फिजिकल बैज एक्सेस और पासकीज़: टेक्निकल गाइड

आधुनिक सुरक्षा पुरानी सीमाओं के टूटने से परिभाषित होती है। दशकों तक, संगठनों ने फिजिकल सुरक्षा — गार्ड, ताले, और एक्सेस बैज — और लॉजिकल या साइबर सुरक्षा — फायरवॉल, पासवर्ड, और नेटवर्क प्रोटोकॉल — के बीच एक स्पष्ट सीमा के साथ काम किया। इन दोनों डोमेन को अलग-अलग टीमों, नीतियों और उद्देश्यों के साथ अलग-अलग साइलो में प्रबंधित किया जाता था।

आज, यह अलगाव अब संभव नहीं है। सुरक्षा कैमरों से लेकर स्मार्ट डोर लॉक और HVAC कंट्रोल तक, नेटवर्क से जुड़े फिजिकल सिस्टम के प्रसार ने एक गहरा इंटरकनेक्टेड साइबर-फिजिकल वातावरण बना दिया है। इस संगम का मतलब है कि एक क्षेत्र में एक भेद्यता दूसरे क्षेत्र में एक विनाशकारी विफलता में बदल सकती है। एक साइबर हमला फिजिकल दरवाजों को अनलॉक कर सकता है, और एक चोरी हुआ एक्सेस कार्ड सर्वर-रूम में सेंध का कारण बन सकता है। नतीजतन, एक समग्र, कन्वर्ज्ड सुरक्षा रणनीति अब एक दूरदर्शी प्रवृत्ति नहीं है, बल्कि किसी भी मजबूत सुरक्षा स्थिति के लिए एक मूलभूत आवश्यकता है, जो एकीकृत प्लेटफार्मों में महत्वपूर्ण निवेश को बढ़ावा दे रही है।

यह नई वास्तविकता वर्कफोर्स ऑथेंटिकेशन के लिए एक चुनौती प्रस्तुत करती है। कर्मचारियों को, चाहे वे कार्यालय में हों, रिमोट हों, या हाइब्रिड भूमिकाओं में हों, क्लाउड और SaaS एप्लीकेशन के तेजी से बढ़ते पोर्टफोलियो तक पहुंच की आवश्यकता होती है। यह वितरित एक्सेस मॉडल एक विशाल और जटिल अटैक सरफेस बनाता है। पारंपरिक यूज़रनेम और पासवर्ड, भले ही SMS कोड जैसे पुराने मल्टी-फैक्टर ऑथेंटिकेशन (MFA) के साथ संवर्धित हो, सबसे कमजोर कड़ी बना हुआ है - फिशिंग, क्रेडेंशियल स्टफिंग, और अकाउंट टेकओवर हमलों के लिए एक प्राथमिक वेक्टर। इसके जवाब में, उद्योग पासवर्ड रहित, फिशिंग-प्रतिरोधी प्रमाणीकरण की ओर बढ़ रहा है। बाजार के पूर्वानुमानों के अनुसार, पासवर्ड रहित प्रमाणीकरण बाजार 2024 में 18 बिलियन डॉलर से बढ़कर 2032 तक 60 बिलियन डॉलर से अधिक हो जाएगा, जिसमें 87% एंटरप्राइज पहले से ही अपने वर्कफोर्स के लिए पासकीज़ को डिप्लॉय कर रहे हैं या डिप्लॉय करने की प्रक्रिया में हैं।

इस तकनीकी विकास के बीच एक शक्तिशाली, अक्सर अनदेखी की गई संपत्ति है: फिजिकल कर्मचारी बैज। लगभग हर मध्यम से बड़े संगठन में सर्वव्यापी, यह साधारण कार्ड एक अधिक सुरक्षित और घर्षण रहित डिजिटल भविष्य को अनलॉक करने की कुंजी है।

इस लेख का मुख्य उद्देश्य इन फिजिकल बैज को पासकी-आधारित प्रमाणीकरण के साथ इंटीग्रेट करने के लिए उपलब्ध आर्किटेक्चरल पैटर्न का एक तटस्थ, गहरा तकनीकी विश्लेषण प्रदान करना है। विशेष रूप से, यह विश्लेषण एक वर्कफोर्स संदर्भ में कस्टम-निर्मित SaaS एप्लीकेशन पर केंद्रित है, जहां एक पारंपरिक, ऑन-प्रिमाइसेस कॉर्पोरेट आइडेंटिटी प्रोवाइडर (IdP) पर निर्भरता एक दी गई बात नहीं है। निम्नलिखित अनुभाग इस इंटीग्रेशन के तीन अलग-अलग रास्तों का विश्लेषण करेंगे, उनके तकनीकी घटकों, सुरक्षा मॉडल और उनके बीच के महत्वपूर्ण ट्रेड-ऑफ का मूल्यांकन करेंगे।

एक कन्वर्ज्ड सिस्टम को आर्किटेक्ट करने से पहले, इसके मूलभूत घटकों की एक विस्तृत समझ स्थापित करना आवश्यक है। फिजिकल टोकन की क्षमताएं और डिजिटल क्रेडेंशियल के मैकेनिज्म उपलब्ध इंटीग्रेशन पथों को निर्धारित करते हैं। एक साधारण पहचानकर्ता और एक सच्चे क्रिप्टोग्राफिक ऑथेंटिकेटर के बीच के सूक्ष्म अंतर को न समझने से त्रुटिपूर्ण आर्किटेक्चरल निर्णय हो सकते हैं।

कर्मचारी बैज एक जैसे नहीं होते; उनकी अंतर्निहित तकनीक जटिलता और सुरक्षा के एक विस्तृत स्पेक्ट्रम में फैली हुई है। यह समझना कि एक विशिष्ट बैज इस स्पेक्ट्रम पर कहां आता है, एक आधुनिक प्रमाणीकरण प्रणाली में उसकी संभावित भूमिका निर्धारित करने का पहला कदम है। निम्नलिखित तालिकाएं इस विकास का विस्तृत विवरण प्रदान करती हैं।

UID-आधारित एक्सेस सिस्टम से सुरक्षित प्रमाणीकरण टोकन में अपग्रेड करने वाले संगठन आमतौर पर इस पथ का अनुसरण करते हैं:

1. बेसिक UID बैज → केवल फिजिकल एक्सेस के लिए उपयोग किया जाता है।
2. सिक्योर NFC बैज → एक्सेस कंट्रोल के लिए एन्क्रिप्शन जोड़ता है लेकिन अभी भी डिजिटल प्रमाणीकरण के लिए उपयुक्त नहीं है।
3. PKI स्मार्टकार्ड (PIV) → डिजिटल सर्टिफिकेट-आधारित एक्सेस (VPN, हस्ताक्षरित ईमेल) जोड़ता है, मिडलवेयर की आवश्यकता होती है।
4. FIDO2 स्मार्टकार्ड → WebAuthn के माध्यम से पासवर्ड रहित लॉगिन सक्षम करता है, फिजिकल एक्सेस कार्यों के साथ भी जोड़ा जा सकता है।
5. प्लेटफॉर्म पासकीज़ → भविष्य की दृष्टि जहां फिजिकल टोकन वैकल्पिक हो जाते हैं, लेकिन संगम सबसे अच्छा तब होता है जब एक डिवाइस फिजिकल और लॉजिकल दोनों एक्सेस को संभालता है।

यह विस्तृत विवरण एक साधारण पहचानकर्ता और एक क्रिप्टोग्राफिक ऑथेंटिकेटर के बीच के अंतर को स्पष्ट करता है, जो इस विश्लेषण में सबसे महत्वपूर्ण अवधारणा है। एक बेसिक RFID बैज केवल एक UID प्रदान कर सकता है, जो सबसे अच्छी स्थिति में एक प्रमाणीकरण प्रवाह को शुरू करने के लिए एक यूज़रनेम संकेत के रूप में काम कर सकता है। यह क्रिप्टोग्राफिक चैलेंज-रिस्पांस में भाग नहीं ले सकता है जो WebAuthn का दिल है। इसके विपरीत, एक FIDO2 स्मार्ट कार्ड ठीक इसी उद्देश्य के लिए डिज़ाइन किया गया है। यह मौलिक अंतर ही उन तीन अलग-अलग आर्किटेक्चरल पैटर्न को जन्म देता है जिनकी चर्चा आगे की जाएगी। विकल्प 1 और 2 अनिवार्य रूप से केवल-पहचानकर्ता बैज की सीमाओं को समायोजित करने के लिए डिज़ाइन किए गए वर्कअराउंड हैं, जबकि विकल्प 3 एक सच्चे ऑथेंटिकेटर के नेटिव इंटीग्रेशन का प्रतिनिधित्व करता है।

अंतर्निहित टेक्नोलॉजी की स्पष्ट समझ के साथ, अब हम एक वर्कफोर्स SaaS एप्लीकेशन के लिए पासकी प्रमाणीकरण के साथ फिजिकल बैज को इंटीग्रेट करने के लिए तीन प्राथमिक आर्किटेक्चरल मॉडल का पता लगा सकते हैं। प्रत्येक पथ सुरक्षा, लागत, उपयोगकर्ता अनुभव और जटिलता में अद्वितीय ट्रेड-ऑफ प्रस्तुत करता है।

यह मॉडल वैचारिक रूप से सबसे अमूर्त है। फिजिकल बैज खुद एक पासकी स्टोर नहीं करता है। इसके बजाय, यह एक कम-आश्वासन वाले टोकन के रूप में कार्य करता है जिसका उपयोग उपयोगकर्ता की ओर से उच्च-आश्वासन वाला प्रमाणीकरण करने के लिए एक सेंट्रलाइज्ड सर्विस को अधिकृत करने के लिए किया जाता है। पासकी की प्राइवेट की उपयोगकर्ता के पास नहीं होती है, बल्कि इसे "क्रेडेंशियल वॉल्ट" प्रदाता द्वारा संचालित एक हार्डवेयर सिक्योरिटी मॉड्यूल (HSM) के भीतर संग्रहीत और प्रबंधित किया जाता है।

1. उपयोगकर्ता कार्रवाई और पहचान: एक कर्मचारी अपने मानक RFID/NFC बैज को अपने वर्कस्टेशन से जुड़े एक रीडर पर टैप करता है। रीडर बैज की स्टैटिक UID को कैप्चर करता है।
2. वॉल्ट को अनुरोध: एक क्लाइंट-साइड कंपोनेंट UID को क्रेडेंशियल वॉल्ट प्रदाता द्वारा होस्ट किए गए एक प्रोप्राइटरी API एंडपॉइंट पर भेजता है।
3. सर्वर-साइड WebAuthn की शुरुआत: वॉल्ट सर्विस UID प्राप्त करती है, संबंधित उपयोगकर्ता खाते को देखती है, और फिर उपयोगकर्ता की ओर से लक्ष्य SaaS एप्लीकेशन (रिलाइंग पार्टी) के साथ एक WebAuthn प्रमाणीकरण समारोह शुरू करती है। SaaS एप्लीकेशन एक मानक प्रमाणीकरण चैलेंज लौटाता है।
4. HSM-आधारित साइनिंग: वॉल्ट सर्विस इस चैलेंज को अपने आंतरिक HSM को पास करती है। HSM उस विशिष्ट SaaS एप्लीकेशन के लिए उपयोगकर्ता की पासकी के प्राइवेट की कंपोनेंट को सुरक्षित रूप से संग्रहीत करता है। HSM चैलेंज पर क्रिप्टोग्राफिक साइनिंग ऑपरेशन करता है और परिणामी हस्ताक्षर वॉल्ट सर्विस को लौटाता है। प्राइवेट की कभी भी HSM की सुरक्षित सीमा से बाहर नहीं जाती है।
5. प्रमाणीकरण पूर्णता और टोकन जारी करना: वॉल्ट सर्विस हस्ताक्षरित चैलेंज को SaaS एप्लीकेशन को वापस भेजकर WebAuthn फ्लो को पूरा करती है। SaaS एप्लीकेशन उपयोगकर्ता की पब्लिक की (जो उसके पास फाइल पर है) का उपयोग करके हस्ताक्षर को सत्यापित करता है और, सफलता पर, एक प्रमाणीकरण सेशन टोकन (जैसे, एक JSON वेब टोकन) जारी करता है।
6. सेशन डिलीवरी: वॉल्ट सर्विस इस सेशन टोकन को उपयोगकर्ता के ब्राउज़र को वापस भेजती है, जो फिर इसका उपयोग SaaS एप्लीकेशन के साथ एक प्रमाणित सेशन स्थापित करने के लिए कर सकता है, जिससे लॉगिन पूरा हो जाता है।

• फायदे:
• मौजूदा इंफ्रास्ट्रक्चर का लाभ उठाना: इस मॉडल का प्राथमिक आकर्षण इसकी क्षमता है कि यह एक संगठन में पहले से तैनात सबसे आम और सस्ते RFID/NFC बैज के साथ काम कर सकता है, जिससे एक महंगे और विघटनकारी हार्डवेयर रिफ्रेश से बचा जा सकता है।
• अत्यधिक सहज उपयोगकर्ता अनुभव: यह एक सच्चा "टैप-एंड-गो" लॉगिन प्रदान कर सकता है। उपयोगकर्ता के दृष्टिकोण से, बैज रीडर पर एक सिंगल टैप उन्हें सीधे एप्लीकेशन में लॉग इन कर देता है, जो बहुत कम घर्षण का प्रतिनिधित्व करता है।
• सेंट्रलाइज्ड मैनेजमेंट: सभी पासकी क्रेडेंशियल प्रदाता के इकोसिस्टम के भीतर बनाए, संग्रहीत और प्रबंधित किए जाते हैं। यह निरस्तीकरण और नीति प्रवर्तन जैसे प्रशासनिक कार्यों को सरल बना सकता है।
• नुकसान:
• प्रोप्राइटरी और क्लोज्ड-लूप सिस्टम: यह आर्किटेक्चर प्रभावी रूप से बैज और वॉल्ट प्रदाता को एक नए, प्रोप्राइटरी आइडेंटिटी प्रोवाइडर (IdP) में बदल देता है। संगठन एक महत्वपूर्ण कार्य के लिए इस एकल विक्रेता पर गहराई से निर्भर हो जाता है। ऐसे "क्लोज्ड-लूप" सिस्टम स्वाभाविक रूप से अनम्य होते हैं और महत्वपूर्ण वेंडर लॉक-इन बनाते हैं, जिससे भविष्य में माइग्रेशन मुश्किल और महंगा हो जाता है।
• अत्यधिक विश्वास की आवश्यकता: पूरे सिस्टम की सुरक्षा वॉल्ट प्रदाता की विश्वसनीयता और क्षमता पर निर्भर करती है। चूंकि प्रदाता के HSM सभी एप्लीकेशन में सभी उपयोगकर्ताओं के लिए प्राइवेट की रखते हैं, इसलिए प्रदाता का समझौता विनाशकारी होगा।
• उच्च लागत और जटिलता: यह एक सरल समाधान नहीं है। इसके लिए या तो एक अत्यधिक जटिल, मिशन-क्रिटिकल सर्विस बनाने या सब्सक्राइब करने की आवश्यकता होती है जिसमें महंगे HSM इंफ्रास्ट्रक्चर, परिष्कृत सॉफ्टवेयर और उच्च-उपलब्धता संचालन शामिल हैं।
• WebAuthn सिद्धांतों से विचलन: यह मॉडल मौलिक रूप से WebAuthn के मूल सिद्धांत से टूटता है, जो उपयोगकर्ता-स्वामित्व, क्लाइंट-साइड प्रमाणीकरण है। ऑथेंटिकेटर सर्वर-साइड है, जो सामान्य वेब प्रमाणीकरण के लिए एक एंटी-पैटर्न है। जैसा कि प्रारंभिक क्वेरी में उल्लेख किया गया है, यह दृष्टिकोण आम तौर पर एक मानक वेब SaaS एप्लीकेशन में प्रमाणीकरण के लिए अनुशंसित नहीं है।

यह मॉडल एक व्यावहारिक समझौते का प्रतिनिधित्व करता है। यह मौजूदा, सरल बैज का उपयोग प्रमाणीकरण के लिए नहीं, बल्कि एक मानक WebAuthn फ्लो को सुव्यवस्थित और तेज करने के लिए करता है। उपयोगकर्ता के कंप्यूटर पर स्थापित एक सॉफ्टवेयर का टुकड़ा फिजिकल बैज रीडर और वेब ब्राउज़र के बीच एक "ब्रिज" के रूप में कार्य करता है।

1. उपयोगकर्ता कार्रवाई और स्थानीय पहचान: एक कर्मचारी अपने बेसिक RFID/NFC बैज को अपने वर्कस्टेशन से जुड़े एक मानक USB रीडर पर टैप करता है।
2. लोकल लिसनर एजेंट: ऑपरेटिंग सिस्टम पर चल रही एक हल्की बैकग्राउंड सर्विस या डेमॉन (जैसे, PC/SC API का उपयोग करके) स्मार्ट कार्ड रीडर की घटनाओं को सुन रही है। यह बैज टैप का पता लगाता है और कार्ड से UID पढ़ता है।
3. एजेंट-टू-एक्सटेंशन संचार: यह लोकल एजेंट कैप्चर किए गए UID को एक सहयोगी ब्राउज़र एक्सटेंशन को संचारित करता है। यह आमतौर पर ब्राउज़र के नेटिव मैसेजिंग होस्ट API का उपयोग करके प्राप्त किया जाता है, जो एक सैंडबॉक्स्ड एक्सटेंशन को एक पूर्व-पंजीकृत नेटिव एप्लीकेशन के साथ संदेशों का आदान-प्रदान करने की अनुमति देता है।
4. यूज़रनेम प्री-फिल और फ्लो की शुरुआत: ब्राउज़र एक्सटेंशन में प्राप्त UID को एक विशिष्ट यूज़रनेम पर मैप करने का लॉजिक होता है। UID प्राप्त होने पर, यह संबंधित यूज़रनेम को SaaS एप्लीकेशन के लॉगिन फॉर्म में इंजेक्ट करता है। आधुनिक लॉगिन फॉर्म इनपुट फ़ील्ड पर autocomplete="webauthn" एट्रिब्यूट का उपयोग करके ब्राउज़र को यह संकेत दे सकते हैं कि ऑटोफिल किए गए उपयोगकर्ता के लिए पासकी फ्लो शुरू किया जा सकता है। एक्सटेंशन फिर प्रोग्रामेटिक रूप से पासकी प्रमाणीकरण प्रक्रिया की शुरुआत को ट्रिगर कर सकता है।
5. मानक WebAuthn समारोह: इस बिंदु से आगे, एक पूरी तरह से मानक WebAuthn प्रमाणीकरण समारोह होता है। ब्राउज़र उपयोगकर्ता को उनके पंजीकृत पासकी ऑथेंटिकेटर का उपयोग करने के लिए प्रेरित करता है। यह कंप्यूटर का प्लेटफॉर्म ऑथेंटिकेटर (जैसे, विंडोज हैलो, macOS टच आईडी) या एक अलग रोमिंग ऑथेंटिकेटर (जैसे YubiKey या उपयोगकर्ता का फोन) हो सकता है। उपयोगकर्ता प्रमाणीकरण जेस्चर (जैसे, फिंगरप्रिंट स्कैन) पूरा करता है, और लॉगिन मानक प्रवाह के अनुसार पूरा हो जाता है। बैज की भूमिका अब समाप्त हो गई है।

• फायदे:
• मानकों-संगत प्रमाणीकरण: सबसे महत्वपूर्ण लाभ यह है कि वास्तविक क्रिप्टोग्राफिक प्रमाणीकरण एक शुद्ध, अपरिवर्तित WebAuthn फ्लो है। सुरक्षा मॉडल FIDO2 के सिद्ध सिद्धांतों पर निर्भर करता है, न कि किसी प्रोप्राइटरी वर्कअराउंड पर। बैज टैप पूरी तरह से एक उपयोगकर्ता अनुभव वृद्धि है।
• मौजूदा हार्डवेयर का लाभ उठाना: विकल्प 1 की तरह, यह दृष्टिकोण बेसिक RFID/NFC बैज और सस्ते USB रीडरों के मौजूदा बेड़े के साथ काम करता है।
• बेहतर उपयोगकर्ता अनुभव: हालांकि यह एक सिंगल-टैप लॉगिन नहीं है, यह घर्षण को काफी कम करता है। उपयोगकर्ता को अपना यूज़रनेम याद रखने और टाइप करने से बचाया जाता है, जो लॉगिन प्रक्रिया को छोटा करता है और त्रुटि की संभावना को कम करता है।
• नुकसान:
• सॉफ्टवेयर डिप्लॉयमेंट और रखरखाव: प्राथमिक दोष परिचालन ओवरहेड है। इस आर्किटेक्चर को हर एक कर्मचारी वर्कस्टेशन पर दो अलग-अलग सॉफ्टवेयर टुकड़ों—एक नेटिव OS-लेवल एजेंट और एक ब्राउज़र एक्सटेंशन—को डिप्लॉय करने, कॉन्फ़िगर करने और बनाए रखने की आवश्यकता होती है। यह आईटी विभागों के लिए एक महत्वपूर्ण बोझ हो सकता है, जिन्हें अपडेट प्रबंधित करना, विभिन्न OS और ब्राउज़र संस्करणों के साथ संगतता समस्याओं का निवारण करना और सुरक्षा पैचिंग को संभालना पड़ता है।
• आर्किटेक्चरल नाजुकता: हार्डवेयर ड्राइवर, नेटिव एजेंट और ब्राउज़र एक्सटेंशन के बीच संचार चैनल एक कस्टम-निर्मित ब्रिज है। यह "गोंद" भंगुर हो सकता है और जब ऑपरेटिंग सिस्टम या ब्राउज़र अपडेट जारी करता है तो टूटने का खतरा होता है, जिससे एक खराब और अविश्वसनीय उपयोगकर्ता अनुभव होता है।
• अधूरा समाधान: यह "टैप-एंड-गो" समाधान नहीं है। उपयोगकर्ता को अभी भी अपने वास्तविक पासकी के साथ प्रमाणीकरण पूरा करने के लिए एक दूसरी, अलग कार्रवाई करनी होगी। बैज टैप केवल लॉगिन प्रक्रिया के पहले चरण को स्वचालित करता है।

यह सबसे सीधा, सुरक्षित और मानकों-संरेखित आर्किटेक्चर है। इस मॉडल में, कर्मचारी बैज स्वयं एक FIDO2-संगत स्मार्ट कार्ड है। यह एक सच्चा क्रिप्टोग्राफिक ऑथेंटिकेटर है जो बिना किसी मध्यस्थ सॉफ्टवेयर के सीधे WebAuthn समारोह में भाग ले सकता है।

1. उपयोगकर्ता नेविगेशन: एक कर्मचारी SaaS एप्लीकेशन के लॉगिन पेज पर नेविगेट करता है। एप्लीकेशन को पासकी प्रमाणीकरण का समर्थन करने के लिए कॉन्फ़िगर किया गया है।
2. WebAuthn की शुरुआत: उपयोगकर्ता "Sign in with a passkey" बटन पर क्लिक करता है, या ब्राउज़र का कंडीशनल UI (ऑटोफिल) स्वचालित रूप से उपलब्ध पासकीज़ का पता लगाता है और उन्हें एक गैर-मोडल प्रॉम्प्ट में प्रस्तुत करता है। ब्राउज़र का जावास्क्रिप्ट

navigator.credentials.get() को कॉल करके प्रमाणीकरण समारोह शुरू करता है।

3. ऑथेंटिकेटर इंटरेक्शन: ब्राउज़र, ऑपरेटिंग सिस्टम के माध्यम से, उपयोगकर्ता को अपनी सिक्योरिटी की प्रस्तुत करने के लिए प्रेरित करता है। कर्मचारी या तो अपने FIDO2 बैज को एक एकीकृत NFC रीडर पर टैप करता है या इसे एक कनेक्टेड स्मार्ट कार्ड रीडर में डालता है।
4. ऑन-कार्ड क्रिप्टोग्राफिक हस्ताक्षर: ब्राउज़र SaaS एप्लीकेशन से चैलेंज को बैज पर भेजता है। बैज के भीतर सिक्योर एलिमेंट चैलेंज पर हस्ताक्षर करने के लिए अपनी आंतरिक रूप से संग्रहीत, नॉन-एक्सपोर्टेबल प्राइवेट की का उपयोग करता है। रिलाइंग पार्टी की नीति और कार्ड की क्षमताओं के आधार पर, इस चरण में उपयोगकर्ता सत्यापन की भी आवश्यकता हो सकती है, जैसे वर्कस्टेशन पर एक PIN दर्ज करना या कार्ड में ही एम्बेडेड बायोमेट्रिक सेंसर पर उंगली रखना।
5. प्रमाणीकरण पूर्णता: बैज हस्ताक्षरित प्रतिक्रिया को ब्राउज़र को लौटाता है, जो इसे SaaS सर्वर को अग्रेषित करता है। सर्वर हस्ताक्षर को सत्यापित करता है, और उपयोगकर्ता सुरक्षित रूप से लॉग इन हो जाता है। पूरी प्रक्रिया मानकीकृत FIDO प्रोटोकॉल का उपयोग करके ब्राउज़र और ऑपरेटिंग सिस्टम द्वारा ऑर्केस्ट्रेट की जाती है।

• फायदे:
• उच्चतम सुरक्षा और मानक-संरेखण: यह कन्वर्ज्ड एक्सेस के लिए "गोल्ड स्टैंडर्ड" दृष्टिकोण है। यह FIDO2 और WebAuthn मानकों का ठीक उसी तरह उपयोग करता है जैसे उन्हें डिज़ाइन किया गया था, जो फिशिंग और मैन-इन-द-मिडल हमलों के खिलाफ सबसे मजबूत संभव सुरक्षा प्रदान करता है। उपयोगकर्ता अपनी प्राइवेट की वाले हार्डवेयर टोकन के फिजिकल कब्जे में है।
• आर्किटेक्चरल सरलता और मजबूती: यह मॉडल अपनी सादगी में सुंदर है। विकसित करने और बनाए रखने के लिए कोई कस्टम एजेंट, ब्राउज़र एक्सटेंशन या प्रोप्राइटरी ब्रिज नहीं हैं। प्रमाणीकरण फ्लो आधुनिक ऑपरेटिंग सिस्टम और ब्राउज़रों में निर्मित अत्यधिक मजबूत और अच्छी तरह से बनाए गए APIs और ड्राइवरों पर निर्भर करता है।
• सच्चा सुरक्षा संगम: यह आर्किटेक्चर वास्तव में एक कन्वर्ज्ड क्रेडेंशियल के वादे को पूरा करता है। एक एकल, प्रबंधनीय फिजिकल टोकन का उपयोग फिजिकल स्पेस (दरवाजे) और लॉजिकल संसाधनों (एप्लीकेशन) दोनों तक पहुंच प्रदान करने के लिए किया जाता है, जिससे उपयोगकर्ता अनुभव और सुरक्षा मॉडल सरल हो जाता है।
• नुकसान:
• महत्वपूर्ण हार्डवेयर लागत: इस दृष्टिकोण के लिए सबसे बड़ी बाधा अग्रिम निवेश है। इसके लिए एक संगठन के बेसिक RFID/NFC बैज के पूरे बेड़े को अधिक महंगे FIDO2-संगत स्मार्ट कार्ड से बदलने की आवश्यकता होती है। मौजूदा इंफ्रास्ट्रक्चर के आधार पर, इसके लिए फिजिकल डोर रीडर्स को नए कार्ड के साथ संगत होने के लिए अपग्रेड करने की भी आवश्यकता हो सकती है।
• जटिल क्रेडेंशियल लाइफसाइकिल मैनेजमेंट: एक बड़े वर्कफोर्स के लिए क्रिप्टोग्राफिक क्रेडेंशियल के पूरे जीवनचक्र का प्रबंधन UIDs की एक साधारण सूची के प्रबंधन से अधिक जटिल है। सुरक्षित जारी करने, की रोटेशन, सर्टिफिकेट नवीनीकरण (यदि PKI का भी उपयोग किया जाता है), और विशेष रूप से निरस्तीकरण और रिकवरी के लिए प्रक्रियाएं अधिक महत्वपूर्ण और जटिल हो जाती हैं।
• उपयोगकर्ता अनुभव की बारीकियां: यद्यपि अत्यधिक सुरक्षित, उपयोगकर्ता अनुभव घर्षण के विभिन्न बिंदु प्रस्तुत कर सकता है। यदि कार्ड को उपयोगकर्ता सत्यापन के लिए एक PIN की आवश्यकता होती है, तो यह एक "जो आप जानते हैं" कारक को फिर से प्रस्तुत करता है जिसे याद रखना होगा। एक रीडर में कार्ड डालने की फिजिकल क्रिया को एक साधारण कॉन्टैक्टलेस टैप की तुलना में कम सहज माना जा सकता है, यह तैनात विशिष्ट हार्डवेयर पर निर्भर करता है।

इन तीन आर्किटेक्चरल पथों के बीच का निर्णय केवल तकनीकी नहीं है; यह एक रणनीतिक निर्णय है जो प्रतिस्पर्धी प्राथमिकताओं को संतुलित करता है। विकल्प 1 एक सहज उपयोगकर्ता अनुभव और मौजूदा हार्डवेयर के उपयोग को प्राथमिकता देता है, लेकिन ऐसा एक उच्च-लागत, उच्च-जोखिम वाली प्रोप्राइटरी निर्भरता बनाकर करता है जो खुले मानकों से विचलित होती है। विकल्प 2 भी मौजूदा हार्डवेयर का लाभ उठाता है और प्रमाणीकरण मानकों का पालन करते हुए उपयोगकर्ता अनुभव में सुधार करता है, लेकिन यह लागत और जटिलता को हर एंडपॉइंट पर सॉफ्टवेयर के प्रबंधन की कठिन और अक्सर कम आंकी गई समस्या पर स्थानांतरित कर देता है। विकल्प 3 सुरक्षा, मजबूती और खुले मानकों के पालन को सबसे ऊपर प्राथमिकता देता है, एक सरल, अधिक भविष्य-प्रूफ आर्किटेक्चर के बदले में एक उच्च अग्रिम हार्डवेयर लागत को स्वीकार करता है जिसमें लंबे समय तक कम रखरखाव ओवरहेड होता है। कोई सार्वभौमिक रूप से "सही" विकल्प नहीं है; इष्टतम पथ एक संगठन की विशिष्ट जोखिम सहनशीलता, बजट, मौजूदा इंफ्रास्ट्रक्चर, और आईटी समर्थन क्षमताओं पर निर्भर करता है।

सही आर्किटेक्चर चुनने के लिए इन ट्रेड-ऑफ की एक स्पष्ट, साथ-साथ तुलना की आवश्यकता होती है। यह अनुभाग तकनीकी नेताओं के लिए जटिल विश्लेषण को एक कार्रवाई योग्य प्रारूप में बदलने और कार्यान्वयन की व्यावहारिक, वास्तविक दुनिया की चुनौतियों को संबोधित करने के लिए एक ढाँचा प्रदान करता है।

एक संगठन के लिए इष्टतम पथ उसके प्राथमिक व्यावसायिक चालकों पर निर्भर करता है।

• यदि आपका प्राथमिक चालक अग्रिम पूंजीगत व्यय को कम करना और आपके मौजूदा बैज बेड़े का लाभ उठाना है, तो विकल्प 2 (डेस्कटॉप ब्रिज) सबसे व्यावहारिक विकल्प है। यह उपयोगकर्ता अनुभव में एक ठोस सुधार प्रदान करता है और एक बड़े हार्डवेयर निवेश की आवश्यकता के बिना एक मानक-संगत प्रमाणीकरण कोर को अपनाता है। हालांकि, यह पथ केवल तभी चुना जाना चाहिए जब संगठन के पास एक परिपक्व और मजबूत एंडपॉइंट प्रबंधन क्षमता हो, क्योंकि इस मॉडल की सफलता आवश्यक क्लाइंट-साइड सॉफ्टवेयर को मज़बूती से डिप्लॉय करने और बनाए रखने की क्षमता पर निर्भर करती है।
• यदि आपका प्राथमिक चालक उच्चतम स्तर की सुरक्षा प्राप्त करना, उद्योग की सर्वोत्तम प्रथाओं के साथ संरेखित करना, और एक भविष्य-प्रूफ, कम-रखरखाव वाला आर्किटेक्चर बनाना है, तो विकल्प 3 (कन्वर्ज्ड क्रेडेंशियल) स्पष्ट रणनीतिक विजेता है। यह दृष्टिकोण पूरी तरह से खुले मानकों को अपनाता है, भंगुर कस्टम सॉफ्टवेयर को समाप्त करता है, और सबसे मजबूत फिशिंग-प्रतिरोधी सुरक्षा प्रदान करता है। अग्रिम हार्डवेयर लागत दीर्घकालिक सुरक्षा और परिचालन सादगी में एक निवेश है।
• यदि आपका प्राथमिक चालक अन्य सभी विचारों से ऊपर एक "जादुई," घर्षण रहित टैप-टू-लॉगिन अनुभव प्रदान करना है, तो विकल्प 1 (सेंट्रलाइज्ड वॉल्ट) ही एकमात्र है जो वास्तव में इसे प्रदान करता है। हालांकि, इस पथ को अत्यधिक सावधानी के साथ अपनाना चाहिए। यह वेंडर लॉक-इन के माध्यम से महत्वपूर्ण रणनीतिक जोखिम प्रस्तुत करता है और प्रदाता की सुरक्षा आर्किटेक्चर और संचालन में असाधारण रूप से उच्च स्तर के विश्वास की मांग करता है। अधिकांश ओपन वेब और SaaS एप्लीकेशन के लिए, इस मॉडल की प्रोप्राइटरी, क्लोज्ड-लूप प्रकृति इसे मानक-आधारित विकल्पों की तुलना में एक कम वांछनीय विकल्प बनाती है।

एक सफल पासकी रणनीति लॉगिन फ्लो से कहीं आगे तक फैली हुई है; इसे पूरे पहचान जीवनचक्र को शामिल करना चाहिए। आर्किटेक्चर का चुनाव इस बात पर गहरा प्रभाव डालता है कि उपयोगकर्ताओं को कैसे ऑनबोर्ड किया जाता है, पहुंच कैसे रद्द की जाती है, और खाते कैसे पुनर्प्राप्त किए जाते हैं।

• जारी करना और ऑनबोर्डिंग: एक नए कर्मचारी के लिए, प्रक्रिया काफी भिन्न होती है। विकल्प 1 और 2 में, ऑनबोर्डिंग में एक मानक बैज जारी करना और फिर एक डेटाबेस में एक एंट्री बनाना शामिल है जो बैज के UID को उपयोगकर्ता के खाते में मैप करता है। विकल्प 3 में, प्रक्रिया एक औपचारिक FIDO2 पंजीकरण समारोह है, जहां नए FIDO2-संगत बैज का उपयोग एक पासकी उत्पन्न करने के लिए किया जाता है जिसे फिर SaaS एप्लीकेशन के साथ पंजीकृत किया जाता है। यह प्रक्रिया अधिक सुरक्षित है लेकिन बड़े पैमाने पर प्रबंधन करने में भी अधिक जटिल है।
• निरस्तीकरण (कर्मचारी की समाप्ति): जब कोई कर्मचारी छोड़ता है, तो उनकी फिजिकल एक्सेस हमेशा केंद्रीय PACS में रद्द कर दी जाती है। लॉजिकल एक्सेस के लिए, चरण हैं:
• विकल्प 1: वॉल्ट प्रदाता को उनके HSM में संग्रहीत क्रेडेंशियल को अक्षम करने या हटाने के लिए तुरंत सूचित किया जाना चाहिए।
• विकल्प 2: उपयोगकर्ता की वास्तविक पासकी (जैसे, विंडोज हैलो के माध्यम से उनके लैपटॉप के TPM में संग्रहीत) को SaaS एप्लीकेशन की सेटिंग्स से रद्द किया जाना चाहिए। अंतर्निहित पासकी अक्षम हो जाने के बाद बैज UID मैपिंग अप्रासंगिक हो जाती है।
• विकल्प 3: कर्मचारी के FIDO2 बैज से जुड़ी पब्लिक की को SaaS एप्लीकेशन के भीतर उनके उपयोगकर्ता प्रोफाइल से हटा दिया जाना चाहिए, जिससे बैज लॉगिन के लिए बेकार हो जाता है।
• रिकवरी (खोया या चोरी हुआ बैज): यह एक महत्वपूर्ण विफलता मोड है जिसके लिए योजना बनाई जानी चाहिए। इसके निहितार्थ बहुत भिन्न होते हैं:
• विकल्प 1 और 2 में, एक खोया हुआ बैज लॉजिकल एक्सेस के लिए कम महत्वपूर्ण है, क्योंकि यह केवल एक पहचानकर्ता है। प्राथमिक जोखिम अनधिकृत फिजिकल एक्सेस है। उपयोगकर्ता अभी भी अपने वास्तविक पासकी ऑथेंटिकेटर का उपयोग करके लॉग इन कर सकता है।
• विकल्प 3 में, एक खोया हुआ बैज एक बड़ी समस्या हो सकती है। यदि FIDO2 बैज उपयोगकर्ता के खाते के लिए पंजीकृत एकमात्र पासकी है, तो वे पूरी तरह से लॉक हो जाते हैं। यह किसी भी एंटरप्राइज पासकी डिप्लॉयमेंट के लिए एक महत्वपूर्ण सर्वोत्तम अभ्यास को रेखांकित करता है: उपयोगकर्ताओं को कई ऑथेंटिकेटर्स पंजीकृत करने के लिए आवश्यक या दृढ़ता से प्रोत्साहित किया जाना चाहिए। एक मजबूत नीति यह अनिवार्य करेगी कि एक कर्मचारी अपने FIDO2 बैज (एक प्राथमिक दिन-प्रतिदिन के ऑथेंटिकेटर के रूप में) और एक बैकअप, जैसे कि उनका प्लेटफॉर्म ऑथेंटिकेटर (विंडोज हैलो/फेस आईडी) या उनका फोन, दोनों को पंजीकृत करे, जिसका उपयोग खाता रिकवरी के लिए किया जाएगा।

अंततः, एक सफल पासकी डिप्लॉयमेंट सिर्फ एक प्रमाणीकरण प्रोजेक्ट नहीं है; यह एक आइडेंटिटी और एक्सेस मैनेजमेंट (IAM) प्रोजेक्ट है। लॉगिन फ्लो के लिए तकनीकी आर्किटेक्चर को एक वैक्यूम में डिज़ाइन नहीं किया जा सकता है। इसे उनके जीवनचक्र के दौरान पहचानों और उनके संबंधित क्रेडेंशियल्स के प्रावधान, प्रबंधन और डी-प्रोविजनिंग के लिए एक व्यापक रणनीति के साथ कसकर एकीकृत किया जाना चाहिए। यह समग्र दृष्टिकोण खाता लॉकआउट जैसे जोखिमों को कम करने और सिस्टम की दीर्घकालिक सफलता और सुरक्षा सुनिश्चित करने के लिए आवश्यक है।

फिजिकल एक्सेस बैज को आधुनिक डिजिटल प्रमाणीकरण के साथ इंटीग्रेट करने की यात्रा दो शक्तिशाली, प्रतिच्छेदी प्रवृत्तियों की एक स्पष्ट अभिव्यक्ति है: फिजिकल और साइबर सुरक्षा का संगम और पासवर्ड से दूर उद्योग-व्यापी अथक प्रवासन। जैसा कि इस गाइड में विस्तार से बताया गया है, संगठनों के पास चुनने के लिए तीन अलग-अलग आर्किटेक्चरल पथ हैं, जिनमें से प्रत्येक एक मौलिक ट्रेड-ऑफ प्रस्तुत करता है।

• सेंट्रलाइज्ड वॉल्ट प्रोप्राइटरी लॉक-इन और महत्वपूर्ण रणनीतिक जोखिम की कीमत पर एक सहज उपयोगकर्ता अनुभव प्रदान करता है।
• डेस्कटॉप ब्रिज सुरक्षा मानकों को बनाए रखते हुए बेहतर UX के लिए एक व्यावहारिक, कम लागत वाला मार्ग प्रदान करता है, लेकिन काफी सॉफ्टवेयर रखरखाव ओवरहेड का परिचय देता है।
• कन्वर्ज्ड क्रेडेंशियल खुले मानकों का सख्ती से पालन करके उच्चतम स्तर की सुरक्षा और मजबूती प्रदान करता है, लेकिन हार्डवेयर में एक महत्वपूर्ण अग्रिम निवेश की आवश्यकता होती है।

हालांकि प्रत्येक पथ एक अधिक सुरक्षित, पासवर्ड रहित भविष्य की ओर एक कदम का प्रतिनिधित्व करता है, एंटरप्राइज सुरक्षा का दीर्घकालिक प्रक्षेपवक्र खुले, इंटरऑपरेबल मानकों पर बने समाधानों का पक्षधर है। आर्किटेक्चर जो FIDO2 और WebAuthn को नेटिव रूप से अपनाते हैं—जैसा कि कन्वर्ज्ड क्रेडेंशियल मॉडल और, कुछ हद तक, डेस्कटॉप ब्रिज द्वारा उदाहरण दिया गया है—सबसे मजबूत और भविष्य-प्रूफ आधार प्रदान करते हैं। वे संगठनों को सर्वश्रेष्ठ-इन-क्लास सुरक्षा प्रणाली बनाने के लिए सशक्त बनाते हैं जो हार्डवेयर और सॉफ्टवेयर के एक प्रतिस्पर्धी इकोसिस्टम का लाभ उठाते हैं, जो एक एकल विक्रेता के क्लोज्ड-लूप प्लेटफॉर्म की बाधाओं से मुक्त हैं। वर्कफोर्स एप्लीकेशन की अगली पीढ़ी का निर्माण करने वाले किसी भी संगठन के लिए, इन खुले मानकों को अपनाना केवल एक तकनीकी विकल्प नहीं है; यह एक अधिक सुरक्षित, लचीली और इंटरऑपरेबल डिजिटल दुनिया के लिए एक रणनीतिक प्रतिबद्धता है।