AI से होने वाले हमलों को रोकनामध्यमपाठ 1335 मिनट का पाठ

फ़िशिंग-रेज़िस्टेंट साइन-इन: passkeys और security keys

OTPs, SMS कोड और push approvals को फ़िश किया जा सकता है या यूज़र को तंग करके मंज़ूरी ली जा सकती है। Passkeys और security keys सिर्फ़ असली वेबसाइट पर ही काम करते हैं। यहाँ जानिए ऐसा क्यों है, और इन्हें कैसे लागू करें।

✦ ट्यूटर से पूछें🧪 लैब · 30 min📝 पाठ का टेस्ट
पाठ वीडियो में

60 सेकंड में

फ़िशिंग-रेज़िस्टेंट साइन-इन: passkeys और security keys

OTPs, SMS कोड और push approvals को फ़िश किया जा सकता है या यूज़र को तंग करके मंज़ूरी ली जा सकती है। Passkeys और security keys सिर्फ़ असली वेबसाइट पर ही काम करते हैं। यहाँ जानिए…

1/5
आसान शब्दों में
एक ऐसी चाबी के बारे में सोचिए जो सिर्फ़ आपके घर के असली मुख्य दरवाज़े में ही लगती है। अगर कोई धोखेबाज़ बिल्कुल आपके दरवाज़े जैसा दिखने वाला एक नकली दरवाज़ा बना दे, तो वह चाबी उसमें घूमेगी ही नहीं। आपको धोखा देकर नकली दरवाज़ा नहीं खुलवाया जा सकता, क्योंकि चाबी असली और नकली का फ़र्क पहचानती है। Passkeys उसी चाबी की तरह काम करते हैं।
Multi-factor authentication (MFA) पासवर्ड के अलावा भी किसी चीज़ की माँग करता है। यह एक बड़ा सुधार है। लेकिन कुछ प्रकार के MFA को अभी भी फ़िश किया जा सकता है, ख़ास तौर पर अब जब AI की मदद से नकली लॉगिन पेज और मैसेज बिल्कुल असली जैसे दिखने लगे हैं।

आम MFA को कैसे मात दी जाती है

तरीकाहमलावर इससे कैसे बच निकलते हैं
SMS द्वारा OTPएक नकली लॉगिन पेज कोड माँगता है और तुरंत उसका इस्तेमाल असली साइट पर कर लेता है। SIM-swap धोखाधड़ी भी मैसेज को दूसरी जगह भेज सकती है।
Authenticator app से OTPवही चाल: नकली पेज कुछ ही सेकंड में असली साइट पर कोड भेज देता है।
Push approval ("क्या साइन-इन स्वीकार करें?")हमलावर तब तक कई प्रॉम्प्ट भेजता रहता है जब तक परेशान यूज़र Approve पर टैप न कर दे ("MFA fatigue"), या वह IT टीम बनकर कॉल करता है।
Number matching वाला Pushयह बेहतर है, लेकिन नकली पेज पर मौजूद यूज़र को बहला-फुसलाकर नंबर दर्ज करवाया जा सकता है।
समस्या हर बार एक ही होती है: एक इंसान को धोखा देकर कोड या मंज़ूरी किसी ग़लत जगह दिलवाई जा सकती है।

Passkeys और security keys में क्या ख़ास है

Passkeys और hardware security keys, FIDO2 / WebAuthn मानकों का उपयोग करते हैं। जब आप रजिस्टर करते हैं, तो आपका डिवाइस एक 'की-पेयर' (key pair) बनाता है जो असली वेबसाइट के एड्रेस से जुड़ा होता है। जब आप साइन इन करते हैं, तो ब्राउज़र उस key का उपयोग केवल उसी असली एड्रेस के लिए करता है। मिलती-जुलती दिखने वाली किसी नकली साइट को कोई काम की चीज़ नहीं मिलती, और आपके पास किसी ग़लत जगह टाइप करने के लिए कोई कोड ही नहीं होता।
कोड और पुश (pushes)
  • आप कोड को किसी नकली साइट पर टाइप कर सकते हैं
  • आप उस प्रॉम्प्ट को मंज़ूर कर सकते हैं जिसे आपने शुरू ही नहीं किया
  • सीक्रेट (गुप्त जानकारी) उस जगह चली जाती है जहाँ आप उसे भेजते हैं
Passkeys और security keys
  • कुछ भी टाइप नहीं करना पड़ता; ब्राउज़र साइट का एड्रेस खुद चेक करता है
  • साइन-इन केवल असली साइट पर ही काम करता है
  • Private key आपके डिवाइस या security key पर ही सुरक्षित रहती है

जानने योग्य प्रकार

  • Synced passkeys: पासवर्ड मैनेजर या फ़ोन अकाउंट में स्टोर होते हैं और आपके अन्य डिवाइस पर उपलब्ध रहते हैं। इस्तेमाल में सुविधाजनक और रिकवर करना आसान।
  • Device-bound passkeys: केवल एक डिवाइस या एक hardware security key पर रहते हैं। ज़्यादा कड़ा कंट्रोल, लेकिन खो जाने की स्थिति के लिए पहले से तैयारी ज़रूरी है।
  • Hardware security keys: छोटे USB या NFC डिवाइस। एडमिन, फ़ाइनेंस अप्रूवर और अन्य हाई-रिस्क भूमिकाओं के लिए अच्छे हैं।

इसे लागू करना

  1. 1

    हाई-रिस्क खातों से शुरुआत करें

    एडमिन, फ़ाइनेंस अप्रूवर, HR, अधिकारी और ऐसा कोई भी व्यक्ति जो दूसरों के एक्सेस को बदल सकता है।
  2. 2

    सपोर्ट चेक करें

    जाँच लें कि आपका ईमेल, single sign-on और मुख्य बिज़नेस ऐप्स passkeys या security keys को सपोर्ट करते हैं।
  3. 3

    दो रजिस्टर करें

    हर व्यक्ति कम से कम दो passkeys या keys रजिस्टर करे, ताकि एक खो जाने पर वे खाते से बाहर न हों।
  4. 4

    रिकवरी की योजना सावधानी से बनाएं

    रिकवरी अब नई कमज़ोर कड़ी है। रीसेट करने से पहले पहचान की कड़ी जाँच (व्यक्तिगत रूप से, या वेरिफ़ाइड वीडियो कॉल और मैनेजर की मंज़ूरी) अनिवार्य करें।
  5. 5

    कमज़ोर विकल्पों को हटाएँ

    एक बार लोगों का सेटअप हो जाने के बाद, उन खातों के लिए SMS या push fallback बंद कर दें जहाँ संभव हो, वरना हमलावर बस कमज़ोर रास्ता चुन लेंगे।
  6. 6

    मदद करें और समझाएँ

    स्थानीय भाषाओं में छोटे गाइड, सवालों के जवाब देने के लिए तैयार हेल्पडेस्क, और यह समझाने वाला साफ़ संदेश कि यह क्यों मददगार है।
सावधान रहें
एक मज़बूत साइन-इन केवल अपनी रिकवरी प्रक्रिया जितना ही मज़बूत होता है। अगर हेल्पडेस्क किसी भी व्यक्ति के भरोसेमंद आवाज़ में कॉल करने पर पासकी रीसेट कर देगा, तो हमलावर सीधे हेल्पडेस्क को ही निशाना बनाएंगे।
नोट
Passkeys साइन-इन को सुरक्षित रखते हैं। वे किसी ऐसे व्यक्ति को नहीं रोक सकते जिसके पास पहले से ही अनलॉक डिवाइस का एक्सेस है, या उस डिवाइस पर कोई मैलवेयर है। डिवाइस को भी अपडेटेड और लॉक रखें।
यह आज़माएँ। देखें कि क्या काम पर या घर पर आपके द्वारा इस्तेमाल की जाने वाली कोई सर्विस passkeys को सपोर्ट करती है (इसकी सुरक्षा सेटिंग्स में देखें)। यदि हाँ, और आपको अनुमति है, तो एक सेटअप करें और एक दूसरा साइन-इन तरीका भी सुरक्षित रखें।

और देखें और पढ़ें

FIDO AllianceFIDO Alliance · reading

लैब

एक छोटे संगठन के लिए passkey रोलआउट योजना, जिसमें रिकवरी और फ़ॉलबैक के निर्णय शामिल हैं।

~30 min

समस्या

अपने संगठन या 50 लोगों की एक काल्पनिक कंपनी के लिए फ़िशिंग-रेज़िस्टेंट साइन-इन के रोलआउट की योजना बनाएं। यह कागज़ पर की जाने वाली एक योजना अभ्यास है। जब तक आप अधिकृत एडमिन न हों, कोई भी वास्तविक सेटिंग न बदलें।

  1. पहले कौन: चरण 1 की भूमिकाओं की सूची बनाएं और बताएं कि क्यों।
  2. क्या: कौन से सिस्टम (ईमेल, single sign-on, फ़ाइनेंस, HR, एडमिन कंसोल), और क्या वे passkeys या security keys को सपोर्ट करते हैं। जहाँ आपको पक्का न पता हो, वहाँ ईमानदारी से "पता नहीं" लिखें।
  3. कौन सा प्रकार: प्रत्येक समूह के लिए synced passkeys, device-bound passkeys या hardware keys, एक कारण के साथ।
  4. रिकवरी: किसी की चाबी खो जाने पर हेल्पडेस्क द्वारा उठाए जाने वाले सटीक कदम लिखें। सुनिश्चित करें कि केवल आवाज़ की नकल (cloned voice) से यह पास न हो सके।
  5. फ़ॉलबैक: आप किन कमज़ोर तरीकों को बंद करेंगे, और कब।
  6. बातचीत/सूचना: इस बदलाव को आसान शब्दों में समझाने वाला कर्मचारियों के लिए 5 लाइनों का संदेश।

आपका काम तब पूरा होगा जब

कठिन सवाल

उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।

Q1Passkeys नकली लॉगिन पेजों को रोकते हैं। ऐसे दो तरीके बताएं जिनसे हमलावर अभी भी passkey-सुरक्षित खाते में घुसने की कोशिश कर सकते हैं, और प्रत्येक के लिए एक बचाव का उपाय बताएं।दिखाएं

1) रिकवरी प्रक्रिया पर हमला करना, उदाहरण के लिए रीसेट पाने के लिए हेल्पडेस्क को किसी की क्लोन की गई आवाज़ में कॉल करना। बचाव: पहचान की कड़ी जाँच, एक अलग माध्यम से मैनेजर की मंज़ूरी, और रीसेट होने पर यूज़र को अलर्ट। 2) किसी इन्फ़ेक्टेड डिवाइस से पहले से साइन-इन किए गए सेशन को चुराना। बचाव: डिवाइस को EDR के साथ अपडेटेड रखना, संवेदनशील ऐप्स के लिए कम समय के सेशन रखना, और हाई-रिस्क वाले कामों के लिए पहचान की दोबारा जाँच करना।

Q2Synced passkeys आसान होते हैं; device-bound keys अधिक नियंत्रण देते हैं। आप फ़ाइनेंस अप्रूवर के लिए क्या चुनेंगे?दिखाएं

फाइनेंस अप्रूवर एक हाई-वैल्यू टारगेट होते हैं, इसलिए कई संगठन hardware security key (device-bound) के साथ एक रजिस्टर्ड बैकअप की चुनते हैं, जिसे अलग रखा जाता है। इसका नुकसान यह है कि अगर एक भी की खो जाए तो ज़्यादा मेहनत लगती है, इसलिए रिकवरी के स्पष्ट स्टेप्स होना ज़रूरी है। ज़्यादातर कर्मचारियों के लिए, synced passkeys आसान रिकवरी के साथ मज़बूत सुरक्षा देती हैं।

जारी रखने के लिए कृपया साइन इन करें।

अक्सर पूछे जाने वाले सवाल

क्या OTP अब बेकार हो गए हैं?

नहीं। केवल पासवर्ड की तुलना में कोई भी MFA बहुत बेहतर है, और OTPs कई हमलों को रोकते हैं। बस वे फ़िशिंग-रेज़िस्टेंट नहीं हैं। सबसे अधिक जोखिम वाले खातों को पहले passkeys या security keys पर ले जाएँ।

अगर मेरा फ़ोन या security key खो जाए तो क्या होगा?

यदि आपने दूसरी passkey या key रजिस्टर की थी, तो उसका उपयोग करें और फिर खोई हुई चाबी को हटा दें। यदि नहीं, तो आपको अपने संगठन की रिकवरी प्रक्रिया से गुज़रना होगा, जिसमें पहचान की सावधानीपूर्वक जाँच शामिल होनी चाहिए। इसीलिए दो रजिस्टर करना इतना महत्वपूर्ण है।

क्या passkeys भारतीय भाषाओं और पुराने फ़ोनों के साथ काम करते हैं?

Passkeys भाषा पर निर्भर नहीं करते। सपोर्ट ऑपरेटिंग सिस्टम, ब्राउज़र और ऐप पर निर्भर करता है। कई नए फ़ोन और कंप्यूटर इन्हें सपोर्ट करते हैं; हो सकता है कि पुराने न करें। योजना बनाते समय अपने डिवाइसों की जाँच करें।

क्या passkey ब्राउज़र में सेव किए गए पासवर्ड के समान ही है?

नहीं। सेव किया गया पासवर्ड अभी भी एक सीक्रेट होता है जिसे आप किसी नकली साइट पर टाइप कर सकते हैं। Passkey एक असली साइट से जुड़ा 'की-पेयर' (key pair) है; इसका प्राइवेट हिस्सा कभी भी आपके डिवाइस या key से बाहर नहीं जाता, और यह मिलती-जुलती नकली साइट पर काम नहीं करेगा।

पाठ का टेस्ट

5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।

टेस्ट देने और अपनी प्रोग्रेस सेव करने के लिए साइन इन करें