A Hybrid Two-Tier Continuous Authentication Framework with a Security-First Calibration Strategy for Zero-Trust Web Deployments
यह शोध पत्र ALJ प्रस्तुत करता है, जो ज़ीरो-ट्रस्ट वेब परिनियोजनों के लिए एक हाइब्रिड टू-टियर निरंतर प्रमाणीकरण ढांचा है जो प्रॉक्सी मॉडलों को वास्तविक ARIMA, LCS, SVM और JRip एल्गोरिदम से बदलता है और मानक स्थिर थ्रेशोल्ड की तुलना में रिकॉल में महत्वपूर्ण सुधार करने और एडवर्सरी बाईपास दरों को कम करने के लिए एक सुरक्षा-प्रथम अंशांकन रणनीति पेश करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, पासवर्ड एक पुराने ज़माने की चाबी की तरह है। दशकों से, यह बैंक, अस्पताल के रिकॉर्ड या सरकारी पोर्टल में लॉग इन करते समय यह साबित करने का प्राथमिक तरीका रहा है कि हम कौन हैं। लेकिन पासवर्ड एक स्थिर चीज़ है; एक बार चोरी हो जाने पर, यह ढाल के रूप में बेकार हो जाता है। सही कोड वाला चोर सीधे मुख्य द्वार से अंदर आ सकता है। इसे ठीक करने के लिए, सुरक्षा विशेषज्ञों ने "जीरो ट्रस्ट" (Zero Trust) नामक एक दर्शन की ओर रुख किया है। विचार सरल है: कभी किसी पर भरोसा न करें, यहाँ तक कि उस व्यक्ति पर भी नहीं जिसने अभी सही पासवर्ड टाइप किया है। इसके बजाय, आपको उस पूरे समय उनकी पहचान की जाँच करते रहना चाहिए जब वे अंदर मौजूद हों। यहीं पर निरंतर प्रमाणीकरण (continuous authentication) काम आता है। यह केवल शुरुआत में यह नहीं पूछता कि "आप कौन हैं?"; बल्कि यह देखता है कि आप काम करते समय कैसे व्यवहार करते हैं। यह आपके टाइप करने की लय, आपके क्लिक करने की गति और आपकी गति के अद्वितीय पैटर्न को देखता है। यदि लय बदलती है, तो सिस्टम यह मान लेता है कि कीबोर्ड पर बैठा व्यक्ति कोई ढोंगी हो सकता है, भले ही उसके पास सही पासवर्ड हो।
शोधकर्ता नबील एल काधी द्वारा किया गया एक नया अध्ययन इस बात की खोज करता है कि वेब अनुप्रयोगों (web applications) के लिए इस तरह की निरंतर निगरानी कैसे बनाई जाए। लक्ष्य एक ऐसा सिस्टम बनाना था जो वास्तविक उपयोगकर्ता को परेशान किए बिना वास्तविक समय में चोर का पता लगा सके। शोधकर्ता ने एक दो-चरणीय सुरक्षा ढांचा तैयार किया। पहला चरण एक त्वरित फ़िल्टर के रूप में कार्य करता है, जो उपयोगकर्ता की टाइपिंग आदतों की जाँच करने के लिए दो अलग-अलग तरीकों का उपयोग करता है। एक विधि कीस्ट्रोक्स (keystrokes) के बीच के समय के अंतराल को देखती है, जो उपयोगकर्ता के इतिहास के आधार पर यह अनुमान लगाती है कि अगला ठहराव क्या होना चाहिए। दूसरी विधि टाइपिंग की गति के क्रम की तुलना उस विशिष्ट उपयोगकर्ता के स्टोर किए गए टेम्पलेट से करती है जैसा कि वह आमतौरट टाइप करता है। यदि वर्तमान टाइपिंग इतिहास के साथ अच्छी तरह मेल खाती है, तो उपयोगकर्ता को तुरंत जाने दिया जाता है। यदि टाइपिंग संदिग्ध या अस्पष्ट है, तो सत्र को दूसरे, अधिक विस्तृत चरण में भेज दिया जाता है। यह दूसरा चरण दो शक्तिशाली उपकरणों का उपयोग करता है जो एक साथ काम करते हैं: एक सांख्यिकीय इंजन (statistical engine) जो हमले की संभावना की गणना करता है, और एक नियम-आधारित प्रणाली (rule-based system) जो एक निर्णय लेने के पीछे का स्पष्ट, मानव-पठनीय स्पष्टीकरण प्रदान करती है। यह संयोजन सिस्टम को सटीक और समझने योग्य दोनों बनाता है, जिससे सुरक्षा टीमों को हर अलर्ट के लिए एक कारण मिलता है।
अध्ययन की शुरुआत एक महत्वपूर्ण खोज के साथ हुई जिसने अनुसंधान की पूरी दिशा बदल दी। टीम ने पहले अपने सिस्टम का परीक्षण टाइपिंग डेटा के एक सरलीकृत, सिम्युलेटेड संस्करण का उपयोग करके किया था। जब उन्होंने उस सिमुलेशन को पचास एक लोगों के एक बड़े सार्वजनिक डेटासेट से प्राप्त वास्तविक, जटिल डेटा से बदल दिया, जो एक निश्चित पासवर्ड टाइप कर रहे थे, तो एक छिपी हुई खामी सामने आई। सिस्टम का पहला फ़िल्टर, जिसे एक निश्चित मानक पर सेट किया गया था, अचानक बहुत ढीला हो गया। क्योंकि वास्तविक डेटा सिमुलेशन की तुलना में अधिक सूचनात्मक था, फ़िल्टर ने बड़ी संख्या में नकली सत्रों को बिना पकड़े ही जाने दिया। विशेष रूप से, लगभग तीस प्रतिशत हमलावर सत्र दूसरे चरण को पूरी तरह से पार कर गए, और सिस्टम की पकड़ में आए बिना निकल गए। शोधकर्ताओं ने महसूस किया कि एक थ्रेशोल्ड (threshold) जो एक सरल, शोर वाले सिग्नल के लिए काम करता था, वह एक मजबूत, वास्तविक सिग्नल के सामने पूरी तरह विफल हो गया। यह एक महत्वपूर्ण सबक था: सुरक्षा प्रणाली के भीतर के उपकरणों को अपग्रेड करने से वे सेटिंग्स टूट सकती हैं जो पुराने उपकरणों के लिए ट्यून की गई थीं।
इसे ठीक करने के लिए, शोधकर्ताओं को अपने नियमों को फिर से सोचने की आवश्यकता थी। उन्होंने एक मानक गणितीय दृष्टिकोण का परीक्षण किया जिसका उपयोग अक्सर चोरों को पकड़ने और वास्तविक उपयोगकर्ताओं को परेशान न करने के बीच "सर्वश्रेष्ठ" संतुलन खोजने के लिए किया जाता है। हालाँकि, इस मानक दृष्टिकोण ने समस्या को और खराब कर दिया, जिससे हमलावरों को पकड़ने की सिस्टम की क्षमता अट्ठावन प्रतिशत से गिरकर छियालीस प्रतिशत रह गई। इसका कारण यह था कि मानक पद्धति एक चोर को चूकने और एक वास्तविक उपयोगकर्ता को परेशान करने को समान रूप से बुरा मानती थी। सुरक्षा-प्रथम दुनिया में, एक चोर को चूकना कहीं अधिक खतरनाक है। शोधकर्ताओं ने एक नई रणनीति लागू की: उन्होंने पहले फ़िल्टर को बहुत सख्त बनाने के लिए मजबूर किया, यह सुनिश्चित करते हुए कि केवल तीन प्रतिशत हमलावर ही बच निकलें। इसका अर्थ था कि कई अधिक सत्रों को, जिनमें कुछ वास्तविक उपयोगकर्ता भी शामिल थे, बारीकी से देखने के लिए दूसरे, अधिक महंगे चरण में जाना पड़ा।
इस सख्त दृष्टिकोण का परिणाम एक ऐसा सिस्टम था जो अंततः इच्छित रूप से काम करने लगा। पहले चरण में अधिक 'फॉल्स अलार्म' (गलत चेतावनी) को स्वीकार करके ताकि कोई हमलावर बच न सके, समग्र सिस्टम ने सत्तर प्रतिशत घुसपैठियों को पकड़ा। यह प्रारंभिक विफलता की तुलना में एक बड़ा सुधार था। सिस्टम ने उच्च स्तर की सटीकता भी बनाए रखी, अधिकांश समय वैध उपयोगकर्ताओं की सही पहचान की, हालांकि इसने अतिरिक्त जाँच के लिए अधिक वास्तविक उपयोगकर्ताओं को चिह्नित किया। अध्ययन ने पुष्टि की कि सांख्यिकीय इंजन और नियम-आधारित स्पष्टीकरण का संयोजन अकेले किसी भी उपकरण का उपयोग करने की तुलना में काफी बेहतर था। शोधकर्ताओं ने एक संभावित अपग्रेड का भी परीक्षण किया जहाँ सिस्टम यह जाँचता कि क्या उपयोगकर्ता एक परिचित डिवाइस पर है, जिसने सिमुलेशन में सुरक्षा में और सुधार किया, हालांकि इस हिस्से को अभी भी वास्तविक दुनिया के परीक्षण की आवश्यकता है।
यह शोध पत्र उन सभी के लिए एक स्पष्ट संदेश के साथ समाप्त होता है जो ये सिस्टम बना रहे हैं। केवल शक्तिशाली उपकरण होना ही पर्याप्त नहीं है; जो सेटिंग्स उन्हें नियंत्रित करती हैं उन्हें विशिष्ट जोखिमों के अनुरूप सावधानीपूर्वक समायोजित किया जाना चाहिए। एक सेटिंग जो कमजोर, शोर वाले सिग्नल के लिए काम करती है, वह विफल हो जाएगी जब सिग्नल मजबूत और स्पष्ट हो जाएगा। शोधकर्ताओं ने दिखाया कि सुरक्षा को सुविधा से ऊपर प्राथमिकता देकर और एक हमलावर को चूकने की विशिष्ट लागत को समझकर, वे एक ऐसा सिस्टम बना सकते हैं जो मजबूत और व्यावहारिक दोनों है। अध्ययन यह दावा नहीं करता है कि उसने ऑनलाइन सुरक्षा की समस्या को हमेशा के लिए हल कर दिया है, लेकिन यह निरंतर प्रमाणीकरण बनाने के लिए एक स्पष्ट, परीक्षित मार्ग प्रदान करता है जो वास्तव में वास्तविक दुनिया में काम करता है, न कि केवल एक सिमुलेशन में। निष्कर्ष बताते हैं कि सुरक्षित वेब एक्सेस का भविष्य उन सिस्टमों में निहित है जो लगातार देख रहे हैं, लगातार सीख रहे हैं, और अपनी पहचान चुराने वालों से एक कदम आगे रहने के लिए अपने नियमों को लगातार समायोजित कर रहे हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।