Passkey क्या है? Password के बिना Login कैसे करें और यह कितना सुरक्षित है?

आज इंटरनेट पर हमारी पहचान कई अलग-अलग Accounts से जुड़ी हुई है। Email, Social Media, Shopping, Banking और दूसरी Online Services के लिए अलग-अलग Password रखना पड़ता है। समस्या तब शुरू होती है जब Password याद रखना मुश्किल हो जाए या किसी Phishing Website के जरिए Password चोरी हो जाए। इसी समस्या के समाधान के तौर पर Passkey तेजी से लोकप्रिय हो रहा है। Passkey में बार-बार Password लिखने की जरूरत नहीं पड़ती। Login के लिए Smartphone या Computer का Fingerprint, Face Unlock या PIN इस्तेमाल किया जा सकता है। लेकिन Passkey क्या है और यह कैसे काम करता है? इसके पीछे FIDO Alliance, FIDO2, WebAuthn और CTAP जैसी तकनीकों की क्या भूमिका है? आइए इसे आसान भाषा में समझते हैं।

Passkey क्या है?

Passkey एक passwordless login credential है, जिसका इस्तेमाल किसी website या app में password टाइप किए बिना login करने के लिए किया जा सकता है। जब आप किसी Account के लिए Passkey बनाते हैं, तो आपके Device या Passkey Provider के सुरक्षित हिस्से में एक Cryptographic Credential तैयार होता है। Login के समय इसकी पुष्टि आपके Device के Fingerprint, Face Unlock या Screen Lock PIN से हो सकती है।

इसे सरल भाषा में समझें तो Password याद रखने की जगह → Device को सुरक्षित रखें → Fingerprint/Face/PIN से Login करें।

Passkey के पीछे Public-Key Cryptography का इस्तेमाल होता है, इसलिए यह सामान्य Password-based Login से अलग तरीके से काम करता है।

Passkey कैसे काम करता है?

Passkey को समझने के लिए सबसे पहले Public Key और Private Key को समझना जरूरी है। Passkey तैयार करते समय दो Cryptographic Keys का इस्तेमाल होता है:

1. Private Key: यह आपके Device या Passkey Provider के सुरक्षित हिस्से में रहती है।
2. Public Key: इसे संबंधित Website या Service के साथ Register किया जाता है।

जब आप किसी Account पर Login करते हैं, तो Website एक Authentication Challenge भेजती है। आपका Device अपनी Private Key का उपयोग करके उस Challenge का जवाब देता है। Website उपलब्ध Public Key की मदद से इसकी पुष्टि करती है।

इस पूरी प्रक्रिया में आपको अपना Private Key या कोई लंबा Password याद रखने की जरूरत नहीं होती।

एक आसान उदाहरण समझें तो मान लीजिए आपने किसी Website पर Passkey बना लिया। अगली बार Login करते समय प्रक्रिया कुछ इस तरह हो सकती है:

Website खोलें → Login चुनें → Passkey चुनें → Fingerprint/Face/PIN से पुष्टि करें → Account खुल जाए। यानी Password टाइप करने की जरूरत नहीं पड़ती।

क्या Fingerprint या Face Data Website को भेजा जाता है?

यह Passkey से जुड़ा एक महत्वपूर्ण सवाल है। Passkey Authentication में Fingerprint या Face Unlock का इस्तेमाल आमतौर पर आपके Device पर आपकी पहचान की पुष्टि करने के लिए होता है। Website को आपके वास्तविक Biometric Data की जरूरत नहीं होती। Website को इसके बजाय Cryptographic Authentication से यह पुष्टि मिलती है कि सही Credential के माध्यम से Login किया गया है। इसलिए Passkey को केवल "Fingerprint से Login" समझना सही नहीं है। Fingerprint या Face Unlock User Verification का तरीका हो सकता है, जबकि Passkey के पीछे Public-Key Cryptography काम करती है।

FIDO Alliance क्या है?

FIDO Alliance एक Industry Organization है, जो मजबूत और Passwordless Authentication के लिए Standards और Specifications विकसित करती है। FIDO का पूरा नाम Fast Identity Online है एवं Passkeys के विकास और Standardization में इसकी महत्वपूर्ण भूमिका है।

इसे आसान तरीके से ऐसे समझ सकते हैं:

FIDO Alliance → Standards → FIDO2 → WebAuthn + CTAP → Passkey

यहां हर Term की अपनी अलग भूमिका है।

FIDO2 क्या है?

FIDO2 Passwordless और मजबूत Authentication के लिए विकसित किए गए Standards और Protocols का एक Ecosystem है।

FIDO2 में मुख्य रूप से दो महत्वपूर्ण तकनीकी हिस्से शामिल हैं:

• WebAuthn
• CTAP

FIDO2 का उद्देश्य Websites, Apps, Browsers, Devices और Authenticators के बीच सुरक्षित Authentication को संभव बनाना है।

ध्यान देने वाली बात यह है कि FIDO2 और Passkey एक ही चीज नहीं हैं।

FIDO2 को तकनीकी Framework/Ecosystem के रूप में समझा जा सकता है, जबकि Passkey User के लिए इस्तेमाल होने वाला Credential है।

 WebAuthn क्या है?

WebAuthn यानी Web Authentication एक Web Standard/API है, जो Websites को Public-Key Credentials के माध्यम से Users की पहचान Verify करने की सुविधा देता है। जब कोई Website, Passkey या FIDO-based Authentication Support करती है, तो WebAuthn, Browser और Website के बीच Authentication प्रक्रिया में महत्वपूर्ण भूमिका निभा सकता है।

सरल भाषा में WebAuthn, Website को सुरक्षित Public-Key Authentication उपलब्ध कराने वाला Web Standard/API है। WebAuthn को W3C द्वारा standardize किया गया है और यह FIDO ecosystem के साथ मिलकर काम करता है।

 

CTAP क्या है?

CTAP यानी Client to Authenticator Protocol FIDO ecosystem का एक Protocol है। यह Client Device और Authenticator के बीच Communication में मदद करता है।

उदाहरण के लिए, External Security Key जैसे Authenticator के साथ Authentication करते समय CTAP महत्वपूर्ण भूमिका निभा सकता है।

इस तरह WebAuthn और CTAP की भूमिकाएं अलग हैं, लेकिन दोनों FIDO2 Authentication ecosystem का हिस्सा हैं।

Password और Passkey में क्या अंतर है?

विशेषता	Password	Passkey
Password याद रखना	जरूरी	नहीं
Login में Typing	आमतौर पर जरूरी	आमतौर पर नहीं
Fingerprint/Face	वैकल्पिक	User Verification में इस्तेमाल हो सकता है
Phishing Risk	Password चोरी होने पर जोखिम	Password-based phishing के प्रति बेहतर प्रतिरोध
Password Reuse	संभव	लागू नहीं
Cryptography	सामान्यतः Password आधारित	Public-Key Cryptography
User Experience	Password पर निर्भर	अधिक आसान हो सकता है

Passkey का एक बड़ा अंतर यह है कि इसमें Website पर सामान्य Password जैसा Secret दर्ज करके Authentication नहीं किया जाता।

Passkey Phishing से कैसे बचाता है?

Phishing में Cybercriminals अक्सर नकली Website या Login Page बनाकर User से Password हासिल करने की कोशिश करते हैं।

Passkey में Authentication Cryptographic Credential के आधार पर होता है और Credential Website/Service से जुड़ा होता है। इसलिए किसी नकली Login Page पर सामान्य Password की तरह Secret बताकर उसे चुराने वाला तरीका Passkey के साथ उसी तरह काम नहीं करता।

यही कारण है कि Passkeys को Phishing-resistant Authentication की दिशा में महत्वपूर्ण तकनीक माना जाता है।

हालांकि इसका अर्थ यह नहीं है कि Passkey इस्तेमाल करने के बाद हर प्रकार का Cybersecurity खतरा खत्म हो जाता है। Device Security, Account Recovery और दूसरे Security Risks के प्रति सावधानी अभी भी जरूरी है।

क्या Passkey सुरक्षित है?

Passkey का डिजाइन Password-based Authentication की कई सामान्य समस्याओं को कम करने के लिए किया गया है। इसके प्रमुख सुरक्षा लाभों में शामिल हैं:-

1. Password याद रखने की जरूरत कम

2. Password चोरी का जोखिम कम

3. Phishing के खिलाफ बेहतर सुरक्षा

4. Device-based Verification

लेकिन आज Cyber Security की चुनौतियां केवल Password तक सीमित नहीं हैं। Artificial Intelligence के बढ़ते इस्तेमाल के साथ Security के नए सवाल भी सामने आ रहे हैं। Google Gemini AI के Cyber Security Test से जुड़े हमारे लेख में बताया गया है कि AI-आधारित तकनीकें Cyber Security के क्षेत्र में किस तरह नए अवसर और चुनौतियां पैदा कर रही हैं।

क्या Passkey हर Smartphone और Computer में चलता है?

Passkey Support अब कई आधुनिक Operating Systems, Browsers और Websites में उपलब्ध है, लेकिन हर Website और हर पुराने Device पर इसकी सुविधा जरूरी नहीं है।

Passkey का अनुभव इन चीजों पर निर्भर कर सकता है:

• Smartphone का Operating System
• Computer का Operating System
• Web Browser
• Website या App
• Passkey Provider
• Account Recovery व्यवस्था

इसलिए किसी Website पर Passkey का विकल्प दिखाई न दे तो इसका मतलब यह नहीं कि आपके Device में समस्या है। हो सकता है संबंधित Service ने अभी Passkey Support उपलब्ध न कराया हो।

Passkey का इस्तेमाल कैसे करें?

यदि कोई Website Passkey Support करती है, तो सामान्य प्रक्रिया कुछ इस तरह हो सकती है:

Step 1: अपने Account में Login करें।

Step 2: Security या Account Settings में जाकर Passkey का विकल्प खोजें।

Step 3: नया Passkey बनाएं।

Step 4: Device आपसे Fingerprint, Face Unlock या PIN से पुष्टि करने के लिए कह सकता है।

Step 5: Passkey तैयार होने के बाद अगली बार Login करते समय Passkey का इस्तेमाल किया जा सकता है।

ध्यान रखें कि अलग-अलग Websites और Devices में विकल्पों के नाम और प्रक्रिया अलग हो सकते हैं।

 

Passkey के साथ Device Security क्यों जरूरी है?

Passkey Password की जरूरत कम करता है, लेकिन इसका मतलब यह नहीं कि Smartphone या Computer की Security को नजरअंदाज किया जा सकता है। अगर आपके Device में मजबूत Screen Lock नहीं है, तो Device Security कमजोर हो सकती है। इसलिए:

1. मजबूत Screen Lock इस्तेमाल करें।
2. Fingerprint/Face Unlock को सुरक्षित रखें।
3. Operating System को Update रखें।
4. केवल भरोसेमंद Apps और Websites का इस्तेमाल करें।
5. Account Recovery Options को सुरक्षित रखें।
6. अपना Device किसी अनजान व्यक्ति को अनलॉक अवस्था में न दें।

 Passkey की सीमाएं क्या हैं?

जैसे हर चीज के अपने फायदे और नुकसान होते है ठीक उसी प्रकार Passkey के कई फायदे हैं, लेकिन इसकी कुछ सीमाएं भी हैं।

पहली, हर Website और App अभी Passkey Support नहीं करती है। दूसरी, अलग-अलग Operating Systems और Passkey Providers में प्रक्रिया अलग हो सकती है। तीसरी, Device खोने या बदलने की स्थिति में Account Recovery महत्वपूर्ण हो जाती है।  चौथी, User को अपने Device और Account की Security का ध्यान रखना अभी भी जरूरी है।

इसलिए Passkey को एक मजबूत Authentication विकल्प के रूप में देखना चाहिए, न कि Cybersecurity की हर समस्या का अकेला समाधान के रूप में।

 

Passkey का भविष्य क्या है?

Internet पर Accounts की संख्या बढ़ने के साथ Authentication भी महत्वपूर्ण होता जा रहा है। Users के लिए दर्जनों Password याद रखना आसान नहीं है और कमजोर या Reused Password सुरक्षा जोखिम पैदा कर सकते हैं। Passkey इसी समस्या का एक आधुनिक समाधान है। इसमें User Experience को सरल बनाने के साथ Public-Key Cryptography का इस्तेमाल किया जाता है। यदि अधिक Websites और Apps Passkey Support अपनाती हैं, तो भविष्य में Password-based Login पर निर्भरता कम हो सकती है।

 

निष्कर्ष

Passkey क्या है? इसे आसान भाषा में समझें तो यह एक ऐसा आधुनिक Login Credential है, जिसकी मदद से आप Password टाइप किए बिना किसी Supported Website या App में Login कर सकते हैं। इसके पीछे Public-Key Cryptography काम करती है, जबकि Fingerprint, Face Unlock या PIN आपकी Device-level पहचान की पुष्टि करने में मदद कर सकते हैं।

Passkey की पूरी तकनीक को समझने के लिए FIDO Alliance, FIDO2, WebAuthn और CTAP महत्वपूर्ण हैं। इनकी मदद से आधुनिक Passwordless Authentication का पूरा Ecosystem तैयार होता है।

Password याद रखने और बार-बार टाइप करने की परेशानी को कम करने के साथ Passkey Phishing जैसे कुछ सामान्य खतरों के खिलाफ भी बेहतर सुरक्षा प्रदान कर सकता है।

 

 

अक्सर पूछे जाने वाले सवाल (FAQ)

Passkey क्या है?

Passkey एक Passwordless Authentication Credential है, जिसका इस्तेमाल Fingerprint, Face Unlock या PIN जैसी Device Verification के माध्यम से Login करने के लिए किया जा सकता है।

क्या Passkey Password से सुरक्षित है?

Passkey का Public-Key आधारित डिजाइन Password चोरी और सामान्य Phishing जैसे कुछ खतरों के खिलाफ बेहतर सुरक्षा प्रदान करता है। हालांकि कोई भी Authentication Technology हर प्रकार के Cybersecurity खतरे से पूरी तरह सुरक्षित नहीं होती।

क्या Passkey के लिए Fingerprint जरूरी है?

नहीं। Fingerprint केवल एक User Verification तरीका है। Device के अनुसार Face Unlock, PIN या अन्य सुरक्षित Verification Method उपलब्ध हो सकता है।

क्या Website को मेरा Fingerprint मिलता है?

सामान्य Passkey Authentication में Biometric Data का इस्तेमाल Device पर User Verification के लिए होता है। Website को आपका वास्तविक Fingerprint या Face Data भेजना आवश्यक नहीं होता।

FIDO2 और Passkey में क्या अंतर है?

FIDO2 Authentication Standards और Protocols का Ecosystem है, जबकि Passkey उस तकनीकी व्यवस्था पर आधारित User-facing Credential है।

 

स्रोत

1. FIDO Alliance – Passkeys
2. FIDO Alliance – Specifications Overview
3. FIDO Alliance – Specifications
4. W3C – Web Authentication (WebAuthn) Level 3