லாகின் எப்படி வேலை செய்கிறது: Google சைன் இன், OAuth, பாஸ்கீகள், எளிமையான விளக்கம்

Updated 7 Nov 2026

இந்தப் பக்கம் ஆங்கிலத்திலிருந்து தானாக மொழிபெயர்க்கப்பட்டது.

Contents24

ஒவ்வொரு முறை ஒரு ஆப்பைத் திறக்கும்போதும், அது உங்களை உடனே அடையாளம் கண்டுகொள்கிறது என்றால், பின்னணியில் சில அமைதியான சரிபார்ப்புகள் நடந்து முடிந்திருக்கின்றன. ஆஷா என்ற ஒரு மாணவியையும், அவள் போனில் உள்ள Edme App-ஐயும் வைத்து அந்தச் சரிபார்ப்புகளை இந்தப் பதிவு ஒவ்வொன்றாக விளக்குகிறது.

ஆஷா UPSC-க்குத் தயாராகிக்கொண்டிருக்கிறாள். அவளுடைய படிப்பு பெரும்பாலும் போனில்தான்: பஸ்ஸில், வகுப்புகளுக்கு இடையில், இரவு வெகுநேரம் வரை. பாடங்களுக்கும் பயிற்சித் தேர்வுகளுக்கும் அவள் Edme App-ஐப் பயன்படுத்துகிறாள். அவளுடைய Google Calendar-ல் உள்ள நிகழ்வுகளைப் பார்த்து, அவற்றைச் சுற்றி அந்த ஆப் படிப்பு நேரத்தைத் திட்டமிட்டுத் தர வேண்டும் என்றும் அவள் விரும்புகிறாள். அவள் லாகின் செய்யும் நொடியிலிருந்து அவளைப் பின்தொடர்வோம்.

இந்தப் பதிவைப் படித்து முடிக்கும்போது, இவற்றை உங்களால் விளக்க முடியும்

உங்கள் கணக்கு எது என்று ஒரு ஆப் எப்படித் தெரிந்துகொள்கிறது,

லாகின் செய்வதும், ஒன்றைத் திறக்க அனுமதி பெறுவதும் ஏன் இரண்டு வெவ்வேறு சரிபார்ப்புகள்,

"Continue with Google" தட்டும்போது உண்மையில் என்ன நடக்கிறது,

உங்கள் காலண்டரைப் படிப்பதற்கு முன் ஒரு ஆப் ஏன் அனுமதி கேட்கிறது, மற்றும்

ஒரு பாஸ்கீ (passkey) உங்கள் கைரேகையை மட்டும் வைத்து எப்படி லாகின் செய்ய உதவுகிறது, போலி இணையதளங்களால் அதை ஏன் திருட முடியாது.

1. இந்தக் கணக்கு உங்களுடையதுதான் என்று நிரூபிப்பது

ஆஷா Edme App-ஐத் திறக்கும்போது, எல்லாவற்றுக்கும் முன்னால் அந்த ஆப் ஒரு கேள்விக்குப் பதில் கண்டுபிடிக்க வேண்டும்: இது உண்மையிலேயே ஆஷாதானா? அந்தக் கேள்வியை அது தவிர்த்துவிட்டால், யார் வேண்டுமானாலும் அவளுடைய குறிப்புகள், தேர்வு மதிப்பெண்கள், சேமித்த பதில்கள் எல்லாவற்றையும் திறந்து பார்த்துவிடலாம்.

அடையாளச் சரிபார்ப்பு (Authentication)

திரைக்கு முன்னால் இருப்பவர், தான் திறக்க முயலும் கணக்கு உண்மையிலேயே தன் கட்டுப்பாட்டில்தான் இருக்கிறது என்று உறுதிசெய்வதுதான் அடையாளச் சரிபார்ப்பு.

இதைச் செய்வதற்கான மிகப் பழைய வழி ஈமெயிலும் பாஸ்வேர்டும். ஈமெயில் எந்தக் கணக்கு என்று ஆப்புக்குச் சொல்கிறது. அந்தக் கணக்குக்குள் நுழைய உங்களுக்கு உரிமை உண்டு என்பதற்கான ஆதாரம் பாஸ்வேர்டு. உங்கள் போனுக்கு வரும் OTP, உங்கள் கைரேகை, ஒரு பாஸ்கீ ஆகியவை வேறு வகையான ஆதாரங்கள். எல்லாமே ஒரே கேள்விக்குத்தான் பதில் சொல்கின்றன.

லாகின் ஆவது வேறு, உள்ளே அனுமதிக்கப்படுவது வேறு

இது ஆஷாதான் என்று தெரிந்ததும், ஆப் இரண்டாவதாகத் தனியாக ஒரு கேள்வி கேட்கிறது: அவள் எதையெல்லாம் பார்க்கலாம்? இதற்குப் பெயர் அனுமதிச் சரிபார்ப்பு (Authorization).

உங்கள் கல்லூரியை நினைத்துப் பாருங்கள். வாசலில் உங்கள் ID கார்டைக் காட்டினால், நீங்கள் அங்கே படிக்கும் மாணவர் என்று நிரூபணமாகிறது. அதுதான் அடையாளச் சரிபார்ப்பு. ஆனால் நீங்கள் ஸ்டாஃப் ரூமுக்குள் நுழையலாமா என்பது முற்றிலும் வேறு விதி. அதுதான் அனுமதிச் சரிபார்ப்பு.

Edme App-லும் இது இப்படித்தான் வேலை செய்கிறது. ஆஷா Prelims கோர்ஸை வாங்கியிருக்கிறாள், அதனால் எல்லா Prelims பாடங்களையும் அவளால் திறக்க முடியும். Mains கோர்ஸை அவள் வாங்கவில்லை, அவள் ஆசிரியரும் இல்லை. அதனால் லாகின் செய்திருந்தாலும் அந்தத் திரைகள் அவளுக்குப் பூட்டியே இருக்கும்.

கேள்வி	அதன் பெயர்
இந்த நபர் எந்தக் கணக்கைக் கட்டுப்படுத்துகிறார்?	அடையாளச் சரிபார்ப்பு (Authentication)
இந்தக் கணக்கு என்னென்ன செய்யலாம்?	அனுமதிச் சரிபார்ப்பு (Authorization)

லாகின் செய்த பிறகு "You don't have access" என்று வந்ததா?

அப்படியென்றால் உங்கள் லாகின் சரியாகத்தான் வேலை செய்திருக்கிறது. இரண்டாவது சரிபார்ப்பான அனுமதிச் சரிபார்ப்புதான் "முடியாது" என்கிறது. லாக் அவுட் செய்து மீண்டும் லாகின் செய்தால் இது மாறாது; கோர்ஸை வாங்கினாலோ, சரியான role (பங்கு) கிடைத்தாலோதான் மாறும்.

2. பாஸ்வேர்டுகள், ஆப் ஏன் ஒவ்வொரு முறையும் கேட்பதில்லை

ஆஷா பாஸ்வேர்டு வைத்து லாகின் செய்யும்போது மூன்று விஷயங்கள் நடக்கின்றன:

அவள் தன் ஈமெயிலையும் பாஸ்வேர்டையும் டைப் செய்கிறாள்.

Edme App அந்தப் பாஸ்வேர்டைச் சரிபார்க்கிறது.

பொருந்தினால், அவள் உள்ளே.

நன்றாக உருவாக்கப்பட்ட எந்த ஆப்பும் உங்கள் பாஸ்வேர்டை அப்படியே படிக்கக்கூடிய எழுத்தாக வைத்திருக்காது. அதைக் குழப்பி மாற்றிய ஒரு வடிவத்தைத்தான் வைத்திருக்கும். நீங்கள் டைப் செய்யும் பாஸ்வேர்டைச் சரிபார்க்க அது உதவும், ஆனால் அதிலிருந்து அசல் பாஸ்வேர்டை மீண்டும் பெற முடியாது. அதனால்தான் "Forgot password" உங்கள் பழைய பாஸ்வேர்டைச் சொல்லாமல், புதிதாக அமைக்க ஒரு லிங்கை அனுப்புகிறது: உண்மையிலேயே அந்த ஆப்பிடம் உங்கள் பாஸ்வேர்டு இல்லை.

ஒவ்வொரு பாடத்துக்கும் அவள் ஏன் மீண்டும் லாகின் செய்வதில்லை

ஆஷா ஒரு பாடத்தைத் திறக்கிறாள், பிறகு இன்னொன்று, பிறகு ஒரு தேர்வு. ஒவ்வொரு முறையும் அவள் பாஸ்வேர்டை டைப் செய்வதில்லை. ஒருமுறை லாகின் வெற்றிகரமாக முடிந்ததும், ஆப் அவள் போனுக்கு ஒரு தற்காலிக பாஸ் கொடுக்கிறது. இதற்குப் பெயர் செஷன் (session).

கச்சேரியிலோ கல்லூரி ஃபெஸ்டிலோ கையில் கட்டிவிடும் ரிஸ்ட்பேண்ட் மாதிரிதான் இது. வாசலில் ஒருமுறை டிக்கெட்டைக் காட்டுகிறீர்கள், அவர்கள் உங்கள் கையில் ஒரு பேண்ட் கட்டுகிறார்கள். அதன் பிறகு நிகழ்ச்சி முடியும் வரை நீங்கள் சுதந்திரமாகச் சுற்றி வரலாம்.

ஒரு இணையதளத்தில், இந்த பாஸை பிரவுசர் குக்கீ (cookie) என்ற ஒரு சிறிய சேமிப்புத் தகவலில் வைத்துக்கொள்கிறது. அவள் போனில் உள்ள Edme App-உம் கிட்டத்தட்ட இதே மாதிரி ஒன்றைச் சேமிக்கிறது. எப்படியிருந்தாலும், மீண்டும் கேட்காமலேயே ஒவ்வொரு திரையிலும் அவளை அடையாளம் கண்டுகொள்ள இது ஆப்புக்கு உதவுகிறது.

அதனால்தான் சில நேரம் மீண்டும் லாகின் செய்ய வேண்டியிருக்கிறது

"Log out" தட்டுவது, பிரவுசர் டேட்டாவை அழிப்பது, அல்லது சில நேரம் கழித்து பாஸ் தானாகக் காலாவதியாவது: இவை எல்லாமே அந்த ரிஸ்ட்பேண்டைக் கழற்றி எறிவது போலத்தான். அடுத்த முறை ஆப் மீண்டும் ஆதாரம் கேட்கும்.

இந்தப் பதிவின் மீதிப் பகுதி முழுக்க இதை நினைவில் வைத்துக்கொள்ளுங்கள்: ஆஷா எந்த வழியில் லாகின் செய்தாலும் (பாஸ்வேர்டு, Google அல்லது பாஸ்கீ), லாகின் படி அவள் யார் என்பதை மட்டுமே நிரூபிக்கிறது. அதன் பிறகு அவளை லாகின் நிலையிலேயே வைத்திருப்பது செஷன்தான்.

3. "Continue with Google" தட்டும்போது என்ன நடக்கிறது

Edme App-இன் லாகின் திரையில் Continue with Google என்ற ஒரு பட்டன் இருக்கிறது. ஆஷா அதைத் தட்டினால், Edme App-க்காகப் புதிய பாஸ்வேர்டு உருவாக்கவே தேவையில்லை. அவளுடைய Google கணக்கே அந்த வேலையைச் செய்துவிடும்.

அந்த இரண்டு மூன்று நொடிகளில் நடப்பது இதுதான்:

Edme App ஆஷாவை Google-இடம் அனுப்புகிறது.

அது அவள்தான் என்று Google சரிபார்க்கிறது. பொதுவாக அவள் போனில் ஏற்கெனவே Google-ல் சைன் இன் செய்திருப்பாள், அதனால் தன் கணக்கைத் தேர்ந்தெடுப்பது மட்டும்தான் அவள் வேலை.

Google, Edme App-இடம் கையொப்பமிட்ட ஒரு குறிப்பைக் கொடுக்கிறது. அதன் அர்த்தம் இதுதான்: "இது ஆஷாவின் Google கணக்கு, நாங்கள் சரிபார்த்துவிட்டோம்."

அந்தக் குறிப்பு உண்மையிலேயே Google-இடமிருந்து வந்ததா, வேறு ஏதோ ஆப்புக்கு அல்லாமல் Edme App-க்காகவே கொடுக்கப்பட்டதா என்று Edme App சரிபார்க்கிறது.

Edme App அவளுக்காகத் தன் சொந்த செஷனைத் தொடங்குகிறது. முந்தைய பகுதியில் பார்த்த அதே ரிஸ்ட்பேண்ட்தான்.

sequenceDiagram
    participant A as ஆஷா
    participant E as Edme App
    participant G as Google
    A->>E: Continue with Google தட்டுகிறாள்
    E->>G: இது யார் என்று உறுதிசெய்யுங்கள்
    G->>A: உங்கள் கணக்கைத் தேர்ந்தெடுங்கள்
    A->>G: தன் கணக்கைத் தேர்ந்தெடுக்கிறாள்
    G-->>E: கையொப்பமிட்ட குறிப்பு: இது ஆஷா
    E->>E: குறிப்பு உண்மையானதா என்று சரிபார்க்கிறது
    E-->>A: அவளுடைய Edme கணக்கைத் திறக்கிறது

Google ஆஷாவுக்கு உத்தரவாதம் தருகிறது. Edme App, Google-இன் குறிப்பைச் சரிபார்த்து, பிறகு தன் சொந்த செஷனைத் தொடங்குகிறது.

Edme App உங்கள் Google பாஸ்வேர்டைப் பார்ப்பதே இல்லை

அதற்கு Google-இன் குறிப்பு மட்டுமே கிடைக்கிறது. உங்கள் Google பாஸ்வேர்டு உங்களுக்கும் Google-க்கும் இடையில் மட்டுமே இருக்கும்.

அந்தக் குறிப்பை எழுதுவதற்கும் சரிபார்ப்பதற்குமான விதிமுறைப் புத்தகத்துக்கு ஒரு பெயர் உண்டு: OpenID Connect, அல்லது OIDC. விவரங்கள் தெரிய வேண்டியதில்லை. ஒரு சேவை இன்னொரு சேவையிடம் "ஆமாம், இவர் சொல்லும் அதே நபர்தான்" என்று சொல்வதற்கான நிலையான வழி இது என்பதை மட்டும் நினைவில் வையுங்கள்.

Google மூலம் சைன் இன் செய்வது உங்கள் Calendar-ஐயோ Gmail-ஐயோ திறக்காது

"Continue with Google" நீங்கள் யார் என்பதை மட்டுமே Edme App-க்குச் சொல்கிறது. உங்கள் காலண்டரைப் படிக்கத் தனியாக ஒரு அனுமதி தேவை. அதைப் பற்றி Google தன் சொந்தத் திரையில் உங்களிடம் கேட்கும். அதுதான் அடுத்த பகுதி.

4. OAuth: உங்கள் Google டேட்டாவில் கொஞ்சத்தை ஒரு ஆப் பயன்படுத்த அனுமதிப்பது

Edme App தன் காலண்டரைப் பார்த்து, வகுப்புகளுக்கும் கோச்சிங்குக்கும் இடையில் படிப்பு நேரங்களைப் பரிந்துரைக்க வேண்டும் என்று ஆஷா விரும்புகிறாள். அதற்கு, Google-இடம் இருக்கும் தகவலை அந்த ஆப் படிக்க வேண்டும்.

பழைய, மோசமான வழி என்றால் Edme App-இடம் அவளுடைய Google பாஸ்வேர்டைக் கொடுப்பது. ஒரே ஒரு செடிக்குத் தண்ணீர் ஊற்றுவதற்காக ஒரு நண்பரிடம் வீடு முழுவதற்குமான சாவியைக் கொடுப்பது மாதிரி அது. அவரால் எல்லா அறைகளையும் திறக்க முடியும்.

OAuth

உங்கள் பாஸ்வேர்டைப் பகிராமலேயே, இன்னொரு சேவையில் உள்ள உங்கள் கணக்கை வைத்து ஒரு குறிப்பிட்ட வேலையை மட்டும் செய்ய ஒரு ஆப்புக்கு அனுமதி கொடுப்பதற்கான நிலையான வழிதான் OAuth.

Google Calendar-ஐ இணைப்பது

Edme App-ல் ஆஷா Connect Google Calendar தட்டும்போது, Google தன் சொந்தத் திரையை அவளுக்குக் காட்டுகிறது, கிட்டத்தட்ட இப்படி:

Edme App இதற்கு அனுமதி கேட்கிறது: உங்கள் காலண்டர் நிகழ்வுகளைப் பார்க்க. [Cancel] [Allow]

அவள் Allow தட்டினால், Google, Edme App-க்கு ஒரு அக்சஸ் டோக்கன் (access token) கொடுக்கிறது. இதை ஒரு வரம்புக்குட்பட்ட பாஸ் என்று நினைத்துக்கொள்ளுங்கள். ஹாஸ்டலில் தரும் விசிட்டர் சீட்டு மாதிரி: அதை வைத்து ஒருவர் காமன் ரூமுக்குள் மட்டும் போகலாம், வேறு எங்கும் போக முடியாது. ஒவ்வொரு முறை Edme App, Google-இடம் அவள் காலண்டரைக் கேட்கும்போதும் இந்த பாஸைக் காட்டுகிறது. பதில் சொல்வதற்கு முன் Google அதைச் சரிபார்க்கிறது.

flowchart TD
    A[Edme App காலண்டரைப் படிக்க அனுமதி கேட்கிறது] --> B[Google ஆஷாவுக்கு அனுமதித் திரையைக் காட்டுகிறது]
    B --> C{ஆஷா அனுமதிக்கிறாளா?}
    C -->|இல்லை| D[எதுவும் பகிரப்படுவதில்லை]
    C -->|ஆம்| E[Edme App-க்கு அக்சஸ் டோக்கன் கிடைக்கிறது]
    E --> F[Edme App டோக்கனைக் காட்டி Google-இடம் காலண்டர் நிகழ்வுகளைக் கேட்கிறது]
    F --> G[Google டோக்கனைச் சரிபார்த்து, அனுமதித்ததை மட்டும் அனுப்புகிறது]

அனுமதி இல்லையென்றால் டேட்டாவும் இல்லை. அனுமதி இருந்தால், ஆஷா ஒப்புக்கொண்டதற்கு மட்டுமே டோக்கன் வேலை செய்யும்.

நீங்கள் ஒப்புக்கொண்டதற்கு மட்டுமே பாஸ் செல்லும்

Edme App-ஐ காலண்டர் நிகழ்வுகளைப் படிக்க மட்டும் அனுமதிக்கும் ஒரு டோக்கனால் அவளுடைய Gmail-ஐப் படிக்க முடியாது, புகைப்படங்களைப் பார்க்க முடியாது, நிகழ்வுகளை நீக்கவும் முடியாது. இந்த எல்லைக்குத்தான் அனுமதியின் ஸ்கோப் (scope) என்று பெயர். Allow தட்டுவதற்கு முன் அந்த Google திரையை எப்போதும் படித்துப் பாருங்கள்.

அனுமதியைத் திரும்பப் பெறுவது

தன் Google Account அமைப்புகளிலிருந்து எப்போது வேண்டுமானாலும் Edme App-இன் காலண்டர் அனுமதியை ஆஷா நீக்கலாம். Security பகுதியில், அவள் இணைத்துள்ள மூன்றாம் தரப்பு ஆப்களின் பட்டியல் இருக்கும். கவனியுங்கள்: Edme App-லிருந்து லாக் அவுட் செய்வது இந்த அனுமதியை நீக்காது. இவை இரண்டு தனித்தனி ஸ்விட்சுகள்.

Google சைன் இன் vs OAuth: பக்கத்தில் வைத்துப் பார்ப்போம்

இரண்டும் ஒரே Google திரைகளைப் பயன்படுத்துவதால், இவை அடிக்கடி குழம்பிவிடுகின்றன. வித்தியாசம் இதுதான்:

	Continue with Google (OIDC)	Connect Google Calendar (OAuth)
இது பதில் சொல்லும் கேள்வி	நீங்கள் யார்?	உங்கள் டேட்டாவை வைத்து இந்த ஆப் என்ன செய்யலாம்?
ஆப்புக்குக் கிடைப்பது	நீங்கள் யார் என்று சொல்லும் கையொப்பமிட்ட குறிப்பு	குறிப்பிட்ட டேட்டாவுக்கான வரம்புக்குட்பட்ட பாஸ் (அக்சஸ் டோக்கன்)
உதாரணம்	Edme App-ல் லாகின் செய்வது	Edme App உங்கள் காலண்டரைப் படிப்பது

இந்த இரண்டு பெயர்களும் சேர்ந்தே வருவதற்குக் காரணம் உண்டு: OpenID Connect, OAuth 2.0-இன் மேல் கட்டப்பட்டது. ஒன்று "நீங்கள் எதை அனுமதித்தீர்கள்" என்பதைக் கவனிக்கிறது; அதன் மேல் மற்றொன்று "நீங்கள் யார்" என்பதைச் சேர்க்கிறது.

5. பாஸ்கீ மூலம் வெப் அடையாளச் சரிபார்ப்பு

பாஸ்வேர்டுகளில் இரண்டு பெரிய பிரச்சனைகள் இருக்கின்றன. மக்கள் அவற்றை மறந்துவிடுகிறார்கள், அதனால் எல்லா இடத்திலும் ஒரே பாஸ்வேர்டைப் பயன்படுத்துகிறார்கள். போலி இணையதளங்களில் ஏமாந்து அவற்றை டைப் செய்தும் விடுகிறார்கள். பாஸ்கீகள் இந்த இரண்டு பிரச்சனைகளையும் சரிசெய்கின்றன. லாகின் செய்வதற்கான மிகப் புதிய வழி இது. இனி மேலும் மேலும் பல ஆப்களில் இதைப் பார்ப்பீர்கள் என்பதால், இதைச் சரியாகப் புரிந்துகொள்வது நல்லது.

பாஸ்கீ என்றால் என்ன

பாஸ்கீ என்பது உங்கள் நினைவில் இல்லாமல், உங்கள் போனில் (அல்லது உங்கள் Google அல்லது Apple கணக்கில்) இருக்கும் ஒரு லாகின். நீங்கள் அதைப் பார்ப்பதும் இல்லை, டைப் செய்வதும் இல்லை. உங்கள் போனைத் திறக்க எதைப் பயன்படுத்துகிறீர்களோ அதையே வைத்து இதையும் திறக்கிறீர்கள்: கைரேகை, முகம், அல்லது ஸ்கிரீன் PIN.

ஆஷாவின் பக்கத்திலிருந்து பார்த்தால், பாஸ்கீ லாகின் இப்படி இருக்கும்: Sign in with passkey தட்டுகிறாள், கைரேகை சென்சாரைத் தொடுகிறாள், முடிந்தது. பாஸ்வேர்டு இல்லை, OTP-க்காகக் காத்திருக்கவும் வேண்டாம்.

இதன் பின்னால் இருக்கும் இரண்டு சாவிகள்

ஒவ்வொரு பாஸ்கீயும் உண்மையில் ஒரு ஜோடி டிஜிட்டல் சாவிகள். அவை போன் உருவாக்கும் நீண்ட எண் வரிசைகள். யாரும் அவற்றை நினைவில் வைத்துக்கொள்ள வேண்டியதில்லை.

பிரைவேட் கீ (private key) ஆஷாவின் போனிலேயே இருக்கும். ஆதாரத்தை உருவாக்க அது பயன்படுகிறது.

பப்ளிக் கீ (public key) Edme App-க்குக் கொடுக்கப்படுகிறது. அந்த ஆதாரத்தைச் சரிபார்க்க அது பயன்படுகிறது.

இதை இப்படிக் கற்பனை செய்து பாருங்கள். உலகில் வேறு யாரிடமும் இல்லாத ஒரு டிசைன் கொண்ட ரப்பர் ஸ்டாம்ப் ஆஷாவிடம் இருக்கிறது. அந்த ஸ்டாம்பை அவள் பூட்டி வைத்திருக்கிறாள். ஸ்டாம்ப் அடித்தால் வரும் முத்திரை எப்படி இருக்கும் என்று ஒரு போட்டோவை Edme App-இடம் கொடுக்கிறாள். லாகின் செய்ய வேண்டிய ஒவ்வொரு முறையும், ஒரு புதிய காகிதத்தில் ஸ்டாம்ப் அடிக்கிறாள். ஆப் அந்த முத்திரையை போட்டோவுடன் ஒப்பிட்டுப் பார்க்கிறது. ஆப்பால் முத்திரையைச் சரிபார்க்க முடியும், ஆனால் அந்த போட்டோவை வைத்து யாராலும் அதே போன்ற ஸ்டாம்பைச் செதுக்க முடியாது.

டிஜிட்டல் வடிவம் நிஜ ஸ்டாம்பை விடப் பல மடங்கு வலிமையானது: சக்திவாய்ந்த கணினிகளை வைத்துக்கூட, பப்ளிக் கீயிலிருந்து பின்னோக்கிக் கணக்குப் போட்டுக் கண்டுபிடிக்க முடியாத கணிதத்தின் மேல் அது கட்டப்பட்டிருக்கிறது.

நினைவில் வையுங்கள்

பிரைவேட் கீ உங்கள் சாதனத்தை விட்டு வெளியே போவதே இல்லை. பப்ளிக் கீயை ஆப் வைத்திருப்பது பாதுகாப்பானதுதான். அதை மட்டும் வைத்து லாகின் செய்ய முடியாது. அதனால் யாராவது அதை ஆப்பிடமிருந்து திருடினாலும், அதைக் கொண்டு உங்கள் கணக்குக்குள் நுழைய முடியாது.

பாஸ்கீ உருவாக்குவது

ஆஷா ஏற்கெனவே Edme App-ல் லாகின் செய்திருக்கிறாள். தன் கணக்கு அமைப்புகளுக்குப் போய் Create a passkey தட்டுகிறாள். அதன் பிறகு:

போனைக் கையில் வைத்திருப்பது உண்மையிலேயே அவள்தான் என்று உறுதிசெய்ய, அவள் போன் அவளுடைய கைரேகையைக் கேட்கிறது.

அவள் போன், Edme App-க்கு மட்டுமே என்று ஒரு புத்தம் புதிய சாவி ஜோடியை உருவாக்குகிறது.

பிரைவேட் கீ போனில் பாதுகாப்பாகச் சேமிக்கப்படுகிறது (அல்லது அவளுடைய Google Password Manager / iCloud Keychain-ல்).

பப்ளிக் கீ Edme App-க்கு அனுப்பப்படுகிறது.

Edme App அந்தப் பதிலைச் சரிபார்த்து, பப்ளிக் கீயை ஆஷாவின் கணக்குடன் சேர்த்துச் சேமிக்கிறது.

sequenceDiagram
    participant A as ஆஷா
    participant P as அவள் போன்
    participant E as Edme App
    A->>E: Create a passkey தட்டுகிறாள்
    E-->>P: edmeapp.ai-க்காக ஒரு பாஸ்கீ உருவாக்குங்கள்
    P->>A: கைரேகை சென்சாரைத் தொடுங்கள்
    A->>P: தொடுகிறாள்
    P->>P: சாவி ஜோடியை உருவாக்கி, பிரைவேட் கீயை வைத்துக்கொள்கிறது
    P->>E: பப்ளிக் கீயை மட்டும் அனுப்புகிறது
    E->>E: அதை ஆஷாவின் கணக்கில் சேமிக்கிறது

பாஸ்கீ உருவாக்குவது: பிரைவேட் கீ போனிலேயே இருக்கும், பப்ளிக் கீ மட்டுமே வெளியே பயணிக்கிறது.

பாஸ்கீ மூலம் லாகின் செய்வது

அடுத்த நாள் ஆஷா Edme App-ஐத் திறந்து Sign in with passkey தட்டுகிறாள்.

Edme App அவள் போனுக்குப் புதிய, ரேண்டமான ஒரு புதிரை அனுப்புகிறது. ஒவ்வொரு முறையும் இது புதியதாகவே இருக்கும்.

அவள் போன் அவளுடைய கைரேகையைக் கேட்கிறது.

அவள் சென்சாரைத் தொட்டதும், போன் பிரைவேட் கீயைப் பயன்படுத்தி அதே புதிரில் கையொப்பமிடுகிறது. இப்படிக் கையொப்பமிட்ட பதிலுக்குப் பெயர் டிஜிட்டல் கையொப்பம் (digital signature).

முன்பே சேமித்து வைத்த பப்ளிக் கீயைக் கொண்டு Edme App அந்தக் கையொப்பத்தைச் சரிபார்க்கிறது.

சரியாக இருந்தால், அவள் உள்ளே. ஆப் அவளுடைய செஷனைத் தொடங்குகிறது.

sequenceDiagram
    participant A as ஆஷா
    participant P as அவள் போன்
    participant E as Edme App
    A->>E: Sign in with passkey தட்டுகிறாள்
    E-->>P: இதோ ஒரு புதிய புதிர், இதில் கையொப்பமிடுங்கள்
    P->>A: கைரேகை சென்சாரைத் தொடுங்கள்
    A->>P: தொடுகிறாள்
    P->>E: பிரைவேட் கீயால் கையொப்பமிட்ட புதிர்
    E->>E: பப்ளிக் கீயால் கையொப்பத்தைச் சரிபார்க்கிறது
    E-->>A: லாகின் ஆகிவிட்டது

லாகின் செய்வது: ஒவ்வொரு முறையும் போன் ஒரு புதிய புதிரில் கையொப்பமிடுகிறது, ஆப் அதைச் சரிபார்க்கிறது.

ஏன் ஒவ்வொரு முறையும் புதிய புதிர்? அப்போதுதான் பழைய பதில் பயனற்றதாகிவிடும். நேற்றைய கையொப்பமிட்ட புதிரை யாராவது எப்படியோ பதிவு செய்து வைத்திருந்தாலும், இன்றைய புதிர் வேறு. அதனால் அதைத் திரும்பப் பயன்படுத்தினால் ஒன்றும் நடக்காது. ஒவ்வொரு லாகினுக்கும் மாறும் OTP-இன் அதே யோசனைதான் இது.

போலி இணையதளத்தால் ஏன் பாஸ்கீயைத் திருட முடியாது

இப்படி ஒரு நிலையை யோசித்துப் பாருங்கள். ஆஷாவுக்கு ஒரு SMS வருகிறது: "உங்கள் Edme சந்தா இன்றுடன் முடிகிறது! edme-app-offer.com-ல் புதுப்பியுங்கள்". அந்தப் பக்கம் உண்மையான Edme லாகின் திரையைப் போலவே அச்சு அசலாக இருக்கிறது.

பாஸ்வேர்டு என்றால், முகவரி தவறு என்று கவனிக்காமலேயே அவள் அதை டைப் செய்துவிடலாம். இப்போது அது மோசடிக்காரர்களின் கையில்.

பாஸ்கீ என்றால், லோகோவைப் பார்த்து அல்ல, இணையதளத்தின் முகவரியை அவள் போனே நேரடியாகச் சரிபார்க்கிறது. அவளுடைய பாஸ்கீ edmeapp.ai-க்காக உருவாக்கப்பட்டது. அதனால் edme-app-offer.com-ல் போன் அதைக் காட்டவே காட்டாது. அவள் டைப் செய்யவும் எதுவும் இல்லை, கொடுக்கவும் எதுவும் இல்லை.

இதுதான் மிகப் பெரிய லாபம்

ஒரு போலிப் பக்கம் உங்களை ஏமாற்றலாம். ஆனால் போலி முகவரி உங்கள் போனை ஏமாற்றாது. பாஸ்கீ இருந்தால் உங்கள் ரகசியத்தை நீங்கள் யாரிடமும் கொடுப்பதே இல்லை. அதனால் உங்களை ஏமாற்றிப் பறிக்க எதுவுமே இல்லை.

உங்கள் கைரேகை உங்கள் போனிலேயே இருக்கும்

கைரேகை என்பது பாஸ்கீ அல்ல

உங்கள் கைரேகை, உங்கள் ஸ்கிரீனைத் திறப்பது போலவே, உங்கள் சொந்த போனில் உள்ள பாஸ்கீயைத் திறக்க மட்டுமே பயன்படுகிறது. உங்கள் கைரேகையோ, முக ஸ்கேனோ, போன் PIN-ஓ Edme App-க்குக் கிடைப்பதே இல்லை. அதற்குக் கிடைப்பது கையொப்பமிட்ட புதிர் மட்டுமே.

போன் தொலைந்துவிட்டால் என்ன ஆகும்?

பாஸ்கீ எங்கே சேமிக்கப்பட்டது என்பதைப் பொறுத்து இது மாறும்.

சிங்க் ஆகும் பாஸ்கீகள் (Synced passkeys) உங்கள் Google Password Manager (Android) அல்லது iCloud Keychain (iPhone)-ல் சேமிக்கப்படுகின்றன. புதிய போனில் உங்கள் Google அல்லது Apple கணக்கில் சைன் இன் செய்யும்போது, அவையும் கூடவே திரும்பி வந்துவிடும்.

ஒரே சாதனத்தில் மட்டும் இருக்கும் பாஸ்கீகள் (Device-only passkeys), உதாரணமாக ஒரு USB செக்யூரிட்டி கீயில் உள்ளவை, அந்த ஒரு சாதனத்தில் மட்டுமே இருக்கும். அது தொலைந்தால், அந்தப் பாஸ்கீயும் போய்விடும்.

எதுவாக இருந்தாலும், உங்கள் கணக்குக்குள் நுழைய இன்னொரு வழியை வைத்திருங்கள்: இரண்டாவது பாஸ்கீ, உங்கள் Google சைன் இன், அல்லது ஆப்பின் கணக்கு மீட்பு (account recovery) வசதி. அதுதான் உங்கள் மாற்று வாசல்.

உங்கள் போனின் பூட்டு எவ்வளவு பாதுகாப்பானதோ, பாஸ்கீயும் அவ்வளவுதான் பாதுகாப்பானது

உங்கள் போன் PIN தெரிந்த யார் வேண்டுமானாலும் உங்கள் பாஸ்கீகளைப் பயன்படுத்தலாம். ஸ்கிரீன் லாக்கை எப்போதும் ஆனில் வையுங்கள். அந்த PIN-ஐ நண்பர்களிடம் கூடப் பகிராதீர்கள்.

அப்படியென்றால் WebAuthn என்றால் என்ன?

செட்டிங்ஸிலோ கட்டுரைகளிலோ WebAuthn என்ற வார்த்தையை நீங்கள் பார்க்கலாம். அது Web Authentication என்பதன் சுருக்கம்.

பாஸ்கீகளைப் பற்றி ஒரு இணையதளம் உங்கள் பிரவுசருடன் பேசப் பயன்படுத்தும் பொது மொழிதான் WebAuthn. இதை வைத்து அந்த இணையதளம் "எனக்காக ஒரு புதிய பாஸ்கீ உருவாக்கு" அல்லது "இந்தப் புதிரில் கையொப்பமிடு" என்று கேட்க முடியும். பிறகு பிரவுசர் உங்கள் போனின் கைரேகை சென்சார், ஃபேஸ் அன்லாக் அல்லது செக்யூரிட்டி கீயுடன் பேசி, பதிலைத் திரும்பக் கொண்டுவருகிறது. Chrome, Safari, Firefox, Edge எல்லாமே இந்த மொழியைப் பேசுகின்றன. Android, iPhone ஆப்களும் உள்ளுக்குள் இதே நிலையான முறையைத்தான் பயன்படுத்துகின்றன. அதனால் ஒரு ஆப்பும் அதன் இணையதளமும் இணைக்கப்பட்டிருந்தால், ஒரே பாஸ்கீ இரண்டிலும் வேலை செய்யும்.

நினைவில் வைக்க ஒரு வரி

பாஸ்கீதான் சாவி. அந்தச் சாவியைப் பயன்படுத்தச் சொல்லி இணையதளம் உங்கள் பிரவுசரிடம் கேட்கும் வழிதான் WebAuthn.

பாஸ்கீ பற்றிய பொதுவான குழப்பங்கள்

மக்கள் நினைப்பது	உண்மை என்ன
பாஸ்கீ என்பது என் கைரேகைதான்.	இல்லை. உங்கள் கைரேகை போனில் உள்ள பாஸ்கீயைத் திறக்க மட்டுமே பயன்படுகிறது.
இணையதளம் என் கைரேகையைச் சேமித்து வைக்கிறது.	இல்லை. அது பப்ளிக் கீயை மட்டுமே சேமிக்கிறது, உங்கள் கைரேகையைப் பார்ப்பதே இல்லை.
இணையதளம் ஹேக் செய்யப்பட்டால், என் பாஸ்கீ திருடுபோய்விடும்.	பப்ளிக் கீயை மட்டுமே எடுக்க முடியும், அதை வைத்து லாகின் செய்ய முடியாது.
நான் பாஸ்கீ உருவாக்கிய போனில் மட்டுமே அது வேலை செய்யும்.	பொதுவாக அப்படி இல்லை. பெரும்பாலான பாஸ்கீகள் உங்கள் Google அல்லது Apple கணக்கு மூலம் சிங்க் ஆகின்றன.
பாஸ்கீ என்பது கொஞ்சம் ஆடம்பரமான பாஸ்வேர்டு, அவ்வளவுதான்.	இல்லை. நீங்கள் டைப் செய்யவோ பகிரவோ எந்த ரகசியமும் இல்லை. அதனால்தான் போலித் தளங்களால் அதைப் பிடிக்க முடியாது.

6. எல்லாவற்றையும் ஒன்றாகச் சேர்த்துப் பார்ப்போம்

இதோ ஆஷாவின் ஒரு காலைப் பொழுது, இந்தப் பதிவின் ஒவ்வொரு யோசனையும் அதனதன் இடத்தில்:

அவள் Continue with Google தட்டுகிறாள். Google கையொப்பமிட்ட ஒரு குறிப்பை அனுப்புகிறது, Edme App அதைச் சரிபார்க்கிறது. (அடையாளச் சரிபார்ப்பு, OIDC மூலம்)

அவள் தன் Prelims பாடத்தைத் திறக்கிறாள். அவள் கணக்கு அந்தக் கோர்ஸை வாங்கியிருக்கிறதா என்று ஆப் சரிபார்க்கிறது. (அனுமதிச் சரிபார்ப்பு)

அவள் ஒரு பயிற்சித் தேர்வுக்குப் போகிறாள். மீண்டும் லாகின் தேவையில்லை, ஏனென்றால் அவளுடைய ரிஸ்ட்பேண்ட் இன்னும் செல்லுபடியாகிறது. (செஷன்)

அவள் தன் காலண்டரை இணைக்கிறாள். Google அவளிடம் அனுமதி கேட்கிறது, ஆப்புக்கு ஒரு வரம்புக்குட்பட்ட பாஸ் கிடைக்கிறது. (OAuth)

அவள் ஒரு பாஸ்கீ உருவாக்குகிறாள். நாளை அவள் கைரேகையை மட்டும் வைத்து லாகின் செய்யலாம். (பாஸ்கீ, WebAuthn மூலம்)

இவை ஒவ்வொன்றும் ஒவ்வொரு வேலையைச் செய்கின்றன. ஒரு சாதாரண ஆப் இவை அனைத்தையும் ஒன்றாகப் பயன்படுத்துகிறது.

சுருக்கமாக

சொல்	ஒரே வரியில் அதன் வேலை
அடையாளச் சரிபார்ப்பு (Authentication)	கணக்கு உங்களுடையதுதான் என்று நிரூபிக்கிறது.
அனுமதிச் சரிபார்ப்பு (Authorization)	நீங்கள் எதையெல்லாம் திறக்கலாம் என்று முடிவு செய்கிறது.
செஷன் (Session)	ஒருமுறை லாகின் செய்த பிறகு உங்களை லாகின் நிலையிலேயே வைத்திருக்கிறது.
Google சைன் இன் / OIDC	நீங்கள் யார் என்பதற்கு Google உத்தரவாதம் தர உதவுகிறது.
OAuth	வேறொரு இடத்தில் உள்ள உங்கள் டேட்டாவில் சிலவற்றுக்கு, ஒரு ஆப்புக்கு வரம்புக்குட்பட்ட பாஸ் தருகிறது.
பாஸ்கீ (Passkey)	பாஸ்வேர்டுக்குப் பதிலாக, உங்கள் போனில் உள்ள ஒரு சாவியை வைத்து உங்களை லாகின் செய்கிறது.
WebAuthn	உங்கள் பிரவுசர் மூலம் பாஸ்கீகளை உருவாக்கவும் பயன்படுத்தவும் இணையதளங்கள் பயன்படுத்தும் மொழி.

7. உங்களை நீங்களே சோதித்துப் பாருங்கள்

பதிலைப் பார்க்க ஒரு கேள்வியைத் தட்டுங்கள்.

1. ஆஷா வெற்றிகரமாக லாகின் செய்கிறாள், ஆனால் ஆசிரியர் டாஷ்போர்டைத் திறக்க முடியவில்லை. எந்தச் சரிபார்ப்பு அவளைத் தடுத்தது?

அனுமதிச் சரிபார்ப்பு (Authorization). அவள் லாகின் சரியாக வேலை செய்தது. அவள் கணக்குக்கு ஆசிரியர் அனுமதி மட்டும் இல்லை.

2. "Continue with Google" மூலம் Edme App அவள் காலண்டரைப் படிக்க முடியுமா?

முடியாது. சைன் இன் செய்வது அவள் யார் என்பதை மட்டுமே ஆப்புக்குச் சொல்கிறது. காலண்டரைப் பார்க்கத் தனியாக ஒரு அனுமதி (OAuth) தேவை.

3. பாஸ்கீ லாகினின்போது பப்ளிக் கீ என்ன செய்கிறது?

அது ஆதாரத்தைச் சரிபார்க்கிறது. போன் பிரைவேட் கீயால் ஒரு புதிய புதிரில் கையொப்பமிடுகிறது, அந்தக் கையொப்பத்தைச் சரிபார்க்க ஆப் பப்ளிக் கீயைப் பயன்படுத்துகிறது.

4. ஆஷாவின் கைரேகை Edme App-க்குக் கிடைக்குமா?

கிடைக்காது. கைரேகைச் சரிபார்ப்பு அவள் போனில் மட்டுமே நடக்கிறது. ஆப்புக்குக் கிடைப்பது கையொப்பமிட்ட புதிர் மட்டுமே, வேறு எதுவும் இல்லை.

5. ஒரு போலித் தளம் Edme லாகின் பக்கத்தை அச்சு அசலாகக் காப்பி அடிக்கிறது. அதனால் ஏன் ஆஷாவின் பாஸ்கீயைப் பெற முடியாது?

ஏனென்றால் அவள் போன் பக்கத்தின் தோற்றத்தை அல்ல, இணையதள முகவரியைச் சரிபார்க்கிறது. அவளுடைய பாஸ்கீ edmeapp.ai-க்குச் சொந்தமானது. அதனால் வேறு எந்த முகவரியிலும் போன் அதைப் பயன்படுத்தாது.

6. ஹேக்கர்கள் ஒரு இணையதளத்துக்குள் புகுந்து எல்லோருடைய பாஸ்கீ டேட்டாவையும் காப்பி செய்கிறார்கள். அவர்களால் அந்தப் பயனர்களாக லாகின் செய்ய முடியுமா?

முடியாது. அந்த இணையதளத்திடம் எப்போதும் பப்ளிக் கீகள் மட்டுமே இருந்தன. லாகின் செய்ய பிரைவேட் கீ வேண்டும், அது பயனர்களின் போன்களை விட்டு வெளியே போனதே இல்லை.

மேலும் படிக்க

இன்னும் ஆழமாகத் தெரிந்துகொள்ள விரும்பினால், இந்தப் பதிவுக்கு அடிப்படையான மூலங்கள் இவை. தொடங்குவதற்கு MDN பக்கங்கள்தான் மிக எளிமையானவை.

MDN: அடையாளச் சரிபார்ப்பு (Authentication)

OWASP: அனுமதிச் சரிபார்ப்பு (Authorization)

MDN: பாஸ்வேர்டுகள்

MDN: செஷன் மேலாண்மை

Google: Sign in with Google பற்றிய அறிமுகம்

Google: OpenID Connect

Google: Google API-களை அணுக OAuth 2.0-ஐப் பயன்படுத்துவது

Google: பயனர் அனுமதி எப்படி வேலை செய்கிறது

MDN: பாஸ்கீகள்

Google: பாஸ்கீ பதிவு

Google: பாஸ்கீ மூலம் அடையாளச் சரிபார்ப்பு

FIDO Alliance: பாஸ்கீகள்

MDN: Web Authentication API