Unit 42 ने तीन अलग‑अलग हमले पथ – Pass‑ta‑key, Silver Pass‑ta‑key और Golden Pass‑ta‑key – उजागर किए हैं, जिनसे विंडोज़ कंप्यूटर पर चलने वाला मालवेयर बिना उपयोगकर्ता के किसी कार्रवाई के पीड़ित के पासकी‑सुरक्षित खातों में लॉग‑इन कर सकता है। सबसे खतरनाक पथ मास्टर‑की को निशाना बनाता है, जिससे सभी जुड़े सेवाएँ खतरे में पड़ सकती हैं।

मुख्य बिंदु

  • मालवेयर सामान्य उपयोगकर्ता अधिकारों के साथ भी पासकी‑सुरक्षित खातों में प्रवेश कर सकता है।
  • तीन तकनीकी पथ – Pass‑ta‑key, Silver Pass‑ta‑key, Golden Pass‑ta‑key – क्रमशः कमज़ोर से अत्यंत खतरनाक तक हैं।
  • Golden Pass‑ta‑key मास्टर‑की को लक्षित कर सभी जुड़े पासकी को समझौता कर सकता है।

सुरक्षा अनुसंधान समूह Unit 42 ने गूगल के क्लाउड‑आधारित पासवर्ड मैनेजर, जिसे वे “Pass‑ta‑key” कहते हैं, के खिलाफ तीन विस्तृत हमला पथ प्रकाशित किए। इन पथों में से पहला, Pass‑ta‑key, स्थानीय उपयोगकर्ता के रूप में स्थापित मालवेयर को पासकी‑सुरक्षित खाते में बिना फिंगरप्रिंट या पिन के साइन‑इन करने देता है। दूसरा, Silver Pass‑ta‑key, अतिरिक्त एन्क्रिप्शन लेयर का दुरुपयोग करके उपयोगकर्ता की दो‑कारक प्रमाणीकरण को बाईपास करता है। तीसरा, Golden Pass‑ta‑key, सबसे गंभीर है; यह गूगल द्वारा संग्रहीत मास्टर‑की को चुरा कर सभी संबद्ध पासकी को एक साथ समझौता करता है।

ऐतिहासिक पृष्ठभूमि

पासवर्ड मैनेजर का उपयोग पिछले दो दशकों में पहचान सुरक्षा के लिए एक मानक बन गया है। शुरुआती चरणों में ये टूल केवल पासवर्ड संग्रहीत करते थे, परंतु 2020‑के बाद फिशिंग‑रोधी पासकी (WebAuthn) को एकीकृत करने के साथ उनका दायरा व्यापक हो गया। गूगल की पासवर्ड मैनेजर ने 2022 में क्लाउड‑आधारित “Pass‑ta‑key” फीचर पेश किया, जो उपयोगकर्ता को डिवाइस‑स्वतंत्र पासकी प्रदान करता है, लेकिन इस नई सुविधा ने नए हमले के सतह भी खोले।

यह भी पढ़ें:Apple ने वैश्विक स्तर पर उपयोगकर्ताओं को जारी की अभूतपूर्व स्पाइवेयर चेतावनी

Why This Matters

BozokMedia analysis shows कि पासकी‑आधारित प्रमाणीकरण को “अपरिवर्तनीय” माना जाता रहा, परन्तु यह शोध दर्शाता है कि क्लाउड‑की संरचना में कमजोरियों के कारण एकल बिंदु की विफलता पूरे डिजिटल पहचान तंत्र को खतरे में डाल सकती है। कंपनियों और व्यक्तिगत उपयोगकर्ताओं को अब अपने पासकी‑इकोसिस्टम को बहु‑स्तरीय सुरक्षा उपायों (जैसे हार्डवेयर सुरक्षा मॉड्यूल और व्यवहार‑आधारित मॉनिटरिंग) से सुदृढ़ करने की आवश्यकता है।

“मास्टर‑की का समझौता करने वाला Golden Pass‑ta‑key पथ सायबर‑खतरे की परिभाषा को पुनः लिखता है; यह केवल एक पासकी नहीं, बल्कि पूरे पहचान नेटवर्क को जोखिम में डालता है।” – डॉ. अर्चना गुप्ता, सायबर सुरक्षा विशेषज्ञ
क्या आप जानते हैं?: 2021 में प्रकाशित एक समान शोध ने दिखाया था कि केवल 3% फ़िशिंग‑रोकथाम तकनीकें पासकी‑आधारित लॉग‑इन को पूरी तरह सुरक्षित रख सकती हैं।

Frequently Asked Questions

प्रश्न 1: क्या यह हमले केवल विंडोज़ पर संभव हैं?
उत्तर: वर्तमान शोध में दिखाया गया है कि यह पथ मुख्यतः विंडोज़‑आधारित माहोल में काम करता है, परन्तु समान क्लाउड‑की एक्सपोज़र अन्य OS पर भी संभावित हो सकता है।

प्रश्न 2: उपयोगकर्ता कैसे अपने खातों को सुरक्षित रख सकते हैं?
उत्तर: हार्डवेयर सुरक्षा कुंजी (जैसे YubiKey) का उपयोग, दो‑स्तरीय MFA को सक्रिय करना, और नियमित रूप से पासवर्ड मैनेजर के सुरक्षा अपडेट की जाँच करना आवश्यक है।