💻 computer science

A Lightweight QR-assisted Zero-knowledge Identification Protocol For Secure Authentication

यह शोध पत्र श्नोर स्कीम (Schnorr scheme) पर आधारित एक हल्का, क्यूआर कोड-सहायता प्राप्त ज़ीरो-नॉलेज ऑथेंटिकेशन प्रोटोकॉल प्रस्तावित करता है जो मिलीसेकंड-स्तर के प्रदर्शन और 0.5 KB के संक्षिप्त प्रमाण आकार को बनाए रखते हुए मोबाइल और कम-संसाधन वाले सिस्टम को रीप्ले हमलों से सुरक्षित करता है।

मूल लेखक: Hüseyin Bodur

प्रकाशित 2026-05-19

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Hüseyin Bodur

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक सुरक्षा गार्ड को यह साबित करने की कोशिश कर रहे हैं कि आपको एक गुप्त पासवर्ड पता है, लेकिन आप वास्तव में उस पासवर्ड को ज़ोर से नहीं बोलना चाहते। यदि आप इसे केवल फुसफुसाते हैं, तो आस-पास का कोई भी व्यक्ति इसे सुन सकता है और चुरा सकता है। यदि आप इसे कागज़ के एक टुकड़े पर लिखते हैं, तो कोई इसकी फोटोकॉपी कर सकता है और बाद में इसका उपयोग कर सकता है।

यह शोध पत्र गणितीय जादू (math magic), QR कोड और एक समय सीमा के मिश्रण का उपयोग करके इस समस्या का एक चतुर समाधान प्रस्तावित करता है। यह कैसे काम करता है, यहाँ सरल अवधारणाओं में दिया गया है:

1. मूल विचार: "जादुई ट्रिक" (जीरो-नॉलेज प्रूफ)

जीरो-नॉलेज प्रूफ (Zero-Knowledge Proof) को एक जादुई ट्रिक के रूप में सोचें जहाँ आप गुप्त जानकारी दिखाए बिना यह सिद्ध करते हैं कि आपके पास वह रहस्य है।

पुराना तरीका: आप गार्ड को अपनी चाबी सौंप देते हैं। यदि वे इसे खो देते हैं, तो कोई भी इसका उपयोग कर सकता है।
नया तरीका: आप एक पर्दे के पीछे खड़े होते हैं। गार्ड आपसे एक विशिष्ट गणितीय पहेली हल करने के लिए कहता है जिसे केवल वही हल कर सकता है जिसके पास चाबी हो। आप उसे तुरंत हल कर देते हैं। गार्ड समाधान को देखता है, उसे पता चल जाता है कि आपके पास चाबी है, लेकिन वह कभी भी चाबी को देख नहीं पाता है।

2. असली मंत्र: श्नोर प्रोटोकॉल (Schnorr Protocol)

यह शोध पत्र श्नोर प्रोटोकॉल नामक एक विशिष्ट गणितीय विधि का उपयोग करता है।

उपमा: कल्पना कीजिए कि एक ताला लगा हुआ बॉक्स (पब्लिक की) है जिसे हर कोई देख सकता है। इसके अंदर एक गुप्त संख्या (प्राइवेट की) है जिसे केवल आप जानते हैं।
सिस्टम आपसे आपके गुप्त नंबर को एक रैंडम नंबर के साथ मिलाने के लिए कहता है जिसे आप मौके पर ही उत्पन्न करते हैं। आप परिणाम वापस भेजते हैं।
गार्ड ताले लगे बॉक्स का उपयोग करके आपके गणित की जांच कर सकता है। यदि गणित पूरी तरह से सही बैठता है, तो वे जान जाते हैं कि आपके पास निश्चित रूप से वह गुप्त संख्या है। यदि आप अनुमान लगा रहे होते, तो गणित विफल हो जाता।

3. वितरण विधि: QR कोड

इस गणितीय पहेली को कंप्यूटर में टाइप करने या वाई-फाई के माध्यम से कनेक्ट करने के बजाय, यह शोध पत्र सुझाव देता है कि उत्तर को एक QR कोड (वह वर्गाकार बारकोड जिसे आप अपने फोन से स्कैन करते हैं) में डाल दिया जाए।

यह कैसे काम करता है: आपका फोन "प्रूफ" (गणितीय उत्तर) उत्पन्न करता है, उसे QR कोड में बदलता है, और आप उसे कैमरे के सामने दिखाते हैं।
यह क्यों अच्छा है: यह एक सीलबंद लिफाफे को सौंपने जैसा है। कैमरा लिफाफे को पढ़ता है, उसके अंदर के गणित की जांच करता है, और तय करता है कि आप वही हैं जो आप कह रहे हैं। इसे काम करने के लिए किसी जटिल इंटरनेट कनेक्शन की आवश्यकता नहीं है।

4. सुरक्षा जाल: "नकलचीों" को रोकना (Replay Attacks)

QR कोड के साथ सबसे बड़ी समस्या यह है: इन्हें कॉपी करना आसान है। यदि मैं आपके QR कोड की फोटो ले लेता हूँ, तो मैं बाद में इसे स्कैन कर सकता हूँ और आपकी जगह होने का नाटक कर सकता हूँ। इसे "रिप्ले अटैक" कहा जाता है।

यह शोध पत्र इसे दो सुरक्षा तंत्रों के साथ हल करता है:

टाइमस्टैम्प (एक्सपायरी डेट): प्रत्येक QR कोड के अंदर एक "टाइमस्टैम्प" लिखा होता है, जैसे "केवल 5 सेकंड के लिए वैध।" यदि गार्ड एक ऐसा कोड स्कैन करता है जो 10 मिनट पहले बनाया गया था, तो वे इसे तुरंत अस्वीकार कर देते हैं। यह एक ऐसे टिकट की तरह है जो फिल्म शुरू होते ही समाप्त हो जाता है।
नॉन्स (एक बार इस्तेमाल होने वाला टिकट): हर बार जब आप स्कैन करते हैं, तो सिस्टम एक अद्वितीय, रैंडम नंबर उत्पन्न करता है जिसे "नॉन्स" (nonce) कहा जाता है। भले ही आप ठीक उसी QR कोड को दोबारा स्कैन करने का प्रयास करें, सिस्टम इसे एक अलग घटना के रूप में मानता है। यदि नंबर वर्तमान क्षण से मेल नहीं खाते, तो कोड बेकार है।

5. यह कितना तेज़ है? (प्रदर्शन)

शोधकर्ताओं ने यह देखने के लिए कि इसमें कितना समय लगता है, एक कंप्यूटर पर इसका परीक्षण किया।

गति: यह अविश्वसनीय रूप से तेज़ है। प्रमाण (proof) उत्पन्न करने में लगभग 0.00015 सेकंड (एक पलक झपकने से भी तेज़) लगते हैं। प्रमाण की जांच करने में लगभग 0.0005 सेकंड लगते हैं।
आकार: "प्रूफ" बहुत छोटा है, लगभग 0.5 KB। यह एक मानक QR कोड में आसानी से फिट होने के लिए पर्याप्त छोटा है ताकि इसे स्कैन करना बहुत जटिल न हो।

सारांश

यह शोध पत्र एक ऐसा सिस्टम प्रस्तुत करता है जहाँ आप अपने गुप्त पासवर्ड को प्रकट किए बिना QR कोड का उपयोग करके अपनी पहचान सिद्ध कर सकते हैं। यह भारी काम करने के लिए उन्नत गणित (श्नोर) का उपयोग करता है, और नकल करने वाले बुरे लोगों को रोकने के लिए समय सीमा और रैंडम नंबरों का उपयोग करता है।

लेखकों का दावा है कि यह मोबाइल फोन और कम शक्ति वाले उपकरणों (जैसे साधारण दरवाज़ों के लॉक या इवेंट चेक-इन) के लिए एकदम सही है क्योंकि यह तेज़ है, छोटा है, और इसे काम करने के लिए किसी शक्तिशाली कंप्यूटर की आवश्यकता नहीं है। उन्होंने एक सिमुलेशन में इसका परीक्षण किया और पाया कि यह बिल्कुल वैसे ही काम करता है जैसा वे चाहते थे।

तकनीकी सारांश: सुरक्षित प्रमाणीकरण के लिए एक हल्का QR-सहायता प्राप्त ज़ीरो-नॉलेज पहचान प्रोटोकॉल

समस्या विवरण
मोबाइल, वितरित और संसाधन-सीमित वातावरण में सुरक्षित प्रमाणीकरण महत्वपूर्ण चुनौतियों का सामना करता है। पारंपरिक तरीके, जैसे कि पासवर्ड-आधारित प्रणालियाँ और प्रमाणपत्र बुनियादी ढाँचे, अक्सर तीसरे पक्ष पर निर्भर होते हैं और पहचान की चोरी, डेटा रिसाव और रीप्ले हमलों (replay attacks) जैसे जोखिम उत्पन्न करते हैं। जबकि ज़ीरो-नॉलेज प्रूफ (ZKP) प्रोटोकॉल, विशेष रूप से श्नोर (Schnorr) पहचान योजना पर आधारित, उपयोगकर्ता को अपना गुप्त ज्ञान प्रकट किए बिना उसे सिद्ध करने की अनुमति देकर मजबूत सुरक्षा प्रदान करते हैं, उनका व्यावहारिक कार्यान्वयन हल्के मोबाइल वातावरण में सीमित बना हुआ है। इसके अलावा, मौजूदा QR कोड-आधारित प्रमाणीकरण प्रणालियाँ अक्सर उन कमजोरियों से ग्रस्त होती हैं जहाँ कॉपी किए गए या पुन: उपयोग किए गए कोड रीप्ले हमलों को सुगम बना सकते हैं, विशेष रूप से तब जब सत्यापन मुख्य रूप से केंद्रीय सर्वरों पर निर्भर हो।

कार्यप्रणाली
यह अध्ययन एक हल्का, गैर-इंटरैक्टिव प्रमाणीकरण प्रोटोकॉल प्रस्तावित करता है जो QR कोड डेटा ट्रांसमिशन के साथ श्नोर-आधारित ZKP को एकीकृत करता है। यह प्रणाली डिस्क्रीट लॉगरिदम प्रॉब्लम (DLP) की कम्प्यूटेशनल जटिलता पर कार्य करती है।

प्रोटोकॉल डिज़ाइन: प्रोटोकॉल 'फिएट-शमीर ट्रांसफ़ॉर्मेशन' का उपयोग करता है ताकि इंटरैक्टिव श्नोर प्रोटोकॉल को गैर-इंटरैक्टिव प्रोटोकॉल में परिवर्तित किया जा सके।
- प्रूवर (Prover) पक्ष: प्रूवर, जिसके पास एक निजी कुंजी $x$ और एक संगत सार्वजनिक कुंजी $y = g^x \mod p$ है, एक रैंडम मान $r$ उत्पन्न करता है ताकि कमिटमेंट $t = g^r \mod p$ की गणना की जा सके। एक चुनौती $c$ को कमिटमेंट, सार्वजनिक कुंजी, एक नॉन्स (nonce) और एक टाइमस्टैम्प को हैश करके नियत रूप से (deterministically) प्राप्त किया जाता है ($c = Hash(t || y || nonce || timestamp) $)। प्रतिक्रिया$ s $की गणना$ s = r + cx \mod (p-1) $के रूप में की जाती है। परिणामी प्रूफ टुपल$ \pi = (t, s, nonce, timestamp)$ को JSON प्रारूप में एनकोड किया जाता है और एक QR कोड में एम्बेड किया जाता है।
- वेरिफायर (Verifier) पक्ष: वेरिफायर QR कोड को डिकोड करता है, ताज़गी (freshness) सुनिश्चित करने के लिए टाइमस्टैम्प को मान्य करता है, चुनौती $c$ की पुनर्गणना करता है, और समीकरण $g^s = t \cdot y^c \mod p$ को सत्यापित करता है।
सुरक्षा तंत्र: विजुअल QR कोड में निहित रीप्ले हमलों के जोखिम से निपटने के लिए, सिस्टम एक टाइमस्टैम्प और एक नॉन्स को शामिल करता है। टाइमस्टैम्प यह सुनिश्चित करता है कि प्रमाण केवल एक विशिष्ट समय विंडो ( $\Delta$ ) के भीतर वैध है, जबकि नॉन्स प्रत्येक सत्र के लिए प्रमाण की विविधता सुनिश्चित करता है।
ट्रांसमिशन चैनल: QR कोड एक वन-वे, कॉन्टैक्टलेस ट्रांसमिशन माध्यम के रूप में कार्य करता है। यह स्वयं क्रिप्टोग्राफिक सुरक्षा प्रदान नहीं करता है, बल्कि यह प्रमाण डेटा की अखंडता को सुरक्षित रखता है, और सुरक्षा के लिए अंतर्निहित क्रिप्टोग्राफिक प्रोटोकॉल पर निर्भर रहता है।

प्रमुख योगदान
पत्र तीन प्राथमिक योगदानों की पहचान करता है:

एक हल्का, गैर-इंटरैक्टिव ZKP प्रमाणीकरण प्रोटोकॉल का डिज़ाइन जो विशेष रूप से QR कोड के माध्यम से ट्रांसमिशन के लिए संरचित है।
स्थिर या कॉपी करने योग्य QR कोडों में निहित रीप्ले हमले के जोखिमों को कम करने के लिए एक टाइमस्टैम्प-आधारित सत्यापन तंत्र का कार्यान्वयन।
मानक QR कोड क्षमता सीमाओं के साथ प्रूफ के आकार की अनुकूलता का मूल्यांकन।

परिणाम
प्रोटोकॉल का मूल्यांकन 256-बिट सुरक्षा स्तर के साथ एक पायथन-आधारित सिमुलेशन वातावरण का उपयोग करके किया गया था।

प्रदर्शन: प्रूफ जनरेशन और वेरिफिकेशन दोनों समय मिलीसेकंड की सीमा में पाए गए। विशेष रूप से, जनरेशन समय लगभग 0.00014 से 0.00018 सेकंड के बीच था, जबकि वेरिफिकेशन समय 0.00030 से 0.00078 सेकंड के बीच था। प्रारंभिक जनरेशन रन में पैरामीटर इनिशियलाइजेशन के कारण थोड़ा अधिक विलंब देखा गया, लेकिन बाद के रन अत्यधिक कुशल रहे।
डेटा का आकार: JSON में एनकोड किया गया जनरेट किया गया प्रूफ डेटा का आकार लगभग 491–495 बाइट्स (लगभग 0.5 KB) पर स्थिर रहा। यह आकार मानक QR कोड के निम्न संस्करणों में भी आसानी से समाहित हो जाता है, जिससे आसान ट्रांसमिशन सुलभ होता है।

महत्व और दावे
लेखकों का दावा है कि प्रस्तावित मॉडल एक ऐसा समाधान प्रदान करता है जो कम कंप्यूटेशनल संसाधनों और न्यूनतम बुनियादी ढांचे की आवश्यकताओं वाले वातावरण के लिए व्यवहार्य और सुरक्षित है। श्नोर-आधारित ZKPs की सुरक्षा को QR कोड की व्यावहारिकता के साथ जोड़कर, यह प्रणाली गुप्त कुंजी को प्रकट किए बिना सत्यापन सक्षम करती है और रीप्ले हमलों के विरुद्ध लचीलापन बनाए रखती है।

यह अध्ययन इस दृष्टिकोण को विशेष रूप से निम्नलिखित के लिए उपयुक्त मानता है:

IoT गेटवे सिस्टम।
अस्थायी एक्सेस कंट्रोल तंत्र।
मोबाइल प्रमाणीकरण अनुप्रयोग।

पत्र निष्कर्ष निकालता है कि यह मॉडल कम कंप्यूटेशनल ओवरहेड के साथ मजबूत क्रिप्टोग्राफिक सुरक्षा को संतुलित करता है, जिससे यह भौतिक एक्सेस कंट्रोल और मोबाइल परिदृश्यों में व्यावहारिक तैनाती के लिए उपयुक्त बनता है। लेखक उल्लेख करते हैं कि भविष्य का कार्य इस मॉडल को ब्लॉकचेन-आधारित पहचान प्रबंधन के साथ एकीकृत करने, स्केलेबिलिटी विश्लेषण करने और वास्तविक हार्डवेयर पर प्रयोगात्मक परीक्षण करने पर केंद्रित होगा।