क्या पासकीज़ इनकॉग्निटो मोड में काम करती हैं?

ज़्यादा से ज़्यादा कंपनियाँ अपनी वेबसाइटों और ऐप्स में पासकीज़ लागू कर रही हैं। ऐसा करते समय, कई सॉफ़्टवेयर डेवलपर और प्रोडक्ट मैनेजर यह सवाल करते हैं कि क्या पासकीज़ इनकॉग्निटो या प्राइवेट ब्राउज़िंग मोड में काम करती हैं, क्योंकि इसका समग्र यूज़र अनुभव पर बड़ा प्रभाव पड़ता है।

इस ब्लॉग पोस्ट में, हम निम्नलिखित सवालों के जवाब देने की कोशिश करेंगे:

1. क्या पासकीज़ इनकॉग्निटो / प्राइवेट ब्राउज़िंग मोड में काम करती हैं?
2. Chrome, Safari, Edge और Firefox में इनकॉग्निटो / प्राइवेट मोड में पासकी प्रमाणीकरण का व्यवहार कैसा है?

यह जानकारी विभिन्न ब्राउज़रों और ऑपरेटिंग सिस्टम में एक सहज यूज़र अनुभव सुनिश्चित करती है, जिससे आपका एप्लिकेशन सुरक्षा और सुविधा में सबसे आगे रहता है।

पासकीज़ असल में क्रिप्टोग्राफ़िक कुंजियाँ होती हैं जिनका उपयोग पारंपरिक पासवर्ड की आवश्यकता के बिना यूज़र्स को प्रमाणित करने के लिए किया जाता है। वे पासवर्ड चोरी और फ़िशिंग हमलों से जुड़े जोखिमों को समाप्त करके बेहतर सुरक्षा प्रदान करती हैं।

आमतौर पर, पासकीज़ डिवाइस के भीतर सुरक्षित रूप से संग्रहीत होती हैं, और उनकी कार्यक्षमता Windows 10 को छोड़कर (नीचे देखें) अधिकांश ऑपरेटिंग सिस्टम के लिए इनकॉग्निटो या प्राइवेट मोड में भी सुसंगत रहती है, बशर्ते डिवाइस पासकी-रेडी हो।

इनकॉग्निटो या प्राइवेट मोड का उपयोग आमतौर पर कोई निशान छोड़े बिना इंटरनेट ब्राउज़ करने के लिए किया जाता है। यह सुविधा उन यूज़र्स के लिए मूल्यवान है जो गोपनीयता को प्राथमिकता देते हैं, और यह आवश्यक है कि पासकीज़ जैसे प्रमाणीकरण के तरीके इन मोड में बिना किसी रुकावट के काम करें।

हालांकि, WebAuthn के विकास के इतिहास में, लगातार चर्चाएँ और सुधार होते रहे हैं क्योंकि इसका व्यवहार ऑपरेटिंग सिस्टम और ब्राउज़र के बीच काफी भ्रमित करने वाला और असंगत हुआ करता था (संदर्भ के लिए इन पुरानी चर्चाओं और बग रिपोर्ट को यहाँ, यहाँ और यहाँ देखें)।

विभिन्न ब्राउज़रों और ऑपरेटिंग सिस्टम में पासकीज़ के व्यवहार को समझना संगतता और एक सहज यूज़र अनुभव सुनिश्चित करने में मदद करता है।

क्या पासकीज़ इनकॉग्निटो / प्राइवेट ब्राउज़िंग मोड में काम करती हैं?

Windows 10 (22H2) पर, हमने पासकीज़ के विश्वसनीय रूप से काम न करने का एकमात्र अपवाद खोजा और प्लेटफ़ॉर्म ऑथेंटिकेटर (Windows Hello) का उपयोग करने का प्रयास करते समय हमें निम्नलिखित दो स्क्रीनशॉट मिले:

Windows 10 पर Chrome इनकॉग्निटो मोड में पासकी त्रुटि संदेश

Windows 10 पर Edge inPrivate मोड में पासकी त्रुटि संदेश

जब हमने नियमित ब्राउज़िंग मोड में स्विच किया, तो सब कुछ उम्मीद के मुताबिक काम कर रहा था, इसलिए पॉपअप में त्रुटि संदेश भ्रामक है।

इसके अलावा, अगर हमने क्रॉस-प्लेटफ़ॉर्म ऑथेंटिकेटर (जैसे हार्डवेयर सिक्योरिटी की, जैसे YubiKey, या QR कोड / ब्लूटूथ के माध्यम से क्रॉस-डिवाइस ऑथेंटिकेशन) का उपयोग करने की कोशिश की, तो यह काम कर गया।

जब हमने इस मुद्दे की और गहराई से जाँच की और यह निर्धारित करने के लिए ब्राउज़र कंसोल में निम्नलिखित दो कमांड निष्पादित किए कि क्या प्लेटफ़ॉर्म ऑथेंटिकेटर (PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable()) और कंडीशनल UI (PublicKeyCredential.isConditionalMediationAvailable()) उपलब्ध था, तो हमने एक दिलचस्प खोज की: पहले प्रॉमिस ने false लौटाया, जबकि दूसरे ने true लौटाया, जिसका कोई मतलब नहीं था, क्योंकि कंडीशनल UI के काम करने के लिए प्लेटफ़ॉर्म ऑथेंटिकेटर्स की आवश्यकता होती है।

Chrome 129 से शुरू होकर (और इसी तरह Edge में, जो क्रोमियम-आधारित है), PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable() Windows 10 पर इनकॉग्निटो / InPrivate मोड में भी true लौटाता है। पहले, यह इनकॉग्निटो में false था। true लौटाने के बावजूद, प्लेटफ़ॉर्म ऑथेंटिकेटर नई पासकीज़ बनाने के लिए अनुपलब्ध रहता है, जिससे यूज़र फ़्लो टूट जाता है।

नीचे एक तालिका है जो विभिन्न Chrome/Edge संस्करणों और मोड में Windows 10 पर PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable() के रिटर्न मान दिखाती है:

देखा गया व्यवहार:

• Windows 10 पर Chrome/Edge इनकॉग्निटो में, प्रॉमिस के true लौटाने के बावजूद, पासकी बनाने के लिए प्लेटफ़ॉर्म ऑथेंटिकेटर दिखाई नहीं देता है।
• इसके बजाय यूज़र्स को एक सिक्योरिटी की (जैसे, YubiKey) जोड़ने के लिए संकेत दिया जाता है
• जबकि हार्डवेयर सिक्योरिटी कीज़ अभी भी पासकी बनाने के लिए काम करती हैं, यह Windows Hello जैसे प्लेटफ़ॉर्म ऑथेंटिकेटर्स का उपयोग करते समय अपेक्षित फ़्लो नहीं है।

बदलाव का प्रभाव: यह इनकॉग्निटो/InPrivate मोड में प्लेटफ़ॉर्म ऑथेंटिकेटर में पासकीज़ जोड़ने के फ़्लो को प्रभावी रूप से तोड़ देता है। Chrome 129+ में समायोजन मुख्य रूप से इनकॉग्निटो मोड में पासकीज़ के साथ लॉगिन कार्यक्षमता को सक्षम करने के लिए किया गया था। लॉगिन फ़्लो पासकी समर्थन (PublicKeyCredential.isUserVerifyingPlatformAuthenticatorAvailable()) की जाँच के लिए उसी डिटेक्शन मैकेनिज्म का उपयोग करते हैं, और यह बदलाव सुनिश्चित करता है कि लॉगिन सुचारू रूप से आगे बढ़ सकें। हालांकि, इसका अनपेक्षित परिणाम प्राइवेट ब्राउज़िंग मोड में प्लेटफ़ॉर्म ऑथेंटिकेटर के साथ पासकीज़ बनाने का टूटा हुआ अनुभव है।

इस बदलाव के बारे में अधिक जानकारी क्रोमियम सोर्स कोड रिव्यू और संबंधित इश्यू ट्रैकर चर्चा में पाई जा सकती है। पासकीज़ के लिए इष्टतम समर्थन प्रदान करने का लक्ष्य रखने वाली वेबसाइटों के लिए, इस समस्या को कम करने का एकमात्र तरीका वर्तमान में इनकॉग्निटो मोड का पता लगाना है। यह पहचान कर कि यूज़र Windows 10 पर Chrome/Edge के साथ इनकॉग्निटो/InPrivate मोड में है, वेबसाइटें पासकी बनाने के लिए प्लेटफ़ॉर्म ऑथेंटिकेटर विकल्पों की पेशकश करने से पहले ही बच सकती हैं।

जब Windows Hello को प्लेटफ़ॉर्म ऑथेंटिकेटर के रूप में उपयोग किया जाता है, तो इनकॉग्निटो मोड (Chrome पर) / inPrivate मोड (Edge पर) में पासकी बनाते समय एक सुरक्षा पॉप-अप दिखाई देता है, जो यूज़र्स को सचेत करता है कि पासकी संग्रहीत की जाएगी और बाद में गैर-इनकॉग्निटो मोड में उपयोग करने योग्य होगी (यह व्यवहार Windows 11 22H2 पर परीक्षण किया गया था)। इनकॉग्निटो मोड के उपयोग-मामलों में से एक पर विचार करते हुए, जहाँ एक यूज़र किसी भी जानकारी का कोई निशान छोड़े बिना एक खाता बनाना चाहता है, यह चेतावनी समझ में आती है।

Android पर और इनकॉग्निटो मोड (Chrome पर) / inPrivate मोड (Edge पर) का उपयोग करते समय, व्यवहार Windows 11 के समान है, क्योंकि एक सूचनात्मक पॉपअप दिखाया जाता है जो यूज़र को बताता है कि पासकी पासवर्ड मैनेजर में सहेजी जाएगी और पासवर्ड मैनेजर तक पहुँच रखने वाला कोई भी व्यक्ति पासकी तक भी पहुँच बना सकेगा।

संक्षेप में, पासकीज़ प्रमुख ब्राउज़रों और ऑपरेटिंग सिस्टम में इनकॉग्निटो और प्राइवेट मोड में विश्वसनीय रूप से काम करती हैं, जिसमें Windows 10 पर पासकीज़ बनाने के लिए कुछ विशिष्ट अपवाद हैं। Corbado's समाधानों का लाभ उठाकर, डेवलपर कुशलतापूर्वक पासकीज़ लागू कर सकते हैं, और प्रोडक्ट मैनेजर सुरक्षा से समझौता किए बिना यूज़र अनुभव को बढ़ा सकते हैं।