ലോഗിൻ എങ്ങനെ പ്രവർത്തിക്കുന്നു: Google സൈൻ-ഇൻ, OAuth, പാസ്കീകൾ, ലളിതമായി

Updated 7 Nov 2026

ഈ പേജ് ഇംഗ്ലീഷിൽ നിന്ന് ഓട്ടോമാറ്റിക്കായി വിവർത്തനം ചെയ്തതാണ്.

Contents24

ഒരു ആപ്പ് തുറക്കുമ്പോൾ തന്നെ അത് നിങ്ങളെ തിരിച്ചറിയുന്നുണ്ടെങ്കിൽ, അതിനു പിന്നിൽ ചില ചെറിയ പരിശോധനകൾ നിശ്ശബ്ദമായി നടന്നിട്ടുണ്ട്. ആശ എന്ന ഒരു വിദ്യാർത്ഥിനിയെയും അവളുടെ ഫോണിലെ Edme App-നെയും കൂട്ടുപിടിച്ച് ആ പരിശോധനകൾ ഓരോന്നായി നമുക്ക് നോക്കാം.

ആശ UPSC-ക്ക് തയ്യാറെടുക്കുകയാണ്. അവളുടെ പഠനം കൂടുതലും ഫോണിലാണ്: ബസിൽ, ക്ലാസുകൾക്കിടയിൽ, രാത്രി വൈകിയും. പാഠങ്ങൾക്കും പ്രാക്ടീസ് ടെസ്റ്റുകൾക്കും അവൾ Edme App ഉപയോഗിക്കുന്നു. അവളുടെ Google Calendar-ലെ പരിപാടികൾ നോക്കി ആപ്പ് പഠനസമയം പ്ലാൻ ചെയ്തു തന്നാൽ നന്നായിരുന്നു എന്നും അവൾക്കുണ്ട്. അവൾ ലോഗിൻ ചെയ്യുന്ന നിമിഷം മുതൽ നമുക്ക് അവളുടെ കൂടെ പോകാം.

ഈ പോസ്റ്റ് വായിച്ചു കഴിയുമ്പോൾ നിങ്ങൾക്ക് ഇതൊക്കെ വിശദീകരിക്കാൻ പറ്റും

ഏത് അക്കൗണ്ടാണ് നിങ്ങളുടേതെന്ന് ഒരു ആപ്പ് എങ്ങനെ അറിയുന്നു,

ലോഗിൻ ചെയ്യുന്നതും ഒരു കാര്യം തുറക്കാൻ അനുവാദം കിട്ടുന്നതും എന്തുകൊണ്ട് രണ്ട് വ്യത്യസ്ത പരിശോധനകളാണ്,

"Continue with Google" ടാപ്പ് ചെയ്യുമ്പോൾ ശരിക്കും എന്താണ് സംഭവിക്കുന്നത്,

നിങ്ങളുടെ കലണ്ടർ വായിക്കുന്നതിനു മുമ്പ് ഒരു ആപ്പ് എന്തിനാണ് അനുവാദം ചോദിക്കുന്നത്, പിന്നെ

വെറും വിരലടയാളം കൊണ്ട് ലോഗിൻ ചെയ്യാൻ ഒരു പാസ്കീ (passkey) എങ്ങനെ സഹായിക്കുന്നു, വ്യാജ വെബ്സൈറ്റുകൾക്ക് അത് മോഷ്ടിക്കാൻ കഴിയാത്തത് എന്തുകൊണ്ട്.

1. അക്കൗണ്ട് നിങ്ങളുടേതാണെന്ന് തെളിയിക്കൽ

ആശ Edme App തുറക്കുമ്പോൾ, മറ്റെന്തിനും മുമ്പ് ആപ്പിന് ഒരു ചോദ്യത്തിന് ഉത്തരം കണ്ടെത്തണം: ഇത് ശരിക്കും ആശ തന്നെയാണോ? ആ ചോദ്യം ചോദിക്കാതെ വിട്ടാൽ, ആർക്കും അവളുടെ നോട്ടുകളും ടെസ്റ്റ് മാർക്കുകളും സേവ് ചെയ്ത ഉത്തരങ്ങളും തുറന്നു നോക്കാം.

ഓതന്റിക്കേഷൻ (Authentication)

സ്ക്രീനിനു മുന്നിലിരിക്കുന്ന ആൾ, തുറക്കാൻ ശ്രമിക്കുന്ന അക്കൗണ്ട് ശരിക്കും അയാളുടെ നിയന്ത്രണത്തിലുള്ളതാണോ എന്ന് ഉറപ്പാക്കുന്നതാണ് ഓതന്റിക്കേഷൻ.

ഇതിനുള്ള ഏറ്റവും പഴയ വഴി ഇമെയിലും പാസ്‌വേഡുമാണ്. ഇമെയിൽ പറയുന്നത് ഏത് അക്കൗണ്ട് എന്നാണ്. ആ അക്കൗണ്ടിൽ കയറാൻ നിങ്ങൾക്ക് അവകാശമുണ്ട് എന്നതിന്റെ തെളിവാണ് പാസ്‌വേഡ്. ഫോണിലേക്ക് വരുന്ന OTP, നിങ്ങളുടെ വിരലടയാളം, പാസ്കീ എന്നിവയൊക്കെ മറ്റു തരം തെളിവുകളാണ്. എല്ലാം ഒരേ ചോദ്യത്തിനാണ് ഉത്തരം നൽകുന്നത്.

ലോഗിൻ ആയി എന്നതിനർത്ഥം എല്ലാം തുറക്കാം എന്നല്ല

ഇത് ആശയാണെന്ന് ഉറപ്പായിക്കഴിഞ്ഞാൽ ആപ്പ് രണ്ടാമതൊരു, വേറിട്ട ചോദ്യം ചോദിക്കുന്നു: അവൾക്ക് എന്തൊക്കെ കാണാൻ അനുവാദമുണ്ട്? ഇതിനെയാണ് ഓതറൈസേഷൻ (authorization) എന്ന് പറയുന്നത്.

നിങ്ങളുടെ കോളേജ് തന്നെ ആലോചിച്ചു നോക്കൂ. ഗേറ്റിൽ ID കാർഡ് കാണിക്കുമ്പോൾ നിങ്ങൾ അവിടത്തെ വിദ്യാർത്ഥിയാണെന്ന് തെളിയുന്നു. അതാണ് ഓതന്റിക്കേഷൻ. പക്ഷേ സ്റ്റാഫ് റൂമിലേക്ക് കയറാമോ എന്നത് തീർത്തും വേറൊരു നിയമമാണ്. അതാണ് ഓതറൈസേഷൻ.

Edme App-ലും ഇതുപോലെ തന്നെയാണ്. ആശ Prelims കോഴ്സ് വാങ്ങിയിട്ടുണ്ട്, അതുകൊണ്ട് എല്ലാ Prelims പാഠങ്ങളും അവൾക്ക് തുറക്കാം. Mains കോഴ്സ് അവൾ വാങ്ങിയിട്ടില്ല, അവൾ ടീച്ചറുമല്ല. അതുകൊണ്ട് ലോഗിൻ ചെയ്തിട്ടുണ്ടെങ്കിലും ആ സ്ക്രീനുകൾ അവൾക്ക് പൂട്ടിത്തന്നെ കിടക്കും.

ചോദ്യം	അതിന്റെ പേര്
ഈ ആളുടെ നിയന്ത്രണത്തിലുള്ളത് ഏത് അക്കൗണ്ടാണ്?	ഓതന്റിക്കേഷൻ (Authentication)
ഈ അക്കൗണ്ടിന് എന്തൊക്കെ ചെയ്യാൻ അനുവാദമുണ്ട്?	ഓതറൈസേഷൻ (Authorization)

ലോഗിൻ ചെയ്തിട്ടും "You don't have access" എന്ന് കണ്ടോ?

അതിനർത്ഥം നിങ്ങളുടെ ലോഗിൻ ശരിയായി നടന്നു എന്നാണ്. രണ്ടാമത്തെ പരിശോധനയായ അനുവാദ പരിശോധനയാണ് "പറ്റില്ല" എന്ന് പറയുന്നത്. ലോഗൗട്ട് ചെയ്ത് വീണ്ടും ലോഗിൻ ചെയ്താൽ ഇത് മാറില്ല; കോഴ്സ് വാങ്ങുകയോ ശരിയായ റോൾ കിട്ടുകയോ ചെയ്താൽ മാറും.

2. പാസ്‌വേഡുകൾ, ആപ്പ് എന്തുകൊണ്ട് എപ്പോഴും അത് ചോദിക്കുന്നില്ല

ആശ പാസ്‌വേഡ് ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യുമ്പോൾ മൂന്ന് കാര്യങ്ങൾ നടക്കുന്നു:

അവൾ ഇമെയിലും പാസ്‌വേഡും ടൈപ്പ് ചെയ്യുന്നു.

Edme App പാസ്‌വേഡ് പരിശോധിക്കുന്നു.

ശരിയാണെങ്കിൽ, അവൾ അകത്തു കയറി.

നന്നായി നിർമ്മിച്ച ഒരു ആപ്പും നിങ്ങളുടെ പാസ്‌വേഡ് ആർക്കും വായിക്കാവുന്ന രൂപത്തിൽ സൂക്ഷിക്കില്ല. പകരം അതിന്റെ കുഴച്ചുമറിച്ച ഒരു രൂപമാണ് സൂക്ഷിക്കുക. നിങ്ങൾ ടൈപ്പ് ചെയ്യുന്ന പാസ്‌വേഡ് ശരിയാണോ എന്ന് നോക്കാൻ അത് മതി, പക്ഷേ അതിൽ നിന്ന് യഥാർത്ഥ പാസ്‌വേഡ് തിരിച്ചെടുക്കാൻ പറ്റില്ല. അതുകൊണ്ടാണ് "Forgot password" അമർത്തുമ്പോൾ പഴയ പാസ്‌വേഡ് പറഞ്ഞു തരുന്നതിനു പകരം റീസെറ്റ് ലിങ്ക് അയച്ചു തരുന്നത്: ആപ്പിന്റെ കയ്യിൽ ശരിക്കും അതില്ല.

എന്തുകൊണ്ട് ഓരോ പാഠത്തിനും വീണ്ടും ലോഗിൻ ചെയ്യേണ്ടി വരുന്നില്ല

ആശ ഒരു പാഠം തുറക്കുന്നു, പിന്നെ വേറൊന്ന്, പിന്നെ ഒരു ടെസ്റ്റ്. ഓരോ തവണയും അവൾ പാസ്‌വേഡ് ടൈപ്പ് ചെയ്യുന്നില്ല. ഒരു തവണ ലോഗിൻ വിജയിച്ചു കഴിഞ്ഞാൽ, ആപ്പ് അവളുടെ ഫോണിന് ഒരു താൽക്കാലിക പാസ് നൽകുന്നു. ഇതിനെയാണ് സെഷൻ (session) എന്ന് പറയുന്നത്.

കോൺസർട്ടിനോ കോളേജ് ഫെസ്റ്റിനോ പോകുമ്പോൾ കിട്ടുന്ന റിസ്റ്റ്ബാൻഡ് പോലെയാണിത്. ഗേറ്റിൽ ഒരു തവണ ടിക്കറ്റ് കാണിക്കുന്നു, അവർ കയ്യിൽ ഒരു ബാൻഡ് കെട്ടിത്തരുന്നു, പിന്നെ പരിപാടി തീരുന്നതുവരെ നിങ്ങൾക്ക് സ്വതന്ത്രമായി ചുറ്റിനടക്കാം.

ഒരു വെബ്സൈറ്റിൽ, ബ്രൗസർ ഈ പാസ് കുക്കി (cookie) എന്ന് വിളിക്കുന്ന ചെറിയൊരു സേവ് ചെയ്ത ഡാറ്റയിലാണ് സൂക്ഷിക്കുന്നത്. അവളുടെ ഫോണിലെ Edme App-ഉം ഏതാണ്ട് ഇതുപോലൊന്ന് സൂക്ഷിക്കുന്നു. ഏതായാലും, വീണ്ടും ചോദിക്കാതെ തന്നെ ഓരോ സ്ക്രീനിലും അവളെ തിരിച്ചറിയാൻ ഇത് ആപ്പിനെ സഹായിക്കുന്നു.

ഇതുകൊണ്ടാണ് ചിലപ്പോൾ വീണ്ടും ലോഗിൻ ചെയ്യേണ്ടി വരുന്നത്

"Log out" ടാപ്പ് ചെയ്യുന്നത്, ബ്രൗസർ ഡാറ്റ ക്ലിയർ ചെയ്യുന്നത്, അല്ലെങ്കിൽ കുറച്ചു സമയം കഴിഞ്ഞ് പാസിന്റെ കാലാവധി തീരുന്നത്, ഇവയൊക്കെ ആ റിസ്റ്റ്ബാൻഡ് എടുത്തുകളയുന്നതു പോലെയാണ്. അടുത്ത തവണ ആപ്പ് വീണ്ടും തെളിവ് ചോദിക്കും.

ഈ പോസ്റ്റിന്റെ ബാക്കി ഭാഗം വായിക്കുമ്പോൾ ഇത് ഓർത്തുവെക്കുക: ആശ ഏത് രീതിയിൽ ലോഗിൻ ചെയ്താലും (പാസ്‌വേഡ്, Google, അല്ലെങ്കിൽ പാസ്കീ), ലോഗിൻ ഘട്ടം അവൾ ആരാണെന്ന് തെളിയിക്കുക മാത്രമേ ചെയ്യുന്നുള്ളൂ. അതിനുശേഷം അവളെ ലോഗിൻ ചെയ്ത നിലയിൽ നിർത്തുന്നത് സെഷനാണ്.

3. "Continue with Google" ടാപ്പ് ചെയ്യുമ്പോൾ എന്താണ് സംഭവിക്കുന്നത്

Edme App-ന്റെ ലോഗിൻ സ്ക്രീനിൽ Continue with Google എന്നൊരു ബട്ടണുണ്ട്. ആശ അത് ടാപ്പ് ചെയ്താൽ, Edme App-നു വേണ്ടി പുതിയൊരു പാസ്‌വേഡ് ഉണ്ടാക്കേണ്ട കാര്യമേയില്ല. അവളുടെ Google അക്കൗണ്ട് ആ ജോലി ചെയ്തോളും.

ആ രണ്ടോ മൂന്നോ സെക്കൻഡിനുള്ളിൽ നടക്കുന്നത് ഇതാണ്:

Edme App ആശയെ Google-ലേക്ക് പറഞ്ഞയയ്ക്കുന്നു.

ഇത് അവൾ തന്നെയാണോ എന്ന് Google പരിശോധിക്കുന്നു. സാധാരണ അവൾ ഫോണിൽ നേരത്തെ തന്നെ Google-ൽ സൈൻ ഇൻ ചെയ്തിട്ടുണ്ടാകും, അതുകൊണ്ട് സ്വന്തം അക്കൗണ്ട് തിരഞ്ഞെടുത്താൽ മാത്രം മതി.

Google, Edme App-ന് ഒപ്പിട്ട ഒരു കുറിപ്പ് കൈമാറുന്നു. അതിൽ ചുരുക്കത്തിൽ ഇങ്ങനെയാണ്: "ഇത് ആശയുടെ Google അക്കൗണ്ടാണ്, ഞങ്ങൾ പരിശോധിച്ചു ഉറപ്പാക്കിയിട്ടുണ്ട്."

ആ കുറിപ്പ് ശരിക്കും Google-ൽ നിന്നാണോ വന്നത്, അത് മറ്റേതെങ്കിലും ആപ്പിനല്ല Edme App-നു തന്നെ ഉള്ളതാണോ എന്ന് Edme App പരിശോധിക്കുന്നു.

Edme App അവൾക്കായി സ്വന്തം സെഷൻ തുടങ്ങുന്നു, കഴിഞ്ഞ ഭാഗത്ത് പറഞ്ഞ ആ റിസ്റ്റ്ബാൻഡ്.

sequenceDiagram
    participant A as ആശ
    participant E as Edme App
    participant G as Google
    A->>E: Continue with Google ടാപ്പ് ചെയ്യുന്നു
    E->>G: ഇത് ആരാണെന്ന് ഒന്ന് ഉറപ്പിച്ചു തരൂ
    G->>A: നിങ്ങളുടെ അക്കൗണ്ട് തിരഞ്ഞെടുക്കൂ
    A->>G: സ്വന്തം അക്കൗണ്ട് തിരഞ്ഞെടുക്കുന്നു
    G-->>E: ഒപ്പിട്ട കുറിപ്പ്: ഇത് ആശയാണ്
    E->>E: കുറിപ്പ് യഥാർത്ഥമാണോ എന്ന് നോക്കുന്നു
    E-->>A: അവളുടെ Edme അക്കൗണ്ട് തുറക്കുന്നു

ആശയ്ക്കു വേണ്ടി Google ഉറപ്പു നൽകുന്നു. Edme App, Google-ന്റെ കുറിപ്പ് പരിശോധിച്ച ശേഷം സ്വന്തം സെഷൻ തുടങ്ങുന്നു.

Edme App ഒരിക്കലും നിങ്ങളുടെ Google പാസ്‌വേഡ് കാണുന്നില്ല

അതിന് കിട്ടുന്നത് Google-ന്റെ കുറിപ്പ് മാത്രമാണ്. നിങ്ങളുടെ Google പാസ്‌വേഡ് നിങ്ങൾക്കും Google-നും ഇടയിൽ മാത്രം നിൽക്കുന്നു.

ആ കുറിപ്പ് എഴുതാനും പരിശോധിക്കാനുമുള്ള നിയമപുസ്തകത്തിന് ഒരു പേരുണ്ട്: OpenID Connect, അഥവാ OIDC. അതിന്റെ വിശദാംശങ്ങൾ അറിയേണ്ട. ഒരു സേവനം മറ്റൊന്നിനോട് "അതെ, ഈ ആൾ പറയുന്ന ആൾ തന്നെയാണ്" എന്ന് പറയാനുള്ള സ്റ്റാൻഡേർഡ് രീതിയാണ് ഇതെന്ന് ഓർത്താൽ മതി.

Google വഴി സൈൻ ഇൻ ചെയ്യുന്നതുകൊണ്ട് നിങ്ങളുടെ Calendar-ഓ Gmail-ഓ തുറക്കപ്പെടുന്നില്ല

"Continue with Google" നിങ്ങൾ ആരാണെന്ന് Edme App-നോട് പറയുക മാത്രമേ ചെയ്യുന്നുള്ളൂ. നിങ്ങളുടെ കലണ്ടർ വായിക്കാൻ വേറൊരു അനുവാദം വേണം, അതിനെക്കുറിച്ച് Google സ്വന്തം സ്ക്രീനിൽ നിങ്ങളോട് ചോദിക്കും. അതാണ് അടുത്ത ഭാഗം.

4. OAuth: നിങ്ങളുടെ Google ഡാറ്റയിൽ നിന്ന് അല്പം ഉപയോഗിക്കാൻ ഒരു ആപ്പിനെ അനുവദിക്കൽ

ആശയ്ക്ക് വേണ്ടത്, Edme App അവളുടെ കലണ്ടർ നോക്കി ക്ലാസുകളും കോച്ചിംഗും കഴിഞ്ഞുള്ള പഠനസമയങ്ങൾ നിർദ്ദേശിക്കണം എന്നാണ്. അതിന്, Google-ന്റെ കയ്യിലുള്ള വിവരങ്ങൾ ആപ്പിന് വായിക്കണം.

പണ്ടത്തെ മോശം രീതി, അവളുടെ Google പാസ്‌വേഡ് തന്നെ Edme App-ന് കൊടുക്കുക എന്നതായിരുന്നു. ഒരു ചെടി നനയ്ക്കാൻ വേണ്ടി മാത്രം കൂട്ടുകാരന് വീടിന്റെ മുഴുവൻ താക്കോലും കൊടുക്കുന്നതു പോലെയാണ് അത്. അവന് എല്ലാ മുറിയും തുറക്കാം.

OAuth

നിങ്ങളുടെ പാസ്‌വേഡ് ഒരിക്കലും പങ്കുവെക്കാതെ, മറ്റൊരു സേവനത്തിലുള്ള നിങ്ങളുടെ അക്കൗണ്ട് ഉപയോഗിച്ച് ഒരു നിശ്ചിത കാര്യം ചെയ്യാൻ ഒരു ആപ്പിന് അനുവാദം നൽകാനുള്ള സ്റ്റാൻഡേർഡ് രീതിയാണ് OAuth.

Google Calendar കണക്ട് ചെയ്യൽ

ആശ Edme App-ൽ Connect Google Calendar ടാപ്പ് ചെയ്യുമ്പോൾ, Google അവളെ സ്വന്തം ഒരു സ്ക്രീൻ കാണിക്കുന്നു, ഏതാണ്ട് ഇതുപോലെ:

Edme App-ന് വേണ്ടത്: നിങ്ങളുടെ കലണ്ടർ പരിപാടികൾ കാണാൻ. [Cancel] [Allow]

അവൾ Allow ടാപ്പ് ചെയ്താൽ, Google, Edme App-ന് ഒരു ആക്സസ് ടോക്കൺ (access token) നൽകുന്നു. ഇതൊരു പരിമിതമായ പാസ് ആണെന്ന് കരുതുക, ഹോസ്റ്റലിലെ വിസിറ്റർ സ്ലിപ്പ് പോലെ. അതുകൊണ്ട് സന്ദർശകന് കോമൺ റൂമിൽ മാത്രമേ കയറാൻ പറ്റൂ, വേറെങ്ങും പറ്റില്ല. Edme App ഓരോ തവണ അവളുടെ കലണ്ടർ Google-നോട് ചോദിക്കുമ്പോഴും ഈ പാസ് കാണിക്കുന്നു, മറുപടി നൽകുന്നതിനു മുമ്പ് Google അത് പരിശോധിക്കുന്നു.

flowchart TD
    A[Edme App കലണ്ടർ വായിക്കാൻ അനുവാദം ചോദിക്കുന്നു] --> B[Google ആശയെ അനുവാദ സ്ക്രീൻ കാണിക്കുന്നു]
    B --> C{ആശ അനുവദിക്കുന്നുണ്ടോ?}
    C -->|ഇല്ല| D[ഒന്നും പങ്കുവെക്കുന്നില്ല]
    C -->|ഉണ്ട്| E[Edme App-ന് ആക്സസ് ടോക്കൺ കിട്ടുന്നു]
    E --> F[ടോക്കൺ കാണിച്ച് Edme App, Google-നോട് കലണ്ടർ പരിപാടികൾ ചോദിക്കുന്നു]
    F --> G[Google ടോക്കൺ പരിശോധിച്ച് അനുവദിച്ചത് മാത്രം അയയ്ക്കുന്നു]

അനുവാദമില്ലെങ്കിൽ ഡാറ്റയില്ല. അനുവാദമുണ്ടെങ്കിൽ, ആശ സമ്മതിച്ച കാര്യത്തിന് മാത്രമേ ടോക്കൺ പ്രവർത്തിക്കൂ.

നിങ്ങൾ സമ്മതിച്ചതിന് മാത്രമേ പാസ് ബാധകമാകൂ

കലണ്ടർ പരിപാടികൾ വായിക്കാൻ Edme App-നെ അനുവദിക്കുന്ന ടോക്കൺ കൊണ്ട് അവളുടെ Gmail വായിക്കാനോ ഫോട്ടോകൾ കാണാനോ പരിപാടികൾ ഡിലീറ്റ് ചെയ്യാനോ പറ്റില്ല. അനുവാദത്തിന്റെ ഈ പരിധിയെയാണ് സ്കോപ്പ് (scope) എന്ന് പറയുന്നത്. Allow ടാപ്പ് ചെയ്യുന്നതിനു മുമ്പ് ആ Google സ്ക്രീൻ എപ്പോഴും വായിച്ചു നോക്കുക.

അനുവാദം തിരിച്ചെടുക്കൽ

Google Account സെറ്റിംഗ്സിൽ പോയി ആശയ്ക്ക് എപ്പോൾ വേണമെങ്കിലും Edme App-ന്റെ കലണ്ടർ ആക്സസ് എടുത്തുകളയാം. Security എന്ന ഭാഗത്ത് അവൾ കണക്ട് ചെയ്ത മറ്റു ആപ്പുകളുടെ ഒരു ലിസ്റ്റുണ്ട്. ശ്രദ്ധിക്കുക: Edme App-ൽ നിന്ന് ലോഗൗട്ട് ചെയ്താൽ ഈ അനുവാദം പോകില്ല. ഇവ രണ്ടും വേറെ വേറെ സ്വിച്ചുകളാണ്.

Google സൈൻ-ഇനും OAuth-ഉം, അടുത്തടുത്ത്

ഒരേ Google സ്ക്രീനുകൾ ഉപയോഗിക്കുന്നതുകൊണ്ട് ഇവ രണ്ടും എപ്പോഴും തമ്മിൽ മാറിപ്പോകാറുണ്ട്. വ്യത്യാസം ഇതാണ്:

	Continue with Google (OIDC)	Connect Google Calendar (OAuth)
ഇത് ഉത്തരം നൽകുന്ന ചോദ്യം	നിങ്ങൾ ആരാണ്?	നിങ്ങളുടെ ഡാറ്റ വെച്ച് ഈ ആപ്പിന് എന്തൊക്കെ ചെയ്യാം?
ആപ്പിന് കിട്ടുന്നത്	നിങ്ങൾ ആരാണെന്ന് പറയുന്ന ഒപ്പിട്ട കുറിപ്പ്	നിശ്ചിത ഡാറ്റയ്ക്കുള്ള പരിമിതമായ പാസ് (ആക്സസ് ടോക്കൺ)
ഉദാഹരണം	Edme App-ൽ ലോഗിൻ ചെയ്യുന്നത്	Edme App നിങ്ങളുടെ കലണ്ടർ വായിക്കുന്നത്

ഈ പേരുകൾ ഒരുമിച്ച് കാണുന്നതിന് ഒരു കാരണമുണ്ട്: OpenID Connect നിർമ്മിച്ചിരിക്കുന്നത് OAuth 2.0-ന്റെ മുകളിലാണ്. ഒന്ന് "നിങ്ങൾ എന്ത് അനുവദിച്ചു" എന്നതിന് മുകളിൽ മറ്റേത് "നിങ്ങൾ ആരാണ്" എന്നത് കൂട്ടിച്ചേർക്കുന്നു.

5. പാസ്കീ ഉപയോഗിച്ചുള്ള വെബ് ഓതന്റിക്കേഷൻ

പാസ്‌വേഡുകൾക്ക് രണ്ട് വലിയ പ്രശ്നങ്ങളുണ്ട്. ആളുകൾ അത് മറന്നുപോകും, അതുകൊണ്ട് എല്ലായിടത്തും ഒരേ പാസ്‌വേഡ് തന്നെ ഉപയോഗിക്കും. പിന്നെ, വ്യാജ വെബ്സൈറ്റുകളിൽ അത് ടൈപ്പ് ചെയ്യാൻ ആളുകളെ പറ്റിക്കാനും എളുപ്പമാണ്. പാസ്കീകൾ ഈ രണ്ട് പ്രശ്നങ്ങളും പരിഹരിക്കുന്നു. ലോഗിൻ ചെയ്യാനുള്ള ഏറ്റവും പുതിയ രീതിയാണിത്. കൂടുതൽ കൂടുതൽ ആപ്പുകളിൽ നിങ്ങൾ ഇത് കാണും, അതുകൊണ്ട് ഇത് നന്നായി മനസ്സിലാക്കുന്നത് നല്ലതാണ്.

എന്താണ് പാസ്കീ

നിങ്ങളുടെ തലയിലല്ല, ഫോണിൽ (അല്ലെങ്കിൽ നിങ്ങളുടെ Google അല്ലെങ്കിൽ Apple അക്കൗണ്ടിൽ) സൂക്ഷിക്കുന്ന ഒരു ലോഗിൻ ആണ് പാസ്കീ. നിങ്ങൾ അത് ഒരിക്കലും കാണുന്നില്ല, ടൈപ്പ് ചെയ്യുന്നുമില്ല. ഫോൺ അൺലോക്ക് ചെയ്യാൻ ഉപയോഗിക്കുന്ന അതേ കാര്യം കൊണ്ടാണ് അതും അൺലോക്ക് ചെയ്യുന്നത്: വിരലടയാളം, മുഖം, അല്ലെങ്കിൽ സ്ക്രീൻ PIN.

ആശയുടെ ഭാഗത്തു നിന്ന് നോക്കിയാൽ പാസ്കീ ലോഗിൻ ഇത്രയേ ഉള്ളൂ: Sign in with passkey ടാപ്പ് ചെയ്യുക, ഫിംഗർപ്രിന്റ് സെൻസറിൽ തൊടുക, കഴിഞ്ഞു. പാസ്‌വേഡില്ല, OTP-ക്കായി കാത്തിരിക്കേണ്ട.

അതിനു പിന്നിലെ രണ്ട് കീകൾ

ഓരോ പാസ്കീയും ശരിക്കും ഒരു ജോടി ഡിജിറ്റൽ കീകളാണ്. ഫോൺ തന്നെ ഉണ്ടാക്കുന്ന നീണ്ട അക്കങ്ങളുടെ നിരകളാണ് അവ. ആരും അവ ഓർത്തുവെക്കേണ്ട.

പ്രൈവറ്റ് കീ (private key) ആശയുടെ ഫോണിൽ തന്നെ ഇരിക്കുന്നു. തെളിവ് ഉണ്ടാക്കാനാണ് അത് ഉപയോഗിക്കുന്നത്.

പബ്ലിക് കീ (public key) Edme App-ന് നൽകുന്നു. ആ തെളിവ് പരിശോധിക്കാനാണ് അത് ഉപയോഗിക്കുന്നത്.

ഇങ്ങനെ ഒന്ന് സങ്കൽപ്പിച്ചു നോക്കൂ. ലോകത്ത് മറ്റാർക്കും ഇല്ലാത്ത ഒരു ഡിസൈനുള്ള ഒരു റബ്ബർ സ്റ്റാമ്പ് ആശയുടെ കയ്യിലുണ്ട്. അവൾ ആ സ്റ്റാമ്പ് പൂട്ടി സൂക്ഷിക്കുന്നു. സ്റ്റാമ്പ് പതിഞ്ഞാൽ എങ്ങനെയിരിക്കും എന്നതിന്റെ ഒരു ഫോട്ടോ അവൾ Edme App-ന് കൊടുക്കുന്നു. ലോഗിൻ ചെയ്യേണ്ടപ്പോഴൊക്കെ അവൾ ഒരു പുതിയ കടലാസിൽ സ്റ്റാമ്പ് അടിക്കുന്നു, ആപ്പ് ആ പതിപ്പ് ഫോട്ടോയുമായി ഒത്തുനോക്കുന്നു. ആപ്പിന് ആ പതിപ്പ് പരിശോധിക്കാം, പക്ഷേ ഫോട്ടോ നോക്കി ആർക്കും ആ സ്റ്റാമ്പിന്റെ ഒരു കോപ്പി ഉണ്ടാക്കാൻ പറ്റില്ല.

ഡിജിറ്റൽ രൂപം ഒരു യഥാർത്ഥ സ്റ്റാമ്പിനെക്കാൾ എത്രയോ ശക്തമാണ്: വലിയ കമ്പ്യൂട്ടറുകൾ ഉപയോഗിച്ചാൽ പോലും പബ്ലിക് കീയിൽ നിന്ന് പിന്നോട്ട് കണക്കുകൂട്ടി കണ്ടുപിടിക്കാൻ പറ്റാത്ത ഗണിതത്തിലാണ് അത് നിർമ്മിച്ചിരിക്കുന്നത്.

ഓർക്കുക

പ്രൈവറ്റ് കീ ഒരിക്കലും നിങ്ങളുടെ ഉപകരണം വിട്ടുപോകുന്നില്ല. പബ്ലിക് കീ ആപ്പ് സൂക്ഷിക്കുന്നതിൽ കുഴപ്പമില്ല. അതുകൊണ്ട് മാത്രം ലോഗിൻ ചെയ്യാൻ പറ്റില്ല, അതുകൊണ്ട് ആരെങ്കിലും അത് ആപ്പിൽ നിന്ന് മോഷ്ടിച്ചാൽ പോലും അതുവെച്ച് നിങ്ങളുടെ അക്കൗണ്ടിൽ കയറാൻ കഴിയില്ല.

പാസ്കീ ഉണ്ടാക്കൽ

ആശ ഇപ്പോൾ തന്നെ Edme App-ൽ ലോഗിൻ ചെയ്തിട്ടുണ്ട്. അവൾ അക്കൗണ്ട് സെറ്റിംഗ്സിൽ പോയി Create a passkey ടാപ്പ് ചെയ്യുന്നു. പിന്നെ:

ഫോൺ കയ്യിൽ പിടിച്ചിരിക്കുന്നത് ശരിക്കും അവൾ തന്നെയാണെന്ന് ഉറപ്പാക്കാൻ ഫോൺ അവളുടെ വിരലടയാളം ചോദിക്കുന്നു.

ഫോൺ Edme App-നു വേണ്ടി മാത്രം പുതുപുത്തൻ ഒരു കീ ജോടി ഉണ്ടാക്കുന്നു.

പ്രൈവറ്റ് കീ ഫോണിൽ (അല്ലെങ്കിൽ അവളുടെ Google Password Manager / iCloud Keychain-ൽ) സുരക്ഷിതമായി സേവ് ചെയ്യുന്നു.

പബ്ലിക് കീ Edme App-ലേക്ക് അയയ്ക്കുന്നു.

Edme App മറുപടി പരിശോധിച്ച് പബ്ലിക് കീ ആശയുടെ അക്കൗണ്ടിൽ സേവ് ചെയ്യുന്നു.

sequenceDiagram
    participant A as ആശ
    participant P as അവളുടെ ഫോൺ
    participant E as Edme App
    A->>E: Create a passkey ടാപ്പ് ചെയ്യുന്നു
    E-->>P: edmeapp.ai-ക്കായി ഒരു പാസ്കീ ഉണ്ടാക്കൂ
    P->>A: ഫിംഗർപ്രിന്റ് സെൻസറിൽ തൊടൂ
    A->>P: തൊടുന്നു
    P->>P: കീ ജോടി ഉണ്ടാക്കി പ്രൈവറ്റ് കീ സൂക്ഷിക്കുന്നു
    P->>E: പബ്ലിക് കീ മാത്രം അയയ്ക്കുന്നു
    E->>E: ആശയുടെ അക്കൗണ്ടിൽ അത് സേവ് ചെയ്യുന്നു

പാസ്കീ ഉണ്ടാക്കുമ്പോൾ: പ്രൈവറ്റ് കീ ഫോണിൽ തന്നെ ഇരിക്കുന്നു, പബ്ലിക് കീ മാത്രമേ പുറത്തേക്ക് പോകുന്നുള്ളൂ.

പാസ്കീ ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യൽ

പിറ്റേന്ന് ആശ Edme App തുറന്ന് Sign in with passkey ടാപ്പ് ചെയ്യുന്നു.

Edme App അവളുടെ ഫോണിലേക്ക് പുതിയ, റാൻഡമായ ഒരു പസിൽ അയയ്ക്കുന്നു. ഓരോ തവണയും അത് പുതിയതായിരിക്കും.

ഫോൺ അവളുടെ വിരലടയാളം ചോദിക്കുന്നു.

അവൾ സെൻസറിൽ തൊട്ടാൽ, ഫോൺ പ്രൈവറ്റ് കീ ഉപയോഗിച്ച് ആ പസിലിൽ തന്നെ ഒപ്പിടുന്നു. ഒപ്പിട്ട ഈ ഉത്തരത്തെയാണ് ഡിജിറ്റൽ സിഗ്നേച്ചർ (digital signature) എന്ന് പറയുന്നത്.

നേരത്തെ സേവ് ചെയ്ത പബ്ലിക് കീ ഉപയോഗിച്ച് Edme App ആ സിഗ്നേച്ചർ പരിശോധിക്കുന്നു.

എല്ലാം ശരിയാണെങ്കിൽ അവൾ അകത്തു കയറി, ആപ്പ് അവളുടെ സെഷൻ തുടങ്ങുന്നു.

sequenceDiagram
    participant A as ആശ
    participant P as അവളുടെ ഫോൺ
    participant E as Edme App
    A->>E: Sign in with passkey ടാപ്പ് ചെയ്യുന്നു
    E-->>P: ഇതാ ഒരു പുതിയ പസിൽ, ഇതിൽ ഒപ്പിടൂ
    P->>A: ഫിംഗർപ്രിന്റ് സെൻസറിൽ തൊടൂ
    A->>P: തൊടുന്നു
    P->>E: പ്രൈവറ്റ് കീ കൊണ്ട് ഒപ്പിട്ട പസിൽ
    E->>E: പബ്ലിക് കീ കൊണ്ട് സിഗ്നേച്ചർ പരിശോധിക്കുന്നു
    E-->>A: ലോഗിൻ ആയി

ലോഗിൻ ചെയ്യുമ്പോൾ: ഓരോ തവണയും ഫോൺ ഒരു പുതിയ പസിലിൽ ഒപ്പിടുന്നു, ആപ്പ് അത് പരിശോധിക്കുന്നു.

എന്തിനാണ് ഓരോ തവണയും പുതിയ പസിൽ? കാരണം അപ്പോൾ പഴയ ഉത്തരത്തിന് ഒരു വിലയുമില്ല. ഇന്നലത്തെ ഒപ്പിട്ട പസിൽ ആരെങ്കിലും എങ്ങനെയെങ്കിലും പകർത്തിയെടുത്താലും, ഇന്നത്തെ പസിൽ വേറെയാണ്, അതുകൊണ്ട് അത് വീണ്ടും ഉപയോഗിച്ചിട്ട് കാര്യമില്ല. ഓരോ ലോഗിനിലും മാറുന്ന OTP-യുടെ അതേ ആശയം തന്നെ.

വ്യാജ വെബ്സൈറ്റിന് പാസ്കീ മോഷ്ടിക്കാൻ കഴിയാത്തത് എന്തുകൊണ്ട്

ഇങ്ങനെ ഒന്ന് ആലോചിക്കൂ. ആശയ്ക്ക് ഒരു SMS വരുന്നു: "നിങ്ങളുടെ Edme സബ്സ്ക്രിപ്ഷൻ ഇന്ന് തീരുന്നു! edme-app-offer.com-ൽ പുതുക്കൂ". ആ പേജ് കാണാൻ യഥാർത്ഥ Edme ലോഗിൻ സ്ക്രീൻ പോലെ തന്നെ.

പാസ്‌വേഡ് ആണെങ്കിൽ, അഡ്രസ് തെറ്റാണെന്ന് ശ്രദ്ധിക്കാതെ അവൾ അത് ടൈപ്പ് ചെയ്തേക്കാം. അതോടെ തട്ടിപ്പുകാരുടെ കയ്യിൽ അത് എത്തി.

പാസ്കീ ആണെങ്കിൽ, ലോഗോ നോക്കിയല്ല, വെബ്സൈറ്റിന്റെ അഡ്രസ് തന്നെ ഫോൺ സ്വയം പരിശോധിക്കുന്നു. അവളുടെ പാസ്കീ ഉണ്ടാക്കിയത് edmeapp.ai-ക്കു വേണ്ടിയാണ്, അതുകൊണ്ട് edme-app-offer.com-ൽ ഫോൺ അത് കാണിക്കുക പോലുമില്ല. അവൾക്ക് ടൈപ്പ് ചെയ്യാനോ കൈമാറാനോ ഒന്നുമില്ല.

ഇതാണ് ഏറ്റവും വലിയ നേട്ടം

ഒരു വ്യാജ പേജ് കണ്ട് നിങ്ങൾ പറ്റിക്കപ്പെട്ടേക്കാം. പക്ഷേ ഒരു വ്യാജ അഡ്രസ് കണ്ട് നിങ്ങളുടെ ഫോൺ പറ്റിക്കപ്പെടില്ല. പാസ്കീ ഉപയോഗിക്കുമ്പോൾ നിങ്ങളുടെ രഹസ്യം ഒരിക്കലും കൈമാറുന്നില്ല, അതുകൊണ്ട് പറ്റിച്ചു വാങ്ങാൻ ആർക്കും ഒന്നുമില്ല.

നിങ്ങളുടെ വിരലടയാളം ഫോണിൽ തന്നെ നിൽക്കുന്നു

വിരലടയാളം അല്ല പാസ്കീ

സ്ക്രീൻ അൺലോക്ക് ചെയ്യുന്നതുപോലെ, നിങ്ങളുടെ സ്വന്തം ഫോണിലെ പാസ്കീ അൺലോക്ക് ചെയ്യാൻ മാത്രമാണ് വിരലടയാളം. നിങ്ങളുടെ വിരലടയാളമോ മുഖത്തിന്റെ സ്കാനോ ഫോണിന്റെ PIN-ഓ Edme App-ന് ഒരിക്കലും കിട്ടുന്നില്ല. അതിന് കിട്ടുന്നത് ഒപ്പിട്ട പസിൽ മാത്രം.

ഫോൺ നഷ്ടപ്പെട്ടാലോ?

അത് പാസ്കീ എവിടെയാണ് സേവ് ചെയ്തത് എന്നതിനെ ആശ്രയിച്ചിരിക്കും.

സിങ്ക് ചെയ്ത പാസ്കീകൾ (synced passkeys) നിങ്ങളുടെ Google Password Manager-ലോ (Android) iCloud Keychain-ലോ (iPhone) ആണ് സേവ് ചെയ്യുന്നത്. പുതിയ ഫോണിൽ നിങ്ങളുടെ Google അല്ലെങ്കിൽ Apple അക്കൗണ്ടിൽ സൈൻ ഇൻ ചെയ്യുമ്പോൾ അവയും തിരിച്ചു വരും.

ഒരു ഉപകരണത്തിൽ മാത്രമുള്ള പാസ്കീകൾ (device-only passkeys), ഉദാഹരണത്തിന് ഒരു USB സെക്യൂരിറ്റി കീയിലുള്ളവ, ആ ഒരു ഉപകരണത്തിൽ മാത്രമേ ഉണ്ടാകൂ. അത് നഷ്ടപ്പെട്ടാൽ ആ പാസ്കീയും പോയി.

ഏതായാലും, അക്കൗണ്ടിലേക്ക് കയറാൻ വേറൊരു വഴി കൂടി കരുതിവെക്കുക: രണ്ടാമതൊരു പാസ്കീ, നിങ്ങളുടെ Google സൈൻ-ഇൻ, അല്ലെങ്കിൽ ആപ്പിന്റെ അക്കൗണ്ട് റിക്കവറി. അതാണ് നിങ്ങളുടെ ബാക്കപ്പ് വാതിൽ.

നിങ്ങളുടെ ഫോണിന്റെ ലോക്ക് എത്ര സുരക്ഷിതമാണോ, അത്രയേ പാസ്കീയും സുരക്ഷിതമാകൂ

നിങ്ങളുടെ ഫോൺ PIN അറിയാവുന്ന ആർക്കും നിങ്ങളുടെ പാസ്കീകൾ ഉപയോഗിക്കാം. സ്ക്രീൻ ലോക്ക് ഓണാക്കി വെക്കുക, ആ PIN കൂട്ടുകാരോടു പോലും പങ്കുവെക്കരുത്.

അപ്പോൾ എന്താണ് WebAuthn?

സെറ്റിംഗ്സിലോ ലേഖനങ്ങളിലോ WebAuthn എന്ന വാക്ക് നിങ്ങൾ കണ്ടേക്കാം. Web Authentication എന്നതിന്റെ ചുരുക്കമാണ് അത്.

പാസ്കീകളെക്കുറിച്ച് ഒരു വെബ്സൈറ്റ് നിങ്ങളുടെ ബ്രൗസറുമായി സംസാരിക്കുന്ന പൊതുഭാഷയാണ് WebAuthn. അതുവഴി വെബ്സൈറ്റിന് "എനിക്കായി ഒരു പുതിയ പാസ്കീ ഉണ്ടാക്കൂ" എന്നോ "ഈ പസിലിൽ ഒപ്പിടൂ" എന്നോ പറയാം. അപ്പോൾ ബ്രൗസർ നിങ്ങളുടെ ഫോണിലെ ഫിംഗർപ്രിന്റ് സെൻസറുമായോ ഫേസ് അൺലോക്കുമായോ സെക്യൂരിറ്റി കീയുമായോ സംസാരിച്ച് ഉത്തരം തിരികെ കൈമാറുന്നു. Chrome, Safari, Firefox, Edge എല്ലാം ഈ ഭാഷ സംസാരിക്കും. Android, iPhone ആപ്പുകളും ഉള്ളിൽ ഇതേ സ്റ്റാൻഡേർഡ് തന്നെയാണ് ഉപയോഗിക്കുന്നത്. അതുകൊണ്ട് ഒരു ആപ്പും അതിന്റെ വെബ്സൈറ്റും ബന്ധിപ്പിച്ചിട്ടുണ്ടെങ്കിൽ, ഒരേ പാസ്കീ രണ്ടിലും പ്രവർത്തിക്കും.

ഓർത്തുവെക്കാൻ ഒരു വരി

പാസ്കീ ആണ് താക്കോൽ. അത് ഉപയോഗിക്കാൻ വെബ്സൈറ്റ് നിങ്ങളുടെ ബ്രൗസറിനോട് ആവശ്യപ്പെടുന്ന രീതിയാണ് WebAuthn.

പാസ്കീകളെക്കുറിച്ചുള്ള സാധാരണ തെറ്റിദ്ധാരണകൾ

ആളുകൾ കരുതുന്നത്	ശരിക്കുമുള്ള സത്യം
പാസ്കീ എന്നാൽ എന്റെ വിരലടയാളമാണ്.	അല്ല. നിങ്ങളുടെ വിരലടയാളം ഫോണിലെ പാസ്കീ അൺലോക്ക് ചെയ്യുക മാത്രമേ ചെയ്യുന്നുള്ളൂ.
വെബ്സൈറ്റ് എന്റെ വിരലടയാളം സൂക്ഷിക്കുന്നുണ്ട്.	ഇല്ല. അത് ഒരു പബ്ലിക് കീ മാത്രമേ സൂക്ഷിക്കുന്നുള്ളൂ, നിങ്ങളുടെ വിരലടയാളം ഒരിക്കലും കാണുന്നില്ല.
വെബ്സൈറ്റ് ഹാക്ക് ചെയ്യപ്പെട്ടാൽ എന്റെ പാസ്കീ മോഷ്ടിക്കപ്പെടും.	പബ്ലിക് കീ മാത്രമേ എടുക്കാൻ പറ്റൂ, അതുകൊണ്ട് ലോഗിൻ ചെയ്യാൻ കഴിയില്ല.
ഉണ്ടാക്കിയ ഫോണിൽ മാത്രമേ പാസ്കീ പ്രവർത്തിക്കൂ.	സാധാരണ അങ്ങനെയല്ല. മിക്ക പാസ്കീകളും നിങ്ങളുടെ Google അല്ലെങ്കിൽ Apple അക്കൗണ്ട് വഴി സിങ്ക് ആകും.
പാസ്കീ വെറും ഒരു ഫാൻസി പാസ്‌വേഡ് ആണ്.	അല്ല. നിങ്ങൾ ടൈപ്പ് ചെയ്യുകയോ പങ്കുവെക്കുകയോ ചെയ്യുന്ന ഒരു രഹസ്യവുമില്ല, അതുകൊണ്ടാണ് വ്യാജ സൈറ്റുകൾക്ക് അത് പിടിച്ചെടുക്കാൻ കഴിയാത്തത്.

6. എല്ലാം ഒരുമിച്ച്

ഈ പോസ്റ്റിലെ ഓരോ ആശയവും അതിന്റെ സ്ഥാനത്ത് വെച്ച് ആശയുടെ ഒരു രാവിലെ ഇതാ:

അവൾ Continue with Google ടാപ്പ് ചെയ്യുന്നു. Google ഒപ്പിട്ട ഒരു കുറിപ്പ് അയയ്ക്കുന്നു, Edme App അത് പരിശോധിക്കുന്നു. (ഓതന്റിക്കേഷൻ, OIDC ഉപയോഗിച്ച്)

അവൾ Prelims പാഠം തുറക്കുന്നു. അവളുടെ അക്കൗണ്ട് ആ കോഴ്സ് വാങ്ങിയിട്ടുണ്ടോ എന്ന് ആപ്പ് പരിശോധിക്കുന്നു. (ഓതറൈസേഷൻ)

അവൾ ഒരു പ്രാക്ടീസ് ടെസ്റ്റിലേക്ക് നീങ്ങുന്നു. വീണ്ടും ലോഗിൻ വേണ്ട, കാരണം അവളുടെ റിസ്റ്റ്ബാൻഡ് ഇപ്പോഴും സാധുവാണ്. (സെഷൻ)

അവൾ കലണ്ടർ കണക്ട് ചെയ്യുന്നു. Google അവളോട് അനുവാദം ചോദിക്കുന്നു, ആപ്പിന് ഒരു പരിമിതമായ പാസ് കിട്ടുന്നു. (OAuth)

അവൾ ഒരു പാസ്കീ ഉണ്ടാക്കുന്നു. നാളെ മുതൽ വെറും വിരലടയാളം കൊണ്ട് അവൾക്ക് ലോഗിൻ ചെയ്യാം. (പാസ്കീ, WebAuthn ഉപയോഗിച്ച്)

ഇവ ഓരോന്നും ഓരോ ജോലിയാണ് ചെയ്യുന്നത്, ഒരു സാധാരണ ആപ്പ് ഇവയെല്ലാം ഒരുമിച്ച് ഉപയോഗിക്കുന്നു.

ചുരുക്കത്തിൽ

വാക്ക്	ഒറ്റ വരിയിൽ അതിന്റെ ജോലി
ഓതന്റിക്കേഷൻ (Authentication)	അക്കൗണ്ട് നിങ്ങളുടേതാണെന്ന് തെളിയിക്കുന്നു.
ഓതറൈസേഷൻ (Authorization)	നിങ്ങൾക്ക് എന്തൊക്കെ തുറക്കാം എന്ന് തീരുമാനിക്കുന്നു.
സെഷൻ (Session)	ഒരു തവണ ലോഗിൻ വിജയിച്ചാൽ പിന്നെ നിങ്ങളെ ലോഗിൻ ചെയ്ത നിലയിൽ നിർത്തുന്നു.
Google സൈൻ-ഇൻ / OIDC	നിങ്ങൾ ആരാണെന്ന് Google-നെക്കൊണ്ട് ഉറപ്പു പറയിക്കുന്നു.
OAuth	മറ്റൊരിടത്തുള്ള നിങ്ങളുടെ ഡാറ്റയിൽ കുറച്ചു ഭാഗത്തേക്ക് ഒരു ആപ്പിന് പരിമിതമായ പാസ് നൽകുന്നു.
പാസ്കീ (Passkey)	പാസ്‌വേഡിനു പകരം ഫോണിലുള്ള ഒരു കീ ഉപയോഗിച്ച് നിങ്ങളെ ലോഗിൻ ചെയ്യിക്കുന്നു.
WebAuthn	ബ്രൗസർ വഴി പാസ്കീകൾ ഉണ്ടാക്കാനും ഉപയോഗിക്കാനും വെബ്സൈറ്റുകൾ ഉപയോഗിക്കുന്ന ഭാഷ.

7. സ്വയം പരിശോധിക്കൂ

ഉത്തരം കാണാൻ ചോദ്യത്തിൽ ടാപ്പ് ചെയ്യൂ.

1. ആശ വിജയകരമായി ലോഗിൻ ചെയ്തു, പക്ഷേ ടീച്ചർ ഡാഷ്ബോർഡ് തുറക്കാൻ പറ്റുന്നില്ല. ഏത് പരിശോധനയാണ് അവളെ തടഞ്ഞത്?

ഓതറൈസേഷൻ. അവളുടെ ലോഗിൻ ശരിയായി നടന്നു. അവളുടെ അക്കൗണ്ടിന് ടീച്ചർ അനുവാദം ഇല്ലെന്നു മാത്രം.

2. "Continue with Google" കൊണ്ട് Edme App-ന് അവളുടെ കലണ്ടർ വായിക്കാൻ പറ്റുമോ?

ഇല്ല. സൈൻ ഇൻ ചെയ്യുന്നത് അവൾ ആരാണെന്ന് ആപ്പിനോട് പറയുക മാത്രമേ ചെയ്യുന്നുള്ളൂ. കലണ്ടർ ആക്സസിന് വേറെ അനുവാദം (OAuth) വേണം.

3. പാസ്കീ ലോഗിൻ സമയത്ത് പബ്ലിക് കീ എന്താണ് ചെയ്യുന്നത്?

അത് തെളിവ് പരിശോധിക്കുന്നു. ഫോൺ പ്രൈവറ്റ് കീ കൊണ്ട് ഒരു പുതിയ പസിലിൽ ഒപ്പിടുന്നു, ആ സിഗ്നേച്ചർ പരിശോധിക്കാൻ ആപ്പ് പബ്ലിക് കീ ഉപയോഗിക്കുന്നു.

4. ആശയുടെ വിരലടയാളം Edme App-ന് കിട്ടുന്നുണ്ടോ?

ഇല്ല. വിരലടയാള പരിശോധന അവളുടെ ഫോണിൽ മാത്രമാണ് നടക്കുന്നത്. ആപ്പിന് കിട്ടുന്നത് ഒപ്പിട്ട പസിൽ മാത്രം, വേറൊന്നുമില്ല.

5. ഒരു വ്യാജ സൈറ്റ് Edme ലോഗിൻ പേജ് അതേപടി കോപ്പി ചെയ്യുന്നു. എന്നിട്ടും ആശയുടെ പാസ്കീ അതിന് കിട്ടാത്തത് എന്തുകൊണ്ട്?

കാരണം അവളുടെ ഫോൺ നോക്കുന്നത് വെബ്സൈറ്റിന്റെ അഡ്രസ് ആണ്, പേജിന്റെ രൂപമല്ല. അവളുടെ പാസ്കീ edmeapp.ai-യുടേതാണ്, അതുകൊണ്ട് മറ്റേത് അഡ്രസിലും ഫോൺ അത് ഉപയോഗിക്കില്ല.

6. ഹാക്കർമാർ ഒരു വെബ്സൈറ്റിൽ കടന്നുകയറി എല്ലാവരുടെയും പാസ്കീ ഡാറ്റ കോപ്പി ചെയ്യുന്നു. അവർക്ക് ആ ഉപയോക്താക്കളായി ലോഗിൻ ചെയ്യാൻ പറ്റുമോ?

ഇല്ല. വെബ്സൈറ്റിന്റെ കയ്യിൽ ഉണ്ടായിരുന്നത് പബ്ലിക് കീകൾ മാത്രമാണ്. ലോഗിൻ ചെയ്യാൻ പ്രൈവറ്റ് കീ വേണം, അത് ഒരിക്കലും ഉപയോക്താക്കളുടെ ഫോൺ വിട്ടുപോയിട്ടില്ല.

കൂടുതൽ വായനയ്ക്ക്

കൂടുതൽ ആഴത്തിൽ പഠിക്കണമെന്നുണ്ടെങ്കിൽ, ഈ പോസ്റ്റ് തയ്യാറാക്കാൻ ഉപയോഗിച്ച സ്രോതസ്സുകൾ ഇവയാണ്. തുടങ്ങാൻ ഏറ്റവും എളുപ്പം MDN പേജുകളാണ്.

MDN: ഓതന്റിക്കേഷൻ

OWASP: ഓതറൈസേഷൻ

MDN: പാസ്‌വേഡുകൾ

MDN: സെഷൻ മാനേജ്മെന്റ്

Google: Sign in with Google - ഒരു അവലോകനം

Google: OpenID Connect

Google: Google API-കൾ ആക്സസ് ചെയ്യാൻ OAuth 2.0 ഉപയോഗിക്കൽ

Google: ഉപയോക്തൃ ഓതറൈസേഷൻ എങ്ങനെ പ്രവർത്തിക്കുന്നു

MDN: പാസ്കീകൾ

Google: പാസ്കീ രജിസ്ട്രേഷൻ

Google: പാസ്കീ ഓതന്റിക്കേഷൻ

FIDO Alliance: പാസ്കീകൾ

MDN: Web Authentication API