प्रमाणीकरण और अभिगम नियंत्रण

प्रमाणीकरण यह सत्यापित करता है कि कोई पक्ष कौन है, और अभिगम नियंत्रण यह तय करता है कि वह पक्ष क्या कर सकता है; साथ मिलकर वे हर बहु-उपयोगकर्ता प्रणाली में सुरक्षा नीति को लागू करने वाले द्वारपाल हैं।

Definition

प्रमाणीकरण एक दावा की गई पहचान में विश्वास स्थापित करने की प्रक्रिया है, जबकि अभिगम नियंत्रण उन नियमों का प्रवर्तन है जो यह निर्धारित करते हैं कि कौन से प्रमाणित विषय किन संसाधनों पर कौन से ऑपरेशन कर सकते हैं।

Scope

यह विषय पहचान सत्यापन (पासवर्ड, बहु-कारक प्रमाणीकरण, बायोमेट्रिक्स, क्रिप्टोग्राफिक क्रेडेंशियल, एकल साइन-ऑन) और प्राधिकरण के मॉडल और तंत्र (अभिगम-नियंत्रण सूचियाँ, क्षमताएँ, भूमिका-आधारित और विशेषता-आधारित अभिगम नियंत्रण, न्यूनतम विशेषाधिकार का सिद्धांत) को शामिल करता है। यह संघीय पहचान और OAuth और SAML जैसे प्रोटोकॉल को संबोधित करता है। इसमें क्रेडेंशियल के अंतर्निहित क्रिप्टोग्राफिक प्राइमेटिव और नेटवर्क सुरक्षा के तहत उपचारित नेटवर्क-परत नियंत्रण शामिल नहीं हैं।

Core questions

• एक प्रणाली मज़बूती से कैसे सत्यापित कर सकती है कि एक पक्ष वही है जो वह होने का दावा करता है?
• ज्ञान, कब्ज़ा और अंतर्निहित प्रमाणीकरण कारकों के बीच क्या व्यापार-बंद हैं?
• अभिगम-नियंत्रण मॉडल (DAC, MAC, RBAC, ABAC) नीति को कैसे व्यक्त और लागू करते हैं?
• न्यूनतम विशेषाधिकार के सिद्धांत को व्यवहार में कैसे लागू किया जाता है?
• एकल साइन-ऑन के माध्यम से संगठनों में पहचान को कैसे संघीकृत किया जाता है?

Key concepts

• प्रमाणीकरण कारक
• बहु-कारक प्रमाणीकरण
• पासवर्ड और क्रेडेंशियल भंडारण
• बायोमेट्रिक्स
• अभिगम-नियंत्रण सूचियाँ और क्षमताएँ
• भूमिका-आधारित अभिगम नियंत्रण (RBAC)
• विशेषता-आधारित अभिगम नियंत्रण (ABAC)
• न्यूनतम विशेषाधिकार
• एकल साइन-ऑन और संघीय पहचान

Key theories

प्रमाणीकरण कारक और बहु-कारक प्रमाणीकरण

पहचान को किसी ऐसी चीज़ से सत्यापित किया जाता है जिसे आप जानते हैं (पासवर्ड), आपके पास है (टोकन या फोन), या आप हैं (बायोमेट्रिक); स्वतंत्र कारकों के संयोजन से क्रेडेंशियल चोरी के खिलाफ बाधा बहुत बढ़ जाती है, क्योंकि एक कारक से समझौता करना अपर्याप्त है।

अभिगम-नियंत्रण मॉडल और न्यूनतम विशेषाधिकार

प्राधिकरण को मॉडल के माध्यम से संरचित किया जाता है — विवेकाधीन और अनिवार्य अभिगम नियंत्रण, भूमिका-आधारित (RBAC) और विशेषता-आधारित (ABAC) — जो, न्यूनतम विशेषाधिकार द्वारा निर्देशित, प्रत्येक विषय को केवल वही अधिकार प्रदान करते हैं जिनकी उसे आवश्यकता होती है, जिससे समझौते के नुकसान को सीमित किया जा सके।

Mechanisms

प्रमाणीकरण तंत्र एक कारक को सत्यापित करते हैं: एक सॉल्टेड पासवर्ड हैश की तुलना करना, एक वन-टाइम कोड या हार्डवेयर-टोकन हस्ताक्षर को मान्य करना, या एक बायोमेट्रिक टेम्पलेट का मिलान करना। क्रिप्टोग्राफिक प्रमाणीकरण (सार्वजनिक-कुंजी प्रमाणपत्र, FIDO2/WebAuthn) एक गुप्त कुंजी भेजे बिना एक निजी कुंजी के कब्जे को साबित करता है। प्राधिकरण तब एक नीति से परामर्श करता है: अभिगम-नियंत्रण सूचियाँ संसाधनों से अनुमतियाँ संलग्न करती हैं, क्षमताएँ उन्हें विषयों से संलग्न करती हैं, और RBAC/ABAC भूमिकाओं या विशेषताओं से निर्णय की गणना करते हैं। संघीय पहचान प्रोटोकॉल (OAuth, OIDC, SAML) एक प्रदाता को कई सेवाओं के लिए एक उपयोगकर्ता की गारंटी देने की अनुमति देते हैं।

Clinical relevance

प्रमाणीकरण और अभिगम नियंत्रण वह जगह है जहाँ अधिकांश वास्तविक हमले सफल या विफल होते हैं: चोरी हुए या फ़िशेबल पासवर्ड अधिकांश उल्लंघनों का कारण बनते हैं, यही कारण है कि बहु-कारक प्रमाणीकरण और फ़िशिंग-प्रतिरोधी पासकी (WebAuthn) अब दृढ़ता से अनुशंसित हैं। RBAC उद्यमों और क्लाउड प्लेटफ़ॉर्म में अनुमतियों को नियंत्रित करता है, और एकल साइन-ऑन (Google, Microsoft लॉगिन) रोजमर्रा के उपयोगकर्ता अनुभव और उसके सुरक्षा जोखिमों को आकार देता है।

Evidence & guidelines

NIST SP 800-63 (डिजिटल पहचान दिशानिर्देश) प्रमाणीकरण आश्वासन स्तरों और आधुनिक पासवर्ड मार्गदर्शन (जबरन जटिलता पर लंबाई और उल्लंघन-जाँच का पक्ष लेना) को परिभाषित करता है। RBAC को INCITS 359 के रूप में मानकीकृत किया गया है, और FIDO2/WebAuthn फ़िशिंग-प्रतिरोधी प्रमाणीकरण प्रदान करता है। OAuth 2.0 (RFC 6749) और OpenID Connect संघीय प्राधिकरण और प्रमाणीकरण को मानकीकृत करते हैं।

History

अभिगम नियंत्रण शुरुआती टाइम-शेयरिंग सिस्टम से संबंधित है, जिसमें लैम्पसन के अभिगम-नियंत्रण मैट्रिक्स और बेल-लापाडुला अनिवार्य मॉडल ने 1970 के दशक में इसे औपचारिक रूप दिया था। भूमिका-आधारित अभिगम नियंत्रण को सन्धु और सहयोगियों द्वारा 1996 में औपचारिक रूप दिया गया और यह उद्यम मानक बन गया। प्रमाणीकरण पासवर्ड से लेकर हार्डवेयर टोकन और वन-टाइम पासवर्ड तक आज के बहु-कारक और फ़िशिंग-प्रतिरोधी पासकी तक विकसित हुआ, जबकि संघीय पहचान (SAML, फिर OAuth/OIDC) ने वेब-स्केल एकल साइन-ऑन को सक्षम किया।

Key figures

• Ravi Sandhu
• Ross Anderson
• Jerome Saltzer
• Butler Lampson
• Roger Needham

Seminal works

• anderson2020
• sandhu1996
• saltzer1975

Frequently asked questions

बहु-कारक प्रमाणीकरण की इतनी दृढ़ता से अनुशंसा क्यों की जाती है?

पासवर्ड अकेले फ़िशिंग, पुन: उपयोग और डेटाबेस उल्लंघनों के माध्यम से नियमित रूप से चोरी हो जाते हैं। दूसरे, स्वतंत्र कारक (एक उपकरण या बायोमेट्रिक) की आवश्यकता का मतलब है कि लॉगिन करने के लिए चोरी किया गया पासवर्ड पर्याप्त नहीं है, जिससे अधिकांश खाता-अधिग्रहण हमलों को रोका जा सके।

RBAC और ABAC में क्या अंतर है?

भूमिका-आधारित अभिगम नियंत्रण उपयोगकर्ताओं को सौंपी गई भूमिकाओं के माध्यम से अनुमतियाँ प्रदान करता है, जिसे प्रशासित करना सरल है। विशेषता-आधारित अभिगम नियंत्रण उपयोगकर्ता, संसाधन और संदर्भ (जैसे समय या स्थान) की विशेषताओं से निर्णय लेता है, जिससे अधिक जटिलता की लागत पर अधिक बारीक, गतिशील नीतियां मिलती हैं।