नेटवर्क सिक्योरिटी में प्रमाणीकरण (Authentication) और प्राधिकरण (Authorization) का महत्व क्या है?

प्रमाणीकरण (Authentication) और प्राधिकरण (Authorization): नेटवर्क सुरक्षा के दो स्तंभ

ये दो अलग-अलग लेकिन परस्पर पूरक प्रक्रियाएं हैं जो यह सुनिश्चित करती हैं कि सही व्यक्ति/प्रणाली को सही संसाधनों तक सही स्तर की पहुंच मिले।

मूल परिभाषाएं और अंतर

प्रमाणीकरण (Authentication) का महत्व

• पहचान आश्वासन: यह सुनिश्चित करता है कि एक्सेस करने वाला वास्तव में वही है जो होने का दावा करता है।
• गैर-अस्वीकृति (Non-repudiation): मजबूत प्रमाणीकरण (डिजिटल हस्ताक्षर, FIDO2, स्मार्ट कार्ड) कार्यों को विशिष्ट पहचान से जोड़ता है।
• हमले की सतह कम करना: कमजोर प्रमाणीकरण (केवल पासवर्ड) सबसे आम प्रारंभिक पहुंच वेक्टर है (फिशिंग, क्रेडेंशियल स्टफिंग, ब्रूट फोर्स)।
• विश्वास स्थापना: बाद के प्राधिकरण निर्णयों के लिए आधार प्रदान करता है।
• ऑडिट/अनुपालन: "किसने क्या किया" लॉगिंग के लिए पहचान आवश्यक।

प्राधिकरण (Authorization) का महत्व

• कम से कम विशेषाधिकार (Least Privilege): उपयोगकर्ता/प्रक्रिया को केवल वही पहुंच दें जो उनके कार्य के लिए आवश्यक है।
• क्षैतिज/लंबवत अधिकार वृद्धि रोकथाम: उचित प्राधिकरण जांच के बिना, समझौता किया गया खाता एडमिन बन सकता है या अन्य उपयोगकर्ताओं का डेटा एक्सेस कर सकता है।
• डेटा सुरक्षा: संवेदनशील डेटा (PII, PHI, IP) तक पहुंच प्रतिबंधित करना।
• विनियामक अनुपालन: GDPR, HIPAA, PCI-DSS, SOX सभी को पहुंच नियंत्रण और समीक्षा की आवश्यकता होती है।
• आंतरिक खतरा शमन: दुर्भावनापूर्ण/लापरवाह अंदरूनी लोगों द्वारा नुकसान सीमित करना।

प्रमाणीकरण के प्रकार/कारक

MFA (बहु-कारक प्रमाणीकरण) = 2+ अलग श्रेणियां। सबसे मजबूत: फिशिंग-प्रतिरोधी MFA (FIDO2/WebAuthn, स्मार्ट कार्ड, पासकी)।

प्राधिकरण मॉडल

• RBAC (रोल-आधारित पहुंच नियंत्रण): भूमिकाओं को अनुमतियां, उपयोगकर्ताओं को भूमिकाएं। सरल, स्केलेबल। (उदाहरण: "नेटवर्क एडमिन", "HR मैनेजर")।
• ABAC (विशेषता-आधारित पहुंच नियंत्रण): नीतियां विशेषताओं पर आधारित (उपयोगकर्ता विभाग, संसाधन संवेदनशीलता, समय, स्थान, खतरा स्तर)। बारीक, गतिशील। (XACML, OPA/Rego, AWS IAM शर्तें)।
• PBAC (नीति-आधारित पहुंच नियंत्रण): केंद्रीकृत नीति इंजन (OPA, Cedar) जो निर्णय लेता है।
• DAC/MAC: विवेकाधीन (मालिक तय करता है) / अनिवार्य (लेबल-आधारित, सैन्य/सरकारी)।
• JIT (जस्ट-इन-टाइम) / PAM: स्थायी विशेषाधिकार नहीं - अनुरोध → अनुमोदन → समय-सीमित पहुंच → ऑडिट।

वे एक साथ क्यों काम करते हैं (और क्रम मायने रखता है)

1. प्रमाणीकरण पहले: पहचान स्थापित करता है। बिना इसके, प्राधिकरण अर्थहीन है (किसे अधिकृत कर रहे हैं?)।
2. प्राधिकरण बाद में: प्रमाणित पहचान के आधार पर पहुंच लागू करता है।
3. सत्र प्रबंधन: प्रमाणीकरण सत्र टोकन बनाता है → प्राधिकरण हर अनुरोध पर टोकन/पहचान का मूल्यांकन करता है।
4. निरंतर मूल्यांकन (जीरो ट्रस्ट): प्रमाणीकरण एक बार नहीं - निरंतर पुनः प्रमाणीकरण (डिवाइस स्वास्थ्य, स्थान, व्यवहार)। प्राधिकरण हर अनुरोध पर पुनः मूल्यांकन (PDP/PEP आर्किटेक्चर)।

आधुनिक कार्यान्वयन पैटर्न

• OAuth 2.0 / OpenID Connect (OIDC): उद्योग मानक प्रोटोकॉल। OIDC = प्रमाणीकरण (ID टोकन), OAuth = प्राधिकरण (एक्सेस टोकन + स्कोप)।
• SAML 2.0: एंटरप्राइज SSO, फेडरेशन (IdP → SP)।
• Kerberos: विंडोज डोमेन, टिकट-आधारित, द्विदिश प्रमाणीकरण।
• म्यूचुअल TLS (mTLS): सेवा-से-सेवा प्रमाणीकरण + प्राधिकरण (सर्टिफिकेट-आधारित)।
• SPIFFE/SPIRE: क्लाउड-देशी वर्कलोड पहचान (X.509 SVID)।

सामान्य विफलताएं और उनसे बचाव

निष्कर्ष

प्रमाणीकरण "दरवाजे पर ताला" है, प्राधिकरण "कमरे में कौन जा सकता है" नियम है। दोनों आवश्यक हैं, कोई भी अकेला पर्याप्त नहीं। आधुनिक जीरो ट्रस्ट आर्किटेक्चर में: कभी भरोसा न करें, हमेशा सत्यापित करें (प्रमाणीकरण) + न्यूनतम विशेषाधिकार लागू करें (प्राधिकरण) + निरंतर निगरानी करें।