अगर आपने अपने Google खाते के लिए पासकी चालू कर रखी हैं, तो आपने शायद यह दलील सुनी होगी: टाइप करने के लिए कोई पासवर्ड नहीं, फ़िश करने के लिए कुछ नहीं, और डेटाबेस में पड़ा ऐसा कुछ नहीं जो लीक होने का इंतज़ार कर रहा हो। यह दलील काफी हद तक सही है। लेकिन शोधकर्ताओं ने अब “Pass-ta-key” नाम से पुकारे जाने वाली एक तकनीक का वर्णन किया है, जो दिखाती है कि आपके अपने डिवाइस पर मौजूद मैलवेयर Google Password Manager में संग्रहीत पासकी तक फिर भी पहुँच सकता है। यह समझना ज़रूरी है कि इसका मतलब वास्तव में क्या है और क्या नहीं, क्योंकि इसका समाधान “पासकी का इस्तेमाल बंद कर दो” नहीं है।
पासकी वास्तव में कैसे काम करती हैं—एक त्वरित पुनरावलोकन
पासकी किसी ऐसे गुप्त शब्द की तरह नहीं होती जिसे आप टाइप करते हैं, बल्कि यह कुंजियों की एक जोड़ी होती है। निजी कुंजी का हिस्सा आपके डिवाइस से कभी बाहर नहीं जाना चाहिए; वेबसाइट या ऐप को केवल सार्वजनिक कुंजी और यह साबित करने वाले हस्ताक्षर दिखते हैं कि निजी कुंजी आपके पास है। यही पासकी को पारंपरिक फ़िशिंग से सुरक्षित बनाता है—किसी नकली लॉगिन पेज के पास चुराने के लिए कोई पासवर्ड या एक बार इस्तेमाल होने वाला कोड नहीं होता, क्योंकि निजी कुंजी ऐसी चीज़ नहीं है जिसे आपको कहीं भी टाइप करने के लिए बहकाया जा सके।
पेच “सिंक की गई” शब्द में है। पासकी को आपके फ़ोन, लैपटॉप और टैबलेट पर काम करने देने के लिए Google Password Manager आपकी पासकी को किसी एक भौतिक डिवाइस तक सीमित करने के बजाय आपके Google खाते के ज़रिए एन्क्रिप्ट और सिंक करता है। यह सुविधा उस पासकी की तुलना में बड़ा आक्रमण-क्षेत्र भी बनाती है जो भौतिक रूप से किसी एक सुरक्षा कुंजी या एक डिवाइस से बंधी हो।
Pass-ta-key शोध वास्तव में किस ओर इशारा करता है
इस शोध पर हुई रिपोर्टिंग (Malwarebytes के माध्यम से) के अनुसार, निष्कर्ष यह है कि ऐसे डिवाइस पर चल रहा मैलवेयर, जहाँ Google Password Manager अनलॉक है, पासकी से सुरक्षित खातों को हाईजैक कर सकता है—बुनियादी सार्वजनिक-कुंजी क्रिप्टोग्राफी को तोड़कर नहीं, बल्कि उन सॉफ़्टवेयर परतों का दुरुपयोग करके जो कुंजियों को संग्रहीत, अनलॉक और सिंक करती हैं। दूसरे शब्दों में: पासकी के पीछे का गणित क्रैक नहीं हुआ है। निशाना गणित के आस-पास मौजूद हर चीज़ है—स्थानीय वॉल्ट, अनलॉक करने की प्रक्रिया और सिंक चैनल।
शोषण-श्रृंखला की सटीक तकनीकी कार्यप्रणाली अब तक सार्वजनिक रूप से उपलब्ध जानकारी में पूरी तरह विस्तार से नहीं बताई गई है, इसलिए इसे बढ़ा-चढ़ाकर “पासकी टूट गई हैं” कहना ठीक नहीं होगा। जो बात स्पष्ट है और आम तौर पर ऐसी चीज़ों के काम करने के तरीके से मेल खाती है, वह जोखिम का सामान्य स्वरूप है: अगर किसी ऐसे डिवाइस पर मैलवेयर पर्याप्त उच्च स्तर की पहुँच हासिल कर ले जिसमें पासकी स्टोर अनलॉक हो, तो वह संभावित रूप से उस स्टोर के भीतर आपकी तरह काम कर सकता है या ऐसी सामग्री निकाल सकता है जिससे हमलावर कहीं और आपके रूप में प्रमाणीकरण कर सके।
यह पासकी के पक्ष में मामले को क्यों नहीं बदलता
ऐसी हेडलाइन को “पासकी विफल हो गईं” समझ लेना आसान है। वे विफल नहीं हुईं—उन्होंने एक खास और बेहद आम हमले को रोक दिया: रिमोट फ़िशिंग, जिसमें दुनिया में कहीं भी मौजूद हमलावर आपको नकली साइट पर पासवर्ड या एक बार इस्तेमाल होने वाला कोड टाइप करने के लिए बहका देता है। असली पासकी के विरुद्ध वह हमला अब भी बेअसर है। Pass-ta-key जिस बात को दर्शाता है, वह एक अलग और पुराना ख़तरा मॉडल है: ऐसा हमलावर जिसके पास पहले से आपके डिवाइस पर कोड चल रहा हो। यह ख़तरा हमेशा से मौजूद रहा है और पासवर्ड के मामले में तो शायद इससे भी बदतर था—संक्रमित मशीन पर मौजूद कीलॉगर या इन्फ़ोस्टीलर उतनी ही आसानी से टाइप किया हुआ पासवर्ड और सेशन कुकी चुरा सकता था। पासकी हमले का क्षेत्र छोटा करती हैं; वे “आपका डिवाइस हैक हो गया है” वाली श्रेणी को खत्म नहीं करतीं।
वास्तव में क्या जाँचें और क्या करें
प्रभाव के आधार पर मोटे तौर पर क्रमबद्ध कुछ ठोस, जाँचे जा सकने वाले कदम:
- जानें कि आपकी कौन-सी पासकी सिंक की गई हैं और कौन-सी डिवाइस से बंधी हैं। Google Password Manager (passwords.google.com में “Passkeys” के अंतर्गत) में आप देख सकते हैं कि आपके खाते में क्या संग्रहीत और सिंक किया गया है। किसी भौतिक सुरक्षा कुंजी (जैसे YubiKey) के साथ बनाई और पुष्ट की गई ऐसी पासकी जिसे आपने सिंक नहीं किया है, उस हार्डवेयर से बंधी होती है और इस तरह के हमले के सामने उसी प्रकार उजागर नहीं होती।
- अपने सबसे महत्वपूर्ण खातों—मुख्य ईमेल, बैंक, काम का सिंगल साइन-ऑन—के लिए सिंक की गई पासकी के बजाय हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। यह थोड़ी कम सुविधाजनक है (आपको भौतिक कुंजी चाहिए), लेकिन यह क्लाउड सिंक को बिल्कुल छूती नहीं है, जिससे उस खाते के लिए यह पूरा आक्रमण-क्षेत्र समाप्त हो जाता है।
- डिवाइस को स्वयं साफ़ रखें, क्योंकि अब असली जंग का मैदान वही है। ऑपरेटिंग सिस्टम और ब्राउज़र के अपडेट तुरंत इंस्टॉल करें, आधिकारिक स्टोर के बाहर से ऐप या एक्सटेंशन इंस्टॉल करने से बचें, और एंटीवायरस/एंडपॉइंट अलर्ट को नज़रअंदाज़ न करें—इस तरह के हमले के लिए मैलवेयर संक्रमण पूर्वशर्त है, इसलिए डिवाइस की स्वच्छता दोहरा लाभ देती है।
- अगर आप संभावित निशाना हैं, तो Google का Advanced Protection Program चालू करें (पत्रकार, कार्यकर्ता, अधिकारी, एडमिन या ऐसा कोई भी व्यक्ति जिसे पहले निशाना बनाया जा चुका हो)। यह खास तौर पर इस तरह के खाता-कब्ज़े वाले परिदृश्य के विरुद्ध खाता पुनर्प्राप्ति और साइन-इन नियमों को कड़ा करता है।
- समय-समय पर अपने Google खाते की “Recent security activity” और कनेक्टेड डिवाइसों की समीक्षा करें और ऐसी हर चीज़ हटा दें जिसे आप पहचानते नहीं हैं या अब इस्तेमाल नहीं करते—इसमें उन डिवाइसों पर मौजूद पुरानी सिंक की गई पासकी भी शामिल हैं जिन्हें आप बदल चुके हैं।
- अपनी बैकअप प्रमाणीकरण विधि को न छोड़ें। एक ऐसी रिकवरी विधि (बैकअप कोड, किसी अलग प्रकार के डिवाइस पर दूसरी पासकी) रखें जो उसी डिवाइस पर निर्भर न हो, ताकि संक्रमित मशीन को साफ़ करना पड़े तो आप अपने खाते से बाहर न हो जाएँ।
संक्षेप में: पासकी अब भी पासवर्ड से बेहतर हैं, और रिमोट फ़िशिंग के विरुद्ध वे जो करती हैं उसके लिए “फ़िश न की जा सकने वाली” कहना अब भी सही है। Pass-ta-key यह याद दिलाता है कि “फ़िश न की जा सकने वाली” का दावा कभी भी “समझौता किए गए डिवाइस से पूरी तरह सुरक्षित” होने के बराबर नहीं था—और दूसरे ख़तरे के विरुद्ध आपका बचाव उबाऊ चीज़ें हैं: अपने डिवाइस अपडेट रखें, मैलवेयर पर नज़र रखें और अपने सबसे महत्वपूर्ण खातों को सिंक की गई कुंजियों के बजाय हार्डवेयर से बंधी कुंजियों के पीछे रखें।
