फ़िशिंग जोखिम कम करने के कारण पासकीज़ को समर्थन मिल रहा है

पासकी बहस अभी क्यों गूंज रही है

पासकीज़ लगातार रुचि और भ्रम, दोनों पैदा कर रही हैं, क्योंकि वे उपयोगकर्ताओं से ऐसी चीज़ पर भरोसा करने को कहती हैं जो उन पासवर्ड आदतों से सरल लगती है जिन्हें बहुत से लोगों ने वर्षों में विकसित किया है। दिया गया स्रोत इस तनाव को सीधे पकड़ता है। एक पाठक पूछता है कि स्मार्टफोन का PIN या चेहरे की पहचान, एक जटिल पासवर्ड और दो-कारक प्रमाणीकरण से वास्तव में अधिक सुरक्षित कैसे हो सकता है, खासकर तब जब फोन चोरी हो जाए या खो जाए.

यह एक उचित सवाल है, और यही वह बिंदु है जहां पासकीज़ का महत्व सामने आता है। स्रोत में शामिल जवाबों के अनुसार, मुख्य सुरक्षा लाभ यह है कि पासकीज़ दूरस्थ हमलों के जोखिम को कम करती हैं। एक पारंपरिक पासवर्ड उपयोगकर्ता और वेबसाइट के बीच एक साझा रहस्य होता है। क्योंकि इसे भेजा और सत्यापित किया जाना होता है, यह फ़िशिंग, क्रेडेंशियल चोरी, और सर्वर-पक्ष से समझौते के अवसर पैदा करता है। इसके विपरीत, स्रोत में पासकीज़ को डिवाइस-आधारित क्रेडेंशियल्स के रूप में प्रस्तुत किया गया है, जिन्हें किसी कंपनी के सर्वर पर उसी तरह संग्रहीत नहीं किया जाता, और इसलिए परिचित इंटरनेट-स्तरीय हमलों के जरिए उन्हें चुराना कहीं अधिक कठिन होता है.

यह बदलाव खतरे के मॉडल को बदल देता है। एक पाठक का जवाब तर्क देता है कि पासवर्ड लॉगिन दुनिया में कहीं भी बैठे किसी हैकर के लिए असुरक्षित है, जबकि एक भौतिक पासकी मुख्य रूप से उसी व्यक्ति के लिए असुरक्षित है जो वास्तव में फोन चुरा सके। तुलना यह नहीं है कि पासकीज़ पूरी तरह परिपूर्ण हैं। बात यह है कि वे हमलों के सबसे सामान्य और बड़े पैमाने पर होने वाले रूपों के खिलाफ अधिक सुरक्षित हो सकती हैं.

साझा रहस्यों से डिवाइस-आधारित प्रमाणीकरण तक

दिए गए संवाद में सबसे महत्वपूर्ण अवधारणा साझा रहस्यों की कमजोरी है। पासवर्ड प्रणालियों में उपयोगकर्ता और सेवा, दोनों को एक ही आधारभूत रहस्य को प्रस्तुत करने और जांचने पर निर्भर रहना पड़ता है। यदि वह पारिस्थितिकी तंत्र भंग हो जाए, तो नुकसान फैल सकता है। चोरी किए गए क्रेडेंशियल्स का फिर से उपयोग किया जा सकता है, उन्हें फ़िश किया जा सकता है, लीक किया जा सकता है, या बेचा जा सकता है। यह वर्षों से पासवर्ड सुरक्षा की लगातार बनी रहने वाली संरचनात्मक कमजोरियों में से एक रहा है.

पासकीज़ के समर्थकों का तर्क है कि यही वह चीज़ है जिसे वे बेहतर करती हैं। प्रमाणीकरण में डिवाइस केंद्रीय बन जाता है, और लॉगिन के दौरान क्रेडेंशियल उसी तरह उजागर नहीं होता। स्रोत के पाठक जवाब इसे “unphishable” कहते हैं, जो एक मजबूत शब्द है, लेकिन यह आकर्षण को पकड़ता है: उपयोगकर्ता अब किसी ऐसे बॉक्स में फिर से उपयोग किए जाने योग्य रहस्य नहीं टाइप कर रहा जिसे नकल किया जा सके या बीच में पकड़ा जा सके.

इसका यह मतलब नहीं कि उपयोगकर्ता की जिम्मेदारी खत्म हो जाती है। वास्तव में, स्रोत स्पष्ट करता है कि डिवाइस की सुरक्षा और भी महत्वपूर्ण हो जाती है। एक जवाब में यादृच्छिक संख्याओं से बने मजबूत 10-अंकीय PIN का उपयोग करने और iPhone पर Apple की Stolen Device Protection या Android पर Identity Check जैसी अतिरिक्त सुरक्षा सक्षम करने की सलाह दी गई है। अधिक जोखिम वाले उपयोगकर्ताओं के लिए, Lockdown Mode या Advanced Protection Mode जैसे अन्य सख्तीकरण उपकरणों का भी उल्लेख किया गया है.

चोरी हुए फोन पर आपत्ति वास्तविक है, लेकिन सीमित

पासकीज़ पर सबसे सहज आपत्ति भी सबसे सरल है: अगर कोई फोन चुरा ले तो क्या होगा? दिए गए जवाब इस चिंता को खारिज नहीं करते। इसके बजाय, वे तर्क देते हैं कि चोरी का जोखिम अधिक संकीर्ण है और दूरस्थ क्रेडेंशियल समझौते की तुलना में अधिक दिखाई देता है.

चोरी हुआ फोन एक गंभीर घटना है, लेकिन आम तौर पर यह जल्दी पता चल जाती है। एक जवाब बताता है कि उपयोगकर्ता डिवाइस के खो जाने के बाद अपने खातों पर पासकीज़ को निरस्त कर सकते हैं। इसके विपरीत, चोरी किया गया या फ़िश किया गया पासवर्ड लंबे समय तक दुरुपयोग किया जा सकता है, इससे पहले कि पीड़ित को पता चले कि कुछ गलत है। यह अंतर महत्वपूर्ण है। सुरक्षा केवल इस बारे में नहीं है कि उल्लंघन संभव है या नहीं। यह भी इस बारे में है कि हमले की सतह कितनी व्यापक है, हमला कितना आसानी से बड़े पैमाने पर किया जा सकता है, और उपयोगकर्ता कितनी जल्दी प्रतिक्रिया दे सकता है.

दूसरे शब्दों में, पासकीज़ एक प्रकार के जोखिम को छोटे और अधिक नियंत्रित जोखिम से बदलती हुई दिखती हैं। दूरस्थ हमले वैश्विक स्तर पर शुरू किए जा सकते हैं। भौतिक चोरी के लिए निकटता, सही समय, और अक्सर डिवाइस तक अतिरिक्त पहुंच की आवश्यकता होती है। इससे खतरा खत्म नहीं होता, लेकिन इससे परिस्थितियाँ उपयोगकर्ता के पक्ष में बदलती हैं.

सुविधा भी सुरक्षा कहानी का हिस्सा है

पासवर्ड प्रणालियाँ इसलिए भी कमजोर बनी रहती हैं क्योंकि व्यवहार से जुड़ा मुद्दा है। लोग पासवर्ड दोहराते हैं, कमजोर पासवर्ड चुनते हैं, या भरोसेमंद दिखने वाले लॉगिन संकेतों के झांसे में आ जाते हैं क्योंकि यह प्रणाली झंझट भरी है। पासकीज़ एक अलग बातचीत पैटर्न का वादा करती हैं। PIN या बायोमेट्रिक तरीके से फोन अनलॉक करना आसान लगता है, और सुरक्षा डिजाइन में, यदि इससे गलतियाँ कम होती हैं, तो आसान होना बेहतर हो सकता है.

दिए गए संवाद में यही व्यावहारिक तर्क दिखता है, भले ही वह औपचारिक तकनीकी मानक के बजाय एक पाठक मंच से आया हो। स्रोत में समर्थक मूलतः यह कह रहे हैं कि पासकीज़ मजबूत क्रिप्टोग्राफ़िक सुरक्षा को उस उपयोगकर्ता व्यवहार के साथ जोड़ती हैं जिसे लोग वास्तव में सहन करेंगे। लंबे पासवर्ड, नियमित रीसेट, और परतदार कोड के साथ यह संयोजन हासिल करना कठिन है.

फिर भी एक विश्वास-परिवर्तन जारी है। बहुत से उपयोगकर्ता स्वाभाविक रूप से महसूस करते हैं कि याद किया गया पासवर्ड चेहरे के तेज़ स्कैन या फोन PIN से अधिक ठोस होता है। लेकिन यदि पारंपरिक पासवर्ड को फ़िश किया जा सकता है, कॉपी किया जा सकता है, या किसी उल्लंघन में उजागर किया जा सकता है, तो यह धारणा उलटी पड़ सकती है। जो सुरक्षा जटिल लगती है, वह हमेशा संरचनात्मक रूप से अधिक मजबूत सुरक्षा नहीं होती.

उपभोक्ता सुरक्षा सोच में एक महत्वपूर्ण बदलाव

दिया गया स्रोत दिखाता है कि पासकी बातचीत विशेषज्ञ हलकों से बाहर भी क्यों असर कर रही है। लोग केवल यह नहीं पूछ रहे कि तकनीक काम करती है या नहीं। वे यह पूछ रहे हैं कि एक सरल क्रिया, उन जटिल रस्मों से अधिक सुरक्षित क्यों हो सकती है जिन्हें वर्षों तक अपनाने को कहा गया था.

उपलब्ध सामग्री के आधार पर उत्तर यह है कि पासकीज़ का लक्ष्य पासवर्ड प्रणालियों के केंद्र में मौजूद साझा-रहस्य की कमजोरी को हटाना और व्यापक, दूरस्थ हमले के तरीकों के प्रति जोखिम कम करना है। वे चोरी को असंभव नहीं बनातीं, और वे उपयोगकर्ताओं से अपने डिवाइस को गंभीरता से सुरक्षित रखने की मांग करती हैं। लेकिन समर्थकों का तर्क है कि यह फिर भी एक सुधार है, क्योंकि यह जोखिम को सीमित करती है, फ़िशिंग जोखिम कम करती है, और डिवाइस खो जाने पर उपयोगकर्ताओं को जल्दी प्रतिक्रिया देने देती है.

इसीलिए पासकीज़ को संस्थागत समर्थन मिल रहा है। वादा कोई जादू नहीं है। यह एक संकरी हमले की सतह और लॉगिन व्यवहार के जरिए उपयोगकर्ता के खिलाफ जाने के कम तरीके हैं.

यह लेख The Guardian की रिपोर्टिंग पर आधारित है। मूल लेख पढ़ें.