पासकी बनाम पासवर्ड: इनमें क्या अंतर है?

जब भी हम किसी खाते में लॉगइन करते हैं या कोई डिवाइस अनलॉक करते हैं, तो ये साबित करना पड़ता है कि हमें उसका एक्सेस करने की अनुमति है। पहले ये सबूत पासवर्ड की शक्ल में होता था: एक गुप्त स्ट्रिंग जिसे हमें याद रखना पड़ता था या पासवर्ड मैनेजर में स्टोर करना पड़ता था।

पासकी पासवर्ड से इस तरह अलग है कि इसमें एक्सेस किसी भौतिक चीज़ से जुड़ा होता है, जैसे आपके फोन, लैपटॉप, या सिक्योरिटी की पर स्टोर किया गया क्रिप्टोग्राफिक टोकन, साथ में एक बायोमेट्रिक फैक्टर, जैसे फिंगरप्रिंट या चेहरे का स्कैन।

इस अंतर को बताने का एक आम तरीका ये है:

• पासवर्ड = वो चीज़ जो आप जानते हैं
• पासकी = वो चीज़ जो आपके पास है + आप कौन हैं

हालांकि दोनों तरीकों से आपको एक्सेस मिलता है, लेकिन इस मकसद को हासिल करने के तरीके अलग-अलग हैं और इनका सुरक्षा और सुविधा पर काफी असर पड़ सकता है।

पासकी क्या है?

पासकी एक पासवर्ड जैसी है, जो आपके डिवाइस पर रहती है और जिन खातों में आप लॉगइन करते हैं, वे क्रिप्टोग्राफी की मदद से वेरिफाई कर सकते हैं। पासकियां FIDO2 स्टैंडर्ड (जिसे FIDO Alliance(नई विंडो) ने तय किया है) और WebAuthn एपीआई पर आधारित हैं।

ये इस तरह काम करती है:

जब पासकी बनाई जाती है, तो आपका पासवर्ड मैनेजर क्रिप्टोग्राफिक चाबियों का एक जोड़ा बनाता है: एक सार्वजनिक चाबी और एक निजी चाबी।

• सार्वजनिक चाबी उस सर्विस के साथ शेयर की जाती है जिसमें आप रजिस्टर कर रहे हैं।
• निजी चाबी आपके पासवर्ड मैनेजर या डिवाइस पर रहती है और कभी वहां से बाहर नहीं जाती।

लॉगइन के वक़्त सर्विस एक रैंडम चैलेंज भेजती है। आपका डिवाइस उस चैलेंज को अपनी निजी चाबी से साइन करता है, जिससे एक जवाब बनता है जो सिर्फ मैचिंग निजी चाबी ही बना सकती है। फिर सर्विस पहले से स्टोर की गई सार्वजनिक चाबी से हस्ताक्षर की जांच करती है, जिससे पक्का होता है कि आप उस खाते के सही धारक हैं।

क्योंकि निजी चाबी कभी आपके डिवाइस से बाहर नहीं जाती, इसलिए फिशिंग साइट आपको धोखा देकर उसे हासिल नहीं कर सकती, जिससे पासकियां अपने-आप फिशिंग के खिलाफ सुरक्षित होती हैं।

पासकियों के बारे में और पढ़ें

सुरक्षा की तुलना: पासकी बनाम पासवर्ड

आप पासवर्ड इस्तेमाल करते हैं या पासकी, ये कई चीज़ों पर निर्भर करता है। हर वेबसाइट पासकी का विकल्प नहीं देती। लेकिन जो वेबसाइट देती हैं, उनके लिए उस तरफ शिफ्ट होने पर विचार करने के कई कारण हैं।

पासकियों को पासवर्ड से ज़्यादा सुरक्षित माना जाता है क्योंकि सीक्रेट की कभी आपके डिवाइस से बाहर नहीं जाती। भले ही कोई आपको फेक साइट से धोखा दे, नेटवर्क ट्रैफिक चुरा ले, या ब्रूट-फोर्स अटैक की कोशिश करे, वो निजी चाबी तक नहीं पहुंच सकता, क्योंकि वो आपके फोन, कंप्यूटर, या सिक्योरिटी-की डोंगल के अंदर रहती है। जब तक आप डिवाइस को PIN, फिंगरप्रिंट, या दो-फैक्टर सत्यापन (2-एफए) के किसी और रूप से सुरक्षित रखते हैं और पास के एक भरोसेमंद रिकवरी तरीका रखते हैं, पासकी आपको साधारण पासवर्ड से कहीं बेहतर और ज़्यादा फिशिंग-प्रूफ सुरक्षा सेटअप देती है।

पासकी की उपयोगिता और उपयोगकर्ता अनुभव

पासकी इस्तेमाल करने के सुरक्षा फायदों के अलावा, और भी फायदे हैं:

• पासकियां लॉगइन को तेज़ बना देती हैं क्योंकि सत्यापन की प्रक्रिया सिर्फ एक टैप या एक नज़र तक सीमित हो जाती है, जिससे पासवर्ड मैन्युअली दर्ज करने या भूले हुए पासवर्ड रीसेट करने की झंझट हट जाती है।

• कई पासवर्ड मैनेजर पासकियों को आपके सभी डिवाइस पर सुरक्षित तरीके से सिंक कर सकते हैं। इसके नतीजे के तौर पर, स्मार्टफोन पर बनाई गई पासकी को लैपटॉप, टैबलेट, या किसी और फोन पर इस्तेमाल किया जा सकता है, बिना दोबारा रजिस्ट्रेशन के। Proton Pass किसी भी प्लैटफॉर्म या डिवाइस पर काम करता है, इसलिए आप किसी भी वेबसाइट पर पासकियां इस्तेमाल कर सकते हैं जो उनकी सहायता देती है।

पासकी की कमियां और खास स्थितियां

हालांकि पासकियां मज़बूत सुरक्षा और बिना रुकावट वाला लॉगइन अनुभव देती हैं, ये कोई जादुई हल नहीं हैं। अब भी कुछ स्थितियां हैं जहां पासकी इस्तेमाल करने में चुनौतियां आ सकती हैं।

डिवाइस खोना और रिकवरी

अगर जिस डिवाइस पर आपकी पासकी स्टोर है वो खो जाए, चोरी हो जाए, या खराब हो जाए, तो एक्सेस वापस पाने के लिए आपको बैकअप के तरीकों पर निर्भर रहना पड़ेगा। पासकी रिकवर करने के लिए अक्सर किसी दूसरे डिवाइस या रिकवरी फ्रेज़ की ज़रूरत पड़ती है, इसलिए अगर आपके पास अच्छी तरह डिज़ाइन की हुई रिकवरी प्रक्रिया नहीं है, तो आप अपने खातों का एक्सेस खो सकते हैं।

अपनाने में कमी

कुछ वेबसाइटों और ऐप्लिकेशन ने वो WebAuthn/FIDO2 स्टैंडर्ड लागू नहीं किए हैं जिन पर पासकियां चलती हैं। जो लागू करती हैं, उनमें भी पासकी की सहायता सिर्फ कुछ इकोसिस्टम या ऑपरेटिंग सिस्टम तक सीमित हो सकती है।

पुराने हार्डवेयर की सीमाएं

लेगेसी डिवाइस, जैसे पुराने स्मार्टफोन, बायोमेट्रिक सेंसर के बिना लैपटॉप, या WebAuthn की सहायता न होने वाले ब्राउज़र, पासकियां बना या स्टोर नहीं कर सकते।

कब मुझे अब भी पासवर्ड की ज़रूरत पड़ती है?

पासवर्ड को बैकअप विकल्प की तरह सेटअप करने के अलावा, कुछ स्थितियां ऐसी भी हैं जहां पारंपरिक पासवर्ड को मुख्य एक्सेस तरीके की तरह इस्तेमाल करना ज़रूरी होता है।

1. ऐसी साइटें जिन पर पासकी की सहायता नहीं है

जब तक पासकियां व्यापक तौर पर नहीं अपनाई जातीं, कुछ साइटों के लिए आपको पासवर्ड पर ही निर्भर रहना पड़ सकता है। ऐसे में सुरक्षा बढ़ाने के लिए आप OTP जैसे 2-एफए तरीके सेटअप कर सकते हैं।

2. पब्लिक या शेयर किए हुए कंप्यूटर की स्थितियां

अगर आप अपना डिवाइस इस्तेमाल नहीं कर रहे हैं, तो पासवर्ड दर्ज करने से (आदर्श रूप से 2-एफए के साथ) अस्थायी एक्सेस मिलता है, बिना कोई स्थायी प्रमाण पीछे छोड़े।

3. संगठन की नीतियां और कंप्लायंस ज़रूरतें

कंपनी के नियम, जिनमें सरकारी या वित्तीय स्टैंडर्ड भी शामिल हैं, मल्टी-फैक्टर सेटअप की मांग कर सकते हैं जिनमें अब भी पासवर्ड का हिस्सा हो, या ऑडिट के मकसद के लिए समय-समय पर पासवर्ड बदलना अनिवार्य कर सकते हैं। इसके अलावा, कॉर्पोरेट सिंगल साइन-ऑन (SSO) समाधान कभी-कभी पासकियों को सिर्फ एक वैकल्पिक फैक्टर की तरह शामिल करते हैं, और पासवर्ड मुख्य प्रमाण बने रहते हैं।

पासकियां कैसे अपनाएं

पासकियों पर शिफ्ट होना काफी आसान है।

1. अपने ऑपरेटिंग सिस्टम में पासकी की सहायता सक्षम करें
2. पासवर्ड मैनेजर डाउनलोड करें
   • ऐसा पासवर्ड मैनेजर चुनें जो पासकी स्टोरेज की सहायता देता हो, जैसे Proton Pass।
3. अपने पासवर्ड मैनेजर में पासकियां जोड़ें
   • मौजूदा पासकियां आयात करें या नई पासकियां सीधे ऐप से बनाएं।
4. सहायता देने वाली सर्विसों पर पासकियां रजिस्टर करें
   • जब आप किसी ऐसी साइट पर साइनअप या लॉगइन करते हैं जो “Passkey से साइनइन करें” विकल्प देती है, तो वही विकल्प चुनें।
5. रिकवरी तरीका सेटअप करें
   • किसी दूसरे डिवाइस को सक्षम करें जो पासकी की एक कॉपी स्टोर करे, और सर्विस की तरफ से दी गई रिकवरी फ्रेज़ को नोट कर लें।

अक्सर पूछे जाने वाले सवाल

अगर पासवर्ड मैनेजर नहीं है, तो क्या पासकी इस्तेमाल की जा सकती है?

हां, कर सकते हैं। ज़्यादातर आधुनिक ऑपरेटिंग सिस्टम पासकियां लोकल स्टोर करते हैं (Apple डिवाइस पर iCloud Keychain, Android पर Google Password Manager, Windows पर Windows Hello)। एक डेडिकेटेड पासवर्ड मैनेजर क्रॉस-डिवाइस सिंकिंग को आसान बना सकता है और बैकअप की एक अतिरिक्त परत दे सकता है, लेकिन पासकियां इस्तेमाल करने के लिए इसकी ज़रूरत नहीं है।

क्या पुराने डिवाइस पर पासकियां इस्तेमाल की जा सकती हैं?

पासकियों के लिए ज़रूरी है कि ऑपरेटिंग सिस्टम और ब्राउज़र WebAuthn/FIDO2 स्टैंडर्ड की सहायता करते हों। आधुनिक प्लैटफॉर्म (iOS 15+, Android 14+, नए macOS, Windows 10 1903+, और अप-टू-डेट Chrome/Edge/Firefox/Safari) बिना किसी अतिरिक्त सेटअप के काम करते हैं। पुराने फोन, लेगेसी ब्राउज़र, या pre-iOS 15/Android 13 डिवाइस में वो सहायता नहीं होती, इसलिए उन डिवाइस पर पासकी इस्तेमाल नहीं की जा सकती।

पासकी और फिजिकल टोकन में क्या अंतर है?

पासकी एक प्रमाण है जो डिवाइस पर या पासवर्ड मैनेजर में स्टोर होती है और आपके सभी डिवाइस पर सुरक्षित तरीके से सिंक होती है। फिजिकल टोकन (जैसे YubiKey) एक अलग हार्डवेयर चाबी है जिसे आपको डिवाइस में सम्मिलित करना पड़ता है। फिजिकल टोकन निजी चाबी को होस्ट डिवाइस पर स्टोर नहीं करता, जिससे आइसोलेशन मिलता है, लेकिन इसके लिए टोकन को साथ रखना और बैकअप संभालना पड़ता है। दोनों विकल्प बिना पासवर्ड, फिशिंग से सुरक्षित सत्यापन देते हैं, लेकिन पासकियां सुविधा और सिंक को तरजीह देती हैं, जबकि फिजिकल टोकन हार्डवेयर आइसोलेशन को तरजीह देते हैं।

क्या अपने Windows PC पर पासकी इस्तेमाल की जा सकती है?

हां, Windows 10/11 के आधुनिक वर्ज़न Windows Hello के ज़रिए पासकियों की सहायता करते हैं। सेटिंग में “Passwordless sign-in” सक्षम करने के बाद, आप फिंगरप्रिंट, चेहरे की पहचान, या ऐसे PIN से रजिस्टर और सत्यापन कर सकते हैं जो ट्रस्टेड प्लैटफॉर्म मॉड्यूल (TPM) में स्टोर निजी चाबी को अनलॉक करता है। TPM एक छोटा, छेड़छाड़-रोकने वाला चिप है जो ज़्यादातर आधुनिक PC, लैपटॉप, और कुछ टैबलेट में लगा होता है। इसका मकसद सुरक्षा-महत्वपूर्ण ऑपरेशनों के लिए हार्डवेयर ट्रस्ट की जड़ देना है।

अगर मेरा फोन खो जाए तो क्या होगा?

अगर आपके फोन में पासकी की इकलौती कॉपी है, तो एक्सेस रिकवर करने के लिए पहले से कॉन्फ़िगर किए हुए बैकअप तरीके की ज़रूरत होगी। ये आम तौर पर कोई दूसरा डिवाइस, पासवर्ड मैनेजर, या सर्विस की तरफ से दी गई रिकवरी फ्रेज़ होती है। बैकअप न होने पर आपको सर्विस के खाता-रिकवरी फ्लो को फॉलो करना पड़ेगा।