Replay-Resistant Admission and Permissioned Quorum Consensus in Connected Vehicle Networks: A Fail-Closed, Implementation-Grounded Security Study

एक ऐसे शहर की कल्पना करें जहाँ हर कार, ट्रैफिक लाइट और सड़क का संकेत एक-दूसरे से तुरंत बात कर सकता है, दुर्घटनाओं, मौसम और ट्रैफिक जाम के बारे में जानकारी साझा कर सकता है ताकि सभी सुरक्षित रहें। यह कनेक्टेड व्हीकल नेटवर्क का वादा है, एक ऐसी तकनीक जो हवा में उड़ते डिजिटल संदेशों के निरंतर प्रवाह पर निर्भर करती है। हालाँकि, यह खुला रेडियो वातावरण असुरक्षित है। एक बुरा तत्व (bad actor) एक कार होने का ढोंग कर सकता है, भ्रम पैदा करने के लिए एक ही संदेश को बार-बार भेज सकता है, या सिस्टम को एक झूठी रिपोर्ट स्वीकार करने के लिए धोखा दे सकता है। इस तकनीक को काम करने के योग्य बनाने के लिए, इंजीनियरों को तीन विशिष्ट समस्याओं को हल करना होगा: यह तय करना कि किसे बातचीत में शामिल होने की अनुमति है, यह सुनिश्चित करना कि कोई संदेश नया है या किसी पुराने संदेश की पुनरावृत्ति नहीं है, और यह सत्यापित करना कि अगले कदम पर निर्णय लेने वाले लोग वास्तव में अधिकृत अधिकारी हैं।

वोरोनेज़ स्टेट यूनिवर्सिटी ऑफ फॉरेस्ट्री एंड टेक्नोलॉजीज के एमडी शाहनूर इस्लाम शागोर द्वारा किया गया एक नया अध्ययन ठीक इन्हीं चुनौतियों से निपटता है। यह शोध एक विशिष्ट सुरक्षा प्रणाली 'ओमनीगार्ड' (OmniGuard) पर केंद्रित है, जिसे वाहनों के नेटवर्क में शामिल होने के तरीके और साझा जानकारी पर सहमति बनाने के प्रबंधन के लिए डिज़ाइन किया गया है। हर कल्पित आपदा परिदृश्य में काम करने वाली एक आदर्श, अटूट प्रणाली बनाने के बजाय, शोधकर्ताओं ने एक व्यावहारिक, नियंत्रित वातावरण बनाया। उन्होंने एक "फेल-क्लोज्ड" (fail-closed) डिज़ाइन बनाया, जिसका अर्थ है कि यदि सिस्टम भ्रमित या अत्यधिक भारित हो जाता है, तो यह कोई जोखिम भरा अनुमान लगाने के बजाय नए इनपुट स्वीकार करना बंद कर देता है। अध्ययन यह परीक्षण करता है कि क्या यह दृष्टिकोण नकली पहचान को सफलतापूर्वक रोकने, पुनरावृत्त (replayed) संदेशों को रोकने और यह सुनिश्चित करने में सफल है कि केवल सही लोग ही महत्वपूर्ण निर्णयों पर मतदान कर सकें, जबकि यह सिस्टम की सीमाओं के बारे में पारदर्शी भी रहता है।

शोधकर्ताओं ने "वास्तविक होने" और "अनुमति प्राप्त होने" के विचार को अलग करके शुरुआत की। कई प्रणालियों में, यदि कोई कार एक वैध डिजिटल आईडी साबित करती है, तो उसे तुरंत प्रवेश दे दिया जाता है। यहाँ, सिस्टम अधिक सख्त दृष्टिकोण अपनाता है। भले ही एक कार के पास एक सटीक डिजिटल आईडी हो, फिर भी उसे तब तक प्रवेश नहीं दिया जाता जब तक कि वह एक रजिस्ट्री द्वारा प्रबंधित विशिष्ट, पूर्व-अनुमोदित सूची में न हो। यह रजिस्ट्री एक द्वारपाल की तरह कार्य करती है जो अधिकृत वाहनों की मास्टर सूची की जाँच करती है। यदि कोई कार उस सूची में बिना शामिल हुए जुड़ने की कोशिश करती है, या यदि सूची गायब है, तो सिस्टम स्वचालित रूप से कनेक्शन को अस्वीकार कर देता है। यह उस स्थिति को रोकता है जहाँ एक गलत कॉन्फ़िगर किया गया सिस्टम गलती से किसी को भी प्रवेश दे सकता है। एक बार कार स्वीकार हो जाने के बाद, सिस्टम उसके कनेक्शन को उसकी विशिष्ट पहचान के साथ जोड़ देता है। इसका मतलब है कि एक कार वोटिंग सत्र में घुसने के लिए किसी अन्य वाहन के क्रेडेंशियल्स उधार नहीं ले सकती।

इसके बाद, टीम ने 'रिप्ले अटैक' (replay attacks) की समस्या का समाधान किया, जहाँ एक हैकर एक वैध संदेश को कैप्चर करता है और सिस्टम को धोखा देने के लिए उसे बाद में फिर से भेजता है। इसे रोकने के लिए, सिस्टम हाल ही में देखे गए प्रत्येक संदेश को एक अद्वितीय कोड, जिसे 'नॉन्स' (nonce) कहा जाता है, द्वारा पहचाने हुए स्मृति (memory) में रखता है। यदि कोई संदेश ऐसे कोड के साथ आता है जिसे सिस्टम पहले ही देख चुका है, तो उसे डुप्लिकेट मानकर अस्वीकार कर दिया जाता है। शोधकर्ताओं ने इन अद्वितीय कोडों के प्रवाह को एक बहुत ही विशिष्ट तरीके से संभालने के लिए सिस्टम को डिज़ाइन किया है। इन कोडों के लिए मेमोरी का आकार निश्चित है, जैसे एक बाल्टी जो केवल पानी की एक निश्चित मात्रा ही रख सकती है। यदि कोई हैकर हजारों नए, अद्वितीय कोडों से बाल्टी भरने की कोशिश करता है ताकि सिस्टम को पुराने कोड भूलने के लिए मजबूर किया जा सके, तो सिस्टम कुछ भी बाहर नहीं फेंकता है। इसके बजाय, जब बाल्टी भर जाती है, तो यह पुराने कोडों के स्वाभाविक रूप से समाप्त होने तक कोई भी नया कोड स्वीकार करना बंद कर देता है। यह सुनिश्चित करता है कि सिस्टम में मौजूद एक वैध संदेश सुरक्षित रहे, भले ही सिस्टम भारी हमले के अधीन हो, हालांकि इसका मतलब यह है कि हमले के दौरान वैध नए ट्रैफ़िक को अस्थायी रूप से रोका जा सकता है।

अध्ययन का मुख्य हिस्सा यह है कि ये वाहन निर्णय कैसे लेते हैं। सिस्टम प्रस्तावों (जैसे कि यातायात नियम बदलना या सुरक्षा अलर्ट की पुष्टि करना) पर मतदान करने के लिए अधिकृत वैलिडेटर्स (validators) के एक समूह का उपयोग करता है। शोधकर्ताओं ने एक नियम स्थापित किया जहाँ एक प्रस्ताव तभी स्वीकार किया जाता है जब वैलिडेटर्स का एक विशिष्ट बहुमत 'हाँ' में वोट देता है। तीन वैलिडेटर्स वाले उनके परीक्षण सेटअप में, निर्णय पारित करने के लिए दो वोटों की आवश्यकता थी। सिस्टम यह जाँचता है कि प्रत्येक वोट एक ऐसे वैलिडेटर से आया है जो वर्तमान में सूची में है, वोट सही समय अवधि के लिए है, और वोट दो बार नहीं डाला गया है। यह सुनिश्चित करने के लिए कि वोट वास्तविक हैं, प्रत्येक वोट को एक गुप्त कुंजी (secret key) के साथ हस्ताक्षरित किया जाता है जिसे केवल वही वैलिडेटर जानता है। यदि कोई हैकर वोट की सामग्री को बदलने या किसी अन्य वैलिडेटर के रूप में दिखने का प्रयास करता है, तो हस्ताक्षर मेल नहीं खाएंगे, और सिस्टम उसे अस्वीकार कर देगा।

इस डिज़ाइन को सिद्ध करने के लिए, शोधकर्ताओं ने कई कठोर परीक्षण किए। उन्होंने एक परिदृश्य बनाया जहाँ एक कंप्यूटर एक हमलावर की तरह कार्य करता था, जो सिस्टम को 192 अलग-अलग तरीकों से तोड़ने की कोशिश कर रहा था। हमलावर ने प्रस्ताव के 'हैश' को बदलने, समय अवधि को बदलने, फर्जी पहचान का उपयोग करने, डिजिटल हस्ताक्षर को भ्रष्ट करने, या उस वैलिडेटर से संदेश भेजने की कोशिश की जिसने पहले ही वोट दे दिया था। इन 192 प्रयासों में से प्रत्येक में, सिस्टम ने त्रुटि की सही पहचान की और वोट को अस्वीकार कर दिया। शोधकर्ताओं ने वैध वोटों के साथ सिस्टम का परीक्षण किया। जब दो अधिकृत वैलिडेटर्स ने सही वोट दिए, तो सिस्टम ने उन्हें स्वीकार किया और निर्णय को अंतिम रूप दिया। जब निर्णय होने के बाद तीसरा वोट करने का प्रयास किया गया, तो सिस्टम ने परिणाम को बदलने से रोकने के लिए उसे सही ढंग से अस्वीकार कर दिया। एक अलग परीक्षण ने पुष्टि की कि जब संदेश कोड की मेमोरी भर गई, तो सिस्टम ने पुराने, वैध संदेशों के साक्ष्य को सुरक्षित रखते हुए, नए ट्रैफ़िक को अस्वीकार कर दिया, जिससे रिप्ले प्रोटेक्शन बरकरार रहा।

अध्ययन ने यह भी स्पष्ट किया कि यह सिस्टम क्या नहीं कर सकता। इसे अधिकृत वैलिडेटर्स के एक समूह को दुर्भावनापूर्ण रूप से एक साथ कार्य करने से रोकने के लिए डिज़ाइन नहीं किया गया है। यदि पर्याप्त संख्या में स्वीकृत वैलिडेटर्स मिलकर किसी बुरे विचार के लिए वोट करने का निर्णय लेते हैं, तो सिस्टम उसे स्वीकार कर लेगा, क्योंकि वह अपने अधिकृत सदस्यों के बहुमत पर भरोसा करता है। शोधकर्ता स्पष्ट रूप रूप से कहते हैं कि यह एक "बायज़ेंटाइन फॉल्ट-टॉलरेंट" (Byzantine fault-tolerant) सिस्टम नहीं है, जो उन प्रोटोकॉल के लिए उपयोग किया जाने वाला शब्द है जो समूह के भीतर कुछ विश्वासघाती तत्वों का सामना कर सकते हैं। इसके बजाय, यह सिस्टम इस धारणा पर निर्भर करता है कि अधिकृत वैलिडेटर्स की सूची प्रबंधित करने वाले लोग भरोसेमंद हैं और वह सूची स्वयं सुरक्षित है। यदि रजिस्ट्री से समझौता किया जाता है, तो पूरे नेटवर्क की सुरक्षा से समझौता हो जाता है।

परिणाम बताते हैं कि कनेक्टेड वाहनों के एक नियंत्रित, अनुमत (permissioned) नेटवर्क के लिए, यह दृष्टिकोण सुरक्षा की एक ठोस, परीक्षण योग्य परत प्रदान करता है। यह नेटवर्क में शामिल होने, नवीनता (freshness) सिद्ध करने और मतदान करने के कार्यों को सफलतापूर्वक अलग करता है, जिससे यह सुनिश्चित होता है कि एक क्षेत्र की विफलता पूरे तंत्र के पतन का कारण नहीं बनती है। सिस्टम अपनी सीमाओं के बारे में पारदर्शी होने के लिए डिज़ाइन किया गया है: यह बाहरी लोगों को ब्लॉक करेगा, पुनरावृत्त संदेशों को रोकेगा और दोहरे मतदान को रोकेगा, लेकिन इसे यह प्रबंधित करने के लिए मानवीय निरीक्षण की आवश्यकता है कि किसे वोट देने की अनुमति है। उच्च मात्रा में सिम्युलेटेड हमलों के साथ सिस्टम का परीक्षण करके और शून्य अप्रत्याशित विफलताओं को रिकॉर्ड करके, शोधकर्ताओं ने प्रदर्शित किया कि उनका डिज़ाइन उन विशिष्ट खतरों के विरुद्ध मजबूत है जिनके लिए इसे बनाया गया था। यह कार्य एक स्पष्ट, पुनरुत्पादित (reproducible) ब्लूप्रिंट प्रदान करता है कि कैसे कनेक्टेड वाहन नेटवर्क जटिल, अपुष्ट सिद्धांतों पर भरोसा किए बिना विश्वास और समन्वय का प्रबंधन कर सकते हैं, जो सुरक्षित और अधिक सुरक्षित सड़कों के लिए एक व्यावहारिक मार्ग प्रस्तुत करता है।