें, जहाँ संभव हो फ़िशिंग-प्रतिरोधी तरीकों को प्राथमिकता दें।
- पुनर्प्राप्ति कोड को ऑफ़लाइन ऐसी जगह संग्रहीत करें जहाँ आप पहुँच सकते हैं यदि आपका मुख्य डिवाइस अनुपलब्ध है।
- डिवाइस बदलने या खोने के बाद पुराने डिवाइस और सक्रिय सत्रों की समीक्षा करें।
पासकी एक सार्थक सुधार हैं क्योंकि वे प्रोटोकॉल बदलते हैं, न कि केवल गुप्त जानकारी का आकार। अपनाना कुछ समय के लिए मिश्रित रहेगा, इसलिए अधिकांश लोगों को दोनों प्रणालियों की आवश्यकता है: जहाँ समर्थित है वहाँ पासकी, और बाकी सभी जगह उचित मल्टी-फैक्टर सुरक्षा के साथ मजबूत अद्वितीय पासवर्ड।