पासकी, जो पासवर्ड की जगह सार्वजनिक कुंजी क्रिप्टोग्राफी का उपयोग करती है, अब 39 सार्वजनिक रूप से दस्तावेज़ित तरीकों से खतरे में पाई गई हैं। शोधकर्ताओं ने दिखाया है कि फिडो2 क्रिप्टोग्राफी को तोड़े बिना ही उपयोगकर्ता के प्रमाणीकरण को कैसे नियंत्रित किया जा सकता है।

  • पासकी की सुरक्षा अब 39 नए हमले पथों से खतरे में है।
  • फिडो2 क्रिप्टोग्राफी सुरक्षित रहती है, पर इकोसिस्टम के अन्य हिस्से कमजोर हैं।
  • संगत, साझा और पुनर्प्राप्ति प्रक्रियाएँ हमलावरों के लिए मुख्य लक्ष्य बन गई हैं।

पासकी ने पासवर्ड आधारित हमलों के खिलाफ एक मजबूत सुरक्षा प्रस्ताव पेश किया था, पर 4 सितंबर 2026 को टोकन द्वारा प्रकाशित शोध ने 39 सार्वजनिक रूप से दस्तावेज़ित विधियों को उजागर किया है, जिनसे पासकी प्रमाणीकरण को भेद किया जा सकता है। इन तरीकों में से कई के पास प्रूफ‑ऑफ़‑कॉन्सेप्ट टूल्स उपलब्ध हैं और कुछ पहले ही वास्तविक दुनिया के हमलों में इस्तेमाल हो चुके हैं।

सबसे महत्वपूर्ण बात यह है कि फिडो2 की क्रिप्टोग्राफी पूरी तरह से सुरक्षित रह सकती है, जबकि पासकी से संरक्षित खाता अभी भी समझौता किया जा सकता है। यह अंतर समझना अनिवार्य है, क्योंकि पारंपरिक पासवर्ड के मुकाबले अब हमलावरों को केवल इकोसिस्टम के किसी एक भरोसेमंद घटक को भेदना होता है।

यह भी पढ़ें:डिजिटल अरेस्ट स्कैम: नवी मुंबई के निवासी से 1.5 करोड़ की ठगी, गुजरात से आरोपी गिरफ्तार

आधुनिक पासकी प्रमाणीकरण में वेब एप्लिकेशन, ब्राउज़र, ऑपरेटिंग सिस्टम, पासवर्ड मैनेजर, क्लाउड सिंक, मोबाइल डिवाइस, ब्लूटूथ ट्रांसपोर्ट, अकाउंट रिकवरी, एनरोलमेंट, हेल्प डेस्क और उपयोगकर्ता की अनुमोदन जैसी कई भरोसे की सीमाएँ शामिल हैं। शोधकर्ताओं ने इन सभी पर हमला किया है, जैसे कि एसेर्शन माइनिंग, रीप्ले, सर्किट ब्रेकर, फिशिंग, ब्राउज़र हुकिंग, चुनौती इंजेक्शन, यूज़र वेरिफिकेशन मैनिपुलेशन आदि।

स्पेक्टरऑप्स की "पैस द पासकी" शोध ने दिखाया कि मैलवेयर को प्राइवेट कुंजी निकालने की ज़रूरत नहीं होती; एक विंडोज़ एप्लिकेशन वैध WebAuthn इंफ्रास्ट्रक्चर से साइन की गई एसेर्शन माँग सकता है और उपयोगकर्ता को वैध प्रमाणीकरण अनुभव दिखा सकता है।

एक और प्रमुख जोखिम है पासकी प्रॉम्प्ट स्वयं, जहाँ हमलावर प्रॉम्प्ट को फॉलिंग, इंटरफेस डिकॉय, रिमोट डेस्कटॉप फिशिंग और ओवरले अटैक के जरिए दुरुपयोग करते हैं। यह दर्शाता है कि प्रोटोकॉल स्तर पर फिशिंग प्रतिरोधी होने से भी OS, ब्राउज़र और UI स्तर पर धोखाधड़ी से सुरक्षा नहीं मिलती।

साझा और सिंक्ड पासकी का उदय हमले की सतह को और बढ़ा देता है। अब हमलावर क्लाउड रिकवरी, मोबाइल मालवेयर, रूटेड डिवाइस, KeePassXC या Bitwarden एक्सपोर्ट चोरी, ब्राउज़र एक्सटेंशन और ब्लूटूथ CTAP अटैक जैसे तरीकों से पासकी को चुरा या पुनर्प्राप्त कर सकते हैं।

अंततः, एनरोलमेंट और रिकवरी चरणों में भी नए हमले दिखाए गए हैं: शैडो पासकी, एनरोलमेंट वॉइसिंग, हेल्प डेस्क टेकेओवर, SIM‑आधारित रिकवरी, रिवर्स वॉइसिंग और माइग्रेशन प्रीटेक्स्ट अटैक। यह स्पष्ट करता है कि केवल क्रिप्टोग्राफी पर निर्भर रहना पर्याप्त नहीं है।

Why This Matters

BozokMedia विश्लेषण बताता है कि संगठनों को पासकी को केवल क्रिप्टोग्राफिक सुरक्षा के रूप में नहीं, बल्कि एक विस्तृत इकोसिस्टम के हिस्से के रूप में देखना चाहिए। पासकी को सुरक्षित रखने के लिए समर्पित बायोमेट्रिक हार्डवेयर और मजबूत एन्क्रिप्शन के अलावा, एप्लिकेशन और यूज़र इंटरफ़ेस की सुरक्षा पर भी ध्यान केंद्रित करना आवश्यक है।

"सुरक्षा का वास्तविक परीक्षण तभी होता है जब हमलावर फिडो2 को तोड़े बिना ही पूरे प्रमाणीकरण प्रवाह को नियंत्रित कर लेता है," कहते हैं साइबर सुरक्षा विशेषज्ञ आर. शर्मा।
Did You Know?: पासकी का उपयोग करते समय भी उपयोगकर्ता का डिवाइस और क्लाउड सिंकिंग सर्विसें एक-दूसरे पर भरोसा करती हैं, जिससे एक ही पासकी को कई प्लेटफॉर्म पर इस्तेमाल किया जा सकता है।

Frequently Asked Questions

Q1: क्या पासकी पूरी तरह से सुरक्षित हैं?

A1: पासकी फिडो2 क्रिप्टोग्राफी पर आधारित हैं, लेकिन इकोसिस्टम के अन्य घटकों में कमजोरियाँ मौजूद हैं, जिससे पासकी भी खतरे में पड़ सकती हैं।

Q2: मैं अपने पासकी को कैसे सुरक्षित रखूँ?

A2: समर्पित बायोमेट्रिक हार्डवेयर, मजबूत डिवाइस सुरक्षा, क्लाउड रिकवरी का सावधानीपूर्वक प्रबंधन और UI फ़िशिंग से बचाव के उपाय अपनाएँ।