नेटवर्क सुरक्षा में प्रमाणीकरण और प्राधिकरण क्या है?

प्रमाणीकरण (Authentication) बनाम प्राधिकरण (Authorization): नेटवर्क सुरक्षा में मूल अंतर

ये दो अलग-अलग लेकिन संबंधित सुरक्षा प्रक्रियाएं हैं। सरल शब्दों में: प्रमाणीकरण = "तुम कौन हो?", प्राधिकरण = "तुम क्या कर सकते हो?"

प्रमाणीकरण (Authentication)

उपयोगकर्ता/डिवाइस/प्रक्रिया की पहचान सत्यापित करने की प्रक्रिया।

प्रमाणीकरण कारक (3 प्रकार)

1. ज्ञान कारक (Something you know): पासवर्ड, पिन, सुरक्षा प्रश्न
2. स्वामित्व कारक (Something you have): फोन (OTP), हार्डवेयर टोकन (YubiKey), स्मार्ट कार्ड, सर्टिफिकेट
3. अंतर्निहित कारक (Something you are): बायोमेट्रिक्स - फिंगरप्रिंट, चेहरा, आईरिस, आवाज, व्यवहार

प्रमाणीकरण विधियां

• सिंगल-फैक्टर (SFA): केवल पासवर्ड - कमजोर
• टू-फैक्टर (2FA): पासवर्ड + OTP/टोकन - मानक
• मल्टी-फैक्टर (MFA): 2+ कारक - अनुशंसित
• सर्टिफिकेट-आधारित: PKI, म्यूचुअल TLS (mTLS)
• बायोमेट्रिक: फिंगरप्रिंट, फेस ID, Windows Hello, Touch ID
• टोकन-आधारित: JWT, OAuth टोकन, Kerberos टिकट
• SSO (सिंगल साइन-ऑन): एक लॉगिन, अनेक प्रणालियां (SAML, OIDC)

नेटवर्क प्रमाणीकरण प्रोटोकॉल

• 802.1X (EAP): पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (WPA2-Enterprise, WPA3-Enterprise)
• RADIUS: केंद्रीकृत प्रमाणीकरण सर्वर (FreeRADIUS, NPS, ISE)
• Kerberos: टिकट-आधारित, विंडोज़ डोमेन मानक
• LDAP/Active Directory: डायरेक्टरी-आधारित प्रमाणीकरण
• SAML/OIDC/OAuth 2.0: वेब/क्लाउड SSO, फेडरेटेड आइडेंटिटी

प्राधिकरण (Authorization)

प्रमाणित पहचान को क्या करने की अनुमति है यह तय करने की प्रक्रिया।

प्राधिकरण मॉडल

• RBAC (Role-Based Access Control): भूमिकाओं के आधार पर अनुमतियां (Admin, User, Auditor)
• ABAC (Attribute-Based Access Control): विशेषताओं पर आधारित (विभाग, समय, स्थान, डिवाइस)
• PBAC (Policy-Based Access Control): नीतियों/नियमों के माध्यम से (XACML, OPA/Rego)
• DAC (Discretionary): संसाधन मालिक तय करता है
• MAC (Mandatory): केंद्रीय नीति, लेबल-आधारित (सैन्य/सरकारी)

नेटवर्क में प्राधिकरण उदाहरण

• VLAN असाइनमेंट: 802.1X प्रमाणीकरण के बाद RADIUS से VLAN ID प्राप्त
• ACL/फायरवॉल नियम: उपयोगकर्ता समूह के आधार पर ट्रैफिक अनुमति/अस्वीकृति
• VPN स्प्लिट टनलिंग: कौन से संसाधन VPN से पहुंच योग्य
• NAC पोश्चर असेसमेंट: डिवाइस स्वास्थ्य के आधार पर नेटवर्क पहुंच स्तर
• API अनुमतियां: OAuth स्कोप (read:user, write:data)

प्रमाणीकरण और प्राधिकरण एक साथ कैसे काम करते हैं

1. उपयोगकर्ता क्रेडेंशियल प्रस्तुत करता है → प्रमाणीकरण
2. सिस्टम पहचान सत्यापित करता है → पहचान स्थापित
3. नीति इंजन पहचान + संदर्भ (डिवाइस, स्थान, समय) का मूल्यांकन करता है → प्राधिकरण निर्णय
4. प्रवेश अनुमति/अस्वीकृत + विशिष्ट संसाधन/कार्य अधिकार दिए जाते हैं

सामान्य भ्रम

जीरो ट्रस्ट में प्रमाणीकरण + प्राधिकरण

• कभी भरोसा न करें, हमेशा सत्यापित करें - हर अनुरोध के लिए
• निरंतर प्रमाणीकरण: व्यवहार विश्लेषण, डिवाइस पोश्चर, जोखिम स्कोर
• निरंतर प्राधिकरण: हर API कॉल, हर नेटवर्क फ्लो का मूल्यांकन
• नीति निर्णय बिंदु (PDP) + नीति प्रवर्तन बिंदु (PEP) आर्किटेक्चर

सर्वोत्तम अभ्यास

1. सभी दूरस्थ पहुंच के लिए MFA अनिवार्य करें
2. कम से कम विशेषाधिकार सिद्धांत लागू करें
3. RBAC + ABAC संयोजन उपयोग करें
4. सर्टिफिकेट-आधारित प्रमाणीकरण मशीन/सेवा खातों के लिए
5. केंद्रीकृत पहचान प्रबंधन (IdP: Azure AD, Okta, Keycloak, Ping)
6. नियमित पहुंच समीक्षा (तिमाही/अर्धवार्षिक)
7. JIT (जस्ट-इन-टाइम) पहुंच विशेषाधिकृत कार्यों के लिए
8. ऑडिट लॉगिंग सभी प्रमाणीकरण/प्राधिकरण निर्णयों की