NEBULA: A Language - Independent Specification for Opaque Rotating Refresh Tokens

इंटरनेट की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ आपको विभिन्न इमारतों में प्रवेश करने के लिए यह साबित करने की आवश्यकता होती है कि आप कौन हैं। आमतौर पर, आप एक अस्थायी बैज (एक एक्सेस टोकन) लेकर चलते हैं जो आपको कुछ मिनटों के लिए अंदर जाने देता है। यदि आपको अधिक समय तक रुकने की आवश्यकता है, तो आप उस बैज को एक मास्टर की (एक रिफ्रेश टोकन) के लिए बदल देते हैं जो आपको जब भी ज़रूरत हो एक नया अस्थायी बैज प्राप्त करने में मदद करता है। यह प्रणाली हर जगह है, आपके पसंदीदा सोशल मीडिया ऐप्स से लेकर आपके बैंक तक। लेकिन यहाँ एक पेंच है: वह मास्टर की अविश्वसनीय रूप से शक्तिशाली है। यदि कोई चोर इसे चुरा लेता है, तो वे दिनों या हफ्तों तक आपकी जगह ले सकते हैं, चुपचाप आपका डेटा चुरा सकते हैं या आपका पैसा खर्च कर सकते हैं, और आपको इसका पता भी नहीं चलेगा।

इसे रोकने के लिए, सुरक्षा विशेषज्ञों का एक नियम है: "सिर्फ चाबी का उपयोग न करें; हर बार उपयोग करते समय इसे बदलें।" इसे रोटेशन कहा जाता है। यह एक जादुई ताले की तरह है जो, हर बार जब आप इसे घुमाते हैं, तो एक नई चाबी बाहर निकालता है और तुरंत पुरानी चाबी को नष्ट कर देता है। यदि कोई चोर पुराने, नष्ट किए गए की (चाबी) का उपयोग करने की कोशिश करता है, तो सिस्टम को चिल्लाना चाहिए, "हे! कोई मृत चाबी का उपयोग करने की कोशिश कर रहा है! सब कुछ लॉक कर दो!" हालाँकि, इस प्रणाली के लिए वर्तमान नियम पुस्तिका एक सख्त मैनुअल के बजाय एक अस्पष्ट सुझाव की तरह है। यह कहती है: "आपको चाबियाँ बदलनी चाहिए," लेकिन यह विस्तार से नहीं बताती कि ताले को ठीक से कैसे बनाया जाए, या क्या करें यदि दो लोग एक ही मिलीसेकंड में ताले को घुमाने की कोशिश करते हैं, या यह कैसे संभालें यदि कोई संदेश डाक में खो जाता है। इस अस्पष्टता के कारण, विभिन्न कंपनियाँ अपने ताले अलग-अलग तरीकों से बनाती हैं, और कभी-कभी, ये अंतर गुप्त रास्ते (बैकडोर) बना देते हैं जिनसे चोर बिना किसी को पता चले चुपचाप निकल सकते हैं।

यहीं पर NEBULA पेपर काम आता है। शोधकर्ताओं ने, मॅटेओ टियोडोरी के नेतृत्व में, अनुमान लगाना बंद करने और इन घूमती चाबियों (रोटेटिंग कीज़) को बनाने के लिए एक स्पष्ट, चरण-दर-चरण निर्देश पुस्तिका लिखने का निर्णय लिया। उन्होंने एक विनिर्देश (स्पेसिफिकेशन) बनाया जिसे NEBULA कहा जाता है, जो एक "जादुई ताले" के लिए एक सार्वभौमिक ब्लूप्रिंट की तरह है जो इस बात पर निर्भर नहीं करता कि आप कौन सी प्रोग्रामिंग भाषा उपयोग कर रहे हैं।

यह पेपर इन चाबियों के बारे में सोचने का एक नया तरीका पेश करता है। एक एकल, जटिल कोड स्ट्रिंग के बजाय, NEBULA चाबी को दो भागों में विभाजित करता है: एक सेलेक्टर (एक सार्वजनिक आईडी कार्ड जो सिस्टम को बताता है कि किस ताले को देखना है) और एक वेरिफायर (एक गुप्त पासवर्ड जो साबित करता है कि वास्तव में आप ही उस चाबी के मालिक हैं)। सिस्टम पासवर्ड की जाँच मौके पर जटिल गणित करके नहीं करता है; इसके बजाय, यह जाँचता है कि क्या पासवर्ड सर्वर पर सुरक्षित रूप से संग्रहीत एक गुप्त सूची से मेल खाता है। यह एक चोर के लिए चाबी को नकली बनाना बहुत कठिन बना देता है, भले ही उसने पूरी पासवर्ड सूची ही क्यों न चुरा ली हो, क्योंकि सूची को इस तरह से बिखेरा (स्क्रैम्बल) गया है कि उसे उलटा नहीं किया जा सकता।

इस पेपर का सबसे रोमांचक हिस्सा यह है कि यह कन्करेंसी (concurrency) नामक एक पेचीदा समस्या को कैसे हल करता है। कल्पना कीजिए कि दो लोग एक ही समय में एक ही मास्टर की का उपयोग करने की कोशिश कर रहे हैं। कई मौजूदा प्रणालियों में, यह भ्रम ताले को तोड़ देता है, जिससे एक के बजाय दो वैध चाबियाँ बन जाती हैं, जिसका अर्थ है कि "चाबी बदलने" का नियम पूरी तरह से काम करना बंद कर देता है। NEBULA इसे एक सख्त "कंपेयर-एंड-सेट" नियम के साथ ठीक करता है: सिस्टम जाँचता है, "क्या यह चाबी अभी भी सक्रिय है?" और केवल तभी इसे बदलता है यदि उत्तर 'हाँ' हो। यदि दो लोग एक साथ ऐसा करने की कोशिश करते हैं, तो केवल एक जीतता है, और दूसरे को विनम्रतापूर्वक फिर से प्रयास करने के लिए कहा जाता है। यह सिस्टम को चुपचाप टूटने से रोकता है।

लेखक ने केवल नियम ही नहीं लिखे; उन्होंने यह साबित करने के लिए कि वे सभी बिल्कुल एक ही तरह से काम करते हैं, दस अलग-अलग प्रोग्रामिंग भाषाओं (जैसे पायथन, जावा और रस्ट) का उपयोग करके इस ताले के दस अलग-अलग संस्करण बनाए। उन्होंने एक विशाल टेस्ट फ़ाइल बनाई जिसमें 38 अलग-अलग परिदृश्य थे—जैसे "क्या होता है यदि इंटरनेट धीमा है?" या "क्या होता है यदि कोई ऐसी चाबी का उपयोग करने की कोशिश करता है जिसे पहले ही बदल दिया गया है?"—और उन्हें सभी दस संस्करणों पर चलाया। परिणाम? प्रत्येक संस्करण ने प्रत्येक परीक्षण को पास किया।

पेपर का तर्क है कि यह दृष्टिकोण रिफ्रेश टोकन को चुराना बहुत कम खतरनाक बना देता है। यदि कोई चोर एक चाबी चुरा लेता है, तो जिस क्षण वास्तविक मालिक उसका उपयोग करने की कोशिश करता है, चोर की चाबी बेकार हो जाती है, और सिस्टम मालिक को सचेत कर देता है। भले ही चोर पहले चाबी का उपयोग करने की कोशिश करे, वह केवल थोड़े समय के लिए ही लॉग इन रह पाएगा, इससे पहले कि असली मालिक आकर उसे बाहर कर दे। पेपर यह भी नोट करता है कि चूंकि यह प्रणाली जटिल गणित पर निर्भर नहीं है जिसे भविष्य के सुपर-कंप्यूटर तोड़ सकते हैं, इसलिए यह भविष्य के लिए तैयार है। हालाँकि, लेखक सावधानी बरतते हुए कहते हैं कि ये गारंटी डिज़ाइन के आधार पर तर्क दी गई हैं, मशीन-सत्यापित नहीं हैं, और वे स्पष्ट रूप से स्वीकार करते हैं कि कोई भी सिस्टम पूर्ण नहीं है; उदाहरण के लिए, यदि स्वयं सर्वर से समझौता किया जाता है, तो सिस्टम को हराया जा सकता है।

संक्षेप में, NEBULA एक नए प्रकार के जादू के आविष्कार के बारे में नहीं है; यह अंततः इस बारे में सहमति बनाने के बारे में है कि जादू के करतब को ठीक से कैसे किया जाना चाहिए ताकि कोई अनजाने में दरवाजा खुला न छोड़ दे। यह एक अस्पष्ट सुझाव को एक सटीक, परीक्षित और अत्यधिक मजबूत मानक में बदल देता है ताकि हमारी डिजिटल पहचान को सुरक्षित रखा जा सके।