दस्तावेज़ भरोसे का अंत: पहचान सत्यापन को केंद्रित करना क्यों एक प्रणालीगत विफलता (single point of failure) पैदा करता है

पहले, पहचान सुरक्षा के लिए प्राथमिक जोखिम किसी व्यक्ति के भौतिक बटुए का खो जाना या किसी कॉर्पोरेट डेटाबेस का स्थानीय समझौता था। अब, जोखिम क्लाउड-आधारित एग्रीगेटर की प्रणालीगत विफलता है जो एक ही तार्किक वॉल्यूम में 150 मिलियन डिजिटल पहचान रखता है। IDScan उल्लंघन, जिसने संयुक्त राज्य अमेरिका और कनाडा के 150 मिलियन से अधिक निवासियों के ड्राइविंग लाइसेंस और पासपोर्ट विवरणों को उजागर किया, इस बात में एक महत्वपूर्ण बदलाव का प्रतीक है कि उद्यमों को तृतीय-पक्ष पहचान सत्यापन (IDV) सेवाओं को कैसे देखना चाहिए। यह घटना दर्शाती है कि धोखाधड़ी को कम करने के लिए उपयोग किए जाने वाले उपकरण ही बड़े पैमाने पर क्रेडेंशियल कटाई (credential harvesting) के लिए सबसे कुशल तंत्र बन गए हैं। जब एक डेटाबेस में लाखों निजी नागरिकों के साथ-साथ अमेरिकी रक्षा सचिव की व्यक्तिगत जानकारी होती है, तो उल्लंघन अब केवल एक कॉर्पोरेट दायित्व नहीं रह जाता; यह एक राष्ट्रीय सुरक्षा घटना है।

आउटसोर्स ट्रस्ट मॉडल का पतन

कॉर्पोरेट सुरक्षा टीमें अक्सर IDV प्रदाताओं को 'अपने ग्राहक को जानें' (KYC) आवश्यकताओं और आयु सत्यापन के नियामक बोझ को कम करने के एक तरीके के रूप में देखती हैं। तर्क एक ऐसे मॉडल की ओर स्थानांतरित हो जाता है जहां एक विशेष तृतीय पक्ष संवेदनशील सरकारी दस्तावेजों को संभालने का जोखिम उठाता है। यह धारणा त्रुटिपूर्ण है क्योंकि यह जोखिम के संकेंद्रण की अनदेखी करती है। IDScan मनोरंजन स्थलों, भांग औषधालयों और खुदरा निगमों के लिए द्वारपाल था, फिर भी इसकी क्लाउड संपत्तियों की रक्षा करने वाला परिधि एक साल तक चलने वाली घुसपैठ का सामना करने में विफल रहा। विशेषज्ञता की कमी यहाँ हमलावरों के लिए एक अनकहा सहयोगी है। संगठनों ने प्रदाता की बाजार स्थिति के कारण उस पर भरोसा किया, न कि प्रदाता के क्लाउड वातावरण के भीतर एक सत्यापित शून्य-विश्वास (zero-trust) आर्किटेक्चर के कारण। इसका परिणाम एक खोजने योग्य डार्क वेब डेटाबेस है जहाँ प्रामाणिकता की पुष्टि स्वयं हैकर्स द्वारा की जाती है, जिससे चोरी किए गए दस्तावेज़ किसी भी भविष्य के सुरक्षा उद्देश्य के लिए 'व्यर्थ' (burned) हो जाते हैं।

पैमाने का आकलन करने के लिए, चोरी किए गए डेटा की पहुंच को देखना होगा। ब्रायन क्रेब्स द्वारा रिपोर्ट किए गए डार्क वेब पोर्टल ने उपयोगकर्ताओं को विशिष्ट नामों को खोजने और पूर्ण लाइसेंस छवियों और तस्वीरों को प्राप्त करने की अनुमति दी। यह कार्यक्षमता बताती है कि हमलावरों ने केवल कच्ची फाइलों को ही बाहर नहीं निकाला; उन्होंने संभवतः डेटाबेस स्कीमा या एप्लिकेशन लेयर तक पहुंच प्राप्त कर ली जो दस्तावेज़ पुनर्प्राप्ति का प्रबंधन करती है। एक उद्यम संदर्भ में, इसका मतलब है कि IDScan के क्लाइंट द्वारा स्कैन किया गया प्रत्येक ड्राइविंग लाइसेंस अब एक दायित्व है। 'ट्रस्ट के मूल' (root of trust) के रूप में सरकारी आईडी में पारंपरिक विश्वास समाप्त हो गया है। यदि किसी हमलावर के पास वैध लाइसेंस का उच्च-रिज़ॉल्यूशन स्कैन है, तो वे बैंकों और बीमा कंपनियों द्वारा उपयोग किए जाने वाले कई स्वचालित दृश्य सत्यापन प्रणालियों को बायपास कर सकते हैं। इस उल्लंघन ने प्रभावी रूप से उच्च-गुणवत्ता वाली पहचान चोरी का लोकतंत्रीकरण कर दिया है।

केंद्रीकृत पहचान तिजोरियों की संरचनात्मक भेद्यता

पहचान सत्यापन सेवाएं नागरिक आबादी के बीच में बैठे डिजिटल गोला-बारूद के ढेर की तरह हैं। वे यथासंभव संवेदनशील PII (व्यक्तिगत रूप से पहचान योग्य जानकारी) एकत्र करते हैं, फिर भी वे अक्सर एक मानक SaaS (सॉफ्टवेयर एज़ ए सर्विस) प्लेटफॉर्म के समान सुरक्षा स्थिति के साथ काम करते हैं। IDScan की घटना केंद्रीकृत IDV में एक मौलिक दोष को उजागर करती है: डेटा न्यूनीकरण (data minimization) की कमी। सत्यापन प्रदाता के लिए प्रारंभिक जांच के वर्षों बाद तक ड्राइविंग लाइसेंस की पूरी छवियों को बनाए रखने का शायद ही कोई व्यावसायिक कारण हो। हालांकि, कई प्रदाता अस्पष्ट अनुपालन 'सर्वोत्तम प्रथाओं' को संतुष्ट करने या आंतरिक OCR (ऑप्टिकल कैरेक्टर रिकग्निशन) मॉडल को प्रशिक्षित करने के लिए इस डेटा को रखते हैं। यह प्रतिधारण नीति एक उल्लंघन के प्रभाव क्षेत्र को एक दिन के लेनदेन से बढ़ाकर एक दशक के ग्राहक इतिहास तक फैला देती है।

आर्किटेक्चरल रूप से, विफलता संभवतः सार्वजनिक-सामना करने वाले इंजेक्शन API और दीर्घकालिक भंडारण बकेट के बीच माइक्रोसैगमेंटेशन की कमी से उत्पन्न होती है। यदि कोई हमलावर एक वर्ष तक नेटवर्क में रह सकता है, जैसा कि IDScan में होने की रिपोर्ट है, तो यह आंतरिक निगरानी और पार्श्व आंदोलन (lateral movement) का पता लगाने में पूर्ण विफलता का संकेत देता है। एक लचीला आर्किटेक्चर प्रत्येक दस्तावेज़ को एक एकांत सेल में एक अस्थायी अतिथि के रूप में मानता है। एक बार सत्यापन पूरा हो जाने के बाद, प्रदाता को क्लाइंट को एक हस्ताक्षरित टोकन जारी करना चाहिए और कच्ची छवि को हटा देना चाहिए, या कम से कम इसे एक ऐसी कुंजी के साथ एन्क्रिप्ट करना चाहिए जो एप्लिकेशन लेयर के लिए सुलभ न हो। IDScan की स्थिति बताती है कि डेटा या तो संग्रहीत होने पर अनएन्क्रिप्टेड था या हमलावरों ने चोरी किए गए रिकॉर्ड के लिए एक खोजने योग्य इंटरफ़ेस प्रदान करने के लिए आवश्यक कुंजियाँ हासिल कर ली थीं।

पोस्ट-IDScan युग में एक व्यर्थ संपत्ति के रूप में पहचान

व्यवहार में इसका अर्थ यह है कि ड्राइविंग लाइसेंस नंबर ने प्राथमिक पहचानकर्ता के रूप में अपनी उपयोगिता खो दी है। जब डार्क वेब पर शुल्क के लिए 150 मिलियन रिकॉर्ड उपलब्ध हों, तो कोई भी सिस्टम जो 'ज्ञान-आधारित प्रमाणीकरण' के लिए लाइसेंस नंबर या लाइसेंस के फोटो पर निर्भर करता है, समझौता किया हुआ माना जाता है। यह उद्यम सुरक्षा में एक प्रतिमान बदलाव (paradigm shift) को मजबूर करता है। संगठनों को यह मान लेना चाहिए कि प्रत्येक ग्राहक का स्थिर PII पहले से ही दुर्भावनापूर्ण अभिनेताओं के हाथों में है। ध्यान इस बात से हटकर कि उपयोगकर्ता के पास क्या है (एक लाइसेंस), इस पर चला जाता है कि उपयोगकर्ता कैसा व्यवहार करता है या वे वास्तविक समय में कौन से बायोमेट्रिक संकेत प्रदान करते हैं। स्पष्टता के लिए, किसी दस्तावेज़ का स्थिर स्कैन अब पहचान का शून्य-मूल्य प्रमाण है।

वैश्विक संदर्भ में, यह उल्लंघन संभवतः विकेंद्रीकृत पहचान और ISO 18013-5 जैसे mDL (मोबाइल ड्राइविंग लाइसेंस) मानकों को अपनाने में तेजी लाएगा। इन मॉडलों में, उपयोगकर्ता अपना डेटा स्वयं रखता है, और 'सत्यापनकर्ता' को केवल एक क्रिप्टोग्राफ़िक रूप से हस्ताक्षरित पुष्टि प्राप्त होती है कि उपयोगकर्ता 21 वर्ष से अधिक का है या उसके पास वैध लाइसेंस है। कोई कच्चा डेटा स्थानांतरित नहीं किया जाता है, और कोई केंद्रीय तिजोरी नहीं बनाई जाती है। IDScan उल्लंघन शून्य-ज्ञान प्रमाण (zero-knowledge proofs) के पक्ष में केंद्रीकृत दस्तावेज़ स्कैनिंग सेवाओं को तत्काल छोड़ने के लिए अब तक का सबसे मजबूत तर्क है। जब तक वह संक्रमण नहीं होता, IDV सेवा का उपयोग करने वाली प्रत्येक कंपनी अपने ग्राहकों के सबसे संवेदनशील डेटा के साथ एक उच्च-दांव वाला जुआ खेल रही है।

पहचान लचीलेपन के लिए आर्किटेक्चरल रणनीतियाँ

CISOs को तुरंत तृतीय-पक्ष IDV प्रदाताओं पर अपनी निर्भरता पर पुनर्विचार करना चाहिए। लक्ष्य सभी उल्लंघनों को रोकना नहीं है, बल्कि यह सुनिश्चित करना है कि किसी विक्रेता के साथ समझौता आपके ग्राहकों के लिए आपदा का कारण न बने। इसके लिए डेटा परिहार (data avoidance) की ओर एक आर्किटेक्चरल बदलाव की आवश्यकता है। यदि आपको लाइसेंस की छवि देखने की आवश्यकता नहीं है, तो विक्रेता से इसे प्रदान करने के लिए न कहें। यदि आपको रिकॉर्ड संग्रहीत करने की आवश्यकता नहीं है, तो सुनिश्चित करें कि आपका अनुबंध सत्यापन के तुरंत बाद हटाने का आदेश देता है। उद्योग की वर्तमान स्थिति, जहां कंपनियां 'सिर्फ मामले में सब कुछ इकट्ठा करती हैं', नियामक दंड और प्रतिष्ठित बर्बादी का एक सीधा रास्ता है।

माइक्रोसैगमेंटेशन एक सामान्य क्षेत्र नहीं है; यह प्रत्येक डेटा प्रवाह के लिए एक व्यक्तिगत एकांत सेल है। IDV प्रदाता के साथ एकीकृत करते समय, कनेक्शन सैंडबॉक्स होना चाहिए। विक्रेता द्वारा लौटाए गए डेटा को अविश्वसनीय और संभावित रूप से दुर्भावनापूर्ण माना जाना चाहिए। इसके अलावा, उद्यमों को किसी भी उच्च-मूल्य वाले लेनदेन के लिए 'स्टेप-अप' प्रमाणीकरण लागू करना चाहिए, भले ही उपयोगकर्ता ने तृतीय-पक्ष सेवा के माध्यम से अपनी पहचान 'सत्यापित' की हो। अब-अविश्वसनीय दस्तावेज़ जांच के पूरक के लिए व्यवहार बायोमेट्रिक्स, डिवाइस फिंगरप्रिंटिंग और आउट-ऑफ-बैंड सत्यापन का उपयोग करें। IDScan में उल्लंघन साबित करता है कि वर्तमान में उपयोग में आने वाली तृतीय-पक्ष जोखिम प्रबंधन (TPRM) प्रश्नावली अपर्याप्त हैं। आप किसी विक्रेता का ऑडिट करके उसे सुरक्षित नहीं बना सकते; आपको अपने सिस्टम को उनकी अपरिहार्य विफलता से बचने के लिए आर्किटेक्ट करना होगा।

कार्य योजना: तृतीय-पक्ष पहचान शून्यता को कम करना

निम्नलिखित कदम IDScan घटना के मद्देनजर पहचान बुनियादी ढांचे को स्थिर करने के लिए 6-12 महीने का क्षितिज बनाते हैं:

• यह पहचानने के लिए सभी तृतीय-पक्ष IDV एकीकरणों का ऑडिट करें कि कौन से विक्रेता सत्यापन के बिंदु से परे PII और छवियों को बनाए रखते हैं।
• API-आधारित सत्यापन में संक्रमण को अनिवार्य करें जो पूर्ण दस्तावेज़ स्कैन के बजाय केवल 'हाँ/नहीं' बूलियन या एक अद्वितीय टोकन लौटाता है।
• उन परिदृश्यों को शामिल करने के लिए घटना प्रतिक्रिया प्लेबुक अपडेट करें जहां एक प्राथमिक IDV प्रदाता प्रणालीगत रिसाव का स्रोत है, जिसमें पूर्व-तैयार ग्राहक सूचनाएं शामिल हैं।
• एक 'अपनी स्वयं की पहचान लाएं' (BYOI) रणनीति लागू करें जो क्रिप्टोग्राफ़िक रूप से सत्यापित डिजिटल वॉलेट का समर्थन करती है, जिससे दस्तावेज़ स्कैनिंग की आवश्यकता कम हो जाती है।
• एक रेड-टीम अभ्यास आयोजित करें जिसमें इस बात पर ध्यान केंद्रित किया जाए कि चोरी किए गए IDScan डेटा वाला हमलावर आपके मौजूदा समर्थन और प्रमाणीकरण वर्कफ़्लो के भीतर कर्मचारियों या उच्च-मूल्य वाले ग्राहकों का रूप कैसे धारण कर सकता है।
• तृतीय-पक्ष डेटा उल्लंघनों के लिए कवरेज सुनिश्चित करने के लिए बीमा पॉलिसियों का मूल्यांकन करें, विशेष रूप से लाखों प्रभावित व्यक्तियों के लिए पहचान निगरानी की लागतों पर ध्यान केंद्रित करते हुए।

स्रोत

• Krebs on Security: Report on IDScan Dark Web Database
• TechCrunch: IDScan Data Breach Confirmation and Pentagon Response
• CISA: Guidance on Third-Party Risk Management and PII Protection
• FBI: Investigation into Identity Verification Service Compromises

अस्वीकरण: यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है। यह पेशेवर साइबर सुरक्षा ऑडिट, कानूनी सलाह या घटना प्रतिक्रिया सेवा की जगह नहीं लेता है। प्रत्येक संगठन का आर्किटेक्चर अद्वितीय होता है और इसके लिए एक समर्पित सुरक्षा मूल्यांकन की आवश्यकता होती है।