साइबर सुरक्षा की दुनिया में लंबे समय से एक अभ्यास अपनाया जा रहा है - "निरंतर परिवर्तन या विकास ही अनुप्रयोगों को हमेशा के लिए सुरक्षित रखने का एकमात्र तरीका है।"
अतीत में, इंटर-कंपोनेंट ऑथेंटिकेशन कई अनुप्रयोगों के लिए परेशानी का सबब था। ऐप्स को क्लाउड API में विभिन्न मिडलवेयर और बैक-एंड कंपोनेंट्स के सामने खुद को मान्य करने के लिए एक्सेस प्राप्त करने की आवश्यकता थी। हालांकि, वेब API में एप्लिकेशन ऑथेंटिकेशन एक आवश्यक प्रक्रिया है।
मान्यता के लिए मौजूदा तंत्र एक स्टेटिक एप्लिकेशन लॉगिन है। लेकिन इस विधि के साथ सुरक्षा मुद्दे हैं: –
- लॉगिन क्रेडेंशियल्स को बार-बार अपडेट किया जाता है।
- यह किसी एप्लिकेशन की गतिविधियों की जांच और रिकॉर्ड करने की फर्म की क्षमता को कम करता है।
यह भी पढ़ें: DevSecOps: क्या यह हमारे अनुप्रयोगों और सॉफ्टवेयर को सुरक्षित करने में मदद करेगा?
TLS म्यूचुअल ऑथेंटिकेशन
हालांकि, क्लाउड API सुरक्षा में सहायता करने के सर्वोत्तम तरीकों में से एक है जब कंपोनेंट्स या प्रोसेस एक-दूसरे के साथ संवाद करते हैं तो TLS (ट्रांसपोर्ट लेयर सिक्योरिटी) म्यूचुअल ऑथेंटिकेशन पेश करना।
आइए मान लें कि RESTful API कंपोनेंट्स पहले से ही TLS म्यूचुअल ऑथेंटिकेशन तकनीक का उपयोग करते हैं। यह एप्लिकेशन को खुद को मान्य करने के लिए क्लाइंट सर्टिफिकेट प्रस्तुत करने के लिए कहता है। इस प्रकार, यह एप्लिकेशन सुरक्षा इन्फ्रास्ट्रक्चर रणनीति में सुधार करने में सहायता कर सकता है।
पारंपरिक प्रक्रिया के साथ समस्या
नियमित प्रक्रिया में गतिविधियों को बैक-एंड कंपोनेंट्स के अनुसार एक यूजर ID के तहत एक साथ वर्गीकृत किया जाता है। यह वर्गीकरण पूरे इवेंट जानकारी में उन घटनाओं को ढूंढना कठिन बना देता है जो किसी एप्लिकेशन से संबंधित हैं। स्थिति तब और खराब हो जाती है जब आप साइबर हमले के दौरान घटना नहीं ढूंढ पाते। सुरक्षा पेशेवर सौम्य और हानिकारक एप्लिकेशन के बीच अंतर नहीं कर सकते। यह विशेष समस्या एक दशक से प्रचलित है और अभी तक अनसुलझी है।
RESTful APIs के लिए, उन्हें अभी भी एक-दूसरे को मान्य करने की आवश्यकता है और वे ऑथेंटिकेशन करने के लिए HTTP-अवेयर मेथड्स की मदद लेते हैं। उदाहरण के लिए, एक छिपा हुआ मान HTTP अनुरोध हेडर के साथ एकीकृत होता है ताकि अनुरोधकर्ता को मान्य किया जा सके। इस प्रक्रिया को HTTP बेसिक ऑथेंटिकेशन कहा जाता है। इसे इस तथ्य की अवहेलना करते हुए लागू किया जाता है कि क्लाउड एप्लिकेशन क्लाउड में हैं या ऑन-प्रिमाइसेस। चाहे आप PaaS या IaaS का उपयोग करें, इंटर-कंपोनेंट ऑथेंटिकेशन अभी भी एक अनसुलझी समस्या है।
TLS कैसे मदद करता है
मूल रूप से, आपको उन सुविधाओं से लाभ उठाने की आवश्यकता है जो TLS ऑथेंटिकेशन तंत्र को बढ़ाने के लिए लागू करता है। यदि TLS का उपयोग वेब सर्फिंग के लिए नहीं किया जाता है, तो यह एक-दूसरे के साथ लेनदेन करने वाले साथियों के बीच पारस्परिक सत्यापन का समर्थन करता है।
सर्वर अनुरोधकर्ता को ठीक उसी तरह प्रमाणित करता है जैसे ब्राउज़र एक दूरस्थ वेबसाइट को प्रमाणित करता है। HTTP प्रोटोकॉल का उपयोग क्लाउड APIs के लिए ट्रांसपोर्ट के रूप में किया जाता है लेकिन हम अभी भी कंपोनेंट्स के बीच पारस्परिक सत्यापन की अनुमति दे सकते हैं। TLS म्यूचुअल ऑथेंटिकेशन में, हम विशेष रूप से स्वीकार्य प्रमाणपत्रों के मापदंडों को सीमित कर सकते हैं। इसका मतलब है कि क्लाउड एप्लिकेशन को केवल विशिष्ट प्रमाणपत्र या सीरियल नंबर और यहां तक कि विशिष्ट प्रमाणपत्र प्राधिकारी से प्रस्तुत करने की आवश्यकता है। इसके अलावा, आप TLS विधि को एक स्टेटिक छिपे हुए मान या पासवर्ड के साथ जोड़ सकते हैं। हालांकि क्लाउड में TLS म्यूचुअल ऑथेंटिकेशन दृष्टिकोण को लागू करने की कुछ निर्भरताएं हैं। मुख्य रूप से, क्लाउड API को TLS म्यूचुअल ऑथेंटिकेशन सेटअप करने के लिए अनुकूलन योग्य होना चाहिए। इसका मतलब है कि आपके पास एक IaaS वातावरण होना चाहिए ताकि आप कॉन्फ़िगरेशन को संशोधित कर सकें। अन्यथा, यह एक PaaS वातावरण होना चाहिए जहां आपको इस कार्यक्षमता को चालू करने की अनुमति हो। आप AWS और माइक्रोसॉफ्ट एज़्योर जैसे क्लाउड विशेषज्ञों का उदाहरण ले सकते हैं।
TLS म्यूचुअल ऑथेंटिकेशन के लाभ
TLS म्यूचुअल ऑथेंटिकेशन का उपयोग करते समय आप कुछ अद्भुत लाभों का आनंद ले सकते हैं। TLS म्यूचुअल ऑथेंटिकेशन के साथ सबसे प्रमुख लाभ में से एक है पासवर्ड या गुप्त मूल्यों को बनाए रखने के बारे में कम झंझट। पासवर्ड या स्टेटिक छिपे हुए मूल्यों का उपयोग और प्रबंधन एक बोझिल कार्य है क्योंकि इसमें समय-समय पर पासवर्ड संशोधित करना, इसके उपयोग की जांच करना, जटिल पासवर्ड बनाना, इसकी सुरक्षा सुनिश्चित करना आदि प्रक्रियाएं शामिल हैं। हालांकि, TLS म्यूचुअल ऑथेंटिकेशन लंबे समय में पासवर्ड की भूमिका को कम करता है। हालांकि पासवर्ड का उपयोग ऑथेंटिकेशन विधि को सक्षम करते समय कुछ बार किया जाता है, TLS लंबे समय में पासवर्ड की भूमिका को कम कर सकता है।
इसके अलावा, TLS म्यूचुअल ऑथेंटिकेशन प्रमाणपत्रों और निजी कुंजियों का उपयोग करता है जो पासवर्ड की तुलना में कम पोर्टेबल हैं। इसलिए, भले ही प्रमाणपत्र और निजी कुंजियों को अन्य डिजिटल संस्थाओं की तरह समझौता किया जा सकता है, फिर भी यह हैकर्स के लिए कठिनाई स्तर को बढ़ाता है, कम से कम लॉजिस्टिक्स के संदर्भ में जब हैकर रिमोट API कॉलर के रूप में दिखावा करना चाहता है।
जहां तक एप्लिकेशन की निगरानी का संबंध है, TLS उन कंपोनेंट्स या एप्लिकेशन का रिकॉर्ड रखता है जो अधिक स्पष्टता के साथ API अनुरोध करते हैं। पासवर्ड के साथ, यह एक जटिल प्रक्रिया है।
यह भी पढ़ें: क्या साइबर सुरक्षा सुधर रही है या बदतर होती जा रही है?
TLS म्यूचुअल ऑथेंटिकेशन के नुकसान
TLS म्यूचुअल ऑथेंटिकेशन को लागू करते समय कुछ नुकसान हैं। हालांकि, उनमें से कोई भी आपको इस तकनीक को लागू करने से हतोत्साहित नहीं करना चाहिए।
निम्नलिखित नुकसानों को विधि को बढ़ाने के लिए ध्यान में रखा जाना चाहिए: –
पहला और सबसे महत्वपूर्ण, प्रमाणपत्र समाप्त हो जाते हैं। इसलिए, किसी को हमेशा समाप्त होने से पहले प्रमाणपत्र को पुनः जारी करना याद रखना चाहिए। यदि आप प्रमाणपत्र को पुनः जारी करना भूल जाते हैं, तो परिणाम विनाशकारी हो सकते हैं क्योंकि समस्या को डीबग करना मुश्किल है। सुनिश्चित करें कि आप प्रमाणपत्रों की समाप्ति तिथियों का हमेशा ट्रैक रखते हैं ताकि समय सीमा समाप्त प्रमाणपत्रों को सक्रिय रूप से बदला जा सके।
कुल मिलाकर, TLS म्यूचुअल ऑथेंटिकेशन क्लाउड APIs की सुरक्षा में सुधार के लिए एक रचनात्मक विधि है। कम से कम, TLS म्यूचुअल ऑथेंटिकेशन सुरक्षा विशेषज्ञों को क्लाउड पर एप्लिकेशन सुरक्षा का आकलन करने में मदद कर सकता है।
