पासवर्डको विकल्प बनिरहेको पासकीः प्रयोग गर्न जति सहज, पुरा जानकारी बिना हुनसक्छ उत्तिकै झन्झट

काठमाडौं । आफ्नो फोनमा पहिलो पटक पासकी (Passkey) सिर्जना गर्दा, धेरैलाई लगइनको समस्या सधैंको लागि समाधान भएजस्तो महसुस भएको हुन सक्छ । फेस अनलकको मद्दतले तुरुन्तै लगइन हुन्छ; न त केही टाइप गर्नुपर्ने, न त नयाँ कुरा नै सम्झिनुपर्ने ।

तर, आफ्नो फोन साथमा नभएको बेला अर्कैको ल्यापटपबाट भिन्न ब्राउजर प्रयोग गरी लगइन गर्ने प्रयास गर्दा यो सहज अनुभव विस्तारै झन्झटिलो बन्न पुग्छ । यसले प्रयोगकर्तालाई अकाउन्टबाटै पूर्ण रूपमा वञ्चित (lock out) त नगर्ला, तर अकाउन्टको पहिचान (credential) सुरक्षित राखिएको डिभाइस उपलब्ध नहुँदा यसको सहजता कति चाँडै हराउन सक्छ भन्ने कुरा भने प्रस्ट पार्छ ।

सपोर्ट गर्ने वेबसाइटहरूमा पासकीमार्फत् लगइन गर्दा पासवर्ड राख्नुपर्ने झन्झट त हटाउँछ, तर यसले अकाउन्ट रिकभरी (account recovery) को आवश्यकतालाई भने पूर्ण रूपमा निर्मूल पार्दैन । बरु यसले अकाउन्ट रिकभरीको धेरैजसो जिम्मेवारी पासवर्ड वा पासकी सुरक्षित राखिएको डिभाइस, क्रेडिन्सियल प्रोभाइडर र पासकी स्टोर गरिएको क्लाउड अकाउन्टमा सारिदिन्छ ।

डिभाइस परिवर्तन नभएसम्म महसुस नहुने पासकीको झन्झट

जब कुनै वेबसाइटले पासकी सिर्जना गर्ने विकल्प दिन्छ, तब प्रयोगकर्ताको ब्राउजर वा अपरेटिङ सिस्टमले सामान्यतया त्यसलाई कहाँ सुरक्षित (store) गर्ने भनेर सुझाउने गर्छ । यद्यपि, उपलब्ध विकल्पहरू भने प्रयोगकर्ताको डिभाइस, एक्टिभेट गरिएका प्रोभाइडरहरू र उक्त वेबसाइटको पोलिसीमा निर्भर हुन्छन् ।

क्रेडिन्सियल प्रोभाइडर भनेको अपरेटिङ सिस्टमको एउटा सेवा वा पासवर्ड म्यानेजर हो, जसले पासकीलाई सुरक्षित राख्ने र कतिपय अवस्थामा सिङ्क्रोनाइज (synchronize) गर्ने काम गर्छ । अपरेटिङ सिस्टमको प्रम्प्टभित्र कतै लुकेर बस्नुको साटो पासवर्ड म्यानेजरले पासकीलाई स्पष्ट रूपमा देखाउने र व्यवस्थापन गर्न मिल्ने बनाउँदा यो स्टोरेज लेयर बुझ्न झन् सजिलो हुन्छ ।

यसपछि प्रयोगकर्ताले आफ्नो औंठाछाप (fingerprint), फेसआईडी, पिन वा विन्डोज हेलोमार्फत आफ्नो पहिचान प्रमाणीकरण गरी पासवर्ड विना नै लगइन गर्न सक्छन् । प्रत्येक पासकी कुनै एउटा निश्चित वेबसाइट वा एप अकाउन्टसँग मात्र सम्बन्धित हुने भएकाले यो सबै कुरा अनलक गर्ने कुनै मास्टर की (master key) भने होइन ।

पासकी सिर्जना गर्दा एउटा 'क्रिप्टोग्राफिक की पेयर' (cryptographic key pair) अर्थात् साँचोको जोडी बन्दछ । वेबसाइटले पब्लिक की (public key) मात्र स्टोर गर्छ भने त्यससँग सम्बन्धित प्राइभेट की (private key) प्रयोगकर्ताको डिभाइस वा क्रेडिन्सियल प्रोभाइडरकै नियन्त्रणमा रहन्छ । सिङ्क्रोनाइज्ड प्रोभाइडरले प्रयोगकर्ताका अन्य डिभाइसहरूमा इन्ड-टु-इन्ड इन्क्रिप्टेड कपीहरू वितरण गर्न सक्छ । तर वेबसाइटले भने प्राइभेट की कहिल्यै प्राप्त गर्दैन ।

विशेषगरी सिङ्क्रोनाइज्ड (सजिलै अन्य डिभाइसमा सर्ने) र डिभाइस-बाउन्ड (एउटै डिभाइसमा मात्र सीमित रहने) पासकीबिच व्यावहारिक भिन्नता हुन्छ । आईक्लाउड कीचेनमा सेभ गरिएको पासकीले स्वीकृत गरिएका एप्पल डिभाइसहरूमा प्रयोगकर्तालाई पछ्याउँछ भने गुगल पासवर्ड म्यानेजरले एन्ड्रोइड र सपोर्टेड क्रोम ब्राउजरहरूमा पासकी सिङ्क्रोनाइज गर्छ । अर्कोतर्फ, डिभाइस-बाउन्ड पासकीहरू भने एउटै अथेन्टिकेटरमा मात्र सीमित रहन्छन् ।

उदाहरणका लागि, विन्डोजमा हाल प्रिभ्यु फिचरका रूपमा रहेको माइक्रोसफ्ट इन्ट्रा (Microsoft Entra) पासकीले क्रेडिन्सियललाई लोकल विन्डोज हेलो कन्टेनरमा सुरक्षित राख्छ र यसका लागि प्रत्येक पीसीमा छुट्टाछुट्टै रजिस्ट्रेसन गर्नुपर्ने हुन्छ ।

विभिन्न प्रोभाइडरहरू बीच पासकी स्थानान्तरण गर्न सकिने क्षमता (Portability) मा पनि सुधार भइरहेको छ । एफआईडीओ अलायन्स (FIDO Alliance) को क्रेडिन्सियल एक्स्चेन्ज स्पेसिफिकेसन्सले सहभागी एपहरूलाई पासकी सहितका क्रेडिन्सियलहरू ट्रान्सफर गर्न सुरक्षित स्ट्यान्डर्ड प्रदान गर्दछ ।

हालैका एप्पल प्लेटफर्महरूले यस्ता ट्रान्सफरहरूलाई सपोर्ट गर्छन् भने गुगल पासवर्ड म्यानेजरले पनि अहिले एन्ड्रोइडमा कम्प्याटिबल (मिल्दो) म्यानेजरहरूसँग पासकी आयात (import) र निर्यात (export) गर्ने सुविधा दिन्छ । यद्यपि, यो प्रक्रिया अझै पनि पूर्ण रूपमा झन्झटमुक्त भने भइसकेको छैन । किनकि यसको उपलब्धता अझै पनि प्रयोग भइरहेको सफ्टवेयर र दुवै प्रोभाइडरहरूको सहभागितामा निर्भर रहन्छ ।

जब पासकी आफ्नो अगाडि रहेको कम्प्युटरमा नभई फोनमा मात्र सुरक्षित हुन्छ, तब क्रस-डिभाइस अथेन्टिकेसनले यो दूरी कम गर्न मद्दत गर्छ । लगइन स्वीकृत हुनुअघि ल्यापटपले एउटा क्यूआर कोड देखाउँछ, फोनले त्यसलाई स्क्यान गर्छ र ब्लुटुथ मार्फत ती दुवै डिभाइस भौतिक रूपमा नजिकै रहेको कुरा प्रमाणित हुन्छ । यस्तो अवस्थामा, एन्ड्रोइड फोनले प्रयोगकर्ताको अगाडि रहेको डिभाइसका लागि वास्तवमै एउटा सेक्युरिटी कीको रूपमा काम गर्छ ।

यस क्रममा वास्तविक अनुरोध इन्ड-टु-इन्ड इन्क्रिप्टेड इन्टरनेट कनेक्सनमार्फत पठाइन्छ र फोनले पासकी नै हस्तान्तरण नगरिकन वन-टाइम च्यालेन्जमा डिजिटल हस्ताक्षर गर्छ । तर, यदि फोन ब्लुटुथ रेन्ज भन्दा बाहिर छ, अफलाइन छ, उपलब्ध छैन वा घरमै छुटेको छ भने यो विकल्प पनि फोनसँगै हराएर जान्छ ।

फोन हराए पनि अकाउन्ट जोगिन सक्छ ?

यदि पासकीहरू इन्ड-टु-इन्ड इन्क्रिप्टेड प्रोभाइडरमार्फत सिङ्क्रोनाइज गरिएका छन् भने फोन पोखरीमा खस्दा पनि चिन्ता लिनु पर्दैन, ती पासकीहरू रिकभर गर्न सकिन्छ । नयाँ डिभाइसमा लगइन गरेर तिनलाई पुनः प्राप्त गर्न सकिन्छ । एप्पलले आईक्लाउड कीचेनका लागि सुरक्षित रिकभरी संयन्त्रहरू प्रदान गर्दछ । त्यसैगरी, नयाँ डिभाइसमा सिङ्क्रोनाइज्ड पासकीहरू उपलब्ध गराउनुअघि गुगलले गुगल पासवर्ड म्यानेजर पिन वा पुरानै डिभाइसको स्क्रिन लक माग्न सक्छ ।

वास्तवमा रिकभरीका दुईवटा समस्याहरू हुन्छन् । पहिलो क्रेडिन्सियल रिकभरी (credential recovery) हो, जसले पासकीहरू सुरक्षित रहेको इन्क्रिप्टेड भल्टलाई पुनः प्राप्त गर्छ । दोस्रो भनेको वेबसाइट-अकाउन्ट रिकभरी (website-account recovery) हो, जसले प्रयोग गर्न मिल्ने कुनै पनि पासकी बाँकी नरहेको अवस्थामा प्रयोगकर्तालाई व्यक्तिगत सेवा वा वेबसाइटमा पुनः प्रवेश गराउँछ ।

यदि प्रयोगकर्ताले आफ्नो सिङ्क्रोनाइज्ड डेटा व्यवस्थापन गरिरहेको एप्पल, माइक्रोसफ्ट, थर्ड-पार्टी वा गुगल अकाउन्टको पहुँच गुमाएमा क्रेडिन्सियल रिकभरी कठिन वा असम्भव बन्न सक्छ । यदि एक मात्र पासकी रहेको डिभाइस हराएमा, पहिल्यै क्रेडिन्सियल स्थानान्तरण नगरी प्रोभाइडर परिवर्तन गरेमा, अथवा अफिसको नियन्त्रणमा रहेको कम्प्युटरले प्रयोगकर्ताले सोचेको प्रोभाइडरलाई ब्लक गरिदिएमा पनि यस्तै जोखिम उत्पन्न हुन्छ ।

त्यस अवस्थामा, अकाउन्ट रिकभरी पूर्ण रूपमा उक्त सेवा वा वेबसाइटले प्रदान गर्ने ब्याकअप विकल्पमा निर्भर रहन्छ । यो विकल्प पासवर्ड, ईमेल लिंक, रिकभरी कोड, अर्को दर्ता गरिएको पासकी वा ग्राहक सहायता प्रक्रिया (support process) मध्ये कुनै पनि हुन सक्छ । यसको अर्थ सबै वैकल्पिक मार्गहरू असुरक्षित हुन्छन् भन्ने त होइन, तर अकाउन्ट कति सुरक्षित छ वा ह्याकरले कब्जा गर्न सक्छ कि सक्दैन भन्ने कुरा यसको सबैभन्दा कमजोर रिकभरी विकल्पले निर्धारण गर्छ ।

पासकीले फिशिङ आक्रमणलाई रोक्न त सक्छ, तर ईमेल अकाउन्ट ह्याक भएको खण्डमा त्यसले भित्र छिर्ने अर्को बाटो बनाइदिन्छ । त्यसैगरी, यदि सम्बन्धित सेवाले रिकभरी विकल्पको रूपमा अनुमति दिएको छ भने सिम कार्ड क्लोनिङ वा अन्य माध्यमबाट चोरी गरिएको फोन नम्बरमा पठाइने एसएमएस अथेन्टिकेसनले पनि अकाउन्टलाई जोखिममा पार्न सक्छ ।

जरुरी एक्जिट प्लान

पासकी सिर्जना गर्दा प्रत्येक पासकी कुन डिभाइसमा जाँदैछ भन्ने कुरामा प्रम्प्ट स्वीकृत गर्नुअघि नै निकै सचेत हुनुपर्छ । वास्तवमै महत्त्वपूर्ण रहेका अकाउन्टहरूका लागि, यदि वेबसाइटले अनुमति दिन्छ भने, भिन्न डिभाइस वा प्रोभाइडरमा दोस्रो पासकी रजिस्टर गर्नु बुद्धिमानी हुन्छ । टाइपिङ पासवर्डको विकल्पमा प्रयोग हुने हार्डवेयर सिक्युरिटी की (hardware security key) पनि उत्कृष्ट ब्याकअप हुन सक्छ । तर यो फोन राखिएको ब्याग वा खल्तीभन्दा फरक स्थानमा सुरक्षित राखिनुपर्छ ।

यसका साथै रिकभरी कोडहरूलाई सम्बन्धित डिभाइसभन्दा बाहिर सुरक्षित राख्नुपर्छ र पासकी सिङ्क्रोनाइज गर्ने मुख्य अकाउन्टमा सधैं सक्रिय रिकभरी विकल्पहरू दुरुस्त छन् भन्ने कुरा सुनिश्चित गर्नुपर्छ । पासवर्ड-म्यानेजर भल्टलाई सुरक्षित रूपमा ब्याकअप गर्दा पनि यही नियम लागु हुन्छ: जुन डिभाइस वा अकाउन्टलाई बचाउनु पर्ने हो, त्यसकै साथमा ब्याकअप स्टोर गर्नुको कुनै तुक हुँदैन ।

पुरानो फोन परिवर्तन गर्नु वा वैकल्पिक पासवर्ड हटाउनुअघि सम्बन्धित वेबसाइटको पासकी म्यानेजमेन्ट (passkey-management) पेज अवश्य जाँच गर्नुपर्छ । प्रत्येक सेवाले पासकीलाई अलि फरक तरिकाले व्यवस्थापन गर्छन् । कतिपयले यसको नाम परिवर्तन गरिदिन्छन्, कतिपयले अरूभन्दा बढी जानकारी देखाउँछन् र आफ्नो प्रोभाइडरबाट पासकी हटाउँदैमा वेबसाइटमा दर्ता भएको पासकी आफैं हट्छ भन्ने हुँदैन ।

सबैभन्दा बढी ढुक्क बनाउने एउटा महत्त्वपूर्ण बानी छ, जुन सुन्दा निकै सामान्य लाग्न सक्छ । पुरानो डिभाइस रिसेट (wipe) गर्नुअघि, अर्को डिभाइसबाट लगइन गरेर सबै कुराले राम्ररी काम गरिरहेको छ कि छैन भनेर जाँच गर्नुपर्छ, र नयाँ डिभाइसमा सबै कन्फिगर नभएसम्म सुरक्षित वैकल्पिक मार्ग (fallback) चालु राख्नुपर्छ । यसका लागि केही थप मिनेट लाग्न सक्छ, तर अकाउन्ट पूर्ण रूपमा ब्लक भएपछि मात्र आफ्नो रिकभरी योजनामा कमजोरी रहेको थाहा पाउनु भन्दा यो धेरै उत्तम विकल्प हो ।

पासकी कहाँ रहन्छन्, जानिराख्नुहोस्

यसो भन्दैमा पासकीको प्रयोग नै बन्द गर्नुपर्छ भन्ने होइन । जब कुनै सेवा वा वेबसाइटले यसलाई सही रूपमा लागु गर्छ, यसले सहजतादेखि फिशिङ प्रतिरोधी क्षमतासम्मका हरेक मापदण्डमा पासवर्डलाई पछि पार्छ । यसको कमजोरी क्रिप्टोग्राफी (cryptography) वा दैनिक लगइन गर्ने अनुभवमा कहिल्यै देखिँदैन । यसको वास्तविक कमजोरी त भित्री संयन्त्रमा लुकेको हुन्छ, जसमा सिङ्क अकाउन्ट, क्रेडिन्सियल प्रोभाइडर, डिभाइस इकोसिस्टम र रिकभरी मार्गहरू पर्दछन् । फोन नबिग्रिएसम्म वा प्लेटफर्म परिवर्तन गर्नुपर्ने बाध्यता नआएसम्म यी कुराहरूलाई सहजै बेवास्ता गरिन्छ ।

तसर्थ, पासकीहरू कहाँ स्टोर गरिएका छन्, कुन माध्यमबाट सिङ्क्रोनाइज भइरहेका छन् र आफ्नो नियमित डिभाइस साथमा नहुँदा अकाउन्ट कसरी रिकभर गर्ने भन्ने कुरा थाहा पाएपछि यसमा रहेका अदृश्य चुनौतीहरू व्यवस्थापन गर्न निकै सजिलो हुन्छ ।

 

पछिल्लो अध्यावधिक: साउन ८, २०८३ १५:२

टिप्पणीहरू