Passkey क्यों मायने रखते हैं (भले ही आपके पास पहले से पासवर्ड हो)
ज़्यादातर इन्वेंट्री लॉगिन आज भी बीस साल पहले जैसा ही शुरू होते हैं: एक ईमेल और एक पासवर्ड। यह एक साझा सीक्रेट है। आप उसे टाइप करते हैं, साइट उसे जाँचती है, और जो कोई भी उसे जान ले वह आप बनकर घूम सकता है। फ़िशिंग पेज, दूसरे ब्रीच से दोबारा इस्तेमाल किए गए लॉगिन, और इन्फोस्टीलर मैलवेयर इसलिए काम करते हैं क्योंकि वह सीक्रेट आपके दिमाग से निकलकर नेटवर्क पर यात्रा कर सकता है।
Verizon की 2026 Data Breach Investigations Report अभी भी लगभग 36% ब्रीच में चोरी हुए क्रेडेंशियल का इस्तेमाल पाती है। क्रेडेंशियल स्वयं चोरी डेटा के रूप में एक चौथाई से अधिक ब्रीच में दिखते हैं। “मानवीय तत्व” (फ़िशिंग, गलतियाँ, सोशल इंजीनियरिंग) करीब पाँच में से तीन ब्रीच में है। पासवर्ड अंदर आने का अकेला रास्ता नहीं है, लेकिन अब भी एक भरोसेमंद रास्ता है।
Passkey असल में क्या है
Passkey एक FIDO2 / WebAuthn क्रेडेंशियल है: आपके डिवाइस पर (या किसी पासवर्ड मैनेजर या हार्डवेयर सिक्योरिटी की पर) एक खास वेबसाइट के लिए बनाई गई पब्लिक/प्राइवेट कुंजी जोड़ी। साइट पब्लिक कुंजी रखती है। प्राइवेट कुंजी ऑथेंटिकेटर से कभी बाहर नहीं जाती। साइन इन करते समय साइट एक बार वाला चैलेंज भेजती है। आपका डिवाइस प्राइवेट कुंजी को उसी तरह अनलॉक करता है जैसे आप फ़ोन या लैपटॉप खोलते हैं (Windows Hello, Face ID, PIN, सिक्योरिटी की का टच) और चैलेंज पर साइन करता है। साइट सिग्नेचर जाँचती है। बस।
याद रखने, दोबारा इस्तेमाल करने, या पेस्ट करने के लिए कोई पासवर्ड नहीं है। हमारे डेटाबेस में ऐसा कोई सीक्रेट भी नहीं बैठा है जो किसी के कॉपी कर लेने पर काम आए। लीक हुई पब्लिक कुंजी से कोई लॉगिन नहीं कर सकता।
FIDO Alliance “passkey” को “password” की तरह एक सामान्य संज्ञा मानता है। सिंक किए गए passkey आपके Apple, Google, या मैनेजर खाते के साथ चलते हैं। डिवाइस-बाउंड passkey (FIDO सिक्योरिटी की सहित) एक ऑथेंटिकेटर पर रहते हैं। दोनों passkey हैं। रोज़मर्रा के लिए ज़्यादातर लोग सिंक वाला रूप इस्तेमाल करेंगे। डिवाइस-बाउंड वाला तब सख़्त विकल्प है जब आप चाहें कि प्राइवेट कुंजी हार्डवेयर के टुकड़े से कभी बाहर न जाए।
फ़िशिंग क्यों टकराकर लौट जाती है
अहम गुण बायोमेट्रिक नहीं है। यह origin बाइंडिंग है। जब passkey
बनती है, ब्राउज़र असली साइट रिकॉर्ड करता है (relying-party ID, यानी डोमेन)। साइन-इन पर
ऑथेंटिकेटर उस passkey का इस्तेमाल तभी करेगा जब अनुरोध उसी डोमेन से आए।
simpleinventorymanagement.example पर कोई दिखने में मिलती-जुलती साइट
simpleinventorymanagement.com के लिए रजिस्टर की गई passkey नहीं चला सकती।
डिवाइस मना कर देता है। नकली पेज पर “पुष्टि” करने का मौका भी नहीं मिलता।
CISA और NIST की भाषा में “फ़िशिंग-प्रतिरोधी” का यही मतलब है: ऑथेंटिकेटर आपकी साइट का रूप धरने वाली साइट को कोई इस्तेमाल योग्य सीक्रेट नहीं सौंपेगा। यूके National Cyber Security Centre ने FIDO2 क्रेडेंशियल की तुलना पासवर्ड और पारंपरिक MFA (पासवर्ड प्लस SMS, ऐप कोड, या पुश) से की। Adversary-in-the-middle फ़िशिंग के ख़िलाफ़ पारंपरिक MFA अभी भी कमज़ोर है। FIDO2 नहीं है। SMS कोड और “इस लॉगिन को स्वीकार करें” प्रॉम्प्ट रियल टाइम में रिले हो सकते हैं। Passkey नहीं हो सकती, क्योंकि सिग्नेचर असली origin से बंधा होता है।
NIST की Digital Identity Guidelines (SP 800-63B-4) अब आश्वासन स्तर 2 की सेवाओं से एक फ़िशिंग-प्रतिरोधी विकल्प प्रस्तावित करने को कहती हैं, और स्तर 3 पर फ़िशिंग प्रतिरोध ज़रूरी करती हैं। CISA FIDO/WebAuthn (सिक्योरिटी की और passkey) और PKI स्मार्ट कार्ड को वे विधियाँ मानती है जो सचमुच योग्य हैं। पुश नोटिफ़िकेशन, ईमेल कोड, और SMS योग्य नहीं हैं।
स्टफिंग, लीक, और “मैंने यूनिक पासवर्ड इस्तेमाल किया”
एक यूनिक, लंबा पासवर्ड भी असफल हो जाता है अगर वह गलत साइट पर टाइप हो, या लैपटॉप पर मैलवेयर टाइप करते समय उसे पढ़ ले। क्रेडेंशियल स्टफिंग इसलिए चलती है क्योंकि लोग साइटों पर पासवर्ड दोहराते हैं; कहीं और की लीक यहाँ लॉगिन बन जाती है। हाल के Verizon रिपोर्टिंग में इन्फोस्टीलर लॉग अनमैनेज्ड डिवाइस पर कॉर्पोरेट ईमेल को निजी ईमेल के साथ मिलाकर दिखाते रहते हैं। इनमें से कोई हमला हमारे डोमेन पर इस्तेमाल की जा सकने वाली प्राइवेट कुंजी नहीं बनाता।
World Passkey Day 2025 के लिए FIDO Alliance के उपभोक्ता सर्वे में पाया गया कि 36% लोगों का कम से कम एक खाता पासवर्ड की वजह से हैक हो चुका था। घबराने की वजह नहीं है। यह इस बात की वजह है कि लॉगिन सीक्रेट को ऐसा न रखा जाए जिसे किसी व्यक्ति को धोखे से टाइप कराया जा सके।
यह क्या नहीं है
- पूरी तरह कब्जे वाले लैपटॉप के ख़िलाफ़ जादू नहीं। अगर मैलवेयर पहले से आपके रूप में चल रहा है, तो वह वह सब दुरुपयोग कर सकता है जिसे आप अनलॉक कर सकते हैं, कुछ सिंक किए गए passkey स्टोर सहित। Passkey रिमोट फ़िशिंग की बाधा बढ़ाते हैं। वे डिवाइस स्वच्छता की जगह नहीं लेते।
- SSO छोड़ने की वजह नहीं। अगर आपकी कंपनी SAML ज़रूरी करती है, तो वही जीतता है। Passkey उन खातों के लिए हैं जो यहाँ सीधे साइन इन करते हैं। वे सत्यापित डोमेन पर SSO अनिवार्य करने को बायपास नहीं करते।
- पासवर्ड के ऊपर दूसरा फ़ैक्टर नहीं। Passkey एक प्राथमिक साइन-इन है। पासवर्ड लॉगिन पर दूसरा चरण चाहिए तो हमारे पहले से समर्थित ऑथेंटिकेटर-ऐप 2FA रखें। Passkey को वह दूसरा चरण न समझें।
- अपने आप को बाहर नहीं करता। पासवर्ड रखें (और कंपनी के लिए SSO) ताकि खोया फ़ोन असुविधा हो, लॉकआउट न हो। हो सके तो एक से ज़्यादा passkey रजिस्टर करें: लैपटॉप प्लस फ़ोन, या बैकअप के रूप में हार्डवेयर की।
SSO के साथ passkey कहाँ बैठते हैं
SAML सिंगल साइन-ऑन तब भी सही कदम है जब कोई कंपनी पहले से Okta, Entra ID, या Google Workspace में रहती है। IdP सामने का दरवाज़ा बन जाता है: ऑफ़बोर्डिंग एक स्विच है, और MFA नीति एक जगह रहती है। Passkey बाकी सबकी मदद करते हैं, और उस मालिक की भी जो अभी IdP के पीछे नहीं है: वही व्यक्ति जो वरना उस इन्वेंट्री ऐप पर पासवर्ड दोहराएगा जिसमें सप्लायर लागत, स्टॉक पोज़िशन, और ऑर्डर इतिहास हैं।
इन्वेंट्री परिचालन डेटा है। चोरी हुआ लॉगिन सिर्फ़ “किसी ने गिनती देख ली” नहीं है। यह कोई है जो स्टॉक समायोजित कर सकता है, ऑर्डर पूरे कर सकता है, या चुपचाप पढ़ सकता है कि आप क्या खरीदते हैं और क्या चुकाते हैं। उस लॉगिन को फ़िशिंग-प्रतिरोधी बनाना वही प्रवृत्ति है जो स्टॉकरूम ताला लगाने की है। फ़र्क यह है कि इंटरनेट पर नकली स्टॉकरूम ताला नहीं खोल सकता।
शुरू कैसे करें
- हमेशा की तरह साइन इन करें, फिर खाता सेटिंग में Passkeys खोलें।
- जिस डिवाइस का आप सचमुच इस्तेमाल करते हैं उस पर एक passkey जोड़ें। बाद में पहचान आने वाला नाम दें।
- हो सके तो दूसरी भी जोड़ें (फ़ोन और लैपटॉप, या हार्डवेयर की)।
- अगली विज़िट पर “Passkey से साइन इन करें” इस्तेमाल करें, या ब्राउज़र को ईमेल फ़ील्ड में एक ऑफ़र करने दें।
आपका पासवर्ड अभी भी है। यह एक अतिरिक्त दरवाज़ा है, पुराने को गिराना नहीं। खातों और AI कनेक्शन की रक्षा के बाकी तरीके सुरक्षा पेज पर देखें।