DIT: A Decentralized Identity and Trust Protocol for Post-Quantum CA-Free Web Authentication
DIT एक विकेंद्रीकृत, पोस्ट-क्वांटम सुरक्षित प्रमाणीकरण प्रोटोकॉल है जो डोमेन पहचानों को DNSSEC-सत्यापित ML-DSA-65 कुंजियों में एंकर करके और कुशल, प्रतिसंहरणीय (revocable) विश्वास प्रदान करने के लिए मर्कल ट्रांसपेरेंसी लॉग्स के साथ एक हाइब्रिड X25519MLKEM768 हैंडशेक का उपयोग करके पारंपरिक CA पदानुक्रम को समाप्त करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ हर दुकान, बैंक और घर को यह साबित करने के लिए एक सुरक्षित तरीके की आवश्यकता होती है कि वे कौन हैं। अभी, यह शहर "प्रमाणन अधिकारियों" (Certificate Authorities - CAs) नामक एक विशाल, केंद्रीकृत प्रणाली पर निर्भर करता है। इन CAs को ऐसे लोगों के रूप में सोचें जिन्हें किसी दुकान का आईडी कार्ड स्टैम्प करने की अनुमति है। यदि कोई नोटरी (notary) हैक हो जाता है या गलती करता है, तो पूरे शहर की सुरक्षा खतरे में पड़ जाती है। इस समस्या को हल करने के लिए, शहर ने अब आईडी कार्डों की वैधता बहुत कम समय के लिए समाप्त करना शुरू कर दिया है—कभी-कभी 50 दिनों से भी कम में—जिससे दुकानें उन्हें लगातार नवीनीकृत (renew) करने के लिए मजबूर होती हैं। लेकिन यह वैसा ही है जैसे छत को ठीक करने के बजाय हर हफ्ते छत की टाइलें बदलना। असली समस्या यह है कि सिस्टम इन केंद्रीय नोटरीज पर बहुत अधिक निर्भर है, और यह भविष्य के लिए तैयार नहीं है, जहाँ शक्तिशाली क्वांटम कंप्यूटर इन आईडी कार्डों के तालों को पूरी तरह से तोड़ सकते हैं।
यह शोध पत्र डिजिटल पहचान को संभालने का एक नया तरीका पेश करता है जिसे DIT (Decentralized Identity and Trust - विकेंद्रीकृत पहचान और विश्वास) कहा जाता है। एक केंद्रीय नोटरी पर निर्भर रहने के बजाय, DIT सुझाव देता है कि प्रत्येक दुकान के पास अपनी खुद की मास्टर कुंजी (master key) होनी चाहिए, जिसे शहर की सार्वजनिक निर्देशिका (DNS प्रणाली) में प्रकाशित किया जाना चाहिए और स्वतंत्र, ईमानदार गवाहों के एक समूह द्वारा जांचा जाना चाहिए। यह "भविष्य के अनुकूल" गणित का उपयोग करता है जिसे क्वांटम कंप्यूटर भी नहीं तोड़ सकते। लेखकों ने इस प्रणाली का एक कामकाजी मॉडल बनाया और पाया कि यह पहचान सिद्ध करने और गोपनीयता बनाए रखने में वर्तमान प्रणाली जितनी ही तेज़ है, लेकिन बिना उन केंद्रीय नोटरीज की आवश्यकता के। हालाँकि, वे यह भी स्वीकार करते हैं कि यदि मास्टर कुंजी खो जाती है, तो रिकवरी (पुनर्प्राप्ति) की प्रक्रिया अभी भी पुराने गणित पर निर्भर करती है जिसे क्वांटम कंप्यूटर तोड़ सकते हैं, और यह पूरी प्रणाली केवल तभी काम करती है जब शहर की सार्वजनिक निर्देशिका पहले से ही सुरक्षित हो।
बड़ा विचार: नोटरी को छोड़ना
इंटरनेट वर्तमान में जिस तरह से सुरक्षित रहता है, वह "टेलीफोन" के खेल जैसा है जहाँ आप एक अजनबी के लिए गवाही देने के लिए लोगों की एक श्रृंखला पर भरोसा करते हैं। आप अपने ब्राउज़र पर भरोसा करते हैं, जो एक बड़ी कंपनी (CA) पर भरोसा करता है, जो उस वेबसाइट की वकालत करती है जिसे आप देख रहे हैं। यदि वह बड़ी कंपनी हैक हो जाती है, तो वे कोई भी होने का ढोंग कर सकते हैं। यह पत्र तर्क देता है कि यह श्रृंखला टूट गई है। समाधान श्रृंखला को छोटा करना या कार्डों की वैधता कम करना नहीं है; बल्कि बीच के आदमी (middleman) को पूरी तरह से हटा देना है।
DIT एक ऐसी प्रणाली का प्रस्ताव करता है जहाँ वेबसाइट की पहचान सीधे इंटरनेट की फोनबुक (DNS) में जुड़ी होती है। एक CA द्वारा प्रमाण पत्र स्टैम्प करने के बजाय, वेबसाइट अपनी फोनबुक प्रविष्टि में एक "मास्टर की" (Master Key) प्रकाशित करती है। यह प्रविष्टि फोनबुक की अपनी सुरक्षा प्रणाली (DNSSEC) द्वारा हस्ताक्षरित होती है, जो अंतिम सत्यवादी के रूप में कार्य करती है।
तीन-परत सुरक्षा किला
इसे बिना किसी केंद्रीय बॉस के काम करने के लिए, लेखकों ने कुंजियों का एक तीन-परत वाला किला डिजाइन किया है:
- पहचान कुंजी (मास्टर की): यह वेबसाइट की स्थायी, ऑफलाइन मास्टर कुंजी है। यह घर के स्वामित्व दस्तावेज़ की तरह है। यह शायद ही कभी बदलती है और इसे एक अत्यंत सुरक्षित तिजोरी (या भरोसेमंद लोगों के एक समूह के बीच विभाजित) में रखा जाता है। यह एक विशेष "क्वांटम-प्रूफ" लॉक (ML-DSA-65) का उपयोग करती है जो भविष्य के क्वांटम कंप्यूटरों के लिए भी अभेद्य माना जाता है।
- एपोक की (दैनिक पास): हर 24 घंटे में, वेबसाइट एक नई, अस्थायी कुंजी बनाती है। यह एक दैनिक पास की तरह है जो आपको एक दिन के लिए इमारत में प्रवेश करने की अनुमति देता है। मास्टर की इस दैनिक पास को यह कहने के लिए साइन करती है कि, "हाँ, यह पास असली है।" यदि कोई हैकर दैनिक पास चुरा लेता है, तो यह केवल एक दिन के लिए काम करता है, और फिर यह स्वतः समाप्त हो जाता है।
- सेशन की (हैंडशेक): जब आप वेबसाइट पर जाते हैं, तो आप और सर्वर उस विशिष्ट बातचीत के लिए एक गुप्त कोड बनाने के लिए हाथ मिलाते हैं। यह पुराने और नए गणित (X2519 और ML-KEM-768) के मिश्रण का उपयोग करता है ताकि यह सुनिश्चित हो सके कि भले ही कोई आज आपकी बातचीत रिकॉर्ड कर ले, वे कल इसे नहीं पढ़ पाएंगे यदि वे बाद में कुंजियाँ चुरा लेते हैं।
"ईमानदार गवाह" प्रणाली
आप कैसे जानते हैं कि फोनबुक में मास्टर की को किसी हैकर द्वारा बदला नहीं गया है? DIT ट्रस्ट विटनेस (विश्वास गवाहों) की एक प्रणाली का उपयोग करता है। कल्पना कीजिए कि सात स्वतंत्र ऑडिटरों (जैसे एक जूरी) का एक समूह है जो वेबसाइट की गतिविधि पर नज़र रखता है। जब भी वेबसाइट अपनी मास्टर की बदलती है, उसे इन सात में से कम से कम पाँच ऑडिटरों से बदलाव के लिए सहमति प्राप्त करनी होती है।
वेबसाइट एक सार्वजनिक "पारदर्शिता लॉग" (transparency log) भी रखती है, जो एक कांच की दीवारों वाली डायरी की तरह है, जहाँ प्रत्येक कुंजी परिवर्तन दर्ज किया जाता है। यदि कोई हैकर गवाहों की मंजूरी के बिना कुंजी बदलने की कोशिश करता है, तो जनता इसे तुरंत देख सकती है। लेखकों ने गणितीय रूप से सिद्ध किया है कि जब तक सात में से तीन गवाह ईमानदार हैं, तब तक एक हैकर सिस्टम को धोखा नहीं दे सकता।
"क्वांटम-प्रूफ" का वादा
DIT का सबसे रोमांचक हिस्सा यह है कि यह भविष्य के लिए बना है। लेखकों ने नए प्रकार के गणित (लैटिस-आधारित क्रिप्टोग्राफी) का उपयोग किया है जो क्वांटम कंप्यूटरों के हमलों का प्रतिरोध करने के लिए डिज़ाइन किए गए हैं।
- प्रमाणीकरण (Authentication): पहचान को सत्यापित करने के लिए उपयोग किए जाने वाले हस्ताक्षर क्वांटम-प्रूफ हैं।
- गोपनीयता (Secret Keeping): रहस्य साझा करने का तरीका भी क्वांटम-प्रूफ है।
हालाँकि, पत्र एक कमजोर बिंदु के बारे में बहुत ईमानदार है: रिकवरी (पुनर्प्राप्ति)। यदि मास्टर की खो जाती है या चोरी हो जाती है, तो वेबसाइट को एक नई की आवश्यकता होती है। वर्तमान रिकवरी विधि पुराने प्रकार के गणित (FROST-Schnorr) का उपयोग करती है जो क्वांटम कंप्यूटरों के प्रति संवेदनशील है। लेखक स्पष्ट रूप से कहते हैं कि यह रिकवरी पथ क्वांटम-प्रूफ नहीं है और वे सुझाव देते हैं कि बेहतर क्वांटम-प्रूफ रिकवरी टूल उपलब्ध होने पर इसे ठीक करने के लिए भविष्य के अपडेट की आवश्यकता होगी।
क्या यह वास्तव में काम करता है?
लेखकों ने केवल सिद्धांत नहीं लिखा; उन्होंने एक कामकाजी प्रोटोटाइप बनाया और उसका परीक्षण किया।
- गति: जब कोई उपयोगकर्ता ऐसी साइट पर जाता है जिसे उसने पहले देखा है ("वार्म पाथ"), तो DIT वर्तमान प्रणाली जितनी ही तेज़ होती है, जिसमें सत्यापन के लिए लगभग 6 KB डेटा लगता है।
- पहली यात्रा: पहली बार जब कोई उपयोगकर्ता किसी नई साइट पर जाता है ("कोल्ड पाथ"), तो इसमें थोड़ा अधिक डेटा (~34 KB) लगता है क्योंकि उपयोगकर्ता को गवाह हस्ताक्षर और लॉग इतिहास डाउनलोड करना पड़ता है। लेकिन यह लागत केवल एक बार चुकानी पड़ती है; सभी भविष्य की यात्राएँ तेज़ होती हैं।
- दक्षता: क्योंकि दैनिक कुंजियाँ स्वचालित रूप से घूमती (rotate) हैं, वेबसाइटों को साल में हजारों बार प्रमाण पत्र नवीनीकृत करने की आवश्यकता नहीं होगी। लेखकों ने गणना की कि 1,000 डोमेन वाली कंपनी के लिए, यह उन्हें साल में 8,000 नवीनीकरणों के प्रबंधन से बचाता है, जिससे वह संख्या शून्य हो जाती है।
पकड़: इसे एक सुरक्षित फोनबुक की आवश्यकता है
पत्र एक महत्वपूर्ण वास्तविकता चेक के साथ समाप्त होता है। DIT एक शानदार नया इंजन है, लेकिन इसे चलने के लिए एक विशिष्ट प्रकार की सड़क की आवश्यकता है। इसके लिए इंटरनेट की फोनबुक (DNS) को DNSSEC के साथ सुरक्षित होना चाहिए। वर्तमान में, वेब का केवल एक छोटा हिस्सा इस सुरक्षा का उपयोग करता है। यदि फोनबुक स्वयं सुरक्षित नहीं है, तो पूरा DIT सिस्टम विफल हो जाता है।
इसके अतिरिक्त, यह प्रणाली इस बात पर निर्भर करती है कि ब्राउज़र और वेबसाइट इन नए मानकों को अपनाएं। लेखक एक चरण-दर-चरण रोलआउट का सुझाव देते हैं: पहले एक ब्राउज़र एक्सटेंशन के रूप में, फिर एक अंतर्निहित विशेषता के रूप में, और अंततः वेब के काम करने के डिफ़ॉल्ट तरीके के रूप में।
संक्षेप में, DIT एक ऐसा तरीका प्रदान करता है जिससे आप एक ऐसा वेब बना सकते हैं जहाँ आपको किसी एक केंद्रीय प्राधिकरण पर भरोसा करने की आवश्यकता नहीं है, जहाँ आपकी गोपनीयता भविष्य के क्वांटम कंप्यूटरों से सुरक्षित है, और जहाँ वेबसाइटों को अपनी आईडी को लगातार नवीनीकृत करने की आवश्यकता नहीं है। लेकिन यह कोई जादू की छड़ी नहीं है; इसके लिए इंटरनेट के बुनियादी ढांचे को आगे बढ़ने की आवश्यकता है, और इसमें खोई हुई कुंजियों को रिकवर करने के मामले में अभी भी एक "क्लासिकल" कमजोर बिंदु है। लेखकों ने दिखाया है कि यह संभव है, लेकिन इसे नया सामान्य बनाने की यात्रा अभी शुरू हुई है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।