ಪಾಸ್‌ಕೀಯಗಳು ೨೦೨೬ರಲ್ಲಿ: ಒಂದು ಪ್ರಾಯೋಗಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಮಾರ್ಗದರ್ಶಿ

ಪಾಸ್‌ವರ್ಡ್‌ಗಳು ಅಸಮರ್ಥವಾಗಿವೆ. ಅವು ಹಂಚಿಕೆಯ ರಹಸ್ಯಗಳ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿವೆ. ಒಂದು ಸರ್ವರ್ ಪಾಸ್‌ವರ್ಡ್ ಅನ್ನು ಸಂಗ್ರಹಿಸಿದರೆ, ನಿಮ್ಮ ಅಟ್ಯಾಕ್ ಸರ್ಫೇಸ್ (attack surface) ಎರಡರಷ್ಟು ಹೆಚ್ಚಾಗುತ್ತದೆ.

ದತ್ತಾಂಶದ ಪ್ರಕಾರ ಅಪಾಯವು ಬಹಳ ದೊಡ್ಡದಿದೆ. ಕಳುವಾದ ಕ್ರೆಡೆನ್ಶಿಯಲ್‌ಗಳೇ (credentials) ಹೆಚ್ಚಿನ ದತ್ತಾಂಶ ಸೋರಿಕೆಗೆ ಕಾರಣವಾಗುತ್ತವೆ. ಇನ್‌ಫೋಸ್ಟೀಲರ್ (Infostealer) ಮಾಲ್‌ವೇರ್ ಪ್ರತಿ ವರ್ಷ ಲಕ್ಷಾಂತರ ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ಕಬಳಿಸುತ್ತದೆ. 2FA ನಲ್ಲಿಯೂ ದೋಷಗಳಿವೆ. SMS ಕೋಡ್‌ಗಳು ಸಿಮ್ ಸ್ವಾಪಿಂಗ್ (SIM swapping) ಸಮಸ್ಯೆಯನ್ನು ಎದುರಿಸುತ್ತವೆ. TOTP ಟೋಕನ್‌ಗಳು ರಿಯಲ್-ಟೈಮ್ ಫಿಶಿಂಗ್ ಸಮಸ್ಯೆಯನ್ನು ಎದುರಿಸುತ್ತವೆ.

ಪಾಸ್‌ಕೀಯಗಳು ಇದನ್ನು ಬದಲಾಯಿಸುತ್ತವೆ. ಅವು WebAuthn ಮತ್ತು FIDO2 ಮೂಲಕ ಪಬ್ಲಿಕ್-ಕೀ ಕ್ರಿಪ್ಟೋಗ್ರಫಿಯನ್ನು (public-key cryptography) ಬಳಸುತ್ತವೆ.

ಅವು ಹೇಗೆ ಕೆಲಸ ಮಾಡುತ್ತವೆ: • ನಿಮ್ಮ ಸಾಧನವು ಪಬ್ಲಿಕ್-ಪ್ರೈವೇಟ್ ಕೀ ಜೋಡಿಯನ್ನು (public-private key pair) ರಚಿಸುತ್ತದೆ. • ಪ್ರೈವೇಟ್ ಕೀ ನಿಮ್ಮ ಹಾರ್ಡ್‌ವೇರ್‌ನಲ್ಲೇ ಇರುತ್ತದೆ. • ಸರ್ವರ್‌ಗೆ ಕೇವಲ ಪಬ್ಲಿಕ್ ಕೀ ಮಾತ್ರ ಸಿಗುತ್ತದೆ. • ಲಾಗಿನ್ ಮಾಡುವಾಗ, ನಿಮ್ಮ ಸಾಧನವು ಒಂದು ರ್ಯಾಂಡಮ್ ಚಾಲೆಂಜ್ ಅನ್ನು ಸಹಿ ಮಾಡುತ್ತದೆ (signs). • ಯಾವುದೇ ರಹಸ್ಯವು ನೆಟ್‌ವರ್ಕ್ ಮೂಲಕ ಸಂಚರಿಸುವುದಿಲ್ಲ.

ಇದು ಫಿಶಿಂಗ್ ಅನ್ನು ತಡೆಯುತ್ತದೆ ಏಕೆಂದರೆ ಪಾಸ್‌ಕೀಯಗಳು ನಿಮ್ಮ ನಿರ್ದಿಷ್ಟ ಡೊಮೇನ್‌ಗೆ ಬದ್ಧವಾಗಿರುತ್ತವೆ. ನಿಮ್ಮ ಸೈಟ್‌ಗಾಗಿ ಇರುವ ಪಾಸ್‌ಕೀಯವು ನಕಲಿ ಸೈಟ್‌ನಲ್ಲಿ ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ.

ಅವುಗಳನ್ನು ಹೇಗೆ ಅಳವಡಿಸಿಕೊಳ್ಳುವುದು: ನೇರ WebAuthn ಕೋಡ್ ಅನ್ನು ಬರೆಯಬೇಡಿ. ಅದನ್ನು ಮುರಿಯುವುದು ಸುಲಭ. TypeScript ಮತ್ತು Node.js ಗಾಗಿ SimpleWebAuthn ಬಳಸಿ. ಇದು ಕಠಿಣ ಗಣಿತದ ಕೆಲಸಗಳನ್ನು ನಿಮಗಾಗಿ ನಿರ್ವಹಿಸುತ್ತದೆ.

ಇನ್‌ಸ್ಟಾಲೇಶನ್: npm install @simplewebauthn/server @simplewebauthn/browser

ತಪ್ಪಿಸಬೇಕಾದ ಸಾಮಾನ್ಯ ತಪ್ಪುಗಳು: • ಚಾಲೆಂಜ್‌ಗಳನ್ನು ಮರುಬಳಕೆ ಮಾಡುವುದು. ಚಾಲೆಂಜ್‌ಗಳು ಏಕಬಳಕೆಯಾಗಿರಬೇಕು ಮತ್ತು ಸರ್ವರ್‌ನಿಂದ ಜನರೇಟ್ ಆಗಿರಬೇಕು. • ಕೌಂಟರ್‌ಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುವುದು. ಕ್ಲೋನ್ ಮಾಡಿದ ಕೀಗಳನ್ನು ಪತ್ತೆಹಚ್ಚಲು ಯಾವಾಗಲೂ ಕ್ರೆಡೆನ್ಶಿಯಲ್ ಕೌಂಟರ್ ಅನ್ನು ಅಪ್‌ಡೇಟ್ ಮಾಡಿ. • ರಿಕವರಿ (recovery) ಅನ್ನು ಮರೆಯುವುದು. ಬಳಕೆದಾರರು ತಮ್ಮ ಸಾಧನವನ್ನು ಕಳೆದುಕೊಂಡರೆ, ಅವರು ತಮ್ಮ ಖಾತೆಯನ್ನು ಕಳೆದುಕೊಳ್ಳುತ್ತಾರೆ. ಮೊದಲು ರಿಕವರಿ ಮಾರ್ಗವನ್ನು ನಿರ್ಮಿಸಿ. • ಕಳಪೆ UX. ಕ್ರಾಸ್-ಡೈವೈಸ್ ಫ್ಲೋಗಳು (cross-device flows) ಹೆಚ್ಚಾಗಿ ಕಡಿಮೆ ಪೂರ್ಣಗೊಳಿಸುವ ದರವನ್ನು ಹೊಂದಿರುತ್ತವೆ. ಮೈಗ್ರೇಶನ್ ಸಮಯದಲ್ಲಿ ಫಾಲ್‌ಬ್ಯಾಕ್ (fallback) ಅನ್ನು ಇರಿಸಿ.

ಮೈಗ್ರೇಶನ್ ತಂತ್ರ:

  • ಹಂತ 1: ಪಾಸ್‌ವರ್ಡ್ ಲಾಗಿನ್ ನಂತರ ಪಾಸ್‌ಕೀಯಗಳನ್ನು ಆಪ್ಟ್-ಇನ್ (opt-in) ಆಗಿ ಆಫರ್ ಮಾಡಿ.
  • ಹಂತ 2: ಹೆಚ್ಚಿನ ಬಳಕೆದಾರರು ಅಳವಡಿಸಿಕೊಂಡ ನಂತರ ಪಾಸ್‌ಕೀಯಗಳನ್ನು ಪ್ರಾಥಮಿಕ ವಿಧಾನವನ್ನಾಗಿ ಮಾಡಿ.
  • ಹಂತ 3: ಎಲ್ಲಾ ಹೊಸ ಸೈನ್-ಅಪ್‌ಗಳಿಗೆ ಪಾಸ್‌ಕೀಯಗಳನ್ನು ಕಡ್ಡಾಯಗೊಳಿಸಿ.

ಉದ್ಯಮವು ಈಗಾಗಲೇ ಬದಲಾಗಿದೆ. ಪಾಸ್‌ಕೀಯಗಳೊಂದಿಗೆ ಖಾತೆಗಳ ಕಳುವಿನ ದರವು ಬಹಳ ಕಡಿಮೆ ಇರುವುದಾಗಿ ಗೂಗಲ್ ವರದಿ ಮಾಡಿದೆ. ಅಮೆಜಾನ್ ಮತ್ತು ಟಿಕ್‌ಟಾಕ್‌ನಂತಹ ಪ್ರಮುಖ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ಗಳು ಇವುಗಳನ್ನು ಬಳಸುತ್ತಿವೆ. ನೀವು ಇವುಗಳನ್ನು ಬೆಂಬಲಿಸದಿದ್ದರೆ, ನೀವು ಹಿಂದೆ ಉಳಿದಿದ್ದೀರಿ ಎಂದರ್ಥ.

ಮೂಲ: https://dev.to/moksh/passkeys-in-2026-a-practical-engineering-guide-to-passwordless-auth-15pj