कंज्यूमर्स के लिए हार्डवेयर-बाउंड पासकी और सिंक किए गए पासकी के बीच क्या अंतर है?

हार्डवेयर-बाउंड पासकी (Hardware-bound passkeys) प्राइवेट की (private key) को एक फिजिकल सिक्योर एलिमेंट जैसे कि सिक्योरिटी की, FIDO2 स्मार्ट कार्ड या इन-बिल्ट TPM चिप के अंदर सुरक्षित रखते हैं, और की (key) कभी भी उस हार्डवेयर से बाहर नहीं जाती। सिंक किए गए पासकी (Synced passkeys) iCloud Keychain, Google Password Manager या थर्ड-पार्टी पासवर्ड मैनेजर में रहते हैं और क्लाउड के ज़रिए आपके डिवाइसेस पर कॉपी होते हैं। कंज्यूमर्स के लिए इसका मतलब है कि हार्डवेयर-बाउंड पासकी फिशिंग-रेसिस्टेंट ऑथेंटिकेशन प्रदान करते हैं जो उस फिजिकल ऑब्जेक्ट से जुड़ा होता है जिसे उन्हें साथ रखना होता है, जबकि सिंक किए गए पासकी उसी अकाउंट में साइन इन किए गए किसी भी डिवाइस पर ऑटोमैटिक रिकवरी की सुविधा देते हैं। हार्डवेयर-बाउंड पासकी NIST AAL3 तक पहुँचते हैं क्योंकि प्राइवेट की को एक्सपोर्ट नहीं किया जा सकता है, जबकि सिंक किए गए पासकी AAL2 तक ही सीमित हैं।

पासकी एडॉप्शन के बावजूद हार्डवेयर सिक्योरिटी कीज़ कंज्यूमर्स के बीच मेनस्ट्रीम क्यों नहीं बन पाई हैं?

Apple और Google उन ऑपरेटिंग सिस्टम्स और ब्राउज़र्स को कंट्रोल करते हैं जिनका इस्तेमाल ज़्यादातर कंज्यूमर्स करते हैं, और दोनों ही WebAuthn प्रॉम्प्ट्स में अपने खुद के सिंक किए गए क्रेडेंशियल मैनेजर्स को प्राथमिकता देते हैं। हार्डवेयर ऑथेंटिकेटर्स आमतौर पर सेकेंडरी मेनू में एक या दो एक्स्ट्रा क्लिक की दूरी पर होते हैं, Android पर NFC बिहेवियर OEMs के बीच बँटा हुआ है और Conditional UI डिफ़ॉल्ट रूप से सिंक किए गए क्रेडेंशियल्स को चुनता है। इसका परिणाम स्ट्रक्चरल फ्रिक्शन (संरचनात्मक रुकावट) है जिसे कोई भी हार्डवेयर वेंडर अकेले खत्म नहीं कर सकता। कंज्यूमर्स के पास भी एक स्पष्ट डिस्ट्रीब्यूशन चैनल नहीं है क्योंकि वे एक अलग ऑथेंटिकेटर के लिए 40 से 80 अमरीकी डॉलर का भुगतान नहीं करेंगे, जब तक कि उनकी इस्तेमाल की जाने वाली कोई सर्विस ऐसा करने के लिए न कहे।

कौन से यूज़ केसेस कंज्यूमर्स के लिए हार्डवेयर-बाउंड पासकी को सही ठहराते हैं?

तीन कैटेगरीज़ कंज्यूमर्स को एक हार्डवेयर ऑथेंटिकेटर रखने के लिए पर्याप्त मोटिवेशन (प्रेरणा) देती हैं। बैंकिंग और पेमेंट्स जहाँ PSD2, PSD3, भारत में RBI और ऑस्ट्रेलिया में APRA CPS 234 जैसे रेगुलेटर्स स्ट्रॉन्ग कस्टमर ऑथेंटिकेशन की मांग करते हैं और जहाँ फिजिकल कार्ड पहले से ही यूज़र जर्नी का हिस्सा है। क्रिप्टो और सेल्फ-कस्टडी वॉलेट जहाँ की (key) खोने का मतलब है फंड्स (पैसे) खोना और जहाँ यूज़र्स पहले ही Ledger या Trezor जैसे डेडिकेटेड डिवाइस खरीदते हैं। हाई-वैल्यू कंज्यूमर अकाउंट्स जिनमें प्राइमरी ईमेल, गवर्नमेंट आइडेंटिटी वॉलेट और क्रिएटर अकाउंट शामिल हैं, जहाँ अकाउंट टेकओवर के गंभीर परिणाम होते हैं, जैसे कि Google का Advanced Protection Program और ChatGPT के लिए OpenAI का Advanced Account Security (जिसे अप्रैल 2026 में लगभग 68 USD में को-ब्रांडेड YubiKey टू-पैक के साथ लॉन्च किया गया था) इसके मुख्य उदाहरण हैं। इन कैटेगरीज़ के बाहर, सिंक किए गए पासकी की सुविधा आमतौर पर जीत जाती है।

हार्डवेयर-बाउंड पासकी (Hardware-bound Passkeys): असली रेस एडॉप्शन की है

Q: कंज्यूमर हार्डवेयर-बाउंड पासकी मार्केट जीतने के लिए वास्तव में क्या लगता है?

हार्डवेयर की क्वालिटी ज़रूरी है लेकिन अब वह काफ़ी नहीं है। विनर वो प्लेयर होगा जो एक भरोसेमंद हार्डवेयर फॉर्म फैक्टर को एक इंटेलिजेंस प्लेटफ़ॉर्म के साथ जोड़ेगा जो एनरोलमेंट और ऑथेंटिकेशन के हर स्टेप को मापता है, टूटे हुए डिवाइस और OS कॉम्बिनेशन्स को दरकिनार करता है और इश्यूअर्स को कम होते फ्रॉड (धोखाधड़ी) और सपोर्ट कॉस्ट का सबूत देता है। फ़नल-लेवल पासकी ऑब्जर्वेबिलिटी के बिना, हार्डवेयर वेंडर्स और बैंकों के पास यह जानने का कोई तरीका नहीं है कि 60 प्रतिशत यूज़र्स NFC टैप को बीच में ही छोड़ देते हैं या Conditional UI ने प्रॉम्प्ट को निगल लिया। यह रेस डेटा और सॉफ़्टवेयर द्वारा तय की जाएगी, न कि इस बात से कि किस की (key) का टाइटेनियम शेल सबसे मजबूत है।

यह पेज अपने-आप अनुवादित किया गया है। मूल अंग्रेज़ी संस्करण पढ़ें यहाँ.

मुख्य तथ्य

हार्डवेयर-बाउंड पासकी NIST AAL3 तक पहुंचती हैं। सिंक्ड पासकी (Synced passkeys) AAL2 तक सीमित हैं क्योंकि क्लाउड सिंक कीज़ को एक्सपोर्टेबल बनाता है।
StatCounter के अनुसार, iOS और Android के पास मोबाइल शेयर का 99 प्रतिशत से अधिक हिस्सा है। दोनों ही हार्डवेयर ऑथेंटिकेटर्स (authenticators) को सिंक्ड क्रेडेंशियल्स से 1 से 3 क्लिक नीचे रखते हैं।
Yubico ने 2008 से 30 मिलियन से अधिक YubiKeys शिप किए हैं। CompoSecure एक वर्ष में 100 मिलियन से अधिक मेटल कार्ड शिप करता है। IDEMIA प्रति वर्ष 3 बिलियन से अधिक सुरक्षित तत्व (secure elements) बनाता है।
FIDO Alliance Authentication Barometer 2024 के अनुसार, कंज्यूमर बैंकिंग में हार्डवेयर-बाउंड पासकी का एक्टिवेशन लॉन्च के महीनों बाद भी 5 प्रतिशत से नीचे है।
Ledger ने 7 मिलियन से अधिक वॉलेट शिप किए हैं। Trezor ने 2 मिलियन से अधिक। क्रिप्टो सेल्फ-कस्टडी एकमात्र कंज्यूमर कैटेगरी है जहां यूज़र्स खुद हार्डवेयर खरीदते हैं।
यह रेस सबसे मजबूत हार्डवेयर द्वारा नहीं जीती जाएगी। यह उस प्लेयर द्वारा जीती जाएगी जो हार्डवेयर को एडॉप्शन इंजीनियरिंग और पासकी ऑब्जर्वेबिलिटी (passkey observability) के साथ जोड़ता है。

1. परिचय: कंज्यूमर रेस कौन जीतता है?#

हार्डवेयर-बाउंड पासकी लॉग इन करने का सबसे सुरक्षित तरीका है, लेकिन कंज्यूमर ऐप्स में लगभग कोई भी उनका उपयोग नहीं करता है। Security key निर्माताओं और smart card निर्माताओं ने वर्षों से इस फॉर्म फैक्टर को आगे बढ़ाया है। इसके बावजूद, FIDO Alliance Authentication Barometer 2024 दिखाता है कि कंज्यूमर banking में हार्डवेयर-बाउंड पासकी एक्टिवेशन 2025 में अभी भी 5 प्रतिशत से नीचे है।

Authentication Analytics व्हाइटपेपर. passkey कार्यक्रमों के लिए व्यावहारिक मार्गदर्शन, रोलआउट पैटर्न और KPIs।

व्हाइटपेपर पाएं

इसका कारण सरल है। StatCounter के अनुसार Apple और Google 99 प्रतिशत से अधिक मोबाइल शेयर को कंट्रोल करते हैं और वे यह तय करते हैं कि यूज़र कौन सा पासकी प्रकार सबसे पहले देखेगा। इसलिए कंज्यूमर रेस उस कंपनी द्वारा नहीं जीती जाएगी जिसके पास सबसे मजबूत की (key) है। यह उस कंपनी द्वारा जीती जाएगी जो सॉफ्टवेयर, डेटा और डिस्ट्रीब्यूशन के साथ हार्डवेयर को मिलाती है।

1.1 शब्दावली: हार्डवेयर-बाउंड बनाम सिंक्ड पासकी#

हार्डवेयर-बाउंड पासकी FIDO2 क्रेडेंशियल्स हैं जिनकी प्राइवेट की एक भौतिक सुरक्षित तत्व (physical secure element) के अंदर लॉक रहती है। की कभी भी डिवाइस नहीं छोड़ती। Synced passkeys उसी FIDO2 क्रिप्टोग्राफी का उपयोग करते हैं लेकिन iCloud Keychain, Google Password Manager या किसी थर्ड-पार्टी मैनेजर के माध्यम से आपके डिवाइस में की को कॉपी करते हैं। W3C WebAuthn Level 3 specification दोनों को एक अलग स्टोरेज पॉलिसी के साथ समान क्रेडेंशियल प्रकार मानता है। इंडस्ट्री हार्डवेयर-बाउंड पासकी को "device-bound passkeys" या "हार्डवेयर-बाउंड WebAuthn क्रेडेंशियल्स" भी कहती है। यह लेख तीनों को पर्यायवाची के रूप में उपयोग करता है।

एक आम गलतफहमी यह है कि फोन या लैपटॉप पर सुरक्षित तत्व (secure element) द्वारा समर्थित कोई भी पासकी हार्डवेयर-बाउंड है। व्यवहार में Apple Secure Enclave और Android StrongBox डिफ़ॉल्ट रूप से iCloud Keychain या Google Password Manager के माध्यम से सिंक होने वाली पासकी को होस्ट करते हैं, इसलिए प्राइवेट की क्लाउड से रिकवर की जा सकती है। एकमात्र कंज्यूमर सिक्योर एलिमेंट जो आज भी की को पूरी तरह से लोकल रखता है, वह Windows Hello TPM है, और यहां तक कि Microsoft भी Edge के अंदर सिंक की ओर बढ़ रहा है। चूंकि Windows Hello के लिए किसी अतिरिक्त हार्डवेयर खरीद की आवश्यकता नहीं होती है और यह लैपटॉप में इन-बिल्ट होता है, इसलिए यह लेख इसे हार्डवेयर-बाउंड कंज्यूमर रेस से बाहर रखता है और समर्पित सिक्योरिटी कीज़, FIDO2 स्मार्ट कार्ड और क्रिप्टो वॉलेट पर केंद्रित है।

यही एक अंतर - कि क्या की हार्डवेयर छोड़ सकती है - लगभग हर डाउनस्ट्रीम प्रॉपर्टी को चलाता है, NIST एश्योरेंस लेवल से लेकर रिकवरी फ्लो तक। NIST SP 800-63B हार्डवेयर-बाउंड पासकी को AAL3 पर रखता है, जो उच्चतम स्तर है, जबकि सिंक्ड पासकी को AAL2 पर कैप किया गया है। यह एक-कदम का अंतर उन नियामकों के लिए मायने रखता है जिन्हें पज़ेशन-फैक्टर बाइंडिंग की आवश्यकता होती है, जिसमें PSD2, PSD3, NYDFS Part 500, RBI 2024 और APRA CPS 234 शामिल हैं।

1.2 सिंक्ड पासकी ने डिफ़ॉल्ट स्लॉट क्यों जीता#

सिंक्ड पासकी ने डिफ़ॉल्ट स्लॉट लिया क्योंकि Apple और Google ने उन्हें पहले शिप किया और प्रॉम्प्ट (prompt) को कंट्रोल करते हैं। Apple ने 2021 में iCloud Keychain पासकी सपोर्ट जोड़ा, Google Password Manager 2022 में आया, और दोनों ने ऑटोफिल बार (autofill bar) के अंदर सिंक्ड क्रेडेंशियल्स दिखाने के लिए WebAuthn Conditional UI का उपयोग किया। हर डिफ़ॉल्ट फ्लो में एक हार्डवेयर authenticator एक से तीन क्लिक अंदर बैठता है।

FIDO Alliance Online Authentication Barometer 2024 रिपोर्ट करता है कि विश्व स्तर पर 64 प्रतिशत कंज्यूमर्स ने पासकी पर ध्यान दिया है और 53 प्रतिशत ने कम से कम एक खाते पर पासकी इनेबल की है। उन एनरोलमेंट्स में से लगभग सभी सिंक्ड हैं।

1.3 कंज्यूमर रेस वास्तव में कहां होती है#

इस लेख में, "कंज्यूमर" का अर्थ CIAM है। हम बाहरी ग्राहकों की बात कर रहे हैं जो किसी बैंक, क्रिप्टो एक्सचेंज, government wallet या क्रिएटर प्लेटफॉर्म में लॉग इन करते हैं। हम वर्कफोर्स लॉगिन की बात नहीं कर रहे हैं, जहां हार्डवेयर-बाउंड पासकी पहले से ही हावी हैं। दिलचस्प सवाल यह है कि कौन सी कंज्यूमर जर्नी आगे खुलती है और कौन सा प्लेयर वहां सबसे पहले पहुंचता है।

रेस में दो फॉर्म फैक्टर शामिल हैं जिन्हें कंज्यूमर्स को वास्तव में प्राप्त करना होता है और तीन डिस्ट्रीब्यूशन पथ हैं।

फॉर्म फैक्टर्स: USB या NFC security keys और payment कार्ड्स में इन-बिल्ट FIDO2 smart cards। क्रिप्टो हार्डवेयर wallets एक तीसरी विशिष्ट (niche) श्रेणी के रूप में दोनों के साथ बैठते हैं।
डिस्ट्रीब्यूशन पथ: कंज्यूमर्स को सीधी बिक्री, बैंकों या governments द्वारा उनके यूज़र्स को शिप किए गए डिवाइस और सेल्फ-कस्टडी यूज़र्स द्वारा खरीदे गए क्रिप्टो वॉलेट।

1.4 इस लेख का मुख्य विचार (Thesis)#

अच्छा हार्डवेयर जरूरी है, लेकिन अब यह काफी नहीं है। सबसे मजबूत चिप वाला वेंडर कंज्यूमर एडॉप्शन अपने आप नहीं जीतेगा। असली बाधाएं सिलिकॉन के ऊपर बैठती हैं: ब्राउज़र प्रॉम्प्ट्स, अलग-अलग Android फोनों पर NFC स्टैक, रिकवरी डिज़ाइन और कंज्यूमर डिस्ट्रीब्यूशन। विजेता वह कंपनी होगी जो हार्डवेयर को एडॉप्शन इंजीनियरिंग और passkey observability के साथ जोड़ेगी।

इस लेख का शेष भाग इतिहास, प्लेयर्स, ब्लॉकर्स, वास्तविक दुनिया के उपयोग के मामलों और एंटरप्राइज़ से बाहर निकलकर कंज्यूमर में प्रवेश करने वाली किसी भी कंपनी के लिए एक व्यावहारिक प्लेबुक के बारे में बताता है।

हाल के लेख

2. हार्डवेयर ऑथेंटिकेटर्स यहां कैसे पहुंचे?#

हार्डवेयर-बाउंड क्रेडेंशियल्स कोई नई बात नहीं है। वे FIDO से लगभग 30 साल पुराने हैं। PKI स्मार्ट कार्ड 1990 के दशक में government में आए, जिन्हें NIST FIPS 201 PIV standard द्वारा संहिताबद्ध (codified) किया गया। एंटरप्राइज़ VPN में RSA SecurID टोकन आए। EMV चिप-एंड-पिन कार्ड 2002 में payments तक पहुंचे। EMVCo की रिपोर्ट के अनुसार आज सर्कुलेशन में 12 बिलियन से अधिक EMV कार्ड हैं, जो payment कार्ड पर मौजूद चिप को इतिहास में सबसे बड़ा तैनात हार्डवेयर-क्रिप्टोग्राफी प्लेटफॉर्म बनाता है।

वही सिक्योर-एलिमेंट सप्लाई चेन, जिसे IDEMIA, Thales और Infineon एक वर्ष में 3 बिलियन से अधिक चिप्स पर चलाते हैं, अब FIDO2 स्मार्ट कार्ड्स के अंदर सिलिकॉन का उत्पादन करती है। हार्डवेयर authenticators को FIDO2 में लाने वाले तीन उद्योग बदलाव केवल चार वर्षों में, 2014 और 2018 के बीच हुए।

2.1 U2F से FIDO2 तक (2014 से 2018)#

FIDO Alliance ने 2014 में FIDO U2F लॉन्च किया, जिसके पहले हार्डवेयर टोकन कई security key वेंडर्स द्वारा शिप किए गए। 2017 तक Google ने 89,000 से अधिक कर्मचारियों को U2F कीज़ रोल आउट कीं और अगले वर्ष Krebs on Security के अनुसार ज़ीरो phishing-संबंधित अकाउंट टेकओवर की सूचना दी। लेकिन U2F केवल एक दूसरा फैक्टर (second factor) था। यूज़र्स के पास अभी भी एक पासवर्ड था और हार्डवेयर टैप केवल एक अतिरिक्त कदम था। फॉर्म फैक्टर एंटरप्राइज़ ही रहा: Google कर्मचारियों, government एजेंसियों और मुट्ठी भर क्रिप्टो एक्सचेंजों के लिए एक छोटी USB की।

FIDO2 और WebAuthn ने 2018 में U2F को एक पूर्ण पासवर्डलेस (passwordless) फ्रेमवर्क में बदलकर इसे बदल दिया। वही सिक्योर एलिमेंट जो एक सेकंड फैक्टर का समर्थन करता था, अब प्राथमिक लॉगिन क्रेडेंशियल का समर्थन कर सकता था।

2.2 पासकी ब्रांडिंग शिफ्ट (2022)#

मई 2022 में, Apple, Google, Microsoft और FIDO Alliance ने संयुक्त रूप से FIDO Alliance Authenticate conference में "पासकी" ब्रांड लॉन्च किया। विचार एक एकल, सरल शब्द का था जिसे कंज्यूमर्स सिंक्ड और डिवाइस-बाउंड FIDO2 क्रेडेंशियल्स दोनों के लिए समझ सकें।

Apple's developer release notes के अनुसार, Apple ने सितंबर 2022 में iOS 16 में iCloud Keychain पासकी सिंक रोल आउट किया। Google ने अक्टूबर 2022 में Android 9 और उसके बाद के संस्करणों पर अपने Identity blog के अनुसार पालन किया।

Microsoft तीनों में सबसे पीछे था। Windows Hello documentation के अनुसार, Windows Hello ने 2015 से TPM-बाउंड, डिवाइस-बाउंड क्रेडेंशियल्स शिप किए थे, लेकिन कंज्यूमर खाते वर्षों तक sync passkeys across devices नहीं कर सके। Microsoft ने केवल मई 2024 में कंज्यूमर Microsoft खातों के लिए पासकी सपोर्ट जोड़ा, और Microsoft Edge Password Manager में सिंक्ड पासकी 2025 में और भी बाद में आईं। इसलिए जहां Apple और Google के पास सिंक्ड कंज्यूमर पासकी पर दो-से-तीन साल की शुरुआत थी, Microsoft अभी भी अपने ही ब्राउज़र के अंदर क्रॉस-डिवाइस सिंक को पकड़ने की कोशिश कर रहा है।

हार्डवेयर वेंडर्स को उम्मीद थी कि चार प्रमुख प्लेयर्स के इस बड़े रीब्रांड से सिक्योरिटी कीज़ और स्मार्ट कार्ड की मांग बढ़ेगी। ऐसा नहीं हुआ। FIDO Alliance Barometer के अनुसार, सिंक्ड पासकी ने लगभग सभी नए कंज्यूमर एनरोलमेंट्स को सोख लिया।

2.3 2 ट्रैक्स में विभाजन#

18 महीनों के भीतर, इकोसिस्टम दो स्पष्ट ट्रैक में विभाजित हो गया। कंज्यूमर ट्रैक पर सिंक्ड पासकी का प्रभुत्व था, जहां Apple और Google ने अपने स्वयं के मैनेजर्स के आसपास डिफ़ॉल्ट फ्लो बनाया। एंटरप्राइज़ ट्रैक पर हार्डवेयर-बाउंड पासकी का प्रभुत्व था, जहां आईटी विभाग वर्कफोर्स आइडेंटिटी (workforce identity) के लिए सिक्योरिटी कीज़ या FIDO2 smart cards खरीदते हैं। FIDO Alliance उस एंटरप्राइज़ मार्केट को वार्षिक हार्डवेयर authenticator खर्च में 1 बिलियन अमरीकी डालर से अधिक का आंकता है।

हार्डवेयर वेंडर्स ने कंज्यूमर पर कभी हार नहीं मानी। असली सवाल यह है कि क्या उनके पास अभी भी एक विश्वसनीय रास्ता है या OS लेयर ने उन्हें हमेशा के लिए बाहर कर दिया है।

3. कंज्यूमर रेस में कौन प्रतिस्पर्धा कर रहा है?#

दो फॉर्म फैक्टर स्पेस के लिए प्रतिस्पर्धा करते हैं। सिक्योरिटी कीज़ उत्साही (enthusiasts) और एंटरप्राइजेज को सीधी बिक्री में सबसे आगे हैं। स्मार्ट कार्ड के पास बैंकों के माध्यम से सबसे बड़ा डिस्ट्रीब्यूशन चैनल है: EMVCo statistics के अनुसार हर साल 1.5 बिलियन से अधिक EMV कार्ड जारी किए जाते हैं।

प्रतिस्पर्धी वेंडर्स दो खेमों में बंटे हैं। Security key निर्माता एंड यूज़र्स और एंटरप्राइजेज को सीधे USB या NFC कीज़ बेचते हैं। Smart card और सिक्योर एलिमेंट निर्माता उन चिप्स और कार्ड्स का निर्माण करते हैं जिन्हें बैंक जारी करते हैं। प्रत्येक खेमे को एक अलग यूनिट-कॉस्ट समस्या का सामना करना पड़ता है, और किसी ने भी कंज्यूमर डिस्ट्रीब्यूशन गैप को अपने दम पर हल नहीं किया है।

3.1 सिक्योरिटी की फॉर्म फैक्टर में कौन आगे है?#

कई सिक्योरिटी की निर्माता इस सेगमेंट में प्रतिस्पर्धा करते हैं। आधुनिक सिक्योरिटी कीज़ आम तौर पर USB-A, USB-C, NFC और Lightning में FIDO2, FIDO U2F, स्मार्ट-कार्ड PIV, OpenPGP और OTP को सपोर्ट करती हैं, और कुछ इसके ऊपर एक ऑन-डिवाइस फिंगरप्रिंट सेंसर भी जोड़ते हैं। नीचे दी गई तालिका कंज्यूमर और एंटरप्राइज़ बाज़ार में सबसे प्रासंगिक वेंडर्स का अवलोकन देती है।

Vendor	HQ	Notable products	Connectors	Notable angle
Yubico	Sweden / USA	YubiKey 5, YubiKey Bio, Security Key	USB-A, USB-C, NFC, Lightning	Largest direct-to-consumer brand, broad protocol support
Feitian	China	ePass, BioPass, MultiPass	USB-A, USB-C, NFC, BLE	Largest competitor by global unit volume, OEM for Google Titan
Token2	Switzerland	T2F2, Bio3	USB-A, USB-C, NFC	Affordable, PIN+ and biometric variants
Google	USA	Titan Security Key	USB-C, NFC	Anchors Google Advanced Protection, manufactured by Feitian
OneSpan	USA	DIGIPASS FX1 BIO	USB-A, USB-C, NFC, BLE	Banking-focused, optional fingerprint sensor
Identiv	USA	uTrust FIDO2	USB-A, USB-C, NFC	Enterprise and government smart-card heritage
Kensington	USA	VeriMark Guard	USB-A, USB-C	Biometric fingerprint readers, mainstream-retail distribution

निर्माता प्राइसिंग पेजों के अनुसार एक डिवाइस की कीमत 40 से 80 अमरीकी डालर है, जो एंटरप्राइज़ सेटिंग में प्रबंधनीय (manageable) है लेकिन कंज्यूमर स्तर पर एडॉप्शन को मारता है। उस मूल्य टैग के साथ आने वाली NFC, रिकवरी और डिस्ट्रीब्यूशन समस्याएं अनुभाग 4 में विस्तार से कवर की गई हैं।

3.2 स्मार्ट कार्ड फॉर्म फैक्टर में कौन आगे है?#

Smart card निर्माता बैंक द्वारा जारी FIDO2 सेगमेंट में प्रतिस्पर्धा करते हैं। वेंडर परिदृश्य कार्ड निर्माताओं और चिप आपूर्तिकर्ताओं में विभाजित हो जाता है। कार्ड निर्माता जैसे CompoSecure (जो अपने Arculus FIDO2 उत्पाद को शिप करता है), IDEMIA, NagraID, Feitian और TrustSEC स्वयं FIDO2 कार्ड्स का उत्पादन करते हैं। चिप आपूर्तिकर्ता, तीन सिक्योर-एलिमेंट दिग्गज IDEMIA, Thales और Infineon, अधिकांश कार्ड्स के अंदर सिक्योर एलिमेंट्स का निर्माण करते हैं। IDEX Biometrics ऑन-कार्ड फिंगरप्रिंट सेंसर की आपूर्ति करता है जो एक स्मार्ट कार्ड को biometric smart card में बदल देता है।

कार्ड issuers में डिस्ट्रीब्यूशन मौजूदा payment-कार्ड सप्लाई चेन के माध्यम से पहले से ही हल किया गया है। चुनौती issuers को यूनिट-कॉस्ट प्रीमियम को अवशोषित करने के लिए आश्वस्त करना और यह सुनिश्चित करना है कि NFC टैप उपकरणों में मज़बूती से काम करता है।

एक FIDO2 स्मार्ट कार्ड धातु (metal) या बायोमेट्रिक कार्ड बॉडी की 5 से 15 USD की बेसलाइन लागत के ऊपर 2 से 5 USD जोड़ता है। Juniper Research 2024 के अनुसार, 2027 तक विश्व स्तर पर 140 मिलियन से अधिक बायोमेट्रिक पेमेंट कार्ड शिप किए जाएंगे।

3.3 हाइब्रिड और आसन्न (adjacent) नाटकों के बारे में क्या?#

कुछ अन्य उत्पाद किसी भी फॉर्म फैक्टर में सफाई से फिट हुए बिना समान उपयोग के मामले (use case) के लिए प्रतिस्पर्धा करते हैं। Ledger ने 7 मिलियन से अधिक नैनो wallets शिप किए हैं, और Trezor ने 2 मिलियन से अधिक। दोनों क्रिप्टो स्टोरेज के शीर्ष पर FIDO2 को द्वितीयक सुविधा के रूप में उजागर करते हैं। Apple Secure Enclave और Android StrongBox जैसे फोन सिक्योर एलिमेंट्स तकनीकी रूप से हार्डवेयर के साथ प्राइवेट की की रक्षा करते हैं, लेकिन Apple और Google डिफ़ॉल्ट रूप से iCloud Keychain और Google Password Manager के माध्यम से पासकी सिंक करते हैं, इसलिए यूज़र को दिखाई देने वाला व्यवहार एक synced passkey है, न कि हार्डवेयर-बाउंड। Token Ring और Mojo Vision रिंग्स जैसे वियरेबल authenticators सार्वजनिक बयानों के अनुसार 100,000 यूनिट्स से कम शिप हुए हैं।

दूसरे शब्दों में, कंज्यूमर रेस वास्तव में सिक्योरिटी कीज़ और स्मार्ट कार्ड के बीच एक दो-तरफा प्रतियोगिता है, जिसमें क्रिप्टो wallets तीसरे वर्टिकल के रूप में हैं और वियरेबल्स (wearables) उप-1 प्रतिशत फुटनोट के रूप में हैं।

Live demo में passkeys आज़माएं.

Passkeys आज़माएं

4. कंज्यूमर एडॉप्शन को क्या रोकता है?#

कंज्यूमर मार्केट्स में हार्डवेयर-बाउंड passkey adoption को चार संरचनात्मक बाधाएं (structural headwinds) रोकती हैं: OS और ब्राउज़र प्रॉम्प्ट पदानुक्रम (hierarchy), Android पर NFC विखंडन, डिवाइस खो जाने के बाद कठिन रिकवरी, और डायरेक्ट-टू-कंज्यूमर लागत। इनमें से किसी को भी अकेले हार्डवेयर वेंडर द्वारा ठीक नहीं किया जा सकता है।

4.1 OS और ब्राउज़र पदानुक्रम (Hierarchy)#

Apple का AuthenticationServices iCloud Keychain को डिफ़ॉल्ट करता है। यहां तक कि जब एक relying party authenticatorAttachment को cross-platform पर सेट करता है, तब भी यूज़र को पहले प्लेटफ़ॉर्म शीट को डिसमिस करना पड़ता है। Google का Credential Manager Android पर Google Password Manager के साथ ऐसा ही करता है। StatCounter के अनुसार Safari और Chrome मिलकर मोबाइल ब्राउज़र शेयर का लगभग 84 प्रतिशत हिस्सा रखते हैं, इसलिए दो वेंडर्स प्रभावी रूप से संपूर्ण कंज्यूमर वेब के लिए प्रॉम्प्ट UX सेट करते हैं।

ब्राउज़र भी हार्डवेयर-की UX में कम निवेश करते हैं क्योंकि 99 प्रतिशत से अधिक कंज्यूमर्स के पास समर्पित सिक्योरिटी की नहीं है, जो StatCounter पर वैश्विक मोबाइल शेयर के साथ तुलना किए गए एकत्रित सिक्योरिटी की शिपमेंट डेटा पर आधारित है। यह एक फीडबैक लूप बनाता है। खराब UX कम एडॉप्शन की ओर ले जाता है। कम एडॉप्शन का मतलब है कोई निवेश नहीं। कोई निवेश नहीं होने से खराब UX होता है।

4.2 Android पर NFC विखंडन#

Android पर NFC व्यवहार निर्माताओं के बीच बहुत भिन्न होता है। Samsung, Xiaomi, Oppo और Google Pixel सभी Android Open Source के शीर्ष पर अलग-अलग NFC स्टैक शिप करते हैं। Android Issue Tracker के अनुसार, कुछ Android 14 बिल्ड्स ने 2024 में कई महीनों के लिए थर्ड-पार्टी passkey provider सपोर्ट को भी तोड़ दिया। एक FIDO2 स्मार्ट कार्ड जो Pixel 8 पर ठीक से टैप करता है, वह Galaxy S23 Ultra पर विफल हो सकता है और Xiaomi 14 पर फिर से अलग व्यवहार कर सकता है। और Google Android Compatibility Program का कोई केंद्रीय परीक्षण कार्यक्रम कंज्यूमर्स तक पहुंचने से पहले इन रिग्रेशन को नहीं पकड़ता है।

4.3 रिकवरी और नुकसान (Loss)#

जब कोई यूज़र किसी नए डिवाइस पर साइन इन करता है तो सिंक्ड पासकी अपने आप रिकवर हो जाती हैं। हार्डवेयर क्रेडेंशियल्स नहीं होते। एक यूज़र जो सिक्योरिटी की खो देता है या स्मार्ट कार्ड तोड़ देता है, उसे अकाउंट रिकवरी या अक्सर कम सुरक्षित तरीकों से गुजरना पड़ता है। Verizon 2024 Data Breach Investigations Report में पाया गया है कि 68 प्रतिशत उल्लंघनों (breaches) में क्रेडेंशियल रिकवरी दुर्व्यवहार (abuse) सहित एक गैर-दुर्भावनापूर्ण मानवीय तत्व शामिल है। NIST SP 800-63B भी स्पष्ट रूप से चेतावनी देता है कि अकाउंट रिकवरी ऑथेंटिकेशन से समझौता (compromise) करने का एक सामान्य मार्ग है। इसलिए हार्डवेयर बाइंडिंग केवल रिकवरी चैनल जितनी ही मजबूत है, जिसका अर्थ है कि relying party सिलिकॉन वेंडर जितना ही सुरक्षा का बोझ उठाती है।

4.4 डिस्ट्रीब्यूशन और लागत#

निर्माता प्राइसिंग पेजों के अनुसार एक कंज्यूमर-ग्रेड सिक्योरिटी की 40 से 80 अमरीकी डालर में retails होती है। एक कंज्यूमर जो नहीं सोचता कि उसका खाता जोखिम में है, वह भुगतान नहीं करेगा। लागत को अवशोषित करने वाले बैंक और क्रिप्टो एक्सचेंज डिवाइस मुफ्त में दे सकते हैं, लेकिन फिर वे समर्थन बोझ (support burden) के मालिक होते हैं। क्रेडिट कार्ड के साथ बंडल किए गए स्मार्ट कार्ड प्रति कार्ड 5 से 15 अमरीकी डालर की बेसलाइन लागत के ऊपर 2 से 5 अमरीकी डालर जोड़ते हैं, जो सार्वजनिक स्मार्ट कार्ड वेंडर प्रकटीकरण (disclosures) के अनुसार है जिसमें CompoSecure investor materials शामिल हैं।

ये चार बाधाएं समझाती हैं कि FIDO Alliance Barometer के अनुसार financial services में 95 प्रतिशत से अधिक कंज्यूमर एनरोलमेंट के लिए सिंक्ड पासकी का ही उपयोग क्यों किया जाता है, भले ही हार्डवेयर को एक विकल्प के रूप में पेश किया गया हो।

Igor Gjorgjioski

Head of Digital Channels & Platform Enablement, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

See how VicRoads scaled passkeys to 5M+ users — alongside their existing IDP.

Read the case study

5. हार्डवेयर-बाउंड पासकी वास्तव में कहां जीतती हैं?#

तीन कंज्यूमर श्रेणियां लोगों को समर्पित हार्डवेयर ले जाने का एक वास्तविक कारण देती हैं: banking और payments, क्रिप्टो सेल्फ-कस्टडी और उच्च-मूल्य (high-value) वाले खाते। प्रत्येक एक मजबूत ड्राइवर, एक विश्वसनीय डिस्ट्रीब्यूशन पथ और घर्षण (friction) को सही ठहराने के लिए पर्याप्त गंभीर परिणामों को जोड़ती है। इन तीन सेगमेंट के बाहर, सिंक्ड पासकी आमतौर पर सुविधा पर जीतती हैं।

5.1 बैंकिंग और पेमेंट्स#

बैंक सबसे स्वाभाविक डिस्ट्रीब्यूशन चैनल हैं। वे पहले से ही ग्राहकों को भौतिक (physical) कार्ड भेजते हैं। वे PSD2, PSD3, EBA Opinion on SCA, RBI 2FA, NYDFS Part 500 और APRA CPS 234 के तहत काम करते हैं। उनमें से कई नियमों में एक क्रिप्टोग्राफ़िक पज़ेशन फैक्टर (possession factor) की आवश्यकता होती है जिसे सिंक्ड पासकी स्पष्ट रूप से संतुष्ट नहीं करती हैं।

"क्रेडिट कार्ड के रूप में स्मार्ट कार्ड" थीसिस काम करती है क्योंकि कार्ड पहले से मौजूद है। एक धातु कार्ड जारी करने वाला बैंक CompoSecure 10-K के अनुसार, प्रति कार्ड 5 से 15 USD का भुगतान करता है। FIDO2 को जोड़ने से Juniper Research बायोमेट्रिक-कार्ड लागत विश्लेषण के अनुसार, वह 7 से 20 USD हो जाता है। वह एकल कार्ड तब चिप-एंड-पिन, NFC टैप-टू-पे, ATM निकासी, ऑनलाइन banking लॉगिन और उच्च-मूल्य वाले 3DS transaction confirmation को संभालता है। कंज्यूमर से कभी नहीं पूछा जाता "क्या आप हार्डवेयर authenticator चाहते हैं?" कार्ड बस मेल में आ जाता है।

5.2 क्रिप्टो और सेल्फ-कस्टडी#

क्रिप्टो यूज़र्स पहले ही हार्डवेयर ले जाने के विचार को स्वीकार कर चुके हैं। Ledger ने 7 मिलियन से अधिक नैनो डिवाइस शिप किए हैं और अपने corporate page के अनुसार संचयी (cumulative) हार्डवेयर राजस्व में 4 बिलियन अमरीकी डालर से अधिक की सूचना दी है। Trezor ने 2 मिलियन से अधिक यूनिट्स शिप की हैं। सिक्योरिटी कीज़ का क्रिप्टो-एक्सचेंज MFA में भी लंबे समय से चलने वाला स्थान है, जिसमें Coinbase, Kraken और Binance सभी FIDO2 कीज़ को सपोर्ट करते हैं।

हार्डवेयर wallet में FIDO2 जोड़ना एक इंक्रीमेंटल (incremental) इंजीनियरिंग कार्य है। एक 100 अमरीकी डालर का डिवाइस जो 50,000 अमरीकी डालर के पोर्टफोलियो की रक्षा करता है, स्पष्ट रूप से ले जाने लायक है। क्रिप्टो एकमात्र कंज्यूमर कैटेगरी है जहां यूज़र्स अपनी पहल पर हार्डवेयर खरीदते हैं।

5.3 उच्च-मूल्य वाले कंज्यूमर खाते#

कंज्यूमर्स का एक छोटा समूह उन खातों की रक्षा करता है जहां टेकओवर अपरिवर्तनीय (irreversible) है। विशिष्ट उदाहरणों में प्राथमिक ईमेल, सरकारी आइडेंटिटी wallets, YouTube या Twitch पर क्रिएटर अकाउंट्स और पत्रकारिता (journalism) क्रेडेंशियल्स शामिल हैं। Google का Advanced Protection Program इस समूह को "पत्रकारों, मानवाधिकार कार्यकर्ताओं और राजनीतिक अभियान कर्मचारियों जैसे उच्च जोखिम वाले यूज़र्स" के रूप में वर्णित करता है।

OpenAI ने अप्रैल 2026 में ChatGPT के लिए अपने Advanced Account Security प्रोग्राम के साथ उसी प्लेबुक का पालन किया, Yubico के साथ मिलकर लगभग 68 अमरीकी डालर में सह-ब्रांडेड YubiKey C NFC और YubiKey C Nano टू-पैक के लिए साझेदारी की। यह कार्यक्रम पासवर्ड और ईमेल या SMS साइन-इन को पूरी तरह से डिसेबल कर देता है और पासकी या भौतिक (physical) सिक्योरिटी कीज़ की आवश्यकता होती है, जो पत्रकारों, निर्वाचित अधिकारियों, असंतुष्टों और अन्य उच्च-जोखिम वाले ChatGPT यूज़र्स को लक्षित करता है। यह बताना जल्दबाजी होगी कि कितने यूज़र्स उस अतिरिक्त परत के लिए 68 अमरीकी डालर का भुगतान करेंगे, लेकिन यह अभी तक का सबसे स्पष्ट परीक्षण है कि क्या उच्च-मूल्य वाले कंज्यूमर खाते क्रिप्टो और बैंकिंग के बाहर स्वैच्छिक हार्डवेयर एडॉप्शन को चला सकते हैं।

Cisco का 2024 Cybersecurity Readiness Index यह भी पाता है कि केवल 3 प्रतिशत संगठनों के पास परिपक्व (mature) सुरक्षा मुद्रा (security posture) है। GAO 2024 cybersecurity report अकाउंट टेकओवर को शीर्ष पांच संघीय (federal) साइबर सुरक्षा जोखिमों में से एक के रूप में चिह्नित करती है, जो मूल पत्रकारिता आला (niche) से परे इस सुरक्षा की आवश्यकता वाले कंज्यूमर्स के पूल का विस्तार करती है।

बैंकिंग Passkeys रिपोर्ट. passkey कार्यक्रमों के लिए व्यावहारिक मार्गदर्शन, रोलआउट पैटर्न और KPIs।

रिपोर्ट पाएं

6. केवल हार्डवेयर क्यों नहीं जीतेगा#

सबसे अच्छे हार्डवेयर का मालिक होना कंज्यूमर मार्केट शेयर की गारंटी नहीं देता है। हार्डवेयर वेंडर और एंड-टू-एंड कंज्यूमर उत्पाद के बीच पांच अंतराल (gaps) हैं: डिस्ट्रीब्यूशन, ऑनबोर्डिंग, रिकवरी, क्रॉस-डिवाइस जर्नी और माप (measurement)। प्रत्येक गैप के लिए ऐसे कौशल की आवश्यकता होती है जो सिलिकॉन डिज़ाइन के बाहर बैठते हैं।

डिस्ट्रीब्यूशन (Distribution): हार्डवेयर कंपनियों का कंज्यूमर्स के साथ कोई वास्तविक सीधा संबंध नहीं है। सिद्धांत रूप में कोई भी yubico.com से YubiKey ऑर्डर कर सकता है, लेकिन व्यवहार में खरीदार सुरक्षा पेशेवर (security professionals), आईटी एडमिन और एक छोटा उत्साही समूह हैं। यह चैनल मुख्यधारा के कंज्यूमर्स तक नहीं पहुंचता है, जिन्होंने कभी ब्रांड के बारे में नहीं सुना है और अपने दम पर 50 अमरीकी डालर के ऑथेंटिकेटर की खोज नहीं करेंगे। बैंक, टेलको (telcos), रिटेलर्स और OS वेंडर्स वे पार्टियां हैं जो कंज्यूमर रिलेशनशिप के मालिक हैं, इसलिए कंज्यूमर स्केल पर हार्डवेयर वेंडर को एक पार्टनर या व्हाइट-लेबल सौदे की आवश्यकता होती है।
ऑनबोर्डिंग (Onboarding): पासकी सेट अप करने के लिए कंज्यूमर को जो भी कदम उठाने पड़ते हैं, उसकी कीमत आपको यूज़र्स गंवानी पड़ती है। वास्तविक दुनिया की बैंकिंग तैनाती Baymard Institute checkout abandonment benchmarks के अनुरूप एनरोलमेंट फ़नल में 30 से 60 प्रतिशत की ड्रॉप-ऑफ़ दर की रिपोर्ट करती है।
रिकवरी (Recovery): एक रिकवरी स्टोरी के बिना कंज्यूमर उत्पाद टूट गया है। रिकवरी को अकाउंट-स्तर के संकेतों, identity verification और जोखिम स्कोरिंग (risk scoring) की आवश्यकता होती है, जो सभी relying party के अंदर रहते हैं।
क्रॉस-डिवाइस जर्नी (Cross-device journeys): एक यूज़र फोन, लैपटॉप, स्मार्ट टीवी और कार में साइन इन करता है। हार्डवेयर-बाउंड क्रेडेंशियल केवल एक डिवाइस पर रहता है। इसलिए आपको डेड एंड्स से बचने के लिए हार्डवेयर और सिंक्ड क्रेडेंशियल्स के बीच स्मार्ट रूटिंग की आवश्यकता होती है।
माप (Measurement): हार्डवेयर वेंडर्स आमतौर पर शिप करते हैं और भूल जाते हैं। वे बेची गई इकाइयों और सक्रिय (activated) लाइसेंसों की गिनती करते हैं। वे WebAuthn सेरेमनी (ceremony) को विफल होते या यूज़र को टैप छोड़ते नहीं देखते हैं। माप (measurement) के बिना, अन्य चार अंतरालों (gaps) में से किसी को भी बंद नहीं किया जा सकता है।

जो वेंडर्स अपने स्वयं के उत्पाद के अंदर इन पांच अंतरालों को हल करते हैं, वे एंड-टू-एंड ऑथेंटिकेशन प्लेटफॉर्म बन जाते हैं। जो वेंडर्स कंपोनेंट्स के बिज़नेस में नहीं रहते हैं और किसी और के प्लेटफ़ॉर्म में बेचते हैं।

7. वास्तविक लीवर (Lever) क्या है? एडॉप्शन इंजीनियरिंग#

एडॉप्शन इंजीनियरिंग का अर्थ है हार्डवेयर-बाउंड पासकी को सॉफ़्टवेयर के साथ जोड़ना जो एनरोलमेंट चलाता है, हर सेरेमनी को मापता है और टूटे हुए रास्तों के चारों ओर रूट (routes) करता है। इनमें से कोई भी गतिविधि हार्डवेयर के बारे में नहीं है। कंज्यूमर मार्केट में जीतने के लिए चारों की आवश्यकता होती है, और वे केवल एक बंद लूप (closed loop) के रूप में काम करते हैं। नीचे दिया गया आरेख (diagram) दिखाता है कि चार गतिविधियां एक-दूसरे को कैसे फीड करती हैं।

एडॉप्शन इंजीनियरिंग के चार चरणों के साथ सर्कुलर फीडबैक लूप: फ़नल टेलीमेट्री, सेशन डायग्नोस्टिक्स, डिवाइस-इंटेलिजेंट रूटिंग और जारीकर्ताओं के साथ निरंतर इटरेशन।

FIDO Alliance Authentication Barometer 2024 रिपोर्ट करता है कि 53 प्रतिशत कंज्यूमर्स ने कम से कम एक खाते पर पासकी सक्षम (enabled) की है, लेकिन रेगुलेटेड जर्नी में हार्डवेयर-बाउंड एक्टिवेशन अभी भी 5 प्रतिशत से नीचे बैठता है। यह 10x का अंतर (gap) है, और एडॉप्शन इंजीनियरिंग वह है जो इसे बंद करती है। W3C WebAuthn working group इस अंतर को परिनियोजन (deployment) समस्या के रूप में मानता है, न कि विनिर्देश (specification) समस्या के रूप में।

7.1 फ़नल-लेवल टेलीमेट्री#

फ़नल स्तर पर, passkey observability हर एक कदम को मापती है, "यूज़र क्लिक साइन इन" से लेकर "सेशन टोकन जारी" तक। उस इंस्ट्रूमेंटेशन के बिना, एक टीम "यूज़र ने हार्डवेयर विकल्प नहीं देखा," "यूज़र ने इसे देखा, टैप किया और NFC विफल रहा" और "यूज़र ने सेरेमनी पूरी की लेकिन रिलाइंग पार्टी ने परिणाम को अस्वीकार कर दिया" के बीच अंतर नहीं बता सकती है।

फ़नल टेलीमेट्री आपको वे मेट्रिक्स (metrics) देती है जो वास्तव में मायने रखते हैं: हार्डवेयर-पासकी एक्टिवेशन दर, डिवाइस द्वारा हार्डवेयर-पासकी सफलता दर, पूरा करने का समय और कदम दर कदम त्याग (abandonment)। W3C WebAuthn Level 3 specification 14 अलग-अलग त्रुटि (error) कोड परिभाषित करता है जो एक सेरेमनी वापस कर सकती है, लेकिन अधिकांश उत्पादन डिप्लॉयमेंट पांच से कम उपकरण देते हैं, FIDO Alliance Authenticate 2024 deployment talks के अनुसार।

7.2 सेशन-लेवल डायग्नोस्टिक्स#

जब एक एकल ऑथेंटिकेशन विफल (fails) हो जाता है, तो समर्थन (support) टीमों को यह देखने की आवश्यकता होती है कि वास्तव में क्या हुआ। सेशन-लेवल डायग्नोस्टिक्स ट्रांसपोर्ट (NFC, USB या BLE), CTAP त्रुटि कोड, ब्राउज़र, OS संस्करण, डिवाइस निर्माता और सेरेमनी में प्रत्येक चरण के समय को कैप्चर करते हैं। FIDO CTAP 2.1 specification 20 से अधिक त्रुटि कोड परिभाषित करता है जिन्हें authenticators वापस कर सकते हैं, और इन्हें W3C WebAuthn Level 3 spec में विशिष्ट यूज़र रिकवरी कार्यों में मैप किया गया है।

इस टेलीमेट्री के बिना, सपोर्ट एजेंट केवल "लॉगिन विफल (login failed)" देखता है और अकाउंट रिकवरी शुरू कर सकता है।

7.3 डिवाइस-इंटेलिजेंट रूटिंग#

कुछ डिवाइस और OS संयोजन लगातार टूटते (break) हैं। बड़े डिप्लॉयमेंट्स के वास्तविक दुनिया के डेटा अलग-अलग टूटे हुए जोड़ियों (broken pairs) पर 40 से 90 प्रतिशत की निरस्त (abort) दर दिखाते हैं, जिनमें Android Issue Tracker और FIDO Alliance Authenticate 2024 talks में प्रलेखित (documented) सामान्य पैटर्न हैं।

रूटिंग लॉजिक जो ज्ञात-टूटे हुए संयोजनों (known-broken combinations) पर हार्डवेयर विकल्प को छुपाता है और अगले-सर्वोत्तम (next-best) मार्ग पर वापस आता है, यूज़र्स को विफलता मामले (failure case) से बाहर रखता है। लेकिन आप OpenSignal device database द्वारा ट्रैक किए गए लगभग 24,000 अलग-अलग Android डिवाइस मॉडलों में टूटे हुए जोड़े (broken pairs) की पहचान करने वाले ऑब्जर्वेबिलिटी डेटा के बाद ही वे रूटिंग निर्णय ले सकते हैं।

7.4 जारीकर्ताओं (Issuers) के साथ निरंतर इटरेशन#

Gartner research on identity programs के अनुसार, बैंक और फिनटेक आम तौर पर 6 से 12 महीने के चक्र (cycles) पर पायलट और पूर्ण डिप्लॉयमेंट चलाते हैं। जो प्लेटफ़ॉर्म जीतता है वह ऑब्जर्वेबिलिटी डेटा को साप्ताहिक रिलीज़ नोट्स, बग फिक्स (bug fixes) और लगातार सुधारती सफलता दरों में बदल देता है। त्रैमासिक (quarterly) समीक्षाओं के साथ स्टेटिक डिप्लॉयमेंट निरंतर इटरेशन से हार जाता है।

देखें कि वास्तव में कितने लोग passkeys इस्तेमाल करते हैं.

Adoption data देखें

8. तो कंज्यूमर रेस वास्तव में कौन जीतता है?#

कोई भी प्योर-प्ले (pure-play) हार्डवेयर वेंडर कंज्यूमर रेस नहीं जीतता है। कंज्यूमर ऑथेंटिकेशन प्लेटफॉर्म की भूमिका के लिए तीन आर्कटाइप्स (archetypes) प्रतिस्पर्धा करते हैं: बैंक और issuers, हार्डवेयर वेंडर्स जो सॉफ्टवेयर लेयर्स बनाते हैं और OS प्लेटफॉर्म। बैंक आज आगे हैं क्योंकि वे फिजिकल डिस्ट्रीब्यूशन के मालिक हैं और उनके पास PSD2 और NYDFS Part 500 का विनियामक आवरण (regulatory cover) है। OS प्लेटफॉर्म्स में सिलिकॉन पहले से ही हर फोन और लैपटॉप के अंदर शिप किया गया है, लेकिन जब तक Apple और Google डिफ़ॉल्ट रूप से पासकी को सिंक करते हैं, वे सिंक्ड पासकी में प्रतिस्पर्धी हैं, हार्डवेयर-बाउंड में नहीं।

8.1 बैंक आज क्यों आगे हैं#

बैंक आज कंज्यूमर हार्डवेयर-बाउंड पासकी बाज़ार का नेतृत्व करते हैं। चार फायदे उनके पक्ष में हैं। वे पहले से ही फिजिकल कार्ड जारी करते हैं। उनके पास PSD2, PSD3, NYDFS Part 500, RBI और APRA CPS 234 का विनियामक आवरण (regulatory cover) है। वे कंज्यूमर ट्रस्ट के मालिक हैं। और वे सार्वजनिक स्मार्ट कार्ड वेंडर प्रकटीकरण (disclosures) के अनुसार, अपने पोर्टफोलियो में 2 से 5 USD यूनिट-कॉस्ट प्रीमियम को अवशोषित कर सकते हैं।

बैंक जो इन चार फायदों को एडॉप्शन इंजीनियरिंग के साथ जोड़ते हैं, वे पासकी-सक्षम (passkey-enabled) ग्राहकों से बहु-वर्षीय (multi-year) रिटेंशन लॉक कर लेते हैं। बैंक जो एक हार्डवेयर उत्पाद खरीदते हैं और यह मान लेते हैं कि काम वहीं समाप्त हो जाता है, उन्हें उसी एकल-अंकीय (single-digit) एक्टिवेशन दर के साथ समाप्त होना पड़ता है जिसकी रिपोर्ट उद्योग पिछले दो वर्षों से कर रहा है।

8.2 सॉफ्टवेयर बनाने वाले हार्डवेयर वेंडर्स के बारे में क्या?#

दूसरा आर्कटाइप हार्डवेयर वेंडर है जो एक सॉफ्टवेयर लेयर भी बनाता है। कई सिक्योरिटी की और स्मार्ट कार्ड निर्माताओं ने यह परिवर्तन शुरू कर दिया है, लेकिन यह स्पष्ट होना उचित है कि वे किस प्रकार का सॉफ़्टवेयर शिप करते हैं। इनमें से अधिकांश उत्पाद IAM, फ्लीट-मैनेजमेंट (fleet-management) या adaptive authentication प्लेटफॉर्म हैं, न कि कंज्यूमर एडॉप्शन गैप को बंद करने के लिए आवश्यक फ़नल-लेवल passkey observability।

Yubico ने किसी भी सिक्योरिटी की वेंडर का सबसे संपूर्ण प्लेटफॉर्म बनाया है। इसका YubiKey as a Service सब्सक्रिप्शन प्रति-यूज़र (per-user) लाइसेंसिंग, फ्लीट और शिपमेंट प्रबंधन (management) के लिए एक कस्टमर पोर्टल, FIDO Pre-reg, एक Enroll ऐप और SDK और वैश्विक वितरण (delivery) को जोड़ता है, जो Okta, Microsoft Entra ID और Ping Identity के साथ एकीकृत (integrated) है। उत्पाद मुख्य रूप से एक एंटरप्राइज़ डिलीवरी और जीवनचक्र (lifecycle) लेयर है, न कि कंज्यूमर एडॉप्शन एनालिटिक्स।
Thales अपने SafeNet eToken और स्मार्ट कार्ड हार्डवेयर को SafeNet Trusted Access के साथ जोड़ता है, जो SSO और adaptive authentication के साथ एक क्लाउड Identity-as-a-Service प्लेटफॉर्म है।
OneSpan अपने DIGIPASS हार्डवेयर को OneSpan Cloud Authentication प्लेटफॉर्म और इंटेलिजेंट Adaptive Authentication के साथ बंडल करता है, जो बैंकिंग और फिनटेक पर केंद्रित है।
HID Global HID Authentication Service और HID Approve मोबाइल ऑथेंटिकेटर के साथ अपने Crescendo स्मार्ट कार्ड्स शिप करता है।
CompoSecure अपने Arculus FIDO2 स्मार्ट कार्ड को एक सहयोगी wallet ऐप और जारीकर्ताओं के लिए डेवलपर SDK के साथ विस्तारित (extends) करता है।

अब तक, इनमें से अधिकांश वेंडर्स अभी भी अपना अधिकांश राजस्व (revenue) हार्डवेयर से अर्जित करते हैं। जो वेंडर्स अपने सॉफ़्टवेयर स्टैक को डिवाइस डिलीवरी और IAM से वास्तविक सेरेमनी-लेवल passkey observability में विस्तारित (extend) करते हैं, वे एडॉप्शन को एंड-टू-एंड चलाते हैं। जो नहीं करते वे एक कंपोनेंट सप्लायर के रूप में एंटरप्राइज़ के अंदर बंद रहते हैं।

8.3 OS प्लेटफॉर्म्स के बारे में क्या?#

OS प्लेटफॉर्म एक विशेष मामला है। हार्डवेयर मौजूद है - Apple Secure Enclave, Android StrongBox और Windows 11 में Pluton chip वे सभी बेचे जाने वाले हर डिवाइस के अंदर बैठते हैं - लेकिन Apple और Google पर डिफ़ॉल्ट passkey policy सिंक करना है, इसलिए कंज्यूमर्स को बॉक्स के बाहर कभी भी वास्तविक हार्डवेयर-बाउंड क्रेडेंशियल नहीं मिलता है। iCloud Keychain और Google Password Manager उपकरणों में की (key) की प्रतिलिपि (copy) बनाते हैं, जो यूज़र-विज़िबल व्यवहार को synced passkey के समान बनाता है। Microsoft का TPM-बाउंड Windows Hello एकमात्र कंज्यूमर सिक्योर एलिमेंट है जो अभी भी कीज़ को लोकल रखता है, लेकिन Edge भी सिंक की ओर बढ़ रहा है, और हम Windows Hello को हार्डवेयर-बाउंड कंज्यूमर रेस से बाहर रखते हैं क्योंकि इसके लिए अलग हार्डवेयर खरीद की आवश्यकता नहीं होती है।

सिद्धांत रूप में Apple, Google या Microsoft सिंक्ड वाले के समान पॉलिश (polished) UX के साथ प्लेटफॉर्म-बाउंड, नॉन-सिंकिंग पासकी को उजागर करके श्रेणी (category) को फिर से परिभाषित (redefine) कर सकते हैं। इस बात का कोई सार्वजनिक संकेत (sign) नहीं है कि वे ऐसा करने की योजना बना रहे हैं। जब तक सिंक डिफ़ॉल्ट रहता है, OS प्लेटफॉर्म सिंक्ड पासकी में प्रतिस्पर्धी (competitors) हैं, हार्डवेयर-बाउंड पासकी में नहीं, और समर्पित (dedicated) सिक्योरिटी कीज़ प्लस FIDO2 स्मार्ट कार्ड एकमात्र वास्तविक कंज्यूमर हार्डवेयर पथ बने हुए हैं।

8.4 वास्तविक रेस कैसी दिखती है?#

वास्तविक रेस "सिक्योरिटी की बनाम स्मार्ट कार्ड" नहीं है। असली सवाल यह है कि कौन कंज्यूमर ऑथेंटिकेशन प्लेटफॉर्म बनाता है जो हर जगह सॉफ्टवेयर, डेटा और एडॉप्शन इंजीनियरिंग के साथ मायने रखने वाले हार्डवेयर को जोड़ता है। FIDO Alliance Authenticate 2024 keynote के आधार पर, अगले तीन से पांच वर्षों में संभावित विजेता हैं:

तीन से पांच बड़े बैंक और पेमेंट नेटवर्क जो FIDO2 स्मार्ट कार्ड को डिफ़ॉल्ट कंज्यूमर एक्सपीरियंस में बदलते हैं।
एक या दो हार्डवेयर वेंडर जो वास्तविक सेरेमनी-लेवल एनालिटिक्स (analytics) के साथ ऑथेंटिकेशन प्लेटफॉर्म में सफलतापूर्वक बदलाव (transition) करते हैं, न कि केवल IAM और फ्लीट मैनेजमेंट (fleet management)।
Google के Advanced Protection और OpenAI के Advanced Account Security जैसे उच्च-मूल्य (High-value) वाले खाता प्रोग्राम, अगर वे यह साबित करते हैं कि 5 से 10 प्रतिशत यूज़र्स वास्तव में मजबूत खाता सुरक्षा (stronger account protection) के बदले हार्डवेयर के लिए भुगतान करेंगे।

शुद्ध हार्डवेयर कंपनियां जो शुद्ध रहती हैं, उनके कंज्यूमर रेस जीतने की संभावना नहीं है। वे किसी और के प्लेटफॉर्म के अंदर सिलिकॉन सप्लायर के रूप में समाप्त हो जाती हैं। यह एक स्वस्थ व्यवसाय (healthy business) है और एंटरप्राइज़ में एक वास्तविक खाई (real moat) है, लेकिन यह कंज्यूमर प्रभुत्व (consumer dominance) नहीं है।

Latest news के लिए हमारे Passkeys Substack को subscribe करें.

Subscribe करें

9. बैंकों, जारीकर्ताओं और उत्पाद (Product) टीमों को आगे क्या करना चाहिए?#

FIDO Alliance deployment playbook और Gartner identity guidance के आधार पर अगले 12 महीनों में हार्डवेयर-बाउंड पासकी का मूल्यांकन (evaluating) करने वाली किसी भी उत्पाद (product) टीम के लिए तीन कार्य मायने रखते हैं। वह उपयोग मामला (use case) चुनें जहां हार्डवेयर वास्तव में जीतता है। एडॉप्शन इंजीनियरिंग के साथ हर हार्डवेयर डिप्लॉयमेंट को पेयर (pair) करें। और पहले दिन से डेटा फीडबैक लूप बनाएं।

सही उपयोग मामला (use case) चुनें: उच्च-मूल्य वाले transaction confirmation, विनियमित (regulated) यात्राओं पर step-up authentication और उच्च-जोखिम (high-risk) वाले सेगमेंट के लिए अकाउंट रिकवरी। सामान्य कंज्यूमर लॉगिन में हार्डवेयर को न धकेलें।
हार्डवेयर को एडॉप्शन इंजीनियरिंग के साथ पेयर करें: इंस्ट्रूमेंटेशन, native app error handling, डिवाइस-इंटेलिजेंट रूटिंग और synced passkey बेसलाइन के विरुद्ध स्पष्ट माप (explicit measurement)।
डेटा लूप को जल्दी बनाएं: रोलआउट के बाद नहीं, बल्कि पहले पायलट के साथ फ़नल टेलीमेट्री शिप करें। जो टीमें देखती हैं कि कौन सा Android निर्माता, कौन सा iOS संस्करण और कौन सा ब्राउज़र संयोजन (combination) टैप सफलता (tap success) को मारता है, वे हफ्तों में इटरेशन (iterate) कर सकती हैं। जो टीमें नहीं करतीं, वे किस्सों (anecdotes) तक सिमट जाती हैं और उन्हें समर्थन टिकटों (support tickets) का इंतजार करना पड़ता है।

हार्डवेयर वेंडर्स के लिए संदेश और भी तीखा है। तय करें कि कंपनी कंपोनेंट सप्लायर बनी रहेगी या प्लेटफ़ॉर्म बनाएगी। दोनों व्यवहार्य (viable) हैं। पूरी तरह से प्रतिबद्ध (committing) हुए बिना दोनों को करने की कोशिश करने से प्लेटफ़ॉर्म निवेश (investment) कम हो जाता है और सिलिकॉन रोडमैप (roadmap) विचलित (distracted) हो जाता है।

10. निष्कर्ष#

हार्डवेयर-बाउंड पासकी अभी भी एकमात्र कंज्यूमर क्रेडेंशियल प्रकार हैं जो NIST AAL3 तक पहुंचता है, क्लाउड-खाता समझौते (cloud-account compromise) से बचता है और PSD2, PSD3 और इसी तरह के नियमों के सबसे सख्त पढ़ने (strictest reading) को स्पष्ट रूप से संतुष्ट करता है। प्रौद्योगिकी (technology) सुदृढ़ (sound) है। सिलिकॉन मजबूत है। मानक (standards) परिपक्व (mature) हैं।

जो तकनीक (technology) अपने दम पर नहीं कर सकती है वह है कंज्यूमर एडॉप्शन (consumer adoption) जीतना। Apple और Google OS और ब्राउज़र लेयर को नियंत्रित (control) करते हैं। बैंक और जारीकर्ता (issuers) कंज्यूमर डिस्ट्रीब्यूशन को नियंत्रित करते हैं। हार्डवेयर वेंडर्स सिलिकॉन को नियंत्रित करते हैं। कंज्यूमर रेस उस प्लेयर द्वारा जीती जाती है जो एक सॉफ़्टवेयर प्लेटफ़ॉर्म के माध्यम से तीनों को जोड़ता है जो एडॉप्शन को चलाता है, हर सेरेमनी (ceremony) को मापता है और गैप (gaps) के चारों ओर रूट (routes) करता है।

जीतने वाली रेसिपी (recipe) है हार्डवेयर प्लस passkey observability प्लस निरंतर एडॉप्शन इंजीनियरिंग (continuous adoption engineering)। जो वेंडर या issuer तीनों को शिप करता है, वह अगले दशक के लिए कंज्यूमर प्लेबुक लिखता है। बाकी हर कोई किसी और के प्लेटफॉर्म में कंपोनेंट्स (components) बेचता है।

Corbado के बारे में

Corbado बड़े पैमाने पर consumer authentication चलाने वाली CIAM टीमों के लिए Passkey Intelligence Platform है। हम आपको वह दिखाते हैं जो IDP logs और सामान्य analytics tools नहीं दिखा सकते: कौन-से devices, OS versions, browsers और credential managers passkeys को support करते हैं, क्यों enrollments login में नहीं बदलते, WebAuthn flow कहाँ fail होता है, और कब कोई OS या browser update चुपचाप login को तोड़ देता है — और यह सब Okta, Auth0, Ping, Cognito या आपके in-house IDP को बदले बिना। दो products: Corbado Observe जोड़ता है passkeys और किसी भी अन्य login method के लिए observability। Corbado Connect देता है analytics के साथ built-in managed passkeys (आपके IDP के साथ-साथ)। VicRoads, Corbado के साथ 5M+ users के लिए passkeys चला रहा है (+80% passkey activation)। Passkey विशेषज्ञ से बात करें →

अक्सर पूछे जाने वाले प्रश्न (FAQ)#

कंज्यूमर के लिए हार्डवेयर-बाउंड पासकी और सिंक्ड पासकी के बीच क्या अंतर है?#

हार्डवेयर-बाउंड पासकी प्राइवेट की को एक भौतिक (physical) सुरक्षित तत्व (secure element) के अंदर रखती हैं जैसे कि सिक्योरिटी की (security key), FIDO2 स्मार्ट कार्ड या अंतर्निहित (built-in) TPM चिप। की कभी भी उस हार्डवेयर को नहीं छोड़ती। सिंक्ड पासकी iCloud Keychain, Google Password Manager या किसी थर्ड-पार्टी मैनेजर में रहती हैं, और वे क्लाउड के माध्यम से आपके उपकरणों (devices) में कॉपी होती हैं। हार्डवेयर-बाउंड पासकी NIST AAL3 तक पहुंचती हैं क्योंकि प्राइवेट की को एक्सपोर्ट नहीं किया जा सकता है। सिंक्ड पासकी AAL2 पर कैप (cap) होती हैं क्योंकि क्लाउड सिंक पथ की (key) को रिकवर करने योग्य (recoverable) बनाता है। एश्योरेंस (assurance) में यह एक-कदम (one-step) का अंतर बैंकिंग, सरकार (government) और स्वास्थ्य सेवा (healthcare) में नियामकों (regulators) के लिए बहुत मायने रखता है।

पासकी एडॉप्शन (passkey adoption) के बावजूद हार्डवेयर सिक्योरिटी कीज़ कंज्यूमर्स के साथ मुख्यधारा (mainstream) में क्यों नहीं गई हैं?#

StatCounter के अनुसार, Apple और Google उन OS और ब्राउज़र्स को नियंत्रित (control) करते हैं जिनका उपयोग 99 प्रतिशत से अधिक कंज्यूमर्स करते हैं। Apple AuthenticationServices और Android Credential Manager डॉक्स के अनुसार, दोनों WebAuthn प्रॉम्प्ट्स में अपने स्वयं के सिंक्ड क्रेडेंशियल मैनेजर्स को प्राथमिकता देते हैं। हार्डवेयर ऑथेंटिकेटर्स (authenticators) हर डिफ़ॉल्ट फ्लो में एक से तीन क्लिक अंदर बैठते हैं। Android पर NFC व्यवहार फोन निर्माताओं (phone manufacturers) के बीच खंडित (fragmented) है, और Conditional UI डिफ़ॉल्ट रूप से सिंक्ड क्रेडेंशियल्स पर जाता है। इसके अलावा, अधिकांश कंज्यूमर एक अलग ऑथेंटिकेटर के लिए 40 से 80 अमरीकी डालर का भुगतान नहीं करेंगे जब तक कि कोई सेवा उन्हें ऐसा करने के लिए मजबूर न करे।

कौन से उपयोग मामले (use cases) कंज्यूमर्स के लिए हार्डवेयर-बाउंड पासकी को उचित (justify) ठहराते हैं?#

तीन श्रेणियां कंज्यूमर्स को पर्याप्त प्रेरणा (motivation) देती हैं। पहली बैंकिंग और पेमेंट्स है, जहां PSD2, PSD3, भारत में RBI और ऑस्ट्रेलिया में APRA CPS 234 सभी को स्ट्रांग कस्टमर ऑथेंटिकेशन (strong customer authentication) की आवश्यकता होती है। दूसरा क्रिप्टो और सेल्फ-कस्टडी है, जहां की (key) खोने का मतलब फंड (funds) खोना है, और जहां Ledger और Trezor ने पहले ही 9 मिलियन से अधिक डिवाइस शिप कर दिए हैं। तीसरा उच्च-मूल्य (high-value) वाले खाते हैं, जिनमें प्राथमिक (primary) ईमेल, सरकारी आइडेंटिटी (identity) वॉलेट और क्रिएटर (creator) खाते शामिल हैं, जहां टेकओवर अपरिवर्तनीय (irreversible) है। Google का Advanced Protection Program और OpenAI का Advanced Account Security for ChatGPT, जो अप्रैल 2026 में लगभग 68 अमरीकी डालर में सह-ब्रांडेड (co-branded) YubiKey टू-पैक के साथ लॉन्च किया गया, दोनों इस समूह (cohort) को लक्षित (target) करते हैं। इन तीन श्रेणियों के बाहर, सिंक्ड पासकी आमतौर पर जीतती हैं।

FIDO2 स्मार्ट कार्ड कंज्यूमर हार्डवेयर पासकी रेस में कैसे फिट होते हैं?#

स्मार्ट कार्ड निर्माता जैसे CompoSecure (जो अपनी 10-K फाइलिंग के अनुसार एक वर्ष में 100 मिलियन से अधिक धातु भुगतान कार्ड - metal payment cards शिप करता है और Arculus को अपने FIDO2 उत्पाद के रूप में पेश करता है) और IDEMIA सुरक्षित तत्वों (secure elements) के साथ NFC स्मार्ट कार्ड बनाते हैं जो FIDO2 क्रेडेंशियल्स को होस्ट कर सकते हैं। कंज्यूमर्स पहले से ही एक क्रेडिट कार्ड ले जाते हैं, इसलिए उस कार्ड में हार्डवेयर-बाउंड पासकी जोड़ने से एक अलग डिवाइस की आवश्यकता समाप्त हो जाती है। बैंक, नियोबैंक (neobanks) और क्रिप्टो कस्टोडियन (crypto custodians) फिर ऑथेंटिकेशन, पेमेंट और स्टेप-अप (step-up) को एक फॉर्म फैक्टर (form factor) में जोड़ सकते हैं। कठिन हिस्से (hard parts) iOS और Android ब्राउज़र्स में NFC टैप को विश्वसनीय (reliable) बनाना और जारीकर्ताओं (issuers) को प्रति कार्ड 2 से 5 अमरीकी डालर के लागत प्रीमियम (cost premium) को अवशोषित (absorb) करने के लिए आश्वस्त करना है।

कंज्यूमर हार्डवेयर-बाउंड पासकी मार्केट जीतने के लिए वास्तव में क्या लगता है?#

अच्छा हार्डवेयर आवश्यक (necessary) है, लेकिन यह पर्याप्त (enough) नहीं है। विजेता एक विश्वसनीय (credible) हार्डवेयर फॉर्म फैक्टर को एक इंटेलिजेंस (intelligence) प्लेटफॉर्म के साथ जोड़ता है जो एनरोलमेंट और ऑथेंटिकेशन के हर चरण को मापता है, टूटे हुए डिवाइस और OS संयोजनों (combinations) के चारों ओर रूट (routes) करता है और जारीकर्ताओं (issuers) को साबित करता है कि धोखाधड़ी (fraud) और समर्थन लागत (support costs) कम हो रही है। फ़नल-लेवल पासकी ऑब्जर्वेबिलिटी (passkey observability) के बिना, वेंडर और बैंक यह नहीं बता सकते कि 60 प्रतिशत यूज़र्स NFC टैप छोड़ देते हैं, एक पैटर्न जो FIDO Alliance Authenticate 2024 डिप्लॉयमेंट टॉक में प्रलेखित (documented) है, या W3C WebAuthn Level 3 स्पेक (spec) के अनुसार Conditional UI ने चुपचाप प्रॉम्प्ट को निगल लिया। यह रेस डेटा और सॉफ्टवेयर द्वारा तय की जाएगी, न कि इस बात से कि किस की (key) में सबसे मजबूत टाइटेनियम शेल (titanium shell) है।