आजकल अपने स्मार्टफोन को अनलॉक करना किसी जादू से कम नहीं लगता। आप बस अपनी स्क्रीन की तरफ देखते हैं, और एक मिलीसेकंड के भीतर ‘Face ID’ का पैडलॉक (Padlock) खुल जाता है। या फिर आप स्क्रीन के निचले हिस्से पर अपना अंगूठा रखते हैं, एक छोटा सा एनीमेशन चलता है, और आप सीधे अपने बैंकिंग ऐप के अंदर पहुँच जाते हैं। सुविधा (Convenience) के मामले में बायोमेट्रिक्स ने एक बहुत बड़ी क्रांति ला दी है। साल 2026 के ताज़ा इकॉनमी डेटा के अनुसार, ग्लोबल बायोमेट्रिक सिस्टम मार्केट लगभग $85 बिलियन (करीब 7 लाख करोड़ रुपये) को पार कर चुका है। आज हम पासवर्ड टाइप करने के आलस में अपनी सबसे संवेदनशील और ‘स्थायी’ (Permanent) पहचान को कोड के हवाले कर रहे हैं।
लेकिन एक कंप्यूटर साइंस और सिस्टम आर्किटेक्चर के छात्र के रूप में, आपको सुविधा और सुरक्षा के बीच के इस ट्रेड-ऑफ़ (Trade-off) को बहुत बारीकी से समझना होगा। टेक इंडस्ट्री का एक बहुत ही कड़वा उसूल है: “बायोमेट्रिक्स यूज़रनेम (Usernames) हैं, पासवर्ड्स नहीं।” अगर हैकर आपका 16-अक्षरों वाला पासवर्ड चुरा लेता है, तो आप उसे 2 मिनट में रीसेट कर सकते हैं। लेकिन अगर डार्क वेब पर आपका फिंगरप्रिंट या आपके चेहरे का 3D मैप लीक हो जाए, तो क्या आप अपना चेहरा या उंगलियां बदल सकते हैं? आज हम स्मार्टफोन्स के बायोमेट्रिक सेंसर्स, उनके ‘ट्रस्टेड एग्जीक्यूशन एनवायरनमेंट’ (TEE) और हैकिंग के उन आधुनिक तरीकों का एक बेहद गहरा ‘टेक्निकल एनालिसिस’ (Technical Analysis) करेंगे, जो साबित करते हैं कि आपके शरीर को पासवर्ड बनाना साइबर सिक्योरिटी की सबसे बड़ी डिज़ाइन भूल हो सकती है।
ऑप्टिकल बनाम अल्ट्रासोनिक: फिंगरप्रिंट हार्डवेयर का असली आर्किटेक्चर
इस खतरे को समझने के लिए सबसे पहले हमें इन स्कैनर्स के हार्डवेयर आर्किटेक्चर को डिकोड करना होगा। आज बाज़ार में मौजूद ज़्यादातर सस्ते और मिड-रेंज स्मार्टफोन्स Optical Fingerprint Scanners (ऑप्टिकल स्कैनर्स) का इस्तेमाल करते हैं। ऑप्टिकल स्कैनर असल में स्क्रीन के नीचे छिपा हुआ एक बहुत ही छोटा सा 2D डिजिटल कैमरा होता है। जब आप स्क्रीन पर उंगली रखते हैं, तो वह हिस्सा तेज़ रोशनी से चमकता है (ताकि उंगली रोशन हो जाए), और कैमरा आपके फिंगरप्रिंट की एक ‘ब्लैक एंड वाइट’ 2D तस्वीर खींच लेता है। चूँकि यह केवल एक 2D इमेज है, इसे बेवकूफ बनाना सबसे आसान है। हैकर्स एक हाई-रिज़ॉल्यूशन प्रिंटेड फोटो या यहाँ तक कि फेविकोल (Fevicol) और वैक्स से बने नकली अंगूठे से भी इसे आसानी से बायपास कर सकते हैं।
इसके विपरीत, फ्लैगशिप फोंस (जैसे Samsung Galaxy S-Series) Ultrasonic Scanners (अल्ट्रासोनिक स्कैनर्स) का उपयोग करते हैं, जो क्वालकॉम (Qualcomm) की ‘3D Sonic’ तकनीक पर आधारित होते हैं। ये स्कैनर लाइट के बजाय हाई-फ्रीक्वेंसी साउंड वेव्स (ध्वनि तरंगें) छोड़ते हैं। ये तरंगें आपकी उंगली की लकीरों (Ridges) और गड्ढों (Valleys) से टकराकर वापस आती हैं, जिससे आपके फिंगरप्रिंट का एक ‘3D टोपोग्राफिकल मैप’ तैयार होता है। अल्ट्रासोनिक स्कैनर्स ऑप्टिकल की तुलना में हज़ारों गुना अधिक सुरक्षित हैं, क्योंकि ये 2D फोटो से धोखा नहीं खाते और खून के बहाव (Blood Flow) को भी पहचान सकते हैं। लेकिन समस्या यह है कि 80% से अधिक जनता आज भी असुरक्षित ऑप्टिकल स्कैनर्स वाले फोन ही चला रही है।
द मास्टरप्रिंट (MasterPrint) वल्नेरेबिलिटी: AI का ‘डिक्शनरी अटैक’
अगर आपको लगता है कि आपका फिंगरप्रिंट दुनिया में बिल्कुल यूनीक (Unique) है, तो विज्ञान के हिसाब से आप सही हैं। लेकिन आपके फोन का स्कैनर बहुत छोटा होता है। वह आपके पूरे अंगूठे को नहीं पढ़ता, बल्कि उसका केवल 15% से 20% हिस्सा (Partial Print) ही कैप्चर कर पाता है।
यहीं पर मशीन लर्निंग और AI के हैकर्स ने एक भयानक तकनीकी खामी खोजी है जिसे ‘MasterPrints’ (मास्टरप्रिंट्स) कहा जाता है। न्यूयॉर्क यूनिवर्सिटी (NYU) और मिशिगन स्टेट यूनिवर्सिटी की एक जॉइंट रिसर्च में पाया गया कि जिस तरह ‘Password123’ दुनिया का सबसे कॉमन पासवर्ड है, उसी तरह इंसानों के फिंगरप्रिंट्स में भी कुछ खास पैटर्न (जैसे Loops और Whorls) बहुत कॉमन होते हैं।
रिसर्चर्स ने AI का उपयोग करके कुछ ऐसे सिंथेटिक (Synthetic) फिंगरप्रिंट्स जनरेट किए जिनमें ये सभी कॉमन पैटर्न्स मौजूद थे। इसे ‘मास्टरप्रिंट’ नाम दिया गया। जब इन मास्टरप्रिंट्स को स्मार्टफोन्स के स्कैनर्स पर टेस्ट किया गया, तो हैरान करने वाले नतीजे सामने आए। इन AI-जनरेटेड डिज़िटाइज़्ड उंगलियों ने लगभग 65% तक ऑप्टिकल स्मार्टफोन स्कैनर्स को अनलॉक कर दिया। इसे बायोमेट्रिक्स की दुनिया का ‘डिक्शनरी अटैक’ (Dictionary Attack) कहा जाता है, जहाँ हैकर को आपका असली फिंगरप्रिंट चाहिए ही नहीं; वह बस एक ऐसा मास्टर-की (Master-key) फिंगरप्रिंट बनाता है जो लाखों फोंस के ‘पार्शियल मैच’ (Partial Match) को धोखा दे सके।
फेस आईडी (Face ID) का 3D आर्किटेक्चर और ‘ट्विन’ प्रॉब्लम अब बात करते हैं Apple की बहुचर्चित ‘Face ID’ की। 2017 में जब इसे लॉन्च किया गया था, तो Apple ने दावा किया था कि किसी अनजान व्यक्ति द्वारा आपका फोन खोलने की संभावना 10 लाख में एक (1 in 1,000,000 False Acceptance Rate) है।
तकनीकी रूप से Face ID एक बहुत ही शानदार हार्डवेयर डिज़ाइन है। यह एंड्रॉइड के पुराने ‘2D फेस अनलॉक’ की तरह कोई कैमरा नहीं है। Apple का TrueDepth Camera System आपके चेहरे पर 30,000 इन्फ्रारेड (IR) डॉट्स फेंकता है। इसके बाद एक IR कैमरा उन डॉट्स के पैटर्न को पढ़ता है और आपके चेहरे का एक सटीक 3D मैथमेटिकल मेश (Mathematical Mesh) तैयार करता है।
लेकिन यह सिस्टम भी अभेद्य नहीं है। 3D प्रिंटिंग टेक्नोलॉजी आज इतनी एडवांस हो चुकी है कि साइबर सिक्योरिटी फर्म्स (जैसे Xuanwu Lab) ने कुछ हज़ार डॉलर्स के 3D प्रिंटेड मास्क और सिलिकॉन नोज़ (Silicon Nose) का उपयोग करके Face ID को सफलतापूर्वक बायपास किया है। इसके अलावा, Face ID का एल्गोरिदम एक जैसे दिखने वाले भाई-बहनों (Identical Twins) और कभी-कभी एक जैसे दिखने वाले रिश्तेदारों के सामने बुरी तरह फेल हो जाता है। अगर कोई हैकर या कोई ऐसा व्यक्ति जिसकी शक्ल आपसे थोड़ी भी मिलती है, आपके फोन में एक्सेस पा लेता है, तो आपके बैंक अकाउंट्स सेकंडों में खाली हो सकते हैं।
सिक्योर एन्क्लेव (Secure Enclave) और ‘हार्डवेयर बस’ (Hardware Bus) की हैकिंग
टेक कंपनियां अक्सर अपने बचाव में कहती हैं कि “हम आपके फिंगरप्रिंट या चेहरे की फोटो सर्वर पर नहीं भेजते। यह सब आपके फोन के Secure Enclave या Trusted Execution Environment (TEE) में एनक्रिप्टेड (Encrypted) रहता है।”
यह बात 100% सच है। सिक्योर एन्क्लेव आपके प्रोसेसर के अंदर एक ऐसा ‘तिजोरी’ वाला हिस्सा है जहाँ मुख्य ओएस (जैसे एंड्रॉइड या आईओएस) भी तांक-झांक नहीं कर सकता। लेकिन एक हार्डवेयर इंजीनियर जानता है कि डेटा को एक जगह से दूसरी जगह जाना तो पड़ता है। जब आप स्कैनर पर उंगली रखते हैं, तो वह स्कैनर डेटा को एक ‘वायर’ (Wire) या ‘कम्युनिकेशन बस’ (जैसे SPI Bus) के ज़रिए प्रोसेसर तक भेजता है।
हाल ही में (2024-2025 में) कई ब्लैक हैट (Black Hat) हैकिंग सम्मेलनों में यह दिखाया गया कि अगर हैकर आपके फोन (या विंडोज लैपटॉप) को फिजिकली खोल ले और उस SPI बस पर एक छोटा सा स्निफर (Sniffer) डिवाइस लगा दे, तो वह फिंगरप्रिंट स्कैनर और सीपीयू के बीच होने वाली बातचीत को रीयल-टाइम में ‘इंटरसेप्ट’ (Intercept) कर सकता है। हैकर सीपीयू को एक ‘फेक ऑथेंटिकेशन सिग्नल’ (Fake Authentication Signal) भेज देता है, और सीपीयू को लगता है कि असली मालिक ने उंगली रखी है। इसे ‘Man-in-the-Middle’ (MitM) हार्डवेयर अटैक कहते हैं, और इसके सामने दुनिया का सबसे सुरक्षित ‘सिक्योर एन्क्लेव’ भी लाचार हो जाता है।
भारत में AePS फ्रॉड: जब सिलिकॉन का अंगूठा बैंक खाली कर दे
अगर आपको लगता है कि यह सब हॉलीवुड का हैकर ड्रामा है, तो आइए भारत के ज़मीनी आंकड़ों पर नज़र डालते हैं। भारत में Aadhaar Enabled Payment System (AePS) का भारी उपयोग होता है, जहाँ लोग सिर्फ अपना आधार नंबर और फिंगरप्रिंट देकर पैसे निकाल सकते हैं।
पिछले कुछ सालों में भारत में ‘सिलिकॉन क्लोनिंग’ (Silicone Cloning) के हज़ारों मामले सामने आए हैं। हैकर्स प्रॉपर्टी रजिस्ट्री के सरकारी कागज़ातों या स्टाम्प पेपर से लोगों के असली फिंगरप्रिंट्स की कॉपी चुराते हैं। फिर वे बटर पेपर, पॉलीमर और मात्र 50 रुपये की सिलिकॉन ग्लू (Silicone Glue) का इस्तेमाल करके उस व्यक्ति का एक नकली (3D) अंगूठा बना लेते हैं। इस नकली अंगूठे को गाँव के किसी ‘माइक्रो-एटीएम’ (Micro-ATM) पर लगाकर लोगों के बैंक अकाउंट से लाखों रुपये उड़ा लिए गए। यह एक क्लासिक उदाहरण है कि बायोमेट्रिक्स को ‘पासवर्ड’ के रूप में इस्तेमाल करना कितना खतरनाक है। जब आपका फिंगरप्रिंट हर सरकारी और प्राइवेट डेटाबेस में स्टोर है, तो उसके लीक होने की संभावना 100% है। और जैसा कि हमने पहले कहा— एक बार फिंगरप्रिंट लीक हो गया, तो आप अपनी उंगलियां नहीं बदल सकते।
कानूनी लूपहोल (Legal Loophole): फिंगरप्रिंट बनाम फिफ्थ अमेंडमेंट / आर्टिकल 20(3)
हार्डवेयर से परे, बायोमेट्रिक्स का एक बहुत बड़ा ‘लीगल’ (कानूनी) और मानवाधिकार जोखिम भी है। यदि आप किसी देश के बॉर्डर पर हैं, या किसी पुलिस इन्वेस्टिगेशन का हिस्सा हैं, तो कानून आपको अपना पासवर्ड बताने के लिए मज़बूर नहीं कर सकता।
अमेरिका के ‘फिफ्थ अमेंडमेंट’ (5th Amendment) और भारत के संविधान के आर्टिकल 20(3) (Right against self-incrimination) के तहत, आपके दिमाग में मौजूद कोई भी जानकारी (जैसे आपका 6-अंकों का पासकोड) आपसे जबरदस्ती नहीं उगलवाई जा सकती। लेकिन आपका फिंगरप्रिंट और आपका चेहरा आपके ‘दिमाग’ का हिस्सा नहीं हैं; वे आपके ‘शरीर’ का हिस्सा हैं। कानूनी रूप से (कई ज्यूरिसडिक्शन में), पुलिस अधिकारी या लॉ एन्फोर्समेंट एजेंसी (Law Enforcement Agency) आपको अपना फोन अनलॉक करने के लिए ज़बरदस्ती आपकी उंगली स्कैनर पर रखवा सकती है या आपके चेहरे के सामने फोन कर सकती है। बायोमेट्रिक्स आपकी निजता (Privacy) की उस कानूनी ढाल को तोड़ देते हैं जो एक मजबूत पासवर्ड आपको सदियों से देता आ रहा है।
द ज़ीरो-ट्रस्ट बायोमेट्रिक डिफेंस: खुद को कैसे बचाएं?
एक डिजिटल नागरिक और साइबर सिक्योरिटी के जानकार के तौर पर, आपको सुविधा के लिए अपनी सुरक्षा का बलिदान नहीं देना चाहिए। बायोमेट्रिक्स बुरे नहीं हैं, लेकिन उन्हें ‘यूज़रनेम’ की तरह इस्तेमाल करें, ‘मास्टर पासवर्ड’ की तरह नहीं।
यहाँ कुछ हार्डकोर ‘OpSec’ (ऑपरेशनल सिक्योरिटी) सेटिंग्स दी गई हैं जिन्हें आपको तुरंत लागू करना चाहिए:
-
‘SOS’ मोड को एक्टिवेट करें: Apple और Android दोनों में एक ‘पैनिक’ (Panic) फीचर होता है। आईफोन में पावर बटन को 5 बार लगातार दबाने से, या पावर और वॉल्यूम बटन को एक साथ कुछ सेकंड दबाए रखने से Face ID तुरंत डिसेबल हो जाता है। इसके बाद फोन खोलने के लिए केवल पासकोड (Passcode) ही काम करेगा। अगर आप कभी किसी खतरनाक स्थिति या अनचाही पुलिस चेकिंग में हों, तो इस शॉर्टकट का इस्तेमाल करें।
-
सिक्स-डिजिट (6-Digit) पिन छोड़ें, अल्फ़ान्यूमेरिक (Alphanumeric) अपनाएं: 4 या 6 अंकों का पिन क्रैक करना ग्रेके (GrayKey) या सेलेब्राइट (Cellebrite) जैसी मशीन के लिए कुछ घंटों का खेल है। हमेशा एक लंबा ‘Alphanumeric’ (जिसमें अक्षर, नंबर और सिंबल हों) पासवर्ड सेट करें।
-
बैंकिंग ऐप्स में ‘Fallback’ बंद करें: अगर संभव हो, तो अपने सबसे क्रिटिकल बैंकिंग और ट्रेडिंग (Trading) ऐप्स में फिंगरप्रिंट लॉगिन को बंद कर दें। वहां हर बार मैनुअल पासवर्ड डालने की आदत डालें।
-
स्लीप-अनलॉक (Sleep-Unlock) का खतरा: यह सुनिश्चित करें कि फेस अनलॉक में “Require Eyes to be Open” (आंखें खुली होना अनिवार्य) सेटिंग चालू हो। वर्ना आप सो रहे होंगे, और कोई भी आपके चेहरे के सामने फोन लाकर आपका पूरा डेटा खाली कर सकता है।
द रोड अहेड: बायोमेट्रिक्स का सही डिज़ाइन बायोमेट्रिक्स पासवर्ड को खत्म करने के लिए नहीं बने थे; वे ‘मल्टी-फैक्टर ऑथेंटिकेशन’ (MFA) में एक अतिरिक्त परत (Layer) जोड़ने के लिए बने थे। भविष्य का आर्किटेक्चर यह नहीं होना चाहिए कि फिंगरप्रिंट ने पासवर्ड की जगह ले ली। असली सुरक्षा तब है जब सिस्टम कहे: “अपना पासवर्ड डालो (Something you know), और उसे कंफर्म करने के लिए अपना फिंगरप्रिंट लगाओ (Something you are)।” जब तक टेक कंपनियां इस ‘ज़ीरो-ट्रस्ट’ (Zero-Trust) आर्किटेक्चर को डिफ़ॉल्ट रूप से लागू नहीं करतीं, तब तक अपनी उंगलियों और अपने चेहरे को अपने डिजिटल जीवन की इकलौती चाबी मत बनने दीजिए।