UNIT 3: क्रिप्टोग्राफी और सॉफ़्टवेयर सुरक्षा

3.1. क्रिप्टोग्राफी के बुनियादी सिद्धांत

क्रिप्टोग्राफी वह प्रक्रिया है जिसमें संचार और जानकारी को कोड्स का उपयोग करके सुरक्षित किया जाता है ताकि केवल अधिकृत पक्ष इसे पढ़ सकें। यह सूचना सुरक्षा का एक बुनियादी हिस्सा है और डेटा की गोपनीयता, अखंडता और प्रामाणिकता सुनिश्चित करता है। क्रिप्टोग्राफी डेटा को इस प्रकार कोडित करने में शामिल है कि केवल अधिकृत व्यक्ति या सिस्टम इसे डिकोड करके उपयोग कर सकें।

क्रिप्टोग्राफी के मुख्य अवधारणाएँ:

एन्क्रिप्शन (Encryption): यह प्रक्रिया है जिसमें पठनीय डेटा (plaintext) को एक अपठनीय रूप (ciphertext) में बदल दिया जाता है एक एल्गोरिदम और कुंजी का उपयोग करके। यह सुनिश्चित करता है कि केवल अधिकृत पक्ष ही मूल डेटा को डिकोड कर सकें।
- संपूर्ण एन्क्रिप्शन (Symmetric Encryption): इस प्रकार की एन्क्रिप्शन में एन्क्रिप्शन और डिक्रिप्शन दोनों के लिए एक ही कुंजी का उपयोग किया जाता है। उदाहरण: AES (Advanced Encryption Standard)।
- असंपूर्ण एन्क्रिप्शन (Asymmetric Encryption): इसमें दो कुंजियाँ होती हैं: एक सार्वजनिक कुंजी (Public Key) डेटा को एन्क्रिप्ट करने के लिए और एक निजी कुंजी (Private Key) डेटा को डिक्रिप्ट करने के लिए। उदाहरण: RSA (Rivest-Shamir-Adleman)।
डिक्रिप्शन (Decryption): यह एन्क्रिप्शन की विपरीत प्रक्रिया है, जिसमें cipher-text को फिर से plaintext में बदल दिया जाता है सही कुंजी का उपयोग करके।
हैशिंग (Hashing): यह एक एकतरफा क्रिप्टोग्राफिक ऑपरेशन है, जो डेटा को एक निश्चित लंबाई के कैरेक्टर स्ट्रिंग में बदलता है। यह डेटा की अखंडता की जांच करने के लिए उपयोग किया जाता है। हैश को वापस डिक्रिप्ट (reverse) नहीं किया जा सकता, यानी एक बार डेटा हैश हो जाने के बाद, उसे मूल रूप में बदलने का कोई तरीका नहीं होता।
- उदाहरण: SHA-256 (Secure Hash Algorithm) सामान्यत: हैश बनाने के लिए उपयोग किया जाता है।
डिजिटल सिग्नेचर (Digital Signatures): यह एक तरीका है जो संदेश या दस्तावेज़ की प्रामाणिकता और अखंडता सुनिश्चित करता है। डिजिटल सिग्नेचर को भेजने वाले के निजी कुंजी का उपयोग करके बनाया जाता है, और कोई भी व्यक्ति जो संबंधित सार्वजनिक कुंजी को जानता है, प्रामाणिकता की जांच कर सकता है।
कुंजी (Keys): यह गुप्त जानकारी है जो एन्क्रिप्शन और डिक्रिप्शन प्रक्रियाओं में उपयोग की जाती है। कुंजियाँ सुरक्षित रहनी चाहिए, क्योंकि जो कोई भी उस कुंजी तक पहुँच सकता है, वह डेटा को डिक्रिप्ट कर सकता है।
- निजी कुंजी (Private Key): यह असंपूर्ण एन्क्रिप्शन में डिक्रिप्शन और डिजिटल सिग्नेचर साइन करने के लिए उपयोग की जाती है।
- सार्वजनिक कुंजी (Public Key): यह सार्वजनिक रूप से साझा की जाती है और इसका उपयोग डेटा को एन्क्रिप्ट करने या डिजिटल सिग्नेचर को सत्यापित करने के लिए किया जाता है।
सर्टिफिकेट (Certificates): डिजिटल एन्क्रिप्शन में, एक सर्टिफिकेट एक डिजिटल रूप से हस्ताक्षरित दस्तावेज़ है जो सार्वजनिक कुंजी के धारक की पहचान को प्रमाणित करता है। यह सार्वजनिक कुंजी को उस व्यक्ति या संगठन से जोड़ता है जो इसे धारण करता है।

3.2. PKI (पब्लिक की इंफ्रास्ट्रक्चर)

पब्लिक की इंफ्रास्ट्रक्चर (PKI) एक ढांचा है जो डिजिटल कुंजी और सर्टिफिकेट्स का प्रबंधन करता है। यह डिजिटल सर्टिफिकेट्स और कुंजियों को बनाने, वितरित करने, प्रबंधित करने और निरस्त करने के लिए आवश्यक सेवाएँ और नीतियाँ प्रदान करता है। PKI एन्क्रिप्शन और प्रमाणीकरण के माध्यम से सुरक्षित संचार सुनिश्चित करता है।

PKI के घटक:

सार्वजनिक और निजी कुंजी: ये क्रिप्टोग्राफिक कुंजियाँ हैं जो डेटा को एन्क्रिप्ट और डिक्रिप्ट करने के लिए उपयोग की जाती हैं, जैसा कि क्रिप्टोग्राफी खंड में समझाया गया है।
सर्टिफिकेट अथॉरिटी (CA): एक विश्वसनीय संगठन है जो डिजिटल सर्टिफिकेट्स जारी करता है। CA यह सत्यापित करता है कि अनुरोधकर्ता की पहचान सही है, इससे पहले कि वह सर्टिफिकेट जारी करे। यह PKI प्रणाली में "विश्वास का एंकर" होता है।
रजिस्ट्रेशन अथॉरिटी (RA): यह CA और उपयोगकर्ता के बीच मध्यस्थ के रूप में कार्य करता है। RA डिजिटल सर्टिफिकेट्स के लिए अनुरोध प्राप्त करता है और अनुरोधकर्ता की पहचान सत्यापित करता है।
डिजिटल सर्टिफिकेट्स: एक सर्टिफिकेट एक डिजिटल दस्तावेज़ होता है जिसमें सार्वजनिक कुंजी और उस कुंजी के स्वामी के बारे में जानकारी होती है। इसे CA द्वारा जारी किया जाता है और इसका उपयोग सार्वजनिक कुंजी के स्वामित्व को प्रमाणित करने के लिए किया जाता है।
कुंजी प्रबंधन: PKI में कुंजी के निर्माण, भंडारण और वितरण को सुरक्षित रूप से प्रबंधित करने के लिए प्रणालियाँ और प्रक्रियाएँ शामिल होती हैं। यह कुंजियों के जीवनचक्र के दौरान उन्हें सुरक्षित और वैध बनाए रखने में मदद करता है।
सर्टिफिकेट रिवोक्शन लिस्ट (CRL): यह सूची उन सर्टिफिकेट्स को शामिल करती है जिन्हें उनकी समाप्ति तिथि से पहले निरस्त कर दिया गया है। यदि कोई सर्टिफिकेट ख़तरे में है या अब वैध नहीं है, तो इसे CRL में जोड़ दिया जाएगा।

PKI कैसे काम करता है:

एक उपयोगकर्ता या संगठन CA से एक डिजिटल सर्टिफिकेट के लिए अनुरोध करता है।
CA अनुरोधकर्ता की पहचान सत्यापित करता है।
यदि सत्यापन सफल होता है, तो CA एक डिजिटल सर्टिफिकेट जारी करता है जिसमें उपयोगकर्ता की सार्वजनिक कुंजी होती है।
सर्टिफिकेट का उपयोग अन्य लोग डेटा एन्क्रिप्ट करने या डिजिटल सिग्नेचर की प्रामाणिकता को सत्यापित करने के लिए कर सकते हैं।
जब संदेश प्राप्त होता है, तो प्राप्तकर्ता सार्वजनिक कुंजी का उपयोग करके संदेश को डिक्रिप्ट करता है और उसकी प्रामाणिकता सुनिश्चित करता है।

PKI इंटरनेट संचार को सुरक्षित करने में महत्वपूर्ण भूमिका निभाता है, जैसे कि HTTPS (SSL/TLS) का उपयोग सुरक्षित वेब ब्राउज़िंग, ईमेल एन्क्रिप्शन और डिजिटल सिग्नेचर के लिए किया जाता है।

3.3. सॉफ़्टवेयर विकसित करते समय सुरक्षा पर विचार

जब सॉफ़्टवेयर विकसित किया जाता है, तो सुरक्षा एक महत्वपूर्ण पहलू होता है जिसे विकास जीवनचक्र के दौरान विचार किया जाना चाहिए। अगर सुरक्षा को नज़रअंदाज़ किया जाए तो यह कमजोरियाँ उत्पन्न कर सकता है जिन्हें हैकर्स अपने लाभ के लिए उपयोग कर सकते हैं, जिससे उपयोगकर्ता डेटा, गोपनीयता और सिस्टम की अखंडता में समझौता हो सकता है। यहां सॉफ़्टवेयर डेवलपर्स के लिए कुछ प्रमुख सुरक्षा विचार दिए गए हैं:

1. इनपुट वैलिडेशन (Input Validation):

उपयोगकर्ता के इनपुट्स को हमेशा वैलिडेट करें ताकि वे अपेक्षित प्रारूप का पालन करें। इससे SQL इंजेक्शन जैसे हमलों को रोका जा सकता है, जहां हैकर्स उपयोगकर्ता इनपुट्स के माध्यम से डेटाबेस को नुकसान पहुँचाने की कोशिश करते हैं।
सैनिटाइजेशन का उपयोग करें, जिससे हानिकारक पात्रों या स्क्रिप्ट्स को हटाया जा सके जो सॉफ़्टवेयर में कमजोरियाँ उत्पन्न कर सकते हैं।

2. प्रमाणीकरण और अधिकृतकरण (Authentication and Authorization):

मजबूत प्रमाणीकरण तंत्रों को लागू करें जैसे मल्टी-फैक्टर प्रमाणीकरण (MFA), ताकि यह सुनिश्चित किया जा सके कि केवल अधिकृत उपयोगकर्ता ही संवेदनशील डेटा या कार्यों तक पहुँच सकते हैं।
यह सुनिश्चित करें कि रोल-आधारित एक्सेस कंट्रोल (RBAC) लागू किया गया है, ताकि उपयोगकर्ता केवल अपनी भूमिका के लिए आवश्यक संसाधनों तक पहुँच सकें।

3. संवेदनशील डेटा का सुरक्षित भंडारण (Secure Storage of Sensitive Data):

संवेदनशील डेटा (जैसे पासवर्ड, व्यक्तिगत जानकारी, और वित्तीय डेटा) को ट्रांसमिशन और स्टोर करते समय एन्क्रिप्ट करें। कभी भी पासवर्ड को स्पष्ट रूप में स्टोर न करें, इसके बजाय पासवर्ड हैश करें।
मजबूत क्रिप्टोग्राफिक एल्गोरिदम जैसे AES (Advanced Encryption Standard) का उपयोग करें।

4. सुरक्षित संचार (Secure Communication):

डेटा को ट्रांसमिशन के दौरान एन्क्रिप्ट करने के लिए HTTPS (SSL/TLS) का उपयोग करें, ताकि क्लाइंट और सर्वर के बीच साझा की गई जानकारी को ईवसड्रॉपिंग से सुरक्षित रखा जा सके।
कमजोर प्रोटोकॉल जैसे HTTP और पुराने SSL/TLS संस्करणों का उपयोग न करें, क्योंकि ये हमलों के प्रति संवेदनशील हो सकते हैं।

5. नियमित सॉफ़्टवेयर अपडेट्स और पैच प्रबंधन (Regular Software Updates and Patch Management):

सॉफ़्टवेयर रिलीज़ होने के बाद अक्सर सुरक्षा कमजोरियाँ खोजी जाती हैं। यह महत्वपूर्ण है कि आप सॉफ़्टवेयर को नियमित रूप से अपडेट करें ताकि सुरक्षा दोषों को पैच किया जा सके।
एक स्वचालित पैच प्रबंधन प्रणाली लागू करें ताकि सुरक्षा पैच बिना किसी देरी के लागू किए जा सकें।

6. त्रुटि हैंडलिंग (Error Handling):

उपयोगकर्ताओं को विस्तृत त्रुटि संदेश दिखाने से बचें, क्योंकि इसमें सिस्टम की आंतरिक कार्यप्रणाली के बारे में संवेदनशील जानकारी हो सकती है जिसे हमलावरों द्वारा शोषण किया जा सकता है।
उपयोगकर्ताओं के लिए सामान्य त्रुटि संदेश का उपयोग करें, लेकिन व्यवस्थापकों के लिए त्रुटियों के विवरण को सुरक्षित रूप से लॉग करें।

7. सुरक्षित कोड प्रैक्टिस (Secure Code Practices):

सामान्य कमजोरियों जैसे बफर ओवरफ्लो, रेस कंडीशंस, और असुरक्षित डीसिरियलाइजेशन को पेश करने से बचने के लिए सुरक्षित कोडिंग दिशानिर्देशों का पालन करें।
स्टैटिक कोड विश्लेषण उपकरण का उपयोग करें ताकि विकास के दौरान कोड में कमजोरियों का पता चल सके।

8. लॉगिंग और निगरानी (Logging and Monitoring):

सभी गतिविधियों को ट्रैक करने के लिए सॉफ़्टवेयर में मजबूत लॉगिंग कार्यान्वित करें। लॉग्स को सुरक्षित और संरक्षित किया जाना चाहिए।
घुसपैठ पहचान प्रणालियाँ (IDS) लागू करें और सॉफ़्टवेयर में किसी भी संदिग्ध या असामान्य व्यवहार की निगरानी रखें जो हमले को सूचित कर सकते हैं।

9. गहराई में सुरक्षा (Defense in Depth):

एक ही सुरक्षा परत पर निर्भर न रहें। सुरक्षा नियंत्रणों की कई परतों का उपयोग करें, जैसे कि फायरवॉल्स, घुसपैठ पहचान प्रणाली, और सुरक्षित कोडिंग प्रैक्टिसेस, ताकि समग्र सुरक्षा सुनिश्चित की जा सके।
न्यूनतम विशेषाधिकार का सिद्धांत (Principle of Least Privilege) लागू करें, जिसमें सिस्टम के प्रत्येक हिस्से को केवल उन्हीं अनुमतियों का दिया जाता है जो कार्य को पूरा करने के लिए आवश्यक हैं।

10. नियमित सुरक्षा ऑडिट्स और पैठ परीक्षण (Regular Security Audits and Penetration Testing):

पैठ परीक्षण (Penetration Testing) करें ताकि हमलावरों द्वारा सॉफ़्टवेयर में कमजोरियों का पता चल सके और उन्हें पहले ही ठीक किया जा सके।
सॉफ़्टवेयर और इन्फ्रास्ट्रक्चर की नियमित सुरक्षा ऑडिट करें ताकि सुरक्षा मानकों के साथ अनुपालन सुनिश्चित किया जा सके।

UNIT 3: क्रिप्टोग्राफी और सॉफ़्टवेयर सुरक्षा