നമ്മുടെ Password മറന്നുപോകുക, അല്ലങ്കിൽ ഒരേ password പല account-ലും ഉപയോഗിക്കുക, fake login page-ൽ password type ചെയ്ത് അബദ്ധത്തിൽ scammers-ന് കൊടുക്കുക — online accounts ഉപയോഗിക്കുന്നവർ നേരിടുന്ന common problems ആണ് ഇവ.
ഇതിന് ഒരു alternative ആയാണ് Passkey കൂടുതൽ websites-ലും apps-ലും ഇപ്പോൾ ലഭ്യമായിക്കൊണ്ടിരിക്കുന്നത്. Google, Apple, Microsoft ഉൾപ്പെടെയുള്ള വലിയ platforms passkeys support ചെയ്യുന്നു.
Passkey ഉപയോഗിക്കുമ്പോൾ പല സാഹചര്യങ്ങളിലും password ഓർത്തുവെച്ച് type ചെയ്യേണ്ടതില്ല. പകരം phone അല്ലെങ്കിൽ computer unlock ചെയ്യാൻ ഉപയോഗിക്കുന്ന fingerprint, face recognition, PIN തുടങ്ങിയവ ഉപയോഗിച്ച് sign in ചെയ്യാം. Google-ന്റെ official guidance-ലും passkey ഉപയോഗിച്ച് fingerprint, face scan അല്ലെങ്കിൽ device screen lock ഉപയോഗിച്ച് Google Account-ലേക്ക് sign in ചെയ്യാമെന്ന് വ്യക്തമാക്കുന്നു.
എന്നാൽ Passkey 100% risk-free technology അല്ല. Password-നേക്കാൾ phishing, password reuse, credential theft തുടങ്ങിയ ചില പ്രധാന risks കുറയ്ക്കാൻ രൂപകൽപ്പന ചെയ്ത authentication method എന്നാണ് പറയുന്നത് കൂടുതൽ ശരി.
എന്താണ് Passkey?
Passkey എന്നത് supported website അല്ലെങ്കിൽ app-ലേക്ക് sign in ചെയ്യാൻ ഉപയോഗിക്കുന്ന cryptographic credential ആണ്.
Traditional password-ൽ നമ്മൾ ഓർത്തുവയ്ക്കുന്ന ഒരു secret word അല്ലെങ്കിൽ characters ആണ് ഉപയോഗിക്കുന്നത്. Passkey-ൽ അത്തരത്തിലുള്ള password website-ലേക്ക് type ചെയ്ത് നൽകേണ്ടതില്ല.
ഒരു passkey create ചെയ്യുമ്പോൾ cryptographic key pair ഉപയോഗിക്കുന്നു:
- Public Key — website അല്ലെങ്കിൽ service-ന് സൂക്ഷിക്കാവുന്ന ഭാഗം.
- Private Key — നിങ്ങളുടെ device-ലോ secure passkey provider/credential manager-ലോ സംരക്ഷിക്കപ്പെടുന്ന ഭാഗം.
Sign-in സമയത്ത് private key website-ലേക്ക് അയക്കുന്നതിന് പകരം device cryptographic verification നടത്തുന്നു. FIDO standards public-key cryptography അടിസ്ഥാനമാക്കുന്നതും ഓരോ passkey-യും ബന്ധപ്പെട്ട online service/domain-നോട് ബന്ധിപ്പിച്ചിരിക്കുന്നതുമാണ്.
Fingerprint തന്നെയാണോ Passkey?
അല്ല. Fingerprint, Face ID, face scan അല്ലെങ്കിൽ device PIN എന്നത് passkey തന്നെ അല്ല. നിങ്ങളുടെ device-ൽ സൂക്ഷിച്ചിരിക്കുന്ന passkey ഉപയോഗിക്കാൻ അനുവാദം നൽകുന്ന local verification method ആണ് അത്.
അതായത് Face ID അല്ലെങ്കിൽ fingerprint scan ചെയ്താൽ നിങ്ങളുടെ biometric data website-ന് അയക്കുന്നു എന്നർത്ഥമില്ല. FIDO വ്യക്തമാക്കുന്നത് authentication-ൽ ഉപയോഗിക്കുന്ന biometric information device വിട്ടുപോകുന്നില്ല എന്നാണ്.
Passkey എങ്ങനെയാണ് പ്രവർത്തിക്കുന്നത്?
ഒരു website passkey support ചെയ്യുന്നുണ്ടെന്ന് കരുതുക. ആ account-ൽ passkey create ചെയ്തശേഷം അടുത്ത sign-in സമയത്ത് website ഒരു authentication request അയക്കും. നിങ്ങളുടെ phone അല്ലെങ്കിൽ computer fingerprint, face recognition അല്ലെങ്കിൽ PIN ഉപയോഗിച്ച് നിങ്ങളാണെന്ന് verify ചെയ്യും.
Device-ലുള്ള private key ഉപയോഗിച്ച് request cryptographically sign ചെയ്യും. Website അതിനോടനുബന്ധിച്ച public key ഉപയോഗിച്ച് അത് verify ചെയ്യും.
ഇവിടെ പ്രധാനപ്പെട്ട കാര്യം: password പോലെയുള്ള reusable secret website-ലേക്ക് അയക്കേണ്ടതില്ല.
Apple-ന്റെ security documentation അനുസരിച്ച് server private key അറിയുന്നില്ല; public key secret കൂടിയല്ല. Shared secret transmit ചെയ്യേണ്ടതില്ല എന്നതാണ് passkey security-യുടെ പ്രധാന പ്രത്യേകതകളിൽ ഒന്ന്. Apple Support
Passkey Password-നേക്കാൾ Safe ആണോ?
പല common online threats-ന്റെ കാര്യത്തിൽ Passkey traditional password-നേക്കാൾ stronger protection നൽകുന്നു. അതിന് ചില പ്രധാന കാരണങ്ങളുണ്ട്.
1. Phishing attacks-നെതിരെ കൂടുതൽ resistance
Fake website original site പോലെ design ചെയ്താൽ പോലും ഒരു user അബദ്ധത്തിൽ password type ചെയ്താൽ attacker-ന് അത് ലഭിക്കാം.
Passkey-കൾ specific website/domain-നോട് cryptographically bound ആണ്. അതിനാൽ password പോലെ മറ്റൊരു fake domain-ലേക്ക് credential type ചെയ്ത് കൊടുക്കുന്ന സാഹചര്യം ഒഴിവാക്കാൻ ഇത് സഹായിക്കുന്നു. FIDO passkeys-നെ phishing-resistant authentication ആയി വിവരിക്കുന്നു.
എന്നാൽ ഇവിടെ ഒരു ചെറിയ caveat ഉണ്ട്: ഒരു account ഇപ്പോഴും password അല്ലെങ്കിൽ weak recovery method ഉപയോഗിക്കാൻ അനുവദിക്കുന്നുണ്ടെങ്കിൽ, attacker ആ fallback method target ചെയ്യാം. അതുകൊണ്ട് passkey enable ചെയ്തതുകൊണ്ട് മാത്രം ഒരു account-ന്റെ എല്ലാ access path-ഉം automatically phishing-proof ആകണമെന്നില്ല. FIDO-യും full phishing resistance ലഭിക്കാൻ login, fallback, recovery flows എല്ലാം secure ആയിരിക്കണമെന്ന് വിശദീകരിക്കുന്നു.
2. Password reuse പ്രശ്നം കുറയുന്നു
ഒരേ password email, shopping, social media തുടങ്ങി പല account-ലും ഉപയോഗിക്കുന്നത് വലിയ security risk ആണ്.
Passkey ഓരോ app, website അല്ലെങ്കിൽ service-നുമായി unique credential ആയി പ്രവർത്തിക്കുന്നു. അതിനാൽ ഒരു site-ന്റെ credential മറ്റൊരു site-ൽ password പോലെ reuse ചെയ്യേണ്ട സാഹചര്യമില്ല.
3. Server-ൽ reusable password secret സൂക്ഷിക്കേണ്ടതില്ല
Password-based system-ൽ password representations server-side database-ൽ maintain ചെയ്യേണ്ടതുണ്ട്.
Passkey system-ൽ server public key ആണ് സൂക്ഷിക്കുന്നത്. Private key user side-ലാണ്.
അതുകൊണ്ട് server database breach ഉണ്ടായാൽ password database പോലെ reusable passkey secret attacker-ന് ലഭിക്കുന്ന risk കുറയുന്നു. അതേസമയം ഒരു data breach മറ്റേതെങ്കിലും personal information expose ചെയ്യില്ലെന്ന് ഇതിലൂടെ guarantee ചെയ്യാനാവില്ല.
4. Complex Password ഓർത്തുവയ്ക്കേണ്ടതില്ല
Strong password create ചെയ്ത് എല്ലാം ഓർത്തുവയ്ക്കുന്നത് practical ആയി പലർക്കും ബുദ്ധിമുട്ടാണ്.
Passkey ഉപയോഗിക്കുമ്പോൾ credential automatically cryptographically generate ചെയ്യുന്നതിനാൽ MyName123, password123 പോലുള്ള weak password തിരഞ്ഞെടുക്കുന്ന പ്രശ്നം ഒഴിവാക്കാം.
5. Phone call-ൽ Passkey പറഞ്ഞുകൊടുക്കാൻ സാധിക്കില്ല
Scammer ഒരാൾ “OTP പറയൂ”, “password പറയൂ” എന്ന് phone call വഴി ചോദിക്കാം.
Passkey വായിച്ച് പറയാവുന്ന ഒരു text password അല്ല. അതിനാൽ social-engineering വഴി reusable password ചോദിച്ചു വാങ്ങുന്ന ചില attacks കുറയ്ക്കാൻ ഇത് സഹായിക്കുന്നു.
Passkey ഉപയോഗിച്ച് Sign In ചെയ്യുന്നത് എങ്ങനെ?
Exact steps website അല്ലെങ്കിൽ app അനുസരിച്ച് മാറാം. സാധാരണ process ഇതുപോലെയായിരിക്കും:
- Supported website/app-ന്റെ Account or Security Settings തുറക്കുക.
- Passkey, Create Passkey അല്ലെങ്കിൽ സമാനമായ option തിരഞ്ഞെടുക്കുക.
- Device ആവശ്യപ്പെടുന്ന fingerprint, face recognition അല്ലെങ്കിൽ PIN verification complete ചെയ്യുക.
- Passkey save ആയശേഷം അടുത്ത login സമയത്ത് Sign in with a passkey തിരഞ്ഞെടുക്കാം.
- Device unlock verification complete ചെയ്താൽ sign-in നടക്കും.
Microsoft-ന്റെയും official guidance പ്രകാരം passkey device-ലോ synced credential manager-ലോ save ചെയ്യാം; പിന്നീട് face, fingerprint അല്ലെങ്കിൽ PIN ഉപയോഗിച്ച് sign in ചെയ്യാം. Microsoft Support
Passkey എവിടെയാണ് സൂക്ഷിക്കുന്നത്?
ഇത് device, operating system, passkey provider എന്നിവയെ ആശ്രയിച്ചിരിക്കും.
ഉദാഹരണത്തിന് passkeys:
- Google Password Manager
- Apple iCloud Keychain
- Microsoft Password Manager
- supported third-party credential managers
എന്നിവയിൽ സൂക്ഷിക്കാനും, compatible devices-ിലേക്ക് sync ചെയ്യാനും കഴിയാം.
FIDO പ്രകാരം passkey provider operating system/browser-ന്റെ built-in credential manager ആയിരിക്കാം, അല്ലെങ്കിൽ supported third-party provider ആയിരിക്കാം.
Phone നഷ്ടപ്പെട്ടാൽ Passkey നഷ്ടപ്പെടുമോ?
ഇതിന് ഒരൊറ്റ answer ഇല്ല.
Synced passkey ഉപയോഗിക്കുന്നുണ്ടെങ്കിൽ പുതിയ device-ൽ നിങ്ങളുടെ credential provider account recover ചെയ്ത് passkeys വീണ്ടും ലഭിക്കാം. ഉദാഹരണത്തിന് Apple iCloud Keychain passwords-ഉം passkeys-ഉം approved devices-ക്കിടയിൽ sync ചെയ്യുന്നു.
എന്നാൽ passkey എവിടെയാണ് save ചെയ്തിരിക്കുന്നത്, syncing enabled ആണോ, account recovery setup എന്താണ് തുടങ്ങിയ കാര്യങ്ങൾ അനുസരിച്ച് recovery process മാറും.
അതുകൊണ്ട് “phone നഷ്ടപ്പെട്ടാലും എന്തായാലും passkey തിരികെ കിട്ടും” എന്ന് കരുതരുത്.
മറ്റൊരാളുടെ Computer-ൽ Passkey ഉപയോഗിക്കാമോ?
ചില supported services cross-device sign-in അനുവദിക്കുന്നു.
ഉദാഹരണത്തിന് computer screen-ൽ QR code കാണിക്കുകയും, നിങ്ങളുടെ phone ഉപയോഗിച്ച് scan ചെയ്ത് approval നൽകുകയും ചെയ്യുന്ന രീതികൾ ഉണ്ടാകാം.
എന്നാൽ shared computer അല്ലെങ്കിൽ public computer ഉപയോഗിക്കുമ്പോൾ ആ device-ൽ permanent passkey create/save ചെയ്യാതിരിക്കുക.
നിങ്ങൾ സ്വന്തമായി നിയന്ത്രിക്കുന്ന device-ലാണ് passkeys create ചെയ്യുന്നത് safest practice. Google പോലും passkey personally owned and regularly used device-ൽ മാത്രം create ചെയ്യാൻ നിർദേശിക്കുന്നു, കാരണം device unlock ചെയ്യാൻ കഴിയുന്ന ഒരാൾക്ക് account access ലഭിക്കാൻ സാധ്യതയുണ്ട്. Google Help
Passkey ഉണ്ടാക്കിയാൽ Password Automatically Delete ആകുമോ?
അവശ്യമായില്ല.
ഒരു service passkey support ചെയ്യുന്നതുകൊണ്ട് password ഉടൻ remove ചെയ്യും എന്ന് അർത്ഥമില്ല. ചില services password-നെ fallback അല്ലെങ്കിൽ recovery method ആയി നിലനിർത്താം.
ഇത് important ആണ്. Password login ഇപ്പോഴും active ആണെങ്കിൽ password security-യും recovery information-ഉം അവഗണിക്കരുത്.
Passkey 100% സുരക്ഷിതമാണോ?
അല്ല. ഒരു authentication method-നെയും 100% risk-free എന്ന് പറയുന്നത് ശരിയല്ല.
Passkey ഉപയോഗിക്കുമ്പോഴും ശ്രദ്ധിക്കേണ്ട കാര്യങ്ങളുണ്ട്:
- Phone അല്ലെങ്കിൽ laptop-ന് strong screen lock ഉപയോഗിക്കുക.
1234,0000, date of birth പോലുള്ള എളുപ്പം guess ചെയ്യാവുന്ന PIN ഒഴിവാക്കുക.- Shared/public devices-ൽ passkey permanently save ചെയ്യരുത്.
- Google/Apple/Microsoft പോലുള്ള credential-provider account-ന്റെ security ശക്തമാക്കുക.
- Recovery email, phone number തുടങ്ങിയ recovery options update ചെയ്ത് സൂക്ഷിക്കുക.
- Unknown website പറയുന്നതനുസരിച്ച് random “passkey app” install ചെയ്യരുത്.
- Passkey create ചെയ്യാൻ official app അല്ലെങ്കിൽ official account security settings മാത്രം ഉപയോഗിക്കുക.
Passkey ഇപ്പോൾ ഉപയോഗിക്കാൻ തുടങ്ങണോ?
നിങ്ങൾ ഉപയോഗിക്കുന്ന trusted website അല്ലെങ്കിൽ app officially passkey support ചെയ്യുന്നുണ്ടെങ്കിൽ, അത് ഉപയോഗിക്കുന്നത് പരിഗണിക്കാം.
Google passkeys-നെ passwords-ന് simple and secure alternative ആയി വിവരിക്കുന്നു. Apple passkeys passwords-നെക്കാൾ phishing-ന് less vulnerable ആണെന്ന് പറയുന്നു. Microsoft-ും passkeys password-നേക്കാൾ safer and easier sign-in option ആയി അവതരിപ്പിക്കുന്നു.
എന്നാൽ passkey enable ചെയ്തശേഷവും device security, account recovery, remaining password options എന്നിവ ശ്രദ്ധിക്കേണ്ടതാണ്.
Frequently Asked Questions
Passkeyയും Passwordയും ഒരേ കാര്യമാണോ?
അല്ല. Password നമ്മൾ create ചെയ്ത് ഓർത്തുവയ്ക്കുന്ന secret text ആണ്. Passkey public-key cryptography അടിസ്ഥാനമാക്കിയ authentication credential ആണ്.
Fingerprint website-ലേക്ക് പോകുമോ?
സാധാരണ passkey authentication-ൽ fingerprint/biometric data website-ന് നൽകുന്നില്ല. Device-ൽ user verification നടത്താനാണ് അത് ഉപയോഗിക്കുന്നത്.
Passkey ഉപയോഗിക്കാൻ Internet വേണമോ?
Online website/app-ലേക്ക് sign in ചെയ്യുന്നതിനാൽ സാധാരണ internet connection ആവശ്യമാണ്. എന്നാൽ biometric/PIN verification device-ൽ തന്നെയാണ് നടക്കുന്നത്.
എല്ലാ Websites-ലും Passkey ഉപയോഗിക്കാമോ?
ഇല്ല. Website അല്ലെങ്കിൽ app passkey support ചെയ്തിരിക്കണം.
Passkey ഉപയോഗിച്ചാൽ 2-Step Verification വേണ്ടേ?
ഇത് service-ന്റെ security design അനുസരിച്ചിരിക്കും. ചില services passkey-യെ strong authentication method ആയി ഉപയോഗിക്കുമ്പോൾ മറ്റൊരു second step ആവശ്യപ്പെടാതിരിക്കാം. Google Account-ൽ passkey ഉപയോഗിക്കുന്നത് possession of the device verify ചെയ്യുന്നതിനാൽ സാധാരണ second authentication step bypass ചെയ്യാമെന്ന് Google പറയുന്നു.
അവസാനമായി
Passkey എന്നത് വെറും “new type of password” അല്ല. Password type ചെയ്ത് server-ലേക്ക് അയക്കുന്ന പഴയ രീതിക്ക് പകരം cryptographic verification ഉപയോഗിക്കുന്ന വ്യത്യസ്ത authentication സംവിധാനം ആണ്.
Traditional passwords-ുമായി ബന്ധപ്പെട്ട phishing, password reuse, credential theft തുടങ്ങിയ common risks കുറയ്ക്കാൻ passkeys സഹായിക്കുന്നു. അതേസമയം device security, account recovery, fallback login methods എന്നിവ ഇപ്പോഴും പ്രധാനമാണ്.
അതുകൊണ്ട് trusted service official ആയി passkey support ചെയ്യുന്നുണ്ടെങ്കിൽ അത് enable ചെയ്യുന്നത് account security മെച്ചപ്പെടുത്താനുള്ള നല്ലൊരു option ആണ് — പക്ഷേ 100% security guarantee ആയി കാണേണ്ടതില്ല.
