SRP प्रोटोकॉल में पासवर्ड नहीं भेजता; यह पासवर्ड हटाने, फ़िशिंग से प्रतिरक्षा या verifier के हानिरहित होने के समान नहीं है।
पासकी और SRP प्रमाणीकरण के दो अलग तरीके हैं। पासकी कुंजी-युग्म का उपयोग करती है और पासवर्ड की आवश्यकता हटा सकती है। SRP अभी भी पासवर्ड पर आधारित है, लेकिन प्रोटोकॉल के सही कार्यान्वयन में उसे जानने का प्रमाण देने के लिए पासवर्ड स्वयं सर्वर को नहीं भेजता।
इसलिए «पासवर्ड भेजे बिना लॉगिन» और «पासवर्ड रखे बिना लॉगिन» एक बात नहीं हैं। इन विधियों के बीच चुनाव फ़िशिंग के जोखिम, क्रेडेंशियल प्रबंधन, पुनर्प्राप्ति और कार्यान्वयन की गुणवत्ता पर आधारित होना चाहिए, न कि «ज़ीरो-नॉलेज» के सामान्य लेबल पर।
पासकी क्या बदलती है?
पासकी-आधारित प्रमाणीकरण में सेवा सार्वजनिक कुंजी रखती है और उपयोगकर्ता निजी कुंजी पर नियंत्रण के द्वारा लॉगिन की पुष्टि करता है। क्रेडेंशियल का संबंधित सेवा और ओरिजिन से बँधा होना इस विधि के फ़िशिंग प्रतिरोध का महत्वपूर्ण हिस्सा है। पासकी पर FIDO की व्याख्या।
सभी पासकी आवश्यक रूप से क्लाउड में सिंक नहीं होतीं। कुछ एक उपकरण या सुरक्षा कुंजी से बँधी होती हैं; कुछ क्रेडेंशियल प्रदाता के माध्यम से उपकरणों के बीच स्थानांतरित होती हैं। पुनर्प्राप्ति मॉडल और सिंक्रनाइज़ेशन की सुरक्षा को उसी प्रदाता के लिए जाँचना चाहिए। केवल «क्लाउड सिंक» से यह निष्कर्ष नहीं निकाला जा सकता कि कंपनी कुंजियाँ पढ़ने योग्य रूप में रखती है।
लॉगिन के बाद सत्र की सुरक्षा भी अलग विषय है। पासकी उपकरण पर मैलवेयर या किसी वैध सत्र की चोरी को अपने आप निष्प्रभावी नहीं करती।
SRP सर्वर को क्या देता है?
SRP पासवर्ड-प्रमाणित कुंजी विनिमय के परिवार का हिस्सा है। सर्वर पासवर्ड स्वयं रखने के बजाय सॉल्ट और सत्यापक, अर्थात verifier, जैसा डेटा रखता है। दोनों पक्ष प्रोटोकॉल संदेशों का आदान-प्रदान करके रहस्य और साझा कुंजी के ज्ञान की जाँच करते हैं।
लेकिन verifier हानिरहित डेटा नहीं है। RFC 5054 का खंड 3.3 स्पष्ट रूप से कहता है कि सत्यापक प्राप्त करने वाला हमलावर पासवर्ड का अनुमान लगाने के लिए शब्दकोश हमला कर सकता है। इसलिए यह दावा गलत है कि «डेटाबेस की चोरी ऑफ़लाइन अनुमान लगाने का कोई अवसर नहीं देती»।
मज़बूत पासवर्ड, सर्वर की सुरक्षा, उचित पैरामीटर, इनपुट सत्यापन और लॉगिन प्रयासों पर नियंत्रण अभी भी आवश्यक हैं। SRP यह भी सुनिश्चित नहीं करता कि जिस पृष्ठ में आप पासवर्ड टाइप करते हैं वह सुरक्षित है; दुर्भावनापूर्ण कोड प्रोटोकॉल चलने से पहले उसे पकड़ सकता है।
निष्पक्ष तुलना
| प्रश्न | पासकी | SRP |
|---|---|---|
| क्या उपयोगकर्ता सेवा का पासवर्ड याद रखता है? | आम तौर पर नहीं; क्रेडेंशियल पर नियंत्रण आवश्यक है | हाँ, यह विधि पासवर्ड जानने पर निर्भर है |
| सेवा लॉगिन के लिए क्या रखती है? | सार्वजनिक कुंजी और संबंधित जानकारी | सत्यापक और संबंधित पैरामीटर |
| फ़िशिंग प्रतिरोध कैसे मिलता है? | FIDO डिज़ाइन में क्रेडेंशियल सेवा/ओरिजिन से बँधा होता है | प्रोटोकॉल में पासवर्ड न भेजना नकली इनपुट को सुरक्षित बनाने के लिए पर्याप्त नहीं है |
| क्या क्लाउड अनिवार्य है? | नहीं; उपकरण से बँधे विकल्प भी हैं | प्रोटोकॉल को स्वभावतः किसी तीसरे पक्ष के पहचान प्रदाता की आवश्यकता नहीं, लेकिन प्रमाणीकरण सेवा चाहिए |
| पुनर्प्राप्ति कैसे होती है? | क्रेडेंशियल के प्रकार और प्रदाता पर निर्भर है | खाते और उत्पाद की नीति तय करती है, SRP का नाम नहीं |
इस तालिका से सभी कार्यान्वयनों की निरपेक्ष रैंकिंग नहीं बनाई जा सकती। कमज़ोर पुनर्प्राप्ति प्रक्रिया मज़बूत लॉगिन विधि का लाभ घटा सकती है।
खाते के लॉगिन और चैट कुंजियों में क्या संबंध है?
प्रमाणीकरण सेवा को बताता है कि किसे गतिविधि की अनुमति है। संदेशों की एन्क्रिप्शन कुंजियाँ तय करती हैं कि सामग्री कौन खोल सकता है। उत्पाद इन दोनों को जोड़ सकता है, लेकिन यह संबंध दस्तावेज़ित होना चाहिए।
Livara के सुरक्षा दस्तावेज़ों में लॉगिन के लिए SRP का वर्णन है और क्रिप्टोग्राफ़िक पहचान के लिए v7 पुनर्प्राप्ति पैकेज अलग बताया गया है। वह पैकेज पहचान बहाल करता है, चैट इतिहास नहीं। इसलिए «लॉगिन पासवर्ड सही है» का अर्थ «सभी कुंजियाँ और पुराने संदेश वापस आ गए हैं» नहीं है।
यह लेख एक वैचारिक तुलना है, Livara की सभी लॉगिन विधियों का व्यावहारिक परीक्षण या उत्पाद में किसी RFC के सटीक कार्यान्वयन की पुष्टि नहीं।
चुनाव करते समय क्या पूछें?
- उपकरण खो जाने पर लॉगिन का वैकल्पिक तरीका क्या है और उसे कौन नियंत्रित करता है?
- क्या पुनर्प्राप्ति विधि मुख्य लॉगिन से कमज़ोर है?
- अज्ञात सत्र कैसे देखे और रद्द किए जाते हैं?
- क्या लॉगिन विधि बदलने से संदेश कुंजियाँ या जुड़े उपकरण बदलते हैं?
- क्रेडेंशियल सिंक करने के लिए कौन-सा खाता और कौन-सी स्वतंत्र सुरक्षा आवश्यक है?
सारांश: पासकी को स्वभावतः «क्लाउड में होने के कारण असुरक्षित» और SRP को «ज़ीरो-नॉलेज होने के कारण सेंध से प्रतिरक्षित» न कहें। प्रत्येक विधि की सीमा और उत्पाद की पुनर्प्राप्ति नीति विश्वसनीय तुलना का आधार हैं।
