xChk: Bring Your Own Identity -- Heterogeneous Assurance with Verifier-Determined Sufficiency

डिजिटल आईडी की दुविधा

कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ हर दुकान, बैंक और पार्क का अपना अलग सुरक्षा गार्ड है। कुछ गार्ड सिर्फ नाम पूछते हैं; कुछ जन्म प्रमाण पत्र, एक लाइव सेल्फी या आपके बॉस का पत्र मांगते हैं। वास्तविक दुनिया में, यह कष्टप्रद है लेकिन प्रबंधनीय है। डिजिटल दुनिया में, यह एक बुरा सपना है। वर्तमान में, जब आप किसी वेबसाइट पर लॉग इन करते हैं, तो "पहचान प्रदाता" (वह सेवा जो यह जाँचती है कि आप कौन हैं, जैसे गूगल या माइक्रोसॉफ्ट) आमतौर पर बस इतना चिल्लाकर कह देती है, "हाँ, यह व्यक्ति असली है!" वह दुकान को यह नहीं बताती कि वह कितना असली है। क्या उन्होंने अभी केवल पासवर्ड टाइप किया? या उन्होंने सरकारी आईडी और लाइव फेस स्कैन दिखाया? दुकान के लिए, दोनों बिल्कुल एक जैसे हैं, जो एक समस्या है जब आप हवाई टिकट खरीदने या बैंक खाते तक पहुँचने की कोशिश कर रहे हों।

यह शोध पत्र इस भ्रम को दूर करने के लिए "बिंग योर ओन आइडेंटिटी" (BYOI - अपनी पहचान स्वयं लाएं) नामक डिजिटल पहचान को संभालने का एक नया तरीका प्रस्तावित करता है। एक एकल, कठोर जाँच के बजाय, कल्पना कीजिए कि आपकी डिजिटल पहचान विभिन्न "प्रमाणों" (proofs) से भरा एक बैकपैक है। आपके पास एक सरकारी आईडी, एक कॉर्पोरेट बैज, एक पेशेवर नेटवर्क सत्यापन, या यहाँ तक कि एक प्लेटफॉर्म पर दीर्घकालिक गतिविधि का इतिहास भी हो सकता है। यह पेपर xChk नामक एक प्रणाली पेश करता है, जो इस बैकपैक के लिए एक स्मार्ट कूरियर के रूप में कार्य करता है। यह निर्णय नहीं लेता कि आपको दुकान में जाने की अनुमति है या नहीं; इसके बजाय, यह आपके प्रमाणों के विशिष्ट संग्रह को दुकान तक ले जाता है, और दुकान का गार्ड यह तय करता है कि आपको अंदर आने देने के लिए प्रमाणों का कौन सा संयोजन पर्याप्त है। यह महत्वपूर्ण है क्योंकि जैसे-जैसे आर्टिफिशियल इंटेलिजेंस (AI) एजेंट हमारे लिए काम करना शुरू कर रहे हैं—जैसे किराने का सामान खरीदना या फाइलों को प्रबंधित करना—हमें न केवल यह साबित करने के लिए एक तरीके की आवश्यकता है कि एक मानव मौजूद है, बल्कि यह भी कि एक विशिष्ट मानव ने एक विशिष्ट रोबोट को कार्य करने के लिए अधिकृत किया है, और वह मानव वही है जो वह होने का दावा करता है।

xChk बैकपैक: यह साबित करने का एक नया तरीका कि आप कौन हैं

यह शोध पत्र xChk प्रस्तुत करता है, जो एक संदर्भ प्रणाली है जिसे डिजिटल पहचान की "एक ही आकार सबके लिए" (one-size-fits-all) वाली समस्या को हल करने के लिए डिज़ाइन किया गया है। xChk को एक सार्वभौमिक अनुवादक और एक सुरक्षित बैकपैक के संयोजन के रूप में समझें। पुराने सिस्टम में, यदि आप कॉर्पोरेट ईमेल के साथ लॉग इन करते थे, तो वेबसाइट केवल जानती थी कि आप एक कर्मचारी हैं। यदि आप सोशल मीडिया अकाउंट के साथ लॉग इन करते थे, तो वे केवल जानते थे कि आपकी एक प्रोफाइल है। xChk इसे बदलकर आपको उन सभी तरीकों के मिश्रण का उपयोग करके नामांकन करने की अनुमति देता है जिन पर आप भरोसा करते हैं। आप एक सरकारी आईडी, एक कॉर्पोरेट लॉगिन, एक हार्डवेयर सुरक्षा कुंजी (जैसे FIDO2 की), एक पेशेवर नेटवर्क चेक, या यहाँ तक कि एक हेल्पडेस्क एजेंट के साथ लाइव वीडियो इंटरव्यू का उपयोग कर सकते हैं।

एक बार जब आप इन "प्रमाणों" को एकत्र कर लेते हैं, तो xChk उन्हें एक मानक डिजिटल टिकट (जिसे OAuth/OIDC टोकन कहा जाता है) में पैक कर देता है। यहाँ एक जादुई मोड़ है: xChk यह तय नहीं करता कि आपको प्रवेश दिया जाना चाहिए या नहीं। यह केवल टिकट की डिलीवरी करता है। दुकान (एक "रिलायिंग पार्टी") नियम पुस्तिका रखती है। यदि दुकान को सरकारी आईडी और एक लाइव फेस स्कैन की आवश्यकता है, तो xChk उन्हें आपके बैकपैक से ठीक वे दो आइटम दिखाता है। यदि दुकान को केवल कॉर्पोरेट ईमेल की आवश्यकता है, तो xChk केवल वही दिखाता है। इसे "वेरिफायर-डिटरमाइंड सफिशिएंसी" (सत्यापनकर्ता द्वारा निर्धारित पर्याप्तता) कहा जाता है। दुकान अंतिम निर्णय लेती है, पहचान प्रदाता नहीं। इसका अर्थ है कि आप अपनी पहचान के समृद्ध, विस्तृत इतिहास को रख सकते हैं, लेकिन आप केवल वही विशिष्ट भाग दिखाते हैं जो विशिष्ट कार्य के लिए आवश्यक है, जिससे आपकी गोपनीयता बनी रहती है।

मनुष्य, रोबोट और "एटेस्टेशन" (प्रमाणन) श्रृंखला

यह शोध पत्र एक बढ़ती हुई समस्या को भी संबोधित करता है: AI एजेंट। ये डिजिटल सहायक हैं जो मनुष्यों के लिए कार्य कर सकते हैं, जैसे ईमेल भेजना या फाइलें स्थानांतरित करना। लेकिन अगर रोबोट गलती करता है तो जिम्मेदार कौन है? xChk इसे एक "वेरिफिकेशन ग्राफ" बनाकर हल करता है जहाँ मनुष्य और रोबोट आपस में जुड़े होते हैं।

एक मानव प्रिंसिपल (आप) को एक पेड़ की जड़ के रूप में कल्पना करें। आप अपने AI एजेंटों को शाखाएँ "डेलीगेट" (सौंप) सकते हैं। लेकिन यहाँ एक सुरक्षा जाल है: उच्च जोखिम वाले कार्यों के लिए, सिस्टम को ह्यूमन-इन-द-लूप एटेस्टेशन की आवश्यकता होती है। यदि कोई AI एजेंट कुछ महत्वपूर्ण कार्य करना चाहता है, तो वह इसे सीधे नहीं कर सकता। उसे एक मानव से पूछना होगा। मानव अनुरोध की समीक्षा करता है, एक सुरक्षित पासकी के साथ अपनी पहचान सत्यापित करता है, और एक डिजिटल "अनुमोदन की मुहर" देता है। यह अनुमोदन एक श्रृंखला में दर्ज किया जाता है, जैसे रसीदों की एक लिंक्ड लिस्ट। यदि आप अपनी पहुंच वापस ले लेते हैं, तो आपके नीचे के एजेंटों की पूरी श्रृंखला तुरंत कट जाती है, जिससे एक अनियंत्रित रोबोट को आपकी ओर से कार्य करने से रोका जा सके।

यह सिस्टम एक "द्विपक्षीय" (bilateral) जांच का भी समर्थन करता है। इससे पहले कि आप अपनी पहचान किसी दुकान के साथ साझा करें, सिस्टम दुकान की पहचान की भी जांच करता है। यह पूछता है, "क्या यह दुकान एक वास्तविक कंपनी है? क्या उनके पास एक सत्यापित डोमेन है?" यदि दुकान इस जांच में विफल रहती है, तो आपसे अपना डिजिटल बैकपैक साझा करने के लिए नहीं पूछा जाएगा। यह फिशिंग साइटों को आपको अपना डिजिटल बैकपैक सौंपने के लिए धोखा देने से रोकता है।

यह वास्तविक दुनिया में कैसे काम करता है

लेखकों ने xChk का एक वर्किंग प्रोटोटाइप बनाया है, जो एक लाइव वेबसाइट पर उपलब्ध है। उन्होंने इसे एक विशिष्ट "रिलायिंग पार्टी" (Crabby Editor नामक वेबसाइट) के साथ परीक्षण किया है जो उपयोगकर्ताओं को लॉग इन करने देने के लिए xChk का उपयोग करती है। सिस्टम निम्नलिखित को संभालता है:

• नामांकन (Enrollment): उपयोगकर्ता विभिन्न तरीकों (सरकारी आईडी, कॉर्पोरेट SSO, पासकी, आदि) का उपयोग करके साइन अप कर सकते हैं।
• बैकपैक: सिस्टम इन प्रमाणों का एक "पोर्टफोलियो" बनाता है।
• हैंडऑफ: जब आप लॉग इन करते हैं, तो सिस्टम एक टोकन भेजता है जिसमें आपके चयनित प्रमाण शामिल होते हैं।
• रोबोट चेक: यदि कोई AI एजेंट कार्य करने का प्रयास करता है, तो उसे एक "अधिकृत" गेट से गुजरना होगा जहाँ एक मानव कार्य को मंजूरी देता है, जिससे अनुमोदन का एक हैश-चेन्ड रिकॉर्ड बनता है।

शोध पत्र में कुछ "माइक्रो-बेंचमार्क्स" (छोटे गति परीक्षण) शामिल हैं जो दिखाते हैं कि डिजिटल हस्ताक्षरों की जाँच करना और "बैकपैक" की सामग्री को सत्यापित करना अविश्वसनीय रूप से तेज़ है (स्थानीय जाँच के लिए 0.02 मिलीसेकंड से कम समय लगता है)। हालाँकि, मानव अनुमोदन चरण में उतना ही समय लगता है जितना कि एक व्यक्ति को सूचना देखने और "अनुमोदन" पर क्लिक करने में लगता है, जो सुरक्षा के लिए एक स्वाभाविक बाधा है।

यह शोध पत्र क्या करता है और क्या नहीं करता

यह समझना महत्वपूर्ण है कि xChk क्या हासिल करता है और इसकी सीमाएँ क्या हैं। शोध पत्र यह दावा नहीं करता कि उसने सभी पहचान समस्याओं को हल कर लिया है या यह एक पूर्ण, अटूट प्रणाली है। यह स्पष्ट रूप से कहता है कि यह एक "संदर्भ कार्यान्वयन" (reference implementation) है, जिसका अर्थ है कि यह एक कार्यशील मॉडल है जो यह दिखाने के लिए है कि इस विचार को कैसे बनाया जा सकता है, न कि दुनिया के हर बैंक के लिए तैयार कोई अंतिम व्यावसायिक उत्पाद।

यह शोध पत्र इस विचार को अस्वीकार करता है कि एक एकल "ट्रस्ट स्कोर" (एक संख्या जो यह रेटिंग देती है कि आपकी पहचान कितनी अच्छी है) ही एकमात्र महत्वपूर्ण चीज़ होनी चाहिए। इसके बजाय, यह तर्क देता है कि विभिन्न दुकानों को प्रमाणों के विभिन्न संयोजनों की आवश्यकता होती है। एक कॉफी शॉप को आपकी सरकारी आईडी की परवाह नहीं हो सकती है, लेकिन एक बैंक को होती है। xChk दुकान को ठीक वही माँगने की अनुमति देता है जिसकी उसे आवश्यकता है।

लेखक आश्वस्त हैं कि उनका सिस्टम उनके परीक्षणों में वर्णित रूप से कार्य करता है। उन्होंने डिजिटल जाँच की गति को मापा है और प्रदर्शित किया है कि "ह्यूमन-इन-द-लूप" अनुमोदन प्रक्रिया सही ढंग से कार्य करती है। हालाँकि, वे स्वीकार करते हैं कि अन्य वेबसाइटों द्वारा व्यापक रूप से अपनाना अभी भविष्य का कार्य है। वे यह भी नोट करते हैं कि "ब्लॉकचेन एंकरिंग" सुविधा (अतिरिक्त सुरक्षा के लिए सार्वजनिक लेजर पर अनुमोदन का एक छोटा फिंगरप्रिंट संग्रहीत करना) वैकल्पिक है और इसके लिए एक विशिष्ट सेटअप की आवश्यकता होती है।

संक्षेप में, xChk सभी डिजिटल पहचानों के साथ एक जैसा व्यवहार करने को रोकने के लिए एक चंचल लेकिन गंभीर प्रस्ताव है। यह सुझाव देता है कि एक एकल कुंजी के बजाय, हमारे पास कुंजियों का एक टूलकिट होना चाहिए, और दरवाजा खोलने वाले व्यक्ति को यह तय करने दें कि उन्हें किन कुंजियों की आवश्यकता है। यह मानव पहचान और AI क्रिया के बीच के अंतर को पाटता है, यह सुनिश्चित करता है कि जब कोई रोबोट कार्य करता है, तो हमें पता होता है कि किस मानव ने उसे ऐसा करने के लिए कहा था, और वह मानव वही था जिसका उसने दावा किया था।