پاس کیز کی وضاحت: یہ پاس ورڈز کی جگہ کیسے لیتی ہیں اور فشنگ کے خلاف کیسے مزاحمت کرتی ہیں

پاس ورڈ آپ اور ویب سائٹ، دونوں کو معلوم ہونا چاہیے، اور یہی وجہ ہے کہ اسے چُرایا جا سکتا ہے۔ پاس کی اس مسئلے سے بچنے کے لیے بنائی گئی ہے: نہ کچھ ٹائپ کرنا پڑتا ہے، نہ یاد رکھنا، اور نہ ہی کوئی جعلی سائٹ ایسی چیز حاصل کر کے دوبارہ استعمال کر سکتی ہے۔

یہاں جانیں کہ پاس کی کیا ہے، اس سے سائن اِن کیسے کیا جاتا ہے، یہ فشنگ کے خلاف مزاحمت کیوں کرتی ہے، اور کن باتوں میں اب بھی آپ کا کردار ضروری ہے۔

پاس کی کیا ہے

اس معیار کے پیچھے موجود صنعتی گروپ FIDO Alliance کے مطابق، پاس کی ایک ایسی اسناد ہے جو آپ کو اسی طریقے سے کسی ایپ یا ویب سائٹ میں سائن اِن کرنے دیتی ہے جس سے آپ اپنے آلے کو اَن لاک کرتے ہیں، مثلاً فنگر پرنٹ، چہرے کا اسکین، PIN یا پیٹرن کے ذریعے۔ یہ کسی مخصوص سائٹ پر آپ کے اکاؤنٹ سے منسلک ہوتی ہے، اور پاس ورڈ کے ساتھ، زیادہ تر صورتوں میں، اضافی کوڈ کی جگہ بھی لیتی ہے۔

اندرونی طور پر، پاس کی کرپٹوگرافک کیز کا ایک جوڑا ہوتی ہے۔ ویب سائٹ پبلک کی محفوظ کرتی ہے، جو اکیلے کسی کام کی نہیں ہوتی، جبکہ پرائیویٹ کی آپ کے آلے پر رہتی ہے۔ ہر سائٹ کے لیے ایک نیا جوڑا بنایا جاتا ہے، اس لیے پاس ورڈ کی طرح پاس کی کو مختلف سروسز پر دوبارہ استعمال نہیں کیا جا سکتا۔

پاس کی سے سائن اِن کیسے ہوتا ہے

جب آپ سائن اِن کرتے ہیں تو ویب سائٹ آپ کے آلے کو ایک بار استعمال ہونے والا چیلنج بھیجتی ہے۔ آپ کا آلہ آپ سے بائیومیٹرک تصدیق یا PIN کے ذریعے اسے اَن لاک کرنے کو کہتا ہے، پھر چیلنج پر دستخط کرنے کے لیے پرائیویٹ کی استعمال کرتا ہے اور دستخط شدہ جواب واپس بھیجتا ہے۔ ویب سائٹ دستخط کو محفوظ شدہ پبلک کی سے جانچتی ہے اور آپ کو اندر آنے دیتی ہے۔ برطانیہ کی قومی سائبر سکیورٹی ایجنسی NCSC بھی اسی عمل کی وضاحت کرتی ہے، جس میں پرائیویٹ کی کبھی ویب سائٹ یا براؤزر کے ساتھ شیئر نہیں ہوتی۔

FIDO کے مطابق، سائن اِن کے دوران کوئی ذاتی یا بائیومیٹرک ڈیٹا منتقل نہیں ہوتا۔ فنگر پرنٹ یا چہرے کا اسکین صرف آپ کے آلے پر کی کو اَن لاک کرنے کے لیے استعمال ہوتا ہے۔

پاس کیز فشنگ کے خلاف مزاحمت کیوں کرتی ہیں

بنیادی فرق یہ ہے کہ پاس کی اصل سائٹ کے ڈومین سے منسلک ہوتی ہے۔ NCSC وضاحت کرتی ہے کہ FIDO آتھنٹیکیٹر صرف اسی سائٹ سے مطابقت رکھنے والی اسناد پیش کرتا ہے جس پر آپ حقیقتاً موجود ہوتے ہیں، اور یہ جانچ آپ کا قابلِ اعتماد براؤزر یا ایپ کرتی ہے، اس لیے جعلی صفحہ اس پر اثرانداز نہیں ہو سکتا۔ ملتی جلتی جعلی سائٹ کے لیے چُرانے کو کوئی پاس ورڈ یا کوڈ موجود نہیں ہوتا۔

NCSC اس کا روایتی دوسرے تصدیقی عوامل سے موازنہ کرتی ہے اور نتیجہ اخذ کرتی ہے کہ ان سب میں، بشمول آتھنٹیکیٹر ایپ کے کوڈز، ایسے حملہ آوروں کے خلاف کمزوری موجود ہے جو جعلی صفحے کے ذریعے حقیقی وقت میں لاگ اِن کی معلومات آگے منتقل کرتے ہیں، جبکہ FIDO2 اسناد اس حملے کا شکار نہیں ہوتیں۔ NCSC نے یہ بھی بتایا کہ تحریر کے وقت تک حقیقی دنیا میں خود FIDO2 آتھنٹیکیشن پر کوئی حملہ نہیں دیکھا گیا تھا، تاہم حملہ آور اکاؤنٹس کو کمزور متبادل طریقوں پر منتقل کرنے کی کوشش کرتے ہیں۔ اس لیے اکاؤنٹ پر اب بھی فعال سائن اِن کے سب سے کمزور طریقے کی اہمیت ہے۔

سنک ہونے والی اور آلے سے منسلک پاس کیز

پاس کیز کی دو اقسام ہیں۔ سنک ہونے والی پاس کی سنک سروس کے ذریعے بیک اپ ہوتی ہے اور آپ کے دوسرے آلات پر بھی دستیاب ہوتی ہے، اس لیے ایک آلہ کھو جانے سے اکاؤنٹ تک رسائی ختم نہیں ہوتی۔ آلے سے منسلک پاس کی، مثلاً فزیکل سکیورٹی کی پر محفوظ کی گئی پاس کی، اسی ایک آلے پر رہتی ہے اور اسے کاپی نہیں کیا جا سکتا۔

دونوں اقسام کے اپنے فائدے اور نقصانات ہیں۔ NCSC مشورہ دیتی ہے کہ سنک سروس کے پیچھے موجود اکاؤنٹ کو فشنگ سے محفوظ رکھیں اور اسے بحال کرنے کا محفوظ طریقہ اپنے پاس رکھیں۔ اس کے مطابق، 2025 میں بڑی فرسٹ پارٹی سنک سروسز کے جائزے سے معلوم ہوا کہ پاس کیز محفوظ کرنے کے لیے ان میں دو مرحلہ تصدیق ضروری تھی، جبکہ تھرڈ پارٹی سروسز میں یہ صورتِ حال مختلف تھی۔ آلے سے منسلک پاس کیز کے بارے میں NCSC کہتی ہے کہ صارفین کو بیک اپ رجسٹر کرنا چاہیے، کیونکہ کھوئی ہوئی کی واپس حاصل نہیں کی جا سکتی۔

پاس کیز کیا نہیں کرتیں

پاس کی سائن اِن کے مرحلے کو محفوظ رکھتی ہے، اس کے آس پاس کی ہر چیز کو نہیں۔ اگر کسی کے پاس آپ کا آلہ اور کمزور PIN ہو تو یہ مدد نہیں کر سکتی، اور NCSC نوٹ کرتی ہے کہ اکاؤنٹ کی بحالی اکثر خود سائن اِن سے کم محفوظ ہوتی ہے اور حملہ آور اسے نشانہ بناتے ہیں۔ پاس کی کرپٹو والیٹ کی بھی نہیں ہے۔ یہ آپ کو کسی اکاؤنٹ میں سائن اِن کرتی ہے، جبکہ سیلف کسٹڈی والیٹ کے فنڈز پر اس کا سیڈ فریز یا پرائیویٹ کی اختیار رکھتی ہے، اور پاس کی ان دونوں کی حفاظت یا ان کی جگہ نہیں لے سکتی۔

WEEX کی یاد دہانی: پاس کی، سیڈ فریز نہیں ہے

WEEX صارفین کو یاد دلاتا ہے کہ پاس کی آپ کو اکاؤنٹ میں سائن اِن کرتی ہے، جبکہ سیلف کسٹڈی والیٹ پر سیڈ فریز یا پرائیویٹ کی اختیار رکھتی ہے۔ کسی بھی ایسے صفحے پر سیڈ فریز کبھی ٹائپ نہ کریں جو پاس کی کی ”تصدیق“ یا ”بحالی“ کے لیے اسے مانگے، اور اسے کسی کے ساتھ بھی شیئر نہ کریں، بشمول ایسے افراد کے جو کہیں کہ وہ سپورٹ سے ہیں۔ اپنے آلات پر مضبوط PIN استعمال کریں، اکاؤنٹ کی بحالی کے اختیارات تازہ رکھیں، اور سائن اِن کرنے سے پہلے سائٹ کا ایڈریس چیک کریں۔ یہاں دی گئی کوئی بات مالی مشورہ نہیں ہے۔

نتیجہ

پاس کی ایک مشترکہ راز کی جگہ کیز کا جوڑا استعمال کرتی ہے، اس لیے ویب سائٹ کے پاس ایسی کوئی چیز نہیں ہوتی جسے چُرا کر دوبارہ استعمال کیا جا سکے، اور جعلی سائٹ کے پاس حاصل کرنے کے لیے بھی کچھ نہیں ہوتا۔ اسی وجہ سے یہ ذاتی اکاؤنٹس کے لیے دستیاب مضبوط ترین سائن اِن طریقوں میں سے ایک ہے۔ تاہم اس کا انحصار اب بھی محفوظ آلے، محفوظ سنک اکاؤنٹ اور بحالی کے اچھے طریقے پر ہے، اور یہ والیٹ کے سیڈ فریز کے لیے کچھ نہیں کرتی۔

اکثر پوچھے گئے سوالات

1. پاس کی کیا ہے؟
پاس کی FIDO کی ایک ایسی اسناد ہے جو آپ کو پاس ورڈ کے بجائے اسی بائیومیٹرک طریقے، PIN یا پیٹرن کے ذریعے کسی ایپ یا ویب سائٹ میں سائن اِن کرنے دیتی ہے جس سے آپ اپنا آلہ اَن لاک کرتے ہیں۔

2. پاس کی اور پاس ورڈ میں کیا فرق ہے؟
پاس ورڈ ایک مشترکہ راز ہے جسے آپ ٹائپ کرتے ہیں اور سائٹ محفوظ کرتی ہے۔ پاس کی کیز کا ایک جوڑا ہے، جس میں سائٹ پر صرف پبلک کی ہوتی ہے؛ یہ ہر اکاؤنٹ کے لیے الگ بنائی جاتی ہے اور آپ کے آلے پر اَن لاک ہوتی ہے۔

3. کیا پاس کی دو مرحلہ تصدیق ہے؟
جب سائن اِن کے لیے آپ کا بائیومیٹرک یا PIN درکار ہو تو یہ آپ کے پاس موجود چیز، یعنی آلے کی کی، کو اس چیز کے ساتھ ملاتی ہے جو آپ ہیں یا جانتے ہیں۔ FIDO کے مطابق، یہ الگ کوڈ کی جگہ لے سکتی ہے، اور NCSC اسے دو مرحلہ تصدیق کے مساوی قرار دیتی ہے۔

4. کیا پاس کی کی فشنگ کی جا سکتی ہے؟
اسے فشنگ کے خلاف مزاحمت کے لیے بنایا گیا ہے، کیونکہ یہ اصل سائٹ کے ڈومین سے منسلک ہوتی ہے۔ حملہ آور پھر بھی کسی اکاؤنٹ کو کمزور متبادل طریقے پر منتقل کرنے کی کوشش کر سکتے ہیں، اس لیے اکاؤنٹ کے دوسرے سائن اِن اختیارات بھی اہم ہیں۔

5. اگر میں وہ آلہ کھو دوں جس پر میری پاس کی ہے تو کیا ہوگا؟
سنک ہونے والی پاس کی اسی سنک اکاؤنٹ کے دوسرے آلات پر دستیاب ہوتی ہے، یا نئے آلے پر اس اکاؤنٹ کی بحالی کے ذریعے واپس حاصل کی جا سکتی ہے۔ آلے سے منسلک پاس کی کاپی نہیں کی جا سکتی، اس لیے بیک اپ کی یا بحالی کا کوئی دوسرا طریقہ درکار ہوتا ہے۔