दावा और आर्किटेक्चर के बीच का अंतर
हर क्लाउड विक्रेता जो संवेदनशील डेटा को संभालता है, उसी दावे का एक संस्करण करता है: "हम आपके डेटा को एन्क्रिप्ट करते हैं।" यह दावा लगभग हमेशा सही होता है — और लगभग हमेशा अपर्याप्त होता है।
2022 का LastPass उल्लंघन एक निश्चित केस स्टडी है। LastPass ने अपने उपयोगकर्ताओं के पासवर्ड वॉल्ट्स को एन्क्रिप्ट किया। उन्होंने एन्क्रिप्शन का उपयोग किया। दावा सटीक था। और फिर भी 25 मिलियन उपयोगकर्ताओं के एन्क्रिप्टेड वॉल्ट्स को एक्सफिल्ट्रेट किया गया, और $438 मिलियन बाद में LastPass उपयोगकर्ताओं से क्रिप्टोक्यूरेंसी चोरी के माध्यम से चुराए गए, Coinbase Institutional के शोध के अनुसार।
यूके सूचना आयुक्त कार्यालय ने दिसंबर 2025 में LastPass के यूके इकाई पर £1.2 मिलियन का जुर्माना लगाया "उचित तकनीकी और संगठनात्मक सुरक्षा उपायों को लागू करने में विफलता" के लिए। एन्क्रिप्शन मौजूद था। सुरक्षा उपाय आवश्यक मानक को पूरा नहीं करते थे।
क्लाउड प्राइवेसी टूल्स का मूल्यांकन करने वाले उद्यमों के लिए — जिसमें PII एनोनिमाइजेशन प्लेटफार्म शामिल हैं — LastPass का उदाहरण खरीद प्रक्रिया के प्रश्न को बदल देता है। प्रश्न यह नहीं है "क्या वे हमारे डेटा को एन्क्रिप्ट करते हैं?" यह है "क्या वे हमारे डेटा को डिक्रिप्ट कर सकते हैं?"
चार शून्य-ज्ञान प्रश्न जो वास्तव में मायने रखते हैं
जब किसी विक्रेता के शून्य-ज्ञान दावे का मूल्यांकन किया जाता है, तो चार प्रश्न यह निर्धारित करते हैं कि आर्किटेक्चर वास्तविक है या नहीं:
1. कुंजी व्युत्पत्ति कहाँ होती है?
सच्चे शून्य-ज्ञान आर्किटेक्चर में, एन्क्रिप्शन कुंजी व्युत्पत्ति क्लाइंट साइड पर होती है — ब्राउज़र या डेस्कटॉप एप्लिकेशन में — इससे पहले कि कोई डेटा भेजा जाए। व्युत्पन्न कुंजी का उपयोग स्थानीय रूप से डेटा को एन्क्रिप्ट करने के लिए किया जाता है। केवल एन्क्रिप्टेड सिफरटेक्स विक्रेता के सर्वरों पर यात्रा करता है।
यदि विक्रेता अपने सर्वरों पर एन्क्रिप्शन कुंजी व्युत्पत्ति करता है, तो वे कुंजी रखते हैं। यदि वे कुंजी रखते हैं, तो वे डिक्रिप्ट कर सकते हैं। दावा तकनीकी रूप से सटीक है ("हम एन्क्रिप्ट करते हैं") लेकिन इसके निहितार्थ में भ्रामक है।
2. क्या विक्रेता कभी स्पष्ट पाठ तक पहुँच रखते हैं?
कुछ उपकरण डेटा को स्थिर अवस्था में एन्क्रिप्ट करते हैं लेकिन इसे प्रसंस्करण के लिए डिक्रिप्ट करते हैं — एआई मॉडल, एनालिटिक्स, खोज अनुक्रमण, या ऑडिट लॉग उत्पन्न करने के लिए। प्रसंस्करण विंडो के दौरान, स्पष्ट पाठ विक्रेता के बुनियादी ढांचे पर उपलब्ध होता है। उस विंडो के दौरान एक उल्लंघन डेटा को अनएन्क्रिप्टेड रूप में उजागर करता है।
3. कानूनी प्रक्रिया के तहत क्या होता है?
यदि कोई सरकारी एजेंसी विक्रेता पर एक समन जारी करती है, तो वे कौन सा डेटा प्रस्तुत कर सकते हैं? एक विक्रेता जिसके पास सर्वर-साइड कुंजी हैं, उसे डिक्रिप्टेड सामग्री प्रस्तुत करने के लिए मजबूर किया जा सकता है। एक विक्रेता जिसके पास शून्य-ज्ञान आर्किटेक्चर है, केवल एन्क्रिप्टेड सिफरटेक्स प्रस्तुत कर सकता है — यहां तक कि कानूनी मजबूरी के तहत, उनके पास कुछ भी उपयोगी नहीं है।
4. पूर्ण सर्वर समझौता क्या उजागर करता है?
एक वास्तविक शून्य-ज्ञान कार्यान्वयन में, विक्रेता के बुनियादी ढांचे का पूर्ण उल्लंघन केवल एन्क्रिप्टेड ब्लॉब्स का उत्पादन करता है। हमलावर को डिक्रिप्ट करने के लिए कुंजी के बिना सिफरटेक्स मिलता है। एक विक्रेता-नियंत्रित-कुंजी कार्यान्वयन में, एक सर्वर उल्लंघन कुंजी को डेटा के साथ उजागर करता है।
LastPass कार्यान्वयन विफलता
LastPass उल्लंघन ने एक विशिष्ट कार्यान्वयन अंतर को उजागर किया: पुराने खातों ने कुंजी व्युत्पत्ति के लिए केवल 1 पुनरावृत्ति के साथ PBKDF2 का उपयोग किया, बजाय अनुशंसित 600,000 पुनरावृत्तियों के। कमजोर कुंजी व्युत्पत्ति ने एक्सफिल्ट्रेटेड वॉल्ट्स पर ब्रूट-फोर्स हमलों को गणनात्मक रूप से व्यवहार्य बना दिया।
यह दर्शाता है कि शून्य-ज्ञान दावों का मूल्यांकन करने के लिए कार्यान्वयन विवरणों की जांच करना आवश्यक है, केवल आर्किटेक्चरल विवरण नहीं। एक विक्रेता एक शून्य-ज्ञान डिज़ाइन का उपयोग कर सकता है जबकि इसे कमजोर तरीके से लागू करता है। पूछने के लिए सही प्रश्न आर्किटेक्चर (कुंजी व्युत्पत्ति स्थान) और कार्यान्वयन शक्ति (एल्गोरिदम और पुनरावृत्ति की संख्या) दोनों को कवर करते हैं।
Okta उल्लंघन: एक अलग विफलता मोड
अक्टूबर 2023 में, Okta ने खुलासा किया कि 600,000+ ग्राहक समर्थन रिकॉर्ड एक उल्लंघन में लीक हो गए। Okta एक पहचान प्लेटफार्म है — वह कंपनी जिसका उपयोग कई उद्यम अपने अन्य क्लाउड उपकरणों तक पहुँच सुरक्षित करने के लिए करते हैं। Okta उल्लंघन LastPass से एक अलग विफलता मोड था: शून्य-ज्ञान कार्यान्वयन में कमजोरी नहीं, बल्कि समर्थन बुनियादी ढांचे का समझौता था जिसमें ग्राहक डेटा था।
2024 में SaaS उल्लंघन की वृद्धि 300% (AppOmni/CSA) दोनों विफलता मोड को दर्शाती है: LastPass जैसी आर्किटेक्चरल कमजोरियाँ और Okta जैसी बुनियादी ढांचे के समझौते। शून्य-ज्ञान आर्किटेक्चर आर्किटेक्चरल विफलता मोड को संबोधित करता है। यह सभी उल्लंघन जोखिम को समाप्त नहीं करता है, लेकिन यह सुनिश्चित करता है कि यहां तक कि एक पूर्ण बुनियादी ढांचे का समझौता भी कोई डिक्रिप्ट करने योग्य ग्राहक डेटा उजागर नहीं करता है।
एक वास्तविक मूल्यांकन कैसा दिखता है
शून्य-ज्ञान दावों का मूल्यांकन करने वाली खरीद टीमों के लिए, मूल्यांकन चेकलिस्ट:
आर्किटेक्चर समीक्षा:
- दस्तावेज़ीकरण का अनुरोध करें जो दिखाता है कि कुंजी व्युत्पत्ति कहाँ होती है (क्लाइंट-साइड बनाम सर्वर-साइड)
- एन्क्रिप्शन एल्गोरिदम, कुंजी की लंबाई, और पुनरावृत्ति की संख्या के लिए पूछें
- पुष्टि का अनुरोध करें कि स्पष्ट पाठ कभी भी विक्रेता सर्वरों पर नहीं भेजा जाता है
उल्लंघन परिदृश्य परीक्षण:
- विक्रेता से पूछें कि एक पूर्ण सर्वर समझौता क्या उजागर करेगा
- यदि उत्तर में "एन्क्रिप्टेड सिफरटेक्स जिसे हम डिक्रिप्ट नहीं कर सकते" के अलावा कुछ भी शामिल है, तो दावा वास्तविक शून्य-ज्ञान नहीं है
कानूनी प्रक्रिया समीक्षा:
- पूछें कि क्या विक्रेता एक समन का पालन कर सकता है जो ग्राहक स्पष्ट पाठ के उत्पादन की आवश्यकता करता है
- वास्तविक शून्य-ज्ञान विक्रेता वे नहीं प्रस्तुत कर सकते जो उनके पास नहीं है
अनुपालन दस्तावेज़ीकरण:
- विक्रेता के GDPR अनुच्छेद 32 अनुपालन दस्तावेज़ का अनुरोध करें
- ISO 27001 प्रमाणन (विशेष रूप से अनुबंध A क्रिप्टोग्राफिक नियंत्रण) कुंजी प्रबंधन प्रथाओं की बाहरी सत्यापन प्रदान करता है
£1.2 मिलियन LastPass ICO जुर्माना स्थापित करता है कि एन्क्रिप्शन दावे करने वाले विक्रेता उन दावों के लिए आवश्यक मानक को पूरा करने के लिए नियामक मूल्यांकन के अधीन हैं। वही मूल्यांकन ढांचा जो नियामक लागू करते हैं, उल्लंघन होने से पहले खरीद टीमों के लिए उपलब्ध है।
स्रोत: