क्या आपका Microsoft account एसएमएस, ओटीपी या वॉयस कॉल से लॉगिन होता है ? अब यह तरीका बदल सकता है। microsoft entra id पासकी को लाॉगिन बनाने की तैयारी कर रहा है। जाहिर है माइक्रोसॉफ्ट यूजर्स को धीरे-धीरे SMS और voice MFA से ज्यादा secure authentication methods अपनाने होंगे।
यह भी पढ़ेंः पासवर्ड चोरी का नया खेल: इंफोस्टीलर से कैसे बचाता है मल्टी-फैक्टर ऑथेंटिकेशन (MFA)?
Microsoft Passkey क्या है?
Microsoft Passkey एक passwordless authentication method है। इसमें login के लिए हर बार SMS OTP या कोई shared secret डालने की जरूरत नहीं होती।
यह भी पढ़ेंः पासकी क्या हैं? आज ही Passkey अपनाएं और पासवर्ड से पाएं छुटकारा | सुरक्षित लॉगिन गाइड
Passkey cryptographic credentials का इस्तेमाल करती है। यह किसी डिवाइस या credential manager से जुड़ी होती है। लॉगिन के समय यूजर अपने डिवाइस का fingerprint, face unlock, PIN या security key इस्तेमाल कर सकता है।
सबसे बड़ा फायदा यह है कि Passkey को किसी fake website पर SMS OTP की तरह आसानी से चोरी नहीं किया जा सकता। यही वजह है कि Microsoft इसे phishing-resistant authentication के तौर पर आगे बढ़ा रहा है।
MS MFA में क्या खतरा है?
SMS और voice-based MFA लंबे समय से accounts की security के लिए इस्तेमाल होते रहे हैं। लेकिन cyber criminals इनके खिलाफ कई तरीके इस्तेमाल कर सकते हैं।
इनमें प्रमुख खतरे हैं:
- Phishing kits
- SIM swapping
- Number porting
- SMS interception
- Social engineering
- OTP चोरी
अगर attacker किसी तरह आपका OTP हासिल कर लेता है, तो वह account में घुसने की कोशिश कर सकता है।
Passkey में ऐसा shared code नहीं होता जिसे user किसी attacker को बता दे। इसलिए यह SMS-based authentication की तुलना में ज्यादा phishing-resistant तरीका है।
Passkey SMS OTP से कैसे अलग है?
SMS MFA में लॉगिन के दौरान मोबाइल पर ओटीपी आता है। यूजर उस कोड को वेबसाइट या ऐप्प में डालता है।
पासकी में cryptographic credential काम करती है। User को कोई OTP याद रखने या manually enter करने की जरूरत नहीं होती। यही फर्क Passkey को modern authentication का ज्यादा सुरक्षित विकल्प बनाता है।
Microsoft भी Entra ID में phishing-resistant authentication को बढ़ावा दे रहा है और SMS तथा voice को कम सुरक्षित authentication methods मानता है।
Passkey के कितने प्रकार हैं?
Passkey broadly दो तरह से इस्तेमाल की जा सकती हैं।
Synced Passkey
Synced Passkey किसी credential manager में सुरक्षित रहती है। उदाहरण के लिए Google Password Manager या iCloud Keychain।
इसका फायदा यह है कि eligible devices पर वही credential उपलब्ध हो सकती है। इससे नया device इस्तेमाल करते समय login आसान हो सकता है।
Device-bound Passkey
Device-bound Passkey किसी particular device या security hardware से जुड़ी रहती है।
इसके उदाहरण हैं:
- Windows Hello for Business
- Microsoft Authenticator
- FIDO2 security key
अगर organisation को ज्यादा control और security चाहिए, तो device-bound credentials उपयोगी हो सकती हैं।
Microsoft Entra ID में Passkey कैसे Enable करें?
अगर आपके Microsoft account या organisation में Passkey registration उपलब्ध है, तो इसे setup करना काफी आसान है।
1. Microsoft Entra ID में Sign-in करें
अपने organisation के Microsoft Entra ID account से सामान्य तरीके से login करें।
अगर आपका current MFA method SMS या voice है, तो eligible account पर Passkey registration का prompt दिखाई दे सकता है।
2. Passkey का तरीका चुनें
आपके device और organisation की settings के आधार पर अलग-अलग options दिखाई दे सकते हैं।
इनमें शामिल हो सकते हैं:
- Windows Hello for Business: Face, fingerprint या PIN
- Microsoft Authenticator: Mobile-based authentication
- FIDO2 Security Key: USB या NFC security key
- Synced Passkey: Google Password Manager या iCloud Keychain
3. On-screen instructions follow करें
Windows Hello इस्तेमाल कर रहे हैं तो biometric या PIN verification पूरा करें।
Authenticator इस्तेमाल कर रहे हैं तो mobile prompt को approve करें।
FIDO2 security key इस्तेमाल कर रहे हैं तो key को connect या tap करके verification पूरा करें।
Synced Passkey के मामले में credential manager में उसे save करें।
4. Registration पूरा करें
Passkey register होने के बाद आपका account उस authentication method का इस्तेमाल कर सकता है।
अगर registration prompt को बाद के लिए टालते हैं, तो organisation की settings के अनुसार prompt दोबारा दिखाई दे सकता है।
5. Login test करें
Registration के बाद sign out करें।
फिर दोबारा Microsoft account में login करके देखें कि Passkey सही तरीके से काम कर रही है।
इससे यह भी पता चल जाएगा कि नया authentication method आपके device पर ठीक से configured है।
क्या SMS MFA पूरी तरह खत्म हो रहा है?
Microsoft Entra ID में Microsoft-provided SMS और voice authentication को phase out किया जा रहा है। Microsoft का लक्ष्य Passkeys, Windows Hello और FIDO2 जैसे phishing-resistant methods को प्राथमिक authentication विकल्प बनाना है।
हालांकि जिन organisations को किसी legitimate business, regulatory या technical जरूरत के कारण SMS या voice की जरूरत है, उनके लिए customer-managed telecom provider का विकल्प रखा जा रहा है।
इसलिए हर Microsoft user के लिए यह समझना जरूरी है कि SMS OTP पर निर्भर रहने के बजाय दूसरा secure authentication method तैयार रखना बेहतर है।
Passkey इस्तेमाल करने से पहले इन बातों का ध्यान रखें
Passkey setup करते समय कुछ basic security rules जरूर अपनाएं।
अपना device सुरक्षित रखें।
अगर Passkey device से जुड़ी है, तो device पर strong PIN या biometric lock जरूर रखें।
Recovery options समझें।
नया phone या computer लेने से पहले देखें कि आपकी Passkey कैसे recover या sync होगी।
FIDO2 key को सुरक्षित रखें।
Hardware security key इस्तेमाल करते हैं तो उसे ऐसी जगह रखें जहां वह खो न जाए।
Unknown login prompt approve न करें।
किसी अनजान authentication request को सिर्फ इसलिए approve न करें क्योंकि वह Microsoft जैसा दिखाई दे रहा है।
SMS को अंतिम सुरक्षा दीवार न मानें।
SMS OTP useful है, लेकिन phishing और SIM-related attacks के कारण यह सबसे मजबूत MFA विकल्प नहीं माना जाता।
Microsoft Passkey क्यों जरूरी हो रही है?
Cyber attacks में account takeover एक बड़ा खतरा है। Attacker किसी employee या user का password हासिल करने के बाद MFA को bypass करने की कोशिश कर सकता है।
SMS और voice authentication ऐसे attacks से पूरी सुरक्षा नहीं देते।
Passkey का architecture अलग है। इसमें cryptographic credentials का इस्तेमाल होता है और authentication device-level verification से जुड़ सकती है।
यही कारण है कि Microsoft Entra ID में Passkey को default authentication experience बनाने की दिशा में आगे बढ़ रहा है।
अभी Microsoft users को क्या करना चाहिए?
अगर आपका Microsoft account अभी SMS या voice MFA पर निर्भर है, तो Passkey का option available होते ही उसे register करने के लिए तैयार रहें।
Organisation administrators को भी अपने users के लिए phishing-resistant authentication methods की तैयारी करनी चाहिए।
इससे बाद में login access को लेकर अचानक परेशानी होने की संभावना कम होगी।
निष्कर्ष
Microsoft Passkey सिर्फ login का नया तरीका नहीं है। यह password और SMS OTP पर निर्भर authentication से ज्यादा phishing-resistant security model की तरफ बदलाव है।
Microsoft Entra ID में Passkey को प्राथमिक authentication experience बनाने की दिशा में आगे बढ़ रहा है, जबकि Microsoft-provided SMS और voice authentication को phase out किया जा रहा है।
इसलिए अगर आपका account अभी SMS MFA पर चलता है, तो Passkey को समझना और available होते ही register करना एक अच्छा security step है। Cyber fraud से बचने के लिए मजबूत login security आज की जरूरत है, कल की नहीं।
