VeriSBOM: Secure and Verifiable SBOM Sharing Via Zero-Knowledge Proofs
यह शोध पत्र VeriSBOM प्रस्तुत करता है, जो एक ट्रस्टलेस फ्रेमवर्क है जो ज़ीरो-नॉलेज प्रूफ और वेक्टर कमिटमेंट्स का उपयोग करता है ताकि संवेदनशील SBOM डेटा की गोपनीयता बनाए रखते हुए तीसरे पक्षों को सॉफ्टवेयर आपूर्ति श्रृंखला सुरक्षा और अनुपालन नीतियों को क्रिप्टोग्राफिक रूप से सत्यापित करने में सक्षम बनाया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपने एक हाई-एंड, कस्टम-बिल्ट कार खरीदी है। इसे शोरूम से बाहर ले जाने से पहले, आप दो चीजें जानना चाहते हैं:
- क्या यह सुरक्षित है? (क्या इसमें कोई ज्ञात दोष या खतरनाक पुर्जे हैं?)
- क्या यह कानूनी है? (क्या यह सरकारी नियमों का पालन करता है?)
इस उत्तर को खोजने के लिए, निर्माता आपको एक सॉफ्टवेयर बिल ऑफ मटेरियल्स (SBOM) देता है। इसे एक विशाल, विस्तृत रसीद के रूप में समझें जिसमें उस कार को बनाने के लिए इस्तेमाल किए गए हर एक पेंच, बोल्ट, इंजन के पुर्जे और सॉफ्टवेयर कोड की सूची दी गई है।
समस्या:
निर्माता आपको वह पूरी रसीद दिखाने से डरता है। क्यों?
- व्यापारिक रहस्य (Trade Secrets): यदि वे आपको ठीक से बताते हैं कि उन्होंने किस विशिष्ट इंजन पार्ट का उपयोग किया है, तो एक प्रतिस्पर्धी उस विचार को चुरा सकता है।
- कमियां (Vulnerabilities): यदि वे स्वीकार करते हैं, "ओह, हमने इस विशिष्ट पुराने बोल्ट का उपयोग किया है जिसे हम जानते हैं कि जंग लगा हुआ है लेकिन अभी तक ठीक नहीं किया गया है," तो हैकर्स तुरंत उस बोल्ट को निशाना बनाकर आपकी कार में घुसपैठ कर लेंगे।
इसलिए, वे कहते हैं, "हम पर भरोसा करें, यह सुरक्षित है," लेकिन आप उस गुप्त सूची को देखे बिना इसकी पुष्टि नहीं कर सकते। यदि आप सूची देखने के लिए कहते हैं, तो वे मना कर देते हैं। यदि वे सूची दिखाते हैं, तो वे अपने रहस्यों को खो देते हैं। यह एक गतिरोध है।
समाधान: VeriSBOM (एक "जादुई लिफाफा")
इस शोध पत्र के लेखकों ने जीरो-नॉलेज प्रूफ (Zero-Knowledge Proofs) की अवधारणा का उपयोग करके एक जादुई समाधान ईजाद किया है, जिसे VeriSBOM कहा जाता है।
कल्पना कीजिए कि निर्माता पूरे गुप्त रसीद को एक जादुई लिफाफे में रखता है। वे इसे आपके लिए खोलते नहीं हैं। इसके बजाय, वे एक विशेष मशीन का उपयोग करके एक सीलबंद प्रमाणपत्र (Sealed Certificate) तैयार करते हैं।
यह प्रमाणपत्र दो चीजों को सिद्ध करता है, बिना लिफाफे को खोले:
- "मैं वादा करता हूँ कि इस कार का हर पुर्जा 'आधिकारिक पार्ट्स स्टोर' से आता है।" (प्रामाणिकता/Authenticity)
- "मैं वादा करता हूँ कि इस कार का हर पुर्जा 'सुरक्षा निरीक्षण' पास करता है।" (अनुपालन/Compliance)
आप प्रमाणपत्र की जांच कर सकते हैं, और इसे फर्जी बनाना गणितीय रूप से असंभव है। लेकिन प्रमाणपत्र आपको कभी यह नहीं बताता कि अंदर कौन से विशिष्ट पुर्जे हैं। आप जानते हैं कि कार सुरक्षित और कानूनी है, लेकिन निर्माता अपने गुप्त नुस्खे को सुरक्षित रखता है।
यह कैसे काम करता है (रूपक/Metaphors)
1. दो पेड़ (दोहरी-वृक्ष संरचना/The Dual-Tree Architecture)
कल्पना कीजिए कि एक बगीचे में दो विशाल पेड़ उग रहे हैं।
- पेड़ A (आधिकारिक पेड़): यह पेड़ "आधिकारिक पार्ट्स स्टोर" (पैकेज मैनेजर) द्वारा उगाया गया है। इसकी हर शाखा एक वास्तविक, वैध पुर्जे का प्रतिनिधित्व करती है। यदि कोई पुर्जा इस पेड़ पर नहीं है, तो वह नकली है।
- पेड़ा B (सुरक्षा पेड़): यह पेड़ एक स्वतंत्र "सुरक्षा निरीक्षक" (ऑडिटर) द्वारा उगाया गया है। यहाँ हर शाखा पर एक हरा टिक (सुरक्षित) या लाल X (असुरक्षित) का निशान है।
निर्माता अपना कार बनाने के लिए पेड़ A पर मौजूद पुर्जों का उपयोग करता है। फिर, वे यह सुनिश्चित करने के लिए इन पुर्जों की जाँच पेड़ B के विरुद्ध करते हैं कि वे हरे रंग के हैं।
2. जादुिक प्रमाण (जीरो-नॉलेज/The Magic Proof)
निर्माता अपनी कार के पुर्जों की सूची को एक "जादुई मशीन" (जीरो-नॉलेज प्रूफ सिस्टम) के माध्यम से चलाता है।
- मशीन पुर्जों को देखती है।
- यह जाँचती है: "क्या ये पुर्जे पेड़ A पर मौजूद हैं?" (हाँ)।
- यह जाँचती है: "क्या पेड़ B पर इन पुर्जों को हरा मार्क किया गया है?" (हाँ)।
- इसके बाद यह एक छोटा, सीलबंद नोट (प्रूफ) निकालती है।
यह नोट कहता है: "मैंने गणितीय रूप से सत्यापित किया है कि सभी पुर्जे वास्तविक और सुरक्षित हैं।" यह यह नहीं कहता है: "कार में फोर्ड का इंजन और टोयोटा का ट्रांसमिशन है।"
3. फोल्डिंग का तरीका (स्केलेबिलिटी/The Folding Trick)
यदि एक कार में 1,000 पुर्जे हैं, तो एक-एक करके उनकी जाँच करना बहुत समय लेगा। बड़े सॉफ्टवेयर प्रोजेक्ट्स के लिए यह बहुत धीमा होगा।
VeriSBOM "फोल्डिंग" नामक एक ट्रिक का उपयोग करता है। कल्पना कीजिए कि आपके पास चेक्स वाले 1,000 कागज के टुकड़े हैं। उन सभी को एक-एक करके दिखाने के बजाय, आप उन सभी को एक साथ मोड़कर एक छोटा सा ओरिगेमी क्रेन (Origami Crane) बना देते हैं।
- वह क्रेन यह प्रमाणित करती है कि उसके अंदर के सभी कागज वैध हैं।
- चाहे आप इसके अंदर 10 कागज रखें या 10,000, क्रेन का आकार समान रहता है।
- इसका मतलब है कि यह सिस्टम एक छोटे ऐप के लिए भी उतना ही तेज़ काम करता है जितना कि एक विशाल ऑपरेटिंग सिस्टम के लिए।
यह क्यों महत्वपूर्ण है
- कंपनियों के लिए: वे अपने रहस्यों को चोरी हुए या हैकर्स द्वारा कमजोरियों को उजागर किए बिना अपना सॉफ्टवेयर सुरक्षित रूप से साझा कर सकती हैं।
- आपके लिए (उपयोगकर्ता): आपको कंपनी की बात पर भरोसा किए बिना यह गारंटी मिलती है कि सॉफ्टवेयर सुरक्षित और कानूनी है। आप स्वयं "जादुई प्रमाणपत्र" की पुष्टि कर सकते हैं।
- दुनिया के लिए: यह हैकर्स को सॉफ्टवेयर की रसीदें पढ़कर कमजोरियां खोजने से रोकता है, क्योंकि अब रसीदें एक गणितीय ढाल के पीछे छिपी हुई हैं।
संक्षेप में: VeriSBOM सॉफ्टवेयर के लिए एक नोटरी पब्लिक की तरह है। यह आपको सत्यापित करने की अनुमति देता है कि एक सॉफ्टवेयर उत्पाद सही ढंग से और सुरक्षित रूप से बनाया गया है, बिना निर्माता को उसके गुप्त घटक प्रकट करने के लिए मजबूर किए। यह पारदर्शिता (यह जानना कि यह सुरक्षित है) और गोपनीयता (रहस्यों को सुरक्षित रखना) के बीच का एक आदर्श संतुलन है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।