Google पासकीज़ कोई सरल चीज़ नहीं हैं। आपने उन्हें चालू कर दिया है, है ना?

नहीं और बिल्कुल नहीं।

ऐसा प्रतीत होता है कि हर एक सिस्टम जो पासकी को स्टोर करने में सक्षम है, ऐसा लगता है कि आपको तीन बड़े सिस्टम (Apple, Google, Microsoft) पर भरोसा करने की आवश्यकता है कि वे बिना किसी चेतावनी के आपके खाते को न हटाएं। मेरे मामले में, यदि Apple मेरा iCloud खाता और कीचेन हटा देता है, तो मैं पासकी के साथ सुरक्षित हर चीज तक पहुंच खो देता हूं। इसकी तुलना अभी जो होता है, अगर मैं अपनी मुख्य युबिकी को नष्ट कर दूं: मैं अपने बैंक में जाता हूं, उन्हें दो दिखाता हूं आईडी के फॉर्म, सुरक्षित बॉक्स से बैकअप युबिकी को पुनः प्राप्त करने के लिए मेरी भौतिक कुंजी का उपयोग करें, और आगे बढ़ें ज़िंदगी।

जब तक एकतरफा कार्रवाई करने वाली बुनियादी ढांचा सेवाएं प्रदान करने वाली कंपनियों के लिए गंभीर और स्थायी परिणाम नहीं होंगे, तब तक मेरे लिए इसका उपयोग करने का कोई तरीका नहीं है। KeyPass/BitWarden मनमाने ढंग से मजबूत पासवर्ड उत्पन्न कर सकता है, आप विभिन्न विक्रेताओं से जितनी चाहें उतनी Webauthn कुंजियाँ खरीद सकते हैं। पासकीज़ के साथ, आप अपने पूरे ऑनलाइन जीवन से स्थायी रूप से लॉक होने से एक (स्वचालित, गैर-परक्राम्य) विलोपन दूर हैं।

यदि आप वह शक्ति किसी कंपनी को देना चाहते हैं, तो मेरे मेहमान बनें। मैं तब तक इंतजार करूंगा जब तक कि इसे पानी या बिजली कंपनियों की तरह बिना किसी स्पष्ट कारण के सेवा में कटौती करने जैसा न मान लिया जाए: बड़ा और कष्टकारी जुर्माना।

लेख का संदर्भ एक पासकी के साथ Google क्रेडेंशियल में लॉग इन करना है। 'बिग 3' और कई अन्य कुंजी एस्क्रो और रिकवरी की पेशकश करते हैं, लेकिन साइटें सीधे पासकी का उपयोग करती हैं - यदि आप इसका उपयोग करते हैं बेस्ट बाय के साथ पासकी, उदाहरण के लिए वे Google के साथ जांच नहीं करेंगे (जब तक कि आप 'सोशल लॉगऑन' का उपयोग नहीं करते हैं अवधि)। उस संदर्भ में, Google द्वारा आपका खाता साफ़ करने का सीधा सा मतलब है कि यदि आपका फ़ोन बंद हो जाता है तो चीज़ें ख़तरे में पड़ सकती हैं। वे मूल रूप से एक पुनर्प्राप्ति विकल्प के साथ एक yubikey हैं - इसलिए थोड़ा कम सुरक्षित है क्योंकि निजी कुंजी मौजूद है एस्क्रो में जो yubikeys के साथ 50% समस्या का समाधान करता है (मूल्य टैग और ऐप समर्थन शेष है) दर्द)।

मुझे यकीन नहीं है कि मैं समझता हूं कि वर्कफ़्लो की आवश्यकता कैसी है
आपका फ़ोन छीनना,
किसी ऐप में टैप करना,
आपकी स्क्रीन की तस्वीर लेना, और
उस जानकारी के साथ क्या करना है टैप करना...

...मेमोरी से पासवर्ड दर्ज करने, या पासवर्ड मैनेजर के साथ स्वत: पूर्ण करने, या पासवर्ड मैनेजर के साथ कॉपी पेस्ट करने की तुलना में एक "आसान" ऑपरेशन है।

इसके अन्य लाभ भी हो सकते हैं, लेकिन इतना आसान किसी भी तरह से नहीं है।

यदि आप पासवर्ड कॉपी-पेस्ट कर रहे हैं (या उन्हें मेमोरी से टाइप कर रहे हैं, जिसमें बड़े पैमाने पर अन्य समस्याएं हैं), तो आप फ़िशिंग के प्रति संवेदनशील हैं। इसलिए पासकीज़ आपके लिए एक बड़ा सुरक्षा सुधार होगा।

आप YubiKey जैसी FIDO2 हार्डवेयर सुरक्षा कुंजियों के साथ पासकीज़ कर सकते हैं। पासकीज़ से नफरत करने का कोई कारण नहीं।

अपने Google खाते के लिए, मैंने अपनी YubiKeys को फिर से पंजीकृत कर लिया है जिसे मैं पासकीज़ के रूप में 2FA के रूप में उपयोग कर रहा था। 2FA के साथ, प्रमाणीकरण Google पासवर्ड + FIDO U2F हार्डवेयर कुंजी था। पासकी के साथ, यह FIDO2 हार्डवेयर कुंजी + कुंजी का FIDO2 पिन है।

साँस। चलो हम फिरसे चलते है। पासकीज़ विषय यहां और एचएन की टिप्पणियों में सबसे खराब बातें सामने लाता है। बहुत सारा व्यामोह और FUD का सामान्य प्रसार।

"बड़ी तीन" तकनीकी कंपनियों में से कोई भी आपकी पासकी का रखवाला नहीं होगा। पासकीज़ को एक डिवाइस पर रखा जाता है। यदि आप किसी प्रकार की सेवा के माध्यम से अपनी पासकी को सिंक नहीं करना चाहते हैं तो एक ही पासकी को कई डिवाइस पर रखें। आपके पास केवल एक उपकरण है और अब वह चला गया है? यह बिना सिंक वाले पासवर्ड मैनेजरों जैसी ही समस्या है। अंत में आपको अलग-अलग सेवाओं के साथ पुनः प्रमाणीकरण करना होगा जैसे आप लॉक आउट होने के किसी भी समान मामले में करते हैं। अधिकांश लोग अपनी पासकीज़ को वैसे ही सिंक करेंगे जैसे वे अपने पासवर्ड को सिंक करते हैं। और नहीं, यदि Google आपका खाता बंद कर देता है तो वे आपके डिवाइस पर पहले से मौजूद पासकी को अक्षम नहीं कर सकते। आप उनकी सिंक सेवा खो देंगे लेकिन आप इसके बजाय किसी अन्य का उपयोग करना शुरू कर सकते हैं।

पासकी को फ़िश नहीं किया जा सकता, भुलाया नहीं जा सकता, डेटा लीक के माध्यम से प्राप्त नहीं किया जा सकता, और ये स्वाभाविक रूप से अद्वितीय और सुरक्षित हैं। ये सचमुच बड़े सुधार हैं। उनका उपयोग करना भी आसान है क्योंकि एक बार जब वे आपके डिवाइस पर आ जाते हैं तो प्रमाणीकरण आसान हो जाता है।

इसलिए, कुछ दिनों तक Google के पासकी कार्यान्वयन के साथ खेलने के बाद, जब मैंने इसे पहली बार रिलीज़ के दिन सेट किया था, तब की तुलना में इसमें थोड़ा सुधार हुआ है।

मैं इसके लिए Yubikey का उपयोग कर रहा हूं, Android या iOS का नहीं। इसका मतलब यह है कि मैं अपनी कुंजी प्रबंधित करने में सक्षम होने के लिए Google/Apple का आभारी नहीं हूं, न ही मुझे अपने खाते के साथ छेड़छाड़ होने और इस प्रकार पासकी लीक होने के बारे में चिंता करने की ज़रूरत है।

Google खाता लॉगिन की तुलना के बिंदु के रूप में, मैं भी पिछले कुछ समय से अपने Microsoft खाते तक पहुँचने के लिए इस Yubikey का उपयोग कर रहा हूँ।

Microsoft डेस्कटॉप पर सभी प्रमुख ब्राउज़रों पर काम करता है (पिछली बार जब मैंने जाँच की थी तो MacOS पर Safari को छोड़कर)। ऐसा लगता है कि Google को Chrome की आवश्यकता है.

माइक्रोसॉफ्ट के पास उपयोगकर्ता नाम फ़ील्ड के नीचे एक अलग तरीके से हस्ताक्षर करने का विकल्प है, फिर आप विंडोज हैलो या सुरक्षा कुंजी का चयन करें, कुंजी को यूएसबी पोर्ट में डालें, पिन दर्ज करें और शीर्ष पर बटन दबाएं। फिर यह आपसे पूछेगा कि कौन सा खाता है (यदि आपके पास एकाधिक खाते सहेजे गए हैं), और आप सीधे लॉग इन हो जाएंगे। आपको अपना उपयोगकर्ता नाम/ईमेल पता याद रखने की भी आवश्यकता नहीं है।

Google को आपसे अपना उपयोगकर्ता नाम/ईमेल दर्ज करने की आवश्यकता है, फिर वह कुंजी डालने के लिए कहता है। फिर आपको पिन दर्ज करना होगा, और यह आपको लॉग इन कर देगा।

प्रयोज्यता के दृष्टिकोण से, Microsoft बेहतर है क्योंकि आपको अपना ईमेल याद रखने की आवश्यकता नहीं है। Ars भीड़ के लिए, यह संभवतः एक नकारात्मक बात है। लेकिन अगर आप 70 वर्षीय दादा-दादी का समर्थन कर रहे हैं, तो उन्हें जितनी कम चीज़ें याद रखने की ज़रूरत होगी, उतना बेहतर होगा। मैंने पुष्टि नहीं की है, लेकिन MS सिस्टम का नकारात्मक पहलू यह है कि Yubikey केवल संग्रहीत क्रेडेंशियल्स की एक विशिष्ट संख्या का समर्थन करता है, जबकि मैं अपने शोध में जो देख सका, उसके अनुसार, Google पद्धति में मूल रूप से Yubikey उस साइट के लिए विशेष रूप से एक निजी कुंजी उत्पन्न करती है एक आंतरिक निजी कुंजी, आपके पिन और साइट और ब्राउज़र द्वारा प्रदान की गई कुछ जानकारी पर, हर बार इसे चलाने की आवश्यकता होती है प्रमाणीकरण. ऐसा प्रतीत होता है कि ये दोनों Yubikey, आपके पिन, ब्राउज़र द्वारा प्रदान किए गए डोमेन के बारे में कुछ जानकारी और विशिष्ट के लिए एक आंतरिक निजी कुंजी का उपयोग करते हैं जिस साइट पर आप हैंडशेक करने के लिए जा रहे हैं, वहां से प्रदान की गई जानकारी, जो एमआईटीएम हमलों को सफल होने से रोकती है क्योंकि वे उन सभी को धोखा नहीं दे सकते हैं डेटा।

मुझे यकीन नहीं है कि Google बनाम Microsoft कार्यान्वयन के लिए फ़ायरफ़ॉक्स में क्या कमी है, यह नए पासकी सिस्टम का समर्थन क्यों नहीं करता है। या क्या यह सिर्फ Google पासकी का अनुरोध नहीं कर रहा है क्योंकि फ़ायरफ़ॉक्स ने ब्लूटूथ भाग को लागू नहीं किया है, जिसमें है Yubikeys/हार्डवेयर टोकन का समर्थन न करने का दुष्परिणाम क्योंकि Google लॉगिन द्वारा फ़ायरफ़ॉक्स से इसके लिए नहीं पूछा जा रहा है साइट।

--

यदि आप पासकी खो देते हैं और आपके पास बैकअप पासकी नहीं है, तो सुरक्षा फ़ॉलबैक उस तरह से लॉग इन करना है जैसे आप पासकी से पहले लॉग इन कर रहे थे। तो आमतौर पर पासवर्ड + ओटीपी. हालांकि इसका मतलब यह है कि साइट कम सुरक्षित प्रमाणीकरण प्रणाली का समर्थन करती है, एक फायदा यह है कि आप ऐसा नहीं करते हैं नियमित आधार पर पासवर्ड का उपयोग करना, इसलिए इसके लीक होने या फ़िशिंग/एमआईटीएम द्वारा अवरोधित होने की संभावना कम है आक्रमण करना।

--

सुरक्षा के दृष्टिकोण से, आप सीमित साइट समर्थन के साथ पासकी को पासवर्ड वॉलेट के रूप में देख सकते हैं। यदि आप Yubikey का उपयोग कर रहे हैं, तो वॉलेट आपकी जेब में एक हार्डवेयर डिवाइस है, जो एक पिन द्वारा संरक्षित है। यदि एंड्रॉइड/आईओएस पासकी का उपयोग कर रहे हैं, तो वॉलेट क्लाउड सिस्टम में सिंक हो जाता है और आपके खाते के पासवर्ड + बायोमेट्रिक्स द्वारा संरक्षित होता है। यदि आप डिवाइस खो देते हैं, तो यह पासवर्ड फ़ाइल खोने के समान है।

एक बार जब वे सभी गड़बड़ियों का पता लगा लेते हैं, तो इसमें सुरक्षा परिदृश्य में बहुत सी चीजें बदलने की क्षमता होती है, जैसा कि गैर-सुरक्षा-सचेत व्यक्ति करेंगे अब सुरक्षित पासवर्ड आवश्यकताओं का विरोध नहीं करना पड़ेगा या यह पता लगाना नहीं पड़ेगा कि पासवर्ड वॉलेट का सही तरीके से उपयोग कैसे किया जाए, और इसे एकाधिक तक कैसे एक्सेस/सिंक किया जाए उपकरण। मूल रूप से एक पासवर्ड वॉलेट बनकर, पासकीज़ प्रत्येक साइट के लिए वास्तव में सुरक्षित, वास्तव में यादृच्छिक पासवर्ड उत्पन्न करते हैं, और फ़िशिंग-प्रतिरोध को ध्यान में रखते हुए बनाए जाते हैं।

इसे कैसे कम वोट दिया जा सकता है? यह 100% सच है.

इसका कौन, नहीं क्या पहले पन्ने पर. पहले पन्ने पर गूगल के लिए कोई प्यार नहीं है, ऐसा कि उनके समर्थन ने भीड़ को उनके ख़िलाफ़ कर दिया है एक उद्योग मानक.

ये नासमझ है।

पुनः, पाठकों, इन टिप्पणीकारों पर कोई ध्यान न दें।

पासवर्ड का उपयोग करना पासवर्ड बदलने वाली किसी चीज़ का उत्तर नहीं होना चाहिए।

यह एक तरह से हास्यास्पद है. आप मौजूदा सेवा को और कैसे प्रमाणित करेंगे? अपने प्रमाणीकरण तंत्र को अद्यतन करने के लिए? पहले से चर्चा की गई क्यूआर-और-ब्लूटूथ विधि के अलावा। और जबकि सर्वर साइड पर हमले की सतह को पासकी लॉगिन की आवश्यकता के बजाय सक्षम करने से आवश्यक रूप से कम नहीं किया जाता है काफी हमले की सतह के क्लाइंट-साइड को कम कर देता है, क्योंकि आप ओएस-स्तरीय प्रमाणीकरण द्वारा सक्षम कुंजी एक्सचेंज में सख्ती से संलग्न होते हैं। और यह हर किसी की जीत है।

यदि आप इस हद तक पहुंच गए हैं कि आप अपने ओएस की किसी भी सुरक्षा सुविधा पर भरोसा नहीं कर सकते हैं, तो आप अपने कंप्यूटिंग उपकरणों को फेंक सकते हैं और किसी उष्णकटिबंधीय द्वीप या किसी चीज़ पर जा सकते हैं। पर बात में दम है कुछ हद तक सॉफ़्टवेयर पर कुछ हद तक भरोसा करना होगा।

मुझे लगता है कि यहां बहुत भ्रम है, क्योंकि एक संपूर्ण तकनीकी ढेर हमारे ऊपर थोप दिया गया है और एक नियति के रूप में प्रस्तुत किया गया है। आइए, एक अज्ञानी के रूप में, जो मैं समझता हूं उसके अनुरूप इसे विखंडित करने का प्रयास करें: एसएसएच कुंजी जोड़े। मैं दूसरों को उसमें छेद करने के लिए आमंत्रित करता हूं जो मुझे गलत लगता है।

1. सार्वजनिक/निजी प्रमाणीकरण कुंजियाँ। यह लगभग SSH के समान ही कार्य करता है। वेबसाइट केवल आपकी सार्वजनिक कुंजी जानती है, और आप यह साबित करने के लिए संदेशों पर हस्ताक्षर करते हैं कि आपके पास निजी कुंजी है।

2. फ़िशिंग रोधी सुरक्षा. कुंजियाँ किसी साइट के लिए विशिष्ट होती हैं, इसलिए फ़िशिंग साइट को एक अलग कुंजी मिलती है। SSH के पास इसके लिए होस्ट कुंजियाँ हैं, मुझे लगता है कि कीपास TLS होस्ट कुंजियों के साथ कुछ करने के लिए उपयोग करता है? आपका ब्राउज़र इसका उपयोग यह चुनने के लिए करता है कि किस कुंजी का उपयोग करना है? या सिर्फ DNS नाम से?

3. यह साबित करने के लिए कुंजियों को अनलॉक करने का साधन कि सही उपयोगकर्ता उनका उपयोग कर रहा है। एसएसएच में पासफ़्रेज़ हैं, मुझे लगता है कि बायोमेट्रिक/ब्लूटूथ चीज़ यहीं आती है? SSH स्मार्टकार्ड के साथ भी चाबियाँ अनलॉक कर सकता है, और इसलिए मुझे लगता है कि बायोमेट्रिक एक अन्य अनलॉक मोड की तरह है?

4. उपकरणों के बीच कुंजियाँ समन्वयित करना। संभवत: यहीं पर क्लाउड 'इकोसिस्टम' आते हैं, जैसे आईक्लाउड और क्रोम पासवर्ड सिंक? SSH के लिए कोई समर्थन नहीं है, लेकिन आप rsync या जो कुछ भी है, उसके साथ अपना खुद का खाना बना सकते हैं?

मुझसे क्या गलती हुई?

यदि उपरोक्त मोटे तौर पर सही है, तो मैं एक खुले स्टैक के निर्माण की कल्पना कर सकता हूं जो मूल रूप से वैसा ही करता है जैसे SSH उपकरणों के बीच स्थानांतरित करने के लिए ~/.ssh और rsync में फ़ाइलों के ढेर का उपयोग करता है। यह 'साइकिल' दृष्टिकोण है जहां सभी चलने वाले हिस्से उजागर होते हैं और यह समझना आसान होता है कि क्या हो रहा है।

इसे सिर्फ लोगों पर थोपा नहीं गया है - यह FIDO2 का एक अद्यतन है, जो स्वयं मानक का दूसरा संस्करण है। U2F FIDO1 था; यह CTAP 2.2 है ([संपादित करें: मेरे 2.4 के WAG से सुधार किया गया जो गलत था, धन्यवाद फिर भी गलत!]), FIDO2/WebAuthn का हिस्सा। वास्तव में इसमें कुछ भी जटिल नहीं है... उन्होंने प्रमाणक आवश्यकताओं को ढीला कर दिया है ताकि निजी कुंजी को सुरक्षित रूप से कॉपी किया जा सके (होना चाहिए...), और जीवन को आसान बनाने के लिए कुछ जावास्क्रिप्ट सुविधाएँ जोड़ीं। पासवर्ड रहित लॉगिन? FIDO2 के साथ यह हमेशा संभव रहा है। यह इसका सबसे अच्छा हिस्सा है - FIDO1 केवल MFA हो सकता है। क्या आप टीपीएम या सुरक्षित तत्व में संग्रहीत अपने ब्राउज़र में एक निजी कुंजी जोड़ रहे हैं? हमेशा संभव रहा है, और इसे पहले क्रोम, फायरफॉक्स और सफारी में लागू किया गया था. नई बात यह है कि इसे सिंक किया जा सकता है, और बीटी/क्यूआर रिग्मारोल के माध्यम से एक्सेस किया जा सकता है। पहले, इसे "प्लेटफ़ॉर्म विशिष्ट कुंजी" के रूप में संदर्भित किया जाता था (और वेब साइटों पर फ़्लैग किया जाता था), पोर्टेबल कुंजी के विपरीत, जो हार्डवेयर डिवाइस थे। अब यह पासकीज़ है।

चूँकि पासकी प्रणाली का पूरा उद्देश्य पासवर्ड से छुटकारा पाना प्रतीत होता है, मैं पासवर्ड के कुछ लाभ सूचीबद्ध करना चाहता हूँ:

• वे इलेक्ट्रॉनिक उपकरण चलाने में मानसिक रूप से सक्षम किसी भी व्यक्ति के लिए समझने में काफी सरल हैं
• यदि आप कोई प्रयास करें और नियमित रूप से उनका उपयोग करें तो उन्हें याद रखना आसान है
• वे बॉक्स से बाहर सभी ऑपरेटिंग सिस्टम पर काम करते हैं
• उन्हें इंटरनेट एक्सेस की आवश्यकता नहीं है (कुछ सिस्टम अच्छे कारण से ऑफ़लाइन हैं)
• उन्हें किसी तीसरे पक्ष के सहयोग की आवश्यकता नहीं है
• उन्हें स्मार्टफोन या अन्य गैजेट की उपस्थिति की आवश्यकता नहीं है
• उन्हें ब्लूटूथ, वाईफाई, कैमरे या बैटरी की आवश्यकता नहीं है
• आपात्कालीन स्थिति में इन्हें बिजली की आवश्यकता के बिना भी संग्रहित किया जा सकता है
• इन्हें किसी भी उपकरण के उपयोग के बिना आसानी से दूसरे व्यक्ति तक प्रेषित किया जा सकता है
• यदि आप विकलांग नहीं हैं और स्मार्टफोन का उपयोग नहीं कर रहे हैं, तो पासवर्ड से प्रमाणित करने में केवल कुछ सेकंड लगते हैं

आपके बिंदु #1, #2, और #10 बिल्कुल गलत हैं - तकनीकी सहायता में काम करने वाले किसी भी व्यक्ति से पूछें कि उन्हें कितनी बार पासवर्ड रीसेट करना पड़ता है क्योंकि कोई अपना पासवर्ड भूल गए, अपनी कैप्स लॉक कुंजी चालू छोड़ दी (या कीबोर्ड पर अपना हाथ गलत रख दिया), या लॉक होने के लिए उसे कई बार उंगलियों से घुमाया बाहर। हाँ, हाँ, मुझे पता है कि आप व्यक्तिगत रूप से हमेशा इसे पूरी तरह से हल करते हैं, लेकिन मुझ पर विश्वास करें, जिस किसी को भी हेल्पडेस्क कॉल मिलती है, उसका मानवता के प्रति दृष्टिकोण कम आशावादी होता है। मैं यह भी जोड़ूंगा कि मैं बहुत से अंधे उपयोगकर्ताओं और पासवर्ड प्रविष्टि का समर्थन करता हूं बड़े पैमाने पर उनके लिए बेकार है क्योंकि कई साइटों में जटिलता की आवश्यकताएं होती हैं जो स्क्रीन रीडर उपयोगकर्ताओं के लिए कठिन होती हैं और यदि आप एक कुशल टच-टाइपिस्ट नहीं हैं तो इसे ज़ोर से कहना अच्छा नहीं है। यह एक विशिष्ट विषय है, लेकिन प्रमाणीकरण प्रणाली बनाने वाले कई लोगों को कानूनी रूप से भी इसका अच्छा समर्थन करना आवश्यक है, और यह एक कारण है कि मेरी इसमें रुचि क्यों है प्रौद्योगिकी के बाद से "क्या आप अपनी पासकी से लॉगिन करना चाहते हैं?" "हां" किसी भी प्रकार के पासवर्ड + कई लोगों के लिए एमएफए की तुलना में कम से कम एक परिमाण का तेज और आसान है उपयोगकर्ता.

बिंदु #3 WebAuthn MFA के बारे में सत्य है, लेकिन हमेशा पासकीज़ - Yubikey जैसी कोई चीज़ कहीं भी काम करती है जहां आपके पास USB/NFC है लेकिन हो सकता है Google.com जैसे पासकी कार्यान्वयनकर्ताओं के लिए एक पिन सेट करने या उनकी बायोमेट्रिक श्रृंखला कुंजियों का उपयोग करने की आवश्यकता होती है, जिसके लिए एक साधारण से अधिक की आवश्यकता होती है नल।

बिंदु #5, #6, #7, और #8 WebAuthn के सभी रूपों - एमएफए और पासकीज़ दोनों के लिए भी सत्य हैं। बिंदु #4 सत्य है, सिवाय इसके कि पहली बार जब आप किसी मौजूदा कुंजी को सिंक्रनाइज़ करते समय किसी डिवाइस को नामांकित करते हैं। पहली बार अपनी कुंजियाँ सिंक्रनाइज़ करने के बाद, आपको नेटवर्क कनेक्शन की आवश्यकता नहीं है। यदि आप सिंक नहीं करना चाहते हैं, तो आप कुछ Yubikey बायोमेट्रिक कुंजियाँ भी खरीद सकते हैं जो आपके पास USB या NFC होने पर भी पूरी तरह से ऑफ़लाइन काम करती हैं।

वह #9 छोड़ देता है, जो कि बुरा अभ्यास है और यदि संभव हो तो इससे बचना चाहिए। आधुनिक प्रणालियों में भूमिका-आधारित प्रमाणीकरण जैसी चीजें होती हैं, जहां लोग कभी भी पासवर्ड साझा नहीं करते हैं, लेकिन कई लोगों को एक निश्चित भूमिका निभाने की अनुमति होती है, या विरासत या प्रत्यायोजित जैसी चीजें होती हैं ऐसे खाते जहां आप कभी भी पासवर्ड साझा नहीं करते हैं, बल्कि एक या उससे भी बेहतर, एकाधिक लोगों को अपना पासवर्ड रीसेट करने या नियंत्रण हासिल करने जैसा कुछ करने की क्षमता देते हैं। आपकी फ़ाइलें.

सिर्फ इसलिए कि कुछ नया है और आपने यह नहीं सीखा है कि यह कैसे काम करता है इसका मतलब यह नहीं है कि यह बुरा है या इससे बचा जाना चाहिए। पासकी हम में से अधिकांश के लिए एक बड़ा बदलाव है - .gov सिवाय इसके कि पीआईवी/सीएसी पिछली शताब्दी में वापस चला जाता है, भले ही कुछ अन्य स्थानों पर भी इसे अपनाया - लेकिन सुरक्षा लाभों के अलावा उनके पास प्रयोज्यता में कई सुधार हैं, और निर्माण के लिए एक स्पष्ट रास्ता है कुछ गायब हिस्से (उदाहरण के लिए, मैं वास्तव में एक Apple/Google पासकी को Yubikey के साथ सिंक करने की क्षमता चाहता हूं ताकि मैं इसे अपनी तिजोरी में रख सकूं) मामला)।

यह स्पष्ट रूप से न केवल सिंकिंग के दौरान, बल्कि प्रमाणीकरण के दौरान भी उपलब्ध होना चाहिए, क्योंकि इसका उपयोग इसके लिए किया जाता है। और यह प्रारंभिक पंजीकरण के दौरान भी उपलब्ध होना चाहिए।

और यही मैं आपको समझाने की कोशिश कर रहा हूं: किसी मौजूदा डिवाइस से प्रमाणित करना और उसका उपयोग करना आसान होगा एक अन्य सार्वजनिक कुंजी जोड़ने के लिए डिवाइस, जो किसी अन्य, नए, डिवाइस पर उत्पन्न होती है, और कुछ लोगों द्वारा पुराने डिवाइस पर भेजी जाती है मतलब। उदाहरण के लिए, मैं अपने डेस्कटॉप मशीन पर एक नई गुप्त कुंजी/सार्वजनिक कुंजी की जोड़ी बना सकता हूं, सार्वजनिक कुंजी को अपने लैपटॉप पर भेज सकता हूं, अपने लैपटॉप से ​​​​लॉग इन कर सकता हूं और डेस्कटॉप सार्वजनिक कुंजी जोड़ सकता हूं। मैं हर समय एसएसएच के साथ इसी तरह की चीजें करता हूं।

यहां कोई तकनीकी बाधा नहीं है. यदि यह पासकीज़ के साथ संभव नहीं है, तो यह पसंद से है।

निजी कुंजी पहुंच योग्य नहीं है. किसी झूठ को बार-बार दोहराने के बजाय उस पर गौर क्यों न किया जाए।

एक ऐसे व्यक्ति के रूप में जो Ars पर अधिकांश लेखों को समझने में सक्षम है, लेकिन वास्तविक तकनीकी पृष्ठभूमि के बिना, मैं सोचें कि सामान्य गोद लेने में सबसे बड़ी बाधा लोगों को यह समझाना है कि क्या हो रहा है पर। मैंने लेख दो बार पढ़ा। मैंने शीर्ष टिप्पणियाँ और कुछ अन्य टिप्पणियाँ पढ़ीं।

और अब मैं शुरू करने से पहले की तुलना में अधिक भ्रमित हूं - मैंने चीजों को समझाने के लिए लेख को अपने सीएस प्रमुख/बेटर हाफ को भेज दिया है लेकिन यह पर्याप्त नहीं हो सकता है।

पासवर्ड आसानी से पच जाते हैं. 2एफए को समझाना आसान है। पासकी कुछ हद तक समझ में आती है, लेकिन जब मुझे लगता है कि मुझे यह मिल सकता है, तो मैं अगला पैराग्राफ पढ़ता हूं और और अधिक खो जाता हूं।

भगवान मेरे भाई-बहनों और माता-पिता की मदद करें।

यह कहने के लिए धन्यवाद। डैन और अन्य लोगों की प्रतिक्रियाएँ (उदाहरण के लिए, @Wbdकी प्रचारित टिप्पणी (मेरी टिप्पणी को उद्धृत करते हुए) टिप्पणी की बुनियादी ग़लत व्याख्या पर आधारित है।

मैं पासकीज़ के मामले में अपने ओएस प्रदाता (मेरे मामले में मोबाइल और डेस्कटॉप डिवाइस दोनों के लिए ऐप्पल) पर भरोसा नहीं करना चाहता हूं और प्रतिक्रिया बार-बार होती है "लेकिन आप अपने पासवर्ड के साथ Google पर पहले से ही भरोसा करें।" हाँ, ठीक है, मैं BitWarden/KeePass से एक लंबा यादृच्छिक पासवर्ड दर्ज करता हूँ, और अपनी Yubikey प्लग इन करता हूँ और दबाता हूँ बटन। यह किसी भी समय मेरे OS प्रदाता पर निर्भर नहीं है।

और निश्चित रूप से, अभी पासकीज़ का उपयोग न करने और पहले की तरह पासवर्ड का उपयोग करने का विकल्प है, लेकिन संपूर्ण तकनीकी प्रचार ट्रेन "कोई और पासवर्ड नहीं, इसके लिए पासकीज़ नहीं" की राह पर है। हर कोई" स्टेशन और अगर मैं कहता हूं, "लेकिन रुकिए, अगर मैं हर दूसरे खाते से लॉक हो जाता हूं क्योंकि मेरा ओएस प्रदाता निर्णय लेता है कि वह मुझे पसंद नहीं करता है, तो क्या होगा" मुझे ट्रोल कहा जाता है और ग़लत सूचना दी गई। ऐसे कई किनारे वाले मामले भी हैं जिनके बारे में मैं सोच सकता हूं कि यह काम नहीं करता है और कहने के बजाय, "हाँ, वे पासकी-ओनली भविष्य में वैध चिंताएं हैं जो हम चाहते हैं," किसी की यह निरंतर आलोचना है पूछताछ.

आपको एहसास है कि 1Password और Bitwarden दोनों पासकी समर्थन पर काम कर रहे हैं, है ना?

1पासवर्ड तो यहां तक ​​कह गया है कि पासकीज़ "प्रमाणीकरण का भविष्य" हैं: https://www.future.1password.com/passkeys/