पासकी बनाम पासवर्डलेस और फ़िशिंग-प्रतिरोधी MFA

1. परिचय#

हर डिजिटल सेवा के लिए उपयोगकर्ता प्रमाणीकरण साइबर सुरक्षा का सबसे महत्वपूर्ण हिस्सा है। कंपनियाँ ग्राहकों से जुड़ने के लिए वेब और मोबाइल ऐप पर पहले से कहीं अधिक निर्भर हैं, इसलिए सुरक्षित और आसानी से इस्तेमाल होने वाले लॉगिन समाधानों की आवश्यकता तेजी से बढ़ी है। पारंपरिक पासवर्ड अब जोखिम बन गए हैं: उन्हें फ़िशिंग से चुराना आसान है, उपयोगकर्ता उन्हें भूल जाते हैं या अलग-अलग सेवाओं में दोहराते हैं। इसके परिणामस्वरूप क्रेडेंशियल आधारित हमले और डेटा उल्लंघन बढ़ते हैं और ग्राहकों का भरोसा घटता है।

पिछले कुछ वर्षों में नए प्रमाणीकरण तरीके सामने आए हैं जो बेहतर सुरक्षा और उपयोगकर्ता अनुभव का वादा करते हैं। यह लेख ऐसे तीन तरीकों की तुलना करता है: पासकी, व्यापक रूप से पासवर्डलेस प्रमाणीकरण और फ़िशिंग-प्रतिरोधी मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA)। इससे इनके अंतर, खूबियाँ और रणनीतिक प्रभाव समझने के साथ इन प्रचलित शब्दों का स्पष्ट अर्थ जानने में मदद मिलेगी।

इस लेख में हम इन सवालों के जवाब देते हैं:

1. पासकी, पासवर्डलेस प्रमाणीकरण और फ़िशिंग-प्रतिरोधी MFA में मुख्य अंतर क्या हैं?
2. ये तीनों पारंपरिक पासवर्ड की तुलना में सुरक्षा कैसे बेहतर बनाते हैं?
3. ये उपयोगकर्ता अनुभव, अपनाने की दर और परिचालन लागत को कैसे प्रभावित करते हैं?
4. पासकी, पासवर्डलेस प्रमाणीकरण और फ़िशिंग-प्रतिरोधी MFA को सफलतापूर्वक लागू करने वाले संगठनों के व्यावहारिक उपयोग और वास्तविक उदाहरण क्या हैं?

2. मुख्य अवधारणाएँ#

तुलना से पहले इस्तेमाल होने वाले शब्दों को परिभाषित करना ज़रूरी है। पासवर्डलेस प्रमाणीकरण, फ़िशिंग-प्रतिरोधी MFA और पासकी, पुराने तरीकों की तुलना में महत्वपूर्ण सुधार हैं। लेकिन इन शब्दों का अर्थ एक जैसा नहीं है।

2.1 पासवर्डलेस प्रमाणीकरण क्या है?#

पासवर्डलेस प्रमाणीकरण में पारंपरिक पासवर्ड पूरी तरह हटा दिया जाता है। इसके बजाय उपयोगकर्ता अपनी पहचान इनसे साबित करते हैं:

• उनके पास मौजूद कोई चीज़, जैसे फ़ोन या सुरक्षा कुंजी
• उनकी अपनी कोई विशेषता, यानी बायोमेट्रिक कारक
• ईमेल या SMS से भेजा गया एक बार इस्तेमाल होने वाला कोड। इसे भी उनके पास मौजूद चीज़ माना जा सकता है: जैसे SMS पाने के लिए फ़ोन चाहिए।

मकसद ऐसे स्थायी पासवर्ड पर निर्भरता कम करना है जिसे चुराना आसान हो और इस्तेमाल करना असुविधाजनक हो।

आम पासवर्डलेस तरीके:

• ईमेल से भेजे जाने वाले मैजिक लिंक
• ऑथेंटिकेटर ऐप में समय-आधारित एकबारगी कोड (TOTP), जैसे Google Authenticator, Authy और Microsoft Authenticator
• पुश नोटिफ़िकेशन, जैसे iOS/Android के नेटिव ऐप में
• बायोमेट्रिक्स, जैसे पासकी में
• SMS से एकबारगी कोड (OTP)
• ईमेल से एकबारगी कोड (OTP)
• सोशल लॉगिन, जैसे “Google से लॉगिन करें” या “Facebook से लॉगिन करें”

पासवर्डलेस तरीके अक्सर उपयोगकर्ता अनुभव बेहतर करते हैं और ब्रूट-फ़ोर्स हमलों की आशंका घटाते हैं, लेकिन सभी स्वाभाविक रूप से फ़िशिंग-प्रतिरोधी नहीं हैं। उदाहरण के लिए, उपयोगकर्ता को फ़िशिंग पेज पर कोड दर्ज करने के लिए बहकाया जाए, तो दुर्भावनापूर्ण साइट मैजिक लिंक या SMS OTP चुरा सकती है। इस तरह पासवर्डलेस तरीके सुरक्षा और उपयोगिता के कई पहलू सुधारते हैं, लेकिन कुछ अब भी सोशल इंजीनियरिंग के प्रति असुरक्षित हैं।

2.2 फ़िशिंग-प्रतिरोधी MFA क्या है?#

FIDO2 आधारित हार्डवेयर सुरक्षा कुंजियाँ, जैसे YubiKey, फ़िशिंग-प्रतिरोधी MFA का उदाहरण हैं। प्रमाणीकरण को वैध ओरिजिन यानी असली वेबसाइट के डोमेन से जोड़कर वे सुनिश्चित करती हैं कि उसे नकली साइट पर रीडायरेक्ट या दोबारा इस्तेमाल न किया जा सके। हमलावर को न निजी कुंजी मिलती है, न दोबारा इस्तेमाल होने वाला गुप्त कोड। यही बात पासकी पर भी लागू होती है।

हालाँकि, हार्डवेयर सुरक्षा कुंजियाँ मुख्य रूप से कर्मचारियों के लिए व्यावहारिक हैं। संगठन ग्राहकों को यह विकल्प दे सकते हैं, लेकिन इसे अनिवार्य करना आम तौर पर अवास्तविक है, क्योंकि ऐसे समाधानों से केवल तकनीक की अच्छी जानकारी रखने वाले उपयोगकर्ता परिचित होते हैं। सामान्य उपयोगकर्ता को हार्डवेयर कुंजी की अवधारणा और उपयोग समझने में कठिनाई हो सकती है।

फ़िशिंग-प्रतिरोधी MFA सुनिश्चित करता है कि धोखाधड़ी वाली वेबसाइट के संपर्क में आने पर भी उपयोगकर्ता अनजाने में वैध क्रेडेंशियल न सौंपें। इसकी सुरक्षा व्यवस्था चुराई गई जानकारी को हमलावरों के लिए बेकार बना देती है या उसे चुराना ही असंभव करती है। यह केवल उपयोगकर्ता की पहचान नहीं, बल्कि साइट की प्रामाणिकता जाँचने के लिए क्रिप्टोग्राफ़िक जाँच पर निर्भर करती है।

CISA और ACSC जैसे नियामक निकाय संवेदनशील खातों की सुरक्षा के लिए फ़िशिंग-प्रतिरोधी MFA को तेजी से मान्यता दे रहे हैं और इसकी सिफ़ारिश कर रहे हैं। ऐसे मानकों का उपयोग संगठनों को कानूनी आवश्यकताएँ पूरी करने, दायित्व कम करने और साइबर सुरक्षा ऑडिट में उचित सावधानी दिखाने में मदद कर सकता है।

2.3 पासकी क्या हैं?#

पासकी आधुनिक प्रमाणीकरण क्रेडेंशियल हैं जो FIDO2 और WebAuthn जैसे खुले मानकों पर बने हैं। पासवर्ड जैसे साझा रहस्य पर निर्भर रहने के बजाय वे असममित क्रिप्टोग्राफ़ी का उपयोग करते हैं:

• सार्वजनिक कुंजी, जो प्रमाणीकरण के समय सर्वर को भेजी जाती है
• निजी कुंजी, जो कभी उपयोगकर्ता के डिवाइस से बाहर नहीं जाती और जिसे टाइप या याद रखने की ज़रूरत नहीं होती

जब उपयोगकर्ता पासकी से खाता पंजीकृत करता है, तो उसका डिवाइस एक अनूठा कुंजी युग्म बनाता है। सार्वजनिक कुंजी सर्वर को भेजकर खाते से जोड़ दी जाती है, जबकि निजी कुंजी डिवाइस पर सुरक्षित रहती है। प्रमाणीकरण के लिए सर्वर एक चुनौती भेजता है और डिवाइस निजी कुंजी से उस पर हस्ताक्षर करता है। इससे कोई चुराया जा सकने वाला रहस्य उजागर किए बिना उपयोगकर्ता की पहचान साबित होती है।

पासकी उपयोगकर्ताओं को जटिल पासवर्ड याद रखने या प्रबंधित करने से मुक्त करती हैं। प्रमाणीकरण अक्सर बायोमेट्रिक जाँच तक सीमित होता है, जैसे चेहरा या फ़िंगरप्रिंट स्कैन, जिससे उपयोगकर्ता अपना फ़ोन अनलॉक करते समय पहले से परिचित हैं। हर पासकी एक खास डोमेन से जुड़ी होती है, इसलिए फ़िशिंग के प्रयास विफल होते हैं: हमलावर उपयोगकर्ता को दोबारा इस्तेमाल होने वाला क्रेडेंशियल देने के लिए नहीं बहका सकता। मजबूत सुरक्षा और न्यूनतम बाधा का मेल पासकी को Google, PayPal, TikTok और KAYAK सहित कई कंपनियों के लिए आकर्षक विकल्प बनाता है।

2.4 मुख्य अंतर एक नज़र में#

• पासवर्डलेस, एक व्यापक श्रेणी: पासवर्ड पूरी तरह हटाता है, लेकिन चुने गए तरीके के आधार पर हमेशा फ़िशिंग-प्रतिरोधी नहीं होता।
• फ़िशिंग-प्रतिरोधी MFA, एक व्यापक श्रेणी: आम तौर पर ओरिजिन बाइंडिंग सुनिश्चित करता है, लेकिन कभी-कभी मल्टी-फ़ैक्टर प्रक्रिया में पासवर्ड भी शामिल हो सकता है, जैसे पासवर्ड के साथ हार्डवेयर सुरक्षा कुंजी।
• पासकी: पासवर्डलेस और फ़िशिंग-प्रतिरोधी दोनों हैं। ये वैध ओरिजिन से जुड़ी असममित क्रिप्टोग्राफ़ी पर निर्भर हैं।

3. पासवर्डलेस प्रमाणीकरण, फ़िशिंग-प्रतिरोधी MFA और पासकी की तुलना#

मुख्य अवधारणाएँ समझने के बाद अब हम इन तीनों की अधिक विस्तार से तुलना करते हैं। इससे यह समझने में मदद मिलेगी कि कौन सा तरीका सुरक्षा आवश्यकताओं, उपयोगकर्ता अपेक्षाओं और संगठन के दीर्घकालीन लक्ष्यों के अनुरूप है। हम तीन मुख्य कारकों पर ध्यान देंगे:

• सुरक्षा
• उपयोगकर्ता अनुभव / अपनाने की दर
• कार्यान्वयन / लागत
• नियमन / अनुपालन

3.1 सुरक्षा: क्रेडेंशियल चोरी बनाम ओरिजिन बाइंडिंग#

पारंपरिक पासवर्ड छोड़ने के प्रमुख कारणों में सुरक्षा एक है। हालाँकि, फ़िशिंग या ब्रूट-फ़ोर्स जैसे क्रेडेंशियल आधारित हमलों से बचाव के तरीके इन तीनों अवधारणाओं में अलग हैं।

3.1.1 क्रेडेंशियल चोरी की रोकथाम#

• पासवर्डलेस: पासवर्ड हटाने से ब्रूट-फ़ोर्स हमलों या पासवर्ड दोहराने की आशंका काफी कम होती है। लेकिन SMS OTP या मैजिक लिंक जैसे तरीके में कुछ जोखिम बना रह सकता है, यदि हमलावर उपयोगकर्ता को फ़िशिंग साइट पर OTP दर्ज करने या आगे भेजने के लिए बहकाए।
• फ़िशिंग-प्रतिरोधी MFA: FIDO2 सुरक्षा कुंजियों जैसे तरीकों से सुनिश्चित करता है कि दोबारा इस्तेमाल होने वाला कोई रहस्य साझा न हो। हमलावर को आंशिक जानकारी, जैसे सार्वजनिक कुंजी, मिल भी जाए तो संबंधित निजी कुंजी के बिना वह क्रिप्टोग्राफ़िक रूप से बेकार है।
• पासकी: असममित क्रिप्टोग्राफ़ी इस्तेमाल करने के कारण कोई साझा रहस्य उपयोगकर्ता के डिवाइस से बाहर नहीं जाता। सर्वर से डेटा चुराने वाले हमलावर को केवल सार्वजनिक कुंजियाँ मिलती हैं, जो स्थानीय रूप से सुरक्षित निजी कुंजी के बिना बेकार हैं।

3.1.2 फ़िशिंग की रोकथाम#

• पासवर्डलेस: यह एक व्यापक श्रेणी है, इसलिए फ़िशिंग से बचाव हमेशा सुनिश्चित नहीं होता। उपयोगकर्ता गलती से धोखाधड़ी वाली साइट पर मैजिक लिंक या SMS OTP दर्ज करे तो उसे चुराया जा सकता है। इससे कुछ पासवर्डलेस तरीके उन्नत फ़िशिंग के खिलाफ कम भरोसेमंद होते हैं।
• फ़िशिंग-प्रतिरोधी MFA: इसकी प्रमुख विशेषताओं में प्रमाणीकरण से पहले वैध डोमेन की पुष्टि करना शामिल है। हार्डवेयर सुरक्षा कुंजियाँ या पासकी साइट की प्रामाणिकता जाँचती हैं: ये उस ओरिजिन से जुड़ी होती हैं जहाँ इन्हें शुरू में इस्तेमाल किया गया था। इससे हमलावर वैध रहस्य हासिल नहीं कर पाते।
• पासकी: FIDO2 / WebAuthn पर बनी पासकी स्वभाव से ओरिजिन से जुड़ी होती हैं। उपयोगकर्ता नकली डोमेन पर प्रमाणीकरण की कोशिश करे तो पासकी क्रिप्टोग्राफ़िक जाँच पूरी नहीं करेगी। इससे फ़िशिंग हमले प्रभावी रूप से विफल होते हैं।

3.1.3 सुरक्षा का निष्कर्ष#

पासकी और फ़िशिंग-प्रतिरोधी MFA मजबूत क्रिप्टोग्राफ़िक ओरिजिन बाइंडिंग और गोपनीय रहस्य उजागर न करने के कारण क्रेडेंशियल चोरी और फ़िशिंग से बेहतर सुरक्षा देते हैं।

पासवर्डलेस तरीके भी साधारण पासवर्ड से काफी बेहतर हैं, लेकिन यदि वे चुराए जा सकने वाले (T)OTP या मैजिक लिंक जैसे रहस्यों पर निर्भर हों, तो फ़िशिंग के खिलाफ उनका प्रतिरोध अलग-अलग हो सकता है।

3.2 उपयोगकर्ता अनुभव और अपनाने की दर#

यदि सुरक्षा का कोई तरीका उपयोगकर्ताओं के लिए बहुत असुविधाजनक हो, तो वह उपयोगी नहीं रह जाता। सहज और सरल लॉगिन प्रक्रिया उपयोगकर्ताओं की परेशानी और सहायता लागत घटा सकती है और उसे अपनाने की दर बढ़ा सकती है। साथ ही उपयोगकर्ताओं को लॉगिन के लिए वैकल्पिक रास्ते नहीं खोजने पड़ते।

3.2.1 शुरुआती पंजीकरण और सेटअप#

• पासवर्डलेस: आम तौर पर बिना पासवर्ड पंजीकरण करना नया पासवर्ड बनाने और याद रखने से आसान है। ईमेल से मैजिक लिंक पाना या SMS OTP से सत्यापन करना परिचित लग सकता है, हालाँकि इसमें थोड़ी देरी होती है।
• फ़िशिंग-प्रतिरोधी MFA: हार्डवेयर सुरक्षा कुंजियाँ शामिल हों तो पंजीकरण के लिए भौतिक कुंजियाँ वितरित करनी या विशेष सॉफ़्टवेयर इंस्टॉल करना पड़ सकता है। लेकिन सेटअप के बाद, डिवाइस में लगी या उसके पास रखी कुंजी को छूकर रोज़ाना लॉगिन करना आसान हो सकता है।
• पासकी: सेटअप अक्सर सरल होता है। उपयोगकर्ता आम तौर पर डिवाइस पर फ़िंगरप्रिंट या चेहरा स्कैन जैसी त्वरित बायोमेट्रिक जाँच से पासकी पंजीकृत करते हैं।

3.2.2 रोज़ाना लॉगिन में बाधाएँ#

• पासवर्डलेस: पासवर्ड हटाना ही उपयोगिता में बड़ा सुधार है, क्योंकि उपयोगकर्ताओं को उन्हें याद रखने, पासवर्ड मैनेजर से निकालने या पर्चियों पर लिखने की ज़रूरत नहीं होती। लेकिन OTP या मैजिक लिंक में कोड या लिंक पाने के लिए ऐप बदलना पड़े तो बाधा बढ़ सकती है।
• फ़िशिंग-प्रतिरोधी MFA: हार्डवेयर सुरक्षा कुंजी डिवाइस में लगी हो या पास रखी हो तो प्रक्रिया काफी सरल है। फिर भी अक्सर बटन दबाना और/या PIN याद करके दर्ज करना पड़ सकता है। फ़िशिंग-प्रतिरोधी MFA के लिए पासकी इस्तेमाल हो तो प्रक्रिया अधिक सहज है।
• पासकी: आम तौर पर बहुत कम बाधा होती है। उपयोगकर्ता Face ID, Touch ID या Windows Hello जैसे डिवाइस बायोमेट्रिक्स से डिवाइस अनलॉक करते हैं और बाकी काम पासकी संभालती है। लॉगिन लगभग इतना ही आसान हो सकता है।

3.2.3 जटिलता और भरोसे की धारणा#

• पासवर्डलेस: पासवर्ड रीसेट से परेशान उपयोगकर्ताओं को बिना पासवर्ड वाला तरीका पसंद आता है।
• फ़िशिंग-प्रतिरोधी MFA: यह बहुत सुरक्षित है, लेकिन हार्डवेयर सुरक्षा कुंजियाँ आवश्यक हों तो नए उपयोगकर्ताओं को जटिल लग सकता है।
• पासकी: बायोमेट्रिक्स से फ़ोन अनलॉक करने के आदी उपयोगकर्ता अक्सर पासकी को परिचित तकनीक मानते हैं। Apple, Google और Microsoft के इकोसिस्टम पर भरोसा भी इसे अपनाने में मदद करता है।

3.2.4 उपयोगकर्ता अनुभव और अपनाने का निष्कर्ष#

पासवर्डलेस तरीके, खासकर बायोमेट्रिक्स, इस्तेमाल में आसान हैं। फ़िशिंग-प्रतिरोधी MFA लागू होने के बाद उपयोगकर्ता के अनुकूल हो सकता है, लेकिन कुछ परिस्थितियों में हार्डवेयर की आवश्यकता बोझ लग सकती है। पासकी आम तौर पर उपयोगकर्ताओं को सबसे अधिक सुविधा देती हैं।

3.3 कार्यान्वयन और लागत#

सुरक्षा और उपयोगकर्ता अनुभव के अलावा, एकीकरण की जटिलता, सहायता का अतिरिक्त काम और सीधी लागत जैसे व्यावहारिक पहलू तय करते हैं कि बड़े पैमाने पर समाधान व्यवहार्य है या नहीं।

3.3.1 मौजूदा सिस्टम के साथ एकीकरण#

• पासवर्डलेस: SMS OTP या मैजिक लिंक जैसे तरीके लागू करना अपेक्षाकृत आसान है, लेकिन हर तरीके के लिए कुछ अलग लॉजिक चाहिए, जैसे टोकन बनाना और सत्यापित करना या ईमेल/SMS भेजना।
• फ़िशिंग-प्रतिरोधी MFA: YubiKey जैसी हार्डवेयर सुरक्षा कुंजियों का रोलआउट अधिक जटिल हो सकता है। संगठनों को कुंजी वितरण, रिकवरी प्रक्रियाओं और उपयोगकर्ता प्रशिक्षण की योजना बनानी होती है। हालाँकि, FIDO आधारित तकनीकी स्टैक अच्छी तरह स्थापित है।
• पासकी: व्यापक इकोसिस्टम समर्थन की आवश्यकता के कारण रोलआउट चुनौतीपूर्ण हो सकता है। इसमें डिवाइस संगतता, ब्राउज़र एकीकरण और उपयोगकर्ता शिक्षा शामिल हैं।

3.3.2 लागत और निवेश पर प्रतिफल (ROI)#

• पासवर्डलेस: पासवर्ड हटाने से सहायता डेस्क की लागत बच सकती है, लेकिन कुछ तरीकों, खासकर SMS, में प्रति लेनदेन शुल्क लग सकता है। मैजिक लिंक आधारित प्रक्रियाओं के लिए मजबूत ईमेल इन्फ्रास्ट्रक्चर चाहिए। ऑथेंटिकेटर ऐप (TOTP) और पुश नोटिफ़िकेशन के लिए समर्पित ऐप इंस्टॉल और विकसित करने पड़ते हैं।
• फ़िशिंग-प्रतिरोधी MFA: हार्डवेयर शामिल होने पर आम तौर पर शुरुआती लागत सबसे अधिक होती है, लेकिन फ़िशिंग से मजबूत सुरक्षा मिलती है। उच्च मूल्य वाले खातों के लिए एक डेटा उल्लंघन की लागत हार्डवेयर सुरक्षा कुंजियों की लागत से कहीं अधिक हो सकती है।
• पासकी: शुरुआती विकास के बाद पासकी पासवर्ड रीसेट से जुड़े सहायता अनुरोध घटा सकती हैं, जो IT सहायता की सबसे बड़ी छिपी लागतों में हैं। वे खाता अधिग्रहण की घटनाएँ भी कम करती हैं, जिससे सीधे वित्तीय लाभ होता है। इसके अलावा वे अधिकांश महंगे SMS OTP की जगह ले सकती हैं।

3.3.3 कार्यान्वयन और लागत का निष्कर्ष#

पासवर्डलेस तरीके अक्सर पासवर्ड से सरल होते हैं, लेकिन उनकी नियमित लागत में काफी अंतर होता है। फ़िशिंग-प्रतिरोधी MFA को बड़े पैमाने पर लागू करना अधिक महंगा और जटिल हो सकता है, खासकर जब विशेष हार्डवेयर सुरक्षा कुंजियाँ खरीदकर वितरित करनी हों। जटिल तकनीकी आवश्यकताओं और अलग-अलग प्लेटफ़ॉर्म के बीच संगतता के कारण पासकी लागू करना चुनौतीपूर्ण है।

3.4 नियमन और अनुपालन#

कई नियम अब स्पष्ट रूप से मजबूत, फ़िशिंग-प्रतिरोधी प्रमाणीकरण की सिफ़ारिश करते हैं या उसे अनिवार्य बनाते हैं, जैसे यूरोपीय वित्तीय क्षेत्र में PSD2 और स्वास्थ्य सेवा में HIPAA।

• पासवर्डलेस: कुछ अनुपालन आवश्यकताएँ पूरी कर सकता है, जैसे “2FA या MFA आवश्यक है”, लेकिन चुने गए तरीके के आधार पर फ़िशिंग-प्रतिरोधी न भी हो।
• फ़िशिंग-प्रतिरोधी MFA: सुरक्षित लॉगिन की सख्त आवश्यकताएँ पूरी करते हुए ऑडिटर और नियामकों को आम तौर पर सबसे अधिक आश्वासन देता है।
• पासकी: पहले से FIDO2 मानकों के अनुरूप हैं, जो अधिकांश विनियमित क्षेत्रों की सुरक्षा आवश्यकताओं को पूरा करते हैं या उनसे आगे हैं।

3.5 तुलना तालिका#

4. व्यावहारिक उदाहरण और उपयोग#

4.1 ई-कॉमर्स कंपनी Mercari ने SMS OTP की जगह पासकी से लॉगिन सफलता बढ़ाई#

Mercari पहले उपयोगकर्ता लॉगिन सुरक्षित करने और लेनदेन सत्यापित करने के लिए SMS आधारित एकबारगी कोड (OTP) पर निर्भर थी। दुनिया भर में संदेश भेजने पर काफी शुल्क लगता था और कभी-कभी कोड देर से मिलने या न मिलने पर उपयोगकर्ता शिकायत करते थे।

नतीजे:

• लागत में बड़ी कमी: अधिकांश SMS ट्रैफ़िक हटाकर Mercari ने OTP संदेशों की लागत काफी घटाई।
• बेहतर सुरक्षा: पासकी एयरलाइन के वैध डोमेन से जुड़ी असममित क्रिप्टोग्राफ़ी इस्तेमाल करती हैं, इसलिए SIM स्वैप और फ़िशिंग हमलों का प्रतिरोध करती हैं।
• अधिक सफल लॉगिन: पासकी से साइन-इन की सफलता दर 82.5% रही, जबकि SMS OTP से 67.7% थी।

मुख्य सीख:
बड़ी संख्या में उपयोगकर्ता लॉगिन संभालने वाले संगठनों के लिए पासकी अपनाना महत्वपूर्ण बदलाव हो सकता है। बेहतर सुरक्षा के अलावा SMS OTP पर बचत से वित्तीय परिणामों पर भी काफी असर पड़ सकता है।

4.2 SaaS स्टार्टअप आसान पासवर्डलेस पंजीकरण के लिए मैजिक लिंक अपनाते हैं#

SaaS स्टार्टअप अक्सर मैजिक लिंक पर निर्भर रहते हैं, क्योंकि यह प्रमाणीकरण तरीका उपयोगकर्ताओं का जल्दी पंजीकरण करता है और भूले हुए पासवर्ड से जुड़े सहायता अनुरोध बहुत कम करता है।

नतीजे:

• पंजीकरण में कम बाधा: पंजीकरण के दौरान प्रक्रिया छोड़ने वाले उपयोगकर्ताओं की दर 30% से अधिक घटी, जिससे रूपांतरण बढ़ा।
• कम सहायता अनुरोध: पासवर्ड रीसेट के सवाल तेजी से घटे, जिससे स्टार्टअप की छोटी सहायता टीम उत्पाद संबंधी सवालों पर ध्यान दे सकी।
• तेज सुधार: मैजिक लिंक लागू करना और सुधारना अपेक्षाकृत सरल है, इसलिए प्रक्रिया में आसानी से बदलाव किए जा सकते हैं और समग्र पंजीकरण अनुभव से संतुष्टि बढ़ती है।

मुख्य सीख:
SaaS स्टार्टअप के लिए मैजिक लिंक जैसे पासवर्डलेस समाधान न केवल पंजीकरण आसान बनाते हैं, बल्कि पासवर्ड प्रबंधन का परिचालन बोझ भी घटाते हैं। शुरुआती विकास चरण में यह महत्वपूर्ण लाभ है।

4.3 MyGov नागरिक खातों की सुरक्षा बढ़ाता है और फ़िशिंग रोकता है#

MyGov ऑस्ट्रेलिया का एक सरकारी ऑनलाइन पोर्टल है, जो Medicare, Centrelink और Australian Taxation Office जैसी कई सरकारी सेवाओं तक पहुँच देता है। संवेदनशील व्यक्तिगत डेटा संभालने के कारण MyGov को सख्त नियमों और अधिक सार्वजनिक निगरानी का सामना करना पड़ता है।

नतीजे:

• उपयोग बढ़ा: 3 महीने में 2,00,000 उपयोगकर्ताओं तक पासकी रोलआउट पहुँचा।
• मजबूत अनुपालन: हार्डवेयर टोकन और सुरक्षित ऐप आधारित समाधानों के जरिए क्रिप्टोग्राफ़िक ओरिजिन बाइंडिंग इस्तेमाल करके MyGov ने ASD के Essential Eight और अन्य राष्ट्रीय साइबर सुरक्षा निर्देशों को पूरा किया।
• फ़िशिंग की कम घटनाएँ: वैध हार्डवेयर टोकन या डिवाइस से जुड़ी कुंजी के बिना चुराए गए क्रेडेंशियल दोबारा इस्तेमाल करना बहुत कठिन हो गया।
• जनता का अधिक भरोसा: मजबूत MFA समाधानों पर ज़ोर देने से डेटा उल्लंघनों के प्रति बढ़ती चिंता के दौर में उपयोगकर्ताओं का भरोसा मजबूत हुआ।

मुख्य सीख:
सरकारी एजेंसियों और सार्वजनिक क्षेत्र की कंपनियों या अत्यधिक विनियमित क्षेत्रों के संगठनों के लिए फ़िशिंग-प्रतिरोधी MFA लागू करना न केवल सुरक्षा, बल्कि बदलते मानकों का अनुपालन बनाए रखने के लिए भी आवश्यक है।

5. Corbado कैसे मदद कर सकता है#

खंड 3.5 की तालिका तीन विकल्पों को सामान्य स्तर पर अंक देती है। निर्णय लेने के लिए उपयोगी संस्करण आपके अपने लॉगिन डेटा से बनता है: उसकी पंक्तियों में वे तरीके होते हैं जिन्हें उपयोगकर्ता वास्तव में इस्तेमाल करते हैं और पाँच अंकों के पैमाने की जगह प्रक्रिया पूरी होने की दर होती है। प्रमाणीकरण की निगरानी के लिए बना Corbado Observe यही संस्करण तैयार करता है।

• वास्तव में इस्तेमाल होने वाले तरीके: हर लॉगिन को उप-प्रक्रियाओं में वर्गीकृत किया जाता है: पासवर्ड, पासकी, सोशल लॉगिन, SMS एकबारगी कोड, ईमेल एकबारगी कोड, TOTP और ऐप से पुष्टि। हर तरीके से हुए लॉगिन का हिस्सा और उसकी सफलता दर इस लेख की तीन श्रेणियों में चुनाव करने का वास्तविक शुरुआती आधार है।
• हर तरीके में उपयोगकर्ता कहाँ छूटते हैं: Login Friction हर शुरू किए गए लॉगिन को रिकवरी, दूसरे तरीके पर वापसी, प्रक्रिया छोड़ने, त्रुटि, रीसेट और बिना बाधा पूरी हुई प्रक्रिया जैसी श्रेणियों में बाँटता है। यह उन्हें हर तरीके के अनुसार अलग दिखाता है, ताकि “पासवर्डलेस से बाधा कम होती है” को आपके वास्तविक ट्रैफ़िक में गिना जा सके।
• दूसरे विकल्पों की तुलना में फ़िशिंग-प्रतिरोधी विकल्प का मूल्य: Method Uplift लॉगिन प्रक्रियाओं को उनमें उपलब्ध तरीकों के आधार पर क्रमबद्ध करता है: केवल पासवर्ड, पासकी के साथ पासवर्ड, सोशल लॉगिन के साथ पासवर्ड और तीनों तरीके। यह हर समूह की तुलना केवल पासवर्ड वाले आधार से करता है। सभी समूहों को एक ही अवधि में देखा जाता है, इसलिए खंड 3.2 में अपनाने की दर का सवाल आपके उत्पाद के लिए अलग-अलग समय की तुलना करने हेतु बदलाव की तारीख का इंतज़ार किए बिना तय हो सकता है।
• पासकी कार्यक्रम की आवश्यकता नहीं: Observe आपके मौजूदा लॉगिन पर काम करता है। यदि उसमें पासवर्ड और SMS कोड हैं, तो यह दोनों को मापता है। इस लेख के अधिकांश फैसलों की शुरुआत वास्तव में वहीं से होती है।

See Login Methods in Corbado Observe →

जब फैसला पासकी के पक्ष में हो, तो Corbado Connect उसे लागू करने का समाधान है। चुनिंदा उपयोगकर्ताओं को दिखाए जाने वाले संकेत और Passkey Intelligence नियंत्रित करते हैं कि पासकी का विकल्प किसे और कब दिखे। इससे खंड 3.2 में बताया गया उपयोगकर्ता अनुभव का लाभ पासकी अपनाने की दर को 10 गुना तक बढ़ा सकता है।

6. निष्कर्ष#

पारंपरिक पासवर्ड, पासकी, पासवर्डलेस विकल्पों और फ़िशिंग-प्रतिरोधी MFA की चर्चा के बाद इन जानकारियों को समेटते हैं।

हर तरीके के अपने फायदे हैं:

• पासवर्डलेस: पासवर्ड की तुलना में महत्वपूर्ण सुधार है, उपयोगकर्ता की बाधाएँ और सहायता लागत घटाता है, लेकिन हमेशा फ़िशिंग से सुरक्षित नहीं होता।
• फ़िशिंग-प्रतिरोधी MFA: उच्च जोखिम वाले वातावरण में उच्च स्तर की सुरक्षा देता है और सुनिश्चित करता है कि हमलावर मानवीय गलती का फायदा न उठा सकें।
• पासकी: पासवर्डलेस और स्वभाव से फ़िशिंग-प्रतिरोधी MFA होने के साथ उद्योग की अग्रणी कंपनियों का समर्थन पाकर सही संतुलन देती हैं। वे उपयोगकर्ता अनुभव से समझौता किए बिना उच्च स्तर की सुरक्षा देती हैं।

अभी प्रमाणीकरण बेहतर बनाने के कदम उठाकर कंपनी न केवल सुरक्षा बढ़ा सकती है, बल्कि खुद को डिजिटल अर्थव्यवस्था में सफल होने के लिए तैयार, दूरदर्शी और उपयोगकर्ता-केंद्रित संगठन के रूप में भी स्थापित कर सकती है।

Corbado के बारे में

Corbado बड़े पैमाने पर consumer authentication चलाने वाली CIAM टीमों के लिए Passkey Intelligence Platform है। हम आपको वह दिखाते हैं जो IDP logs और सामान्य analytics tools नहीं दिखा सकते: कौन-से devices, OS versions, browsers और credential managers passkeys को support करते हैं, क्यों enrollments login में नहीं बदलते, WebAuthn flow कहाँ fail होता है, और कब कोई OS या browser update चुपचाप login को तोड़ देता है, और यह सब Okta, Auth0, Ping, Cognito या आपके in-house IDP को बदले बिना। दो products: Corbado Observe जोड़ता है passkeys और किसी भी अन्य login method के लिए observability। Corbado Connect देता है analytics के साथ built-in managed passkeys (आपके IDP के साथ-साथ)। VicRoads, Corbado के साथ 5M+ users के लिए passkeys चला रहा है (80%+ passkey activation)। Passkey विशेषज्ञ से बात करें →