उन्नत क्रिप्टोग्राफी और साइबर सुरक्षा: निश्चित तकनीकी हैंडबुक

उन्नत क्रिप्टोग्राफी और साइबर सुरक्षा — पूर्ण तकनीकी मार्गदर्शिका

1 परिचय

1.1 साइबर सुरक्षा क्या है?

साइबर सुरक्षा वह अनुशासन है जो सूचना‑प्रणालियों, नेटवर्कों, अनुप्रयोगों एवं डेटा को अनधिकृत पहुँच, व्यवधान या विनाश से बचाने पर केंद्रित है। इसमें गवर्नेंस, जोखिम प्रबंधन, सुरक्षा अभियांत्रिकी, निगरानी, घटना‑प्रतिक्रिया तथा लचीलापन शामिल है। आधुनिक प्रोग्राम व्यावसायिक उद्देश्यों को गोपनीयता, अखंडता और उपलब्धता (CIA) बनाए रखने की आवश्यकता से समन्वित करता है तथा नियामकीय माँगों और उभरते खतरों का सामना करता है।

1.2 क्रिप्टोग्राफी क्या है?

क्रिप्टोग्राफी वह विज्ञान है जो सूचना को एन्कोड/डिकोड करता है ताकि केवल अधिकृत पक्ष ही उसे पढ़ या परिवर्तित कर सकें। पारंपरिक सिफर हाथ से लागू होते थे; आधुनिक क्रिप्टोग्राफी औपचारिक प्रमाणों, संख्या‑सिद्ध कठिनाई मान्यताओं (जैसे फैक्टराइजेशन, डिस्क्रीट लॉग) और गहन ऑडिट किए गए एल्गोरिदम पर आधारित है, जो सॉफ़्टवेयर तथा हार्डवेयर में एन्क्रिप्शन, प्रमाणीकरण, डाटा‑अखंडता व नॉन‑रिपुडिएशन सेवा प्रदान करते हैं।

1.3 दोनों का अविभाज्य सम्बन्ध क्यों

क्रिप्टोग्राफी तकनीकी प्रिमिटिव—एन्क्रिप्शन, सिग्नेचर, हैश—प्रदान करती है जो साइबर सुरक्षा आर्किटेक्चर की नीतियों व नियंत्रकों को लागू करते हैं। हर ज़ीरो‑ट्रस्ट नेटवर्क हॉप, सिक्योर बूट या पासवर्ड वॉल्ट अंततः encrypt/decrypt अथवा sign/verify कॉल करता है। मज़बूत क्रिप्टोग्राफी के बिना साइबर सुरक्षा केवल भौतिक फ़ायरवॉल तक सीमित रह जाएगी—क्लाउड‑नेटिव वितरित परिवेशों में यह अपर्याप्त है।

1.4 मूल सिद्धांत: CIA, प्रमाणीकरण एवं नॉन‑रिपुडिएशन

• Confidentiality (गोपनीयता) — एन्क्रिप्शन व एक्सेस‑कंट्रोल द्वारा डेटा का अनधिकृत प्रकटीकरण रोकना।
• Integrity (अखंडता) — MAC, हैश व डिजिटल सिग्नेचर से अनधिकृत संशोधन का पता लगाना।
• Availability (उपलब्धता) — रेडंडेंसी, DoS सुरक्षा और लचीले डिज़ाइन से सिस्टम को चालू रखना।
• Authentication (प्रमाणीकरण) — PKI, टोकन, MFA से पहचान सत्यापित करना।
• Non‑Repudiation (अस्वीकृति‑रोधकता) — डिजिटल हस्ताक्षरित लॉग आदि यह सुनिश्चित करते हैं कि बाद में कार्रवाई से इनकार न किया जा सके।

2 गणितीय एवं सैद्धांतिक आधार

2.1 संख्या सिद्धांत परिचय

आधुनिक क्रिप्टोसिस्टम प्राथमिक संख्याओं, मापांक गणित व सीमित क्षेत्रों पर निर्भर हैं। विस्तारित युक्लिडीय एल्गोरिदम, यूलर का टोटेंट फ़ंक्शन और चीनी शेष प्रमेय RSA कुंजी‑उत्पादन व ECC बिंदु‑गुणा का आधार हैं।

2.2 एंट्रॉपी, यादृच्छिकता व सूचना सिद्धांत

सुरक्षित कुंजियाँ उच्च एंट्रॉपी स्रोतों पर निर्भर हैं। शैनन की परिपूर्ण गोपनीयता बताती है कि जब कुंजी‑एंट्रॉपी ≥ संदेश‑एंट्रॉपी हो, तो साइफ़र‑टेक्स्ट कोई जानकारी प्रकट नहीं करता।

2.3 जटिलता वर्ग व “कठिन” समस्याएँ

सुरक्षा गणनात्मक विषमता से आती है: रक्षक के लिए सुगम, हमलावर के लिए दुष्कर समस्याएँ। क्वांटम एल्गोरिद्म (Shor, Grover) इन धारणाओं को चुनौती देते हैं; अतः पोस्ट‑क्वांटम स्कीमों का विकास हो रहा है।

2.4 खतरा मॉडलिंग में संभाव्यता

बर्थ‑डे पैराबैक्स हैश लंबाई निर्धारित करता है; पोइसाँ वितरण पासवर्ड अनुमान सफलता आँकता है। संख्यात्मक जोखिम विश्लेषण इन संभावनाओं को रक्षात्मक कार्यों में बदलता है।

3 क्रिप्टोग्राफ़िक बिल्डिंग ब्लॉक्स

3.1 सिमेट्रिक एल्गोरिद्म

3.1.1 ब्लॉक सिफर (AES, Camellia, Twofish)

ब्लॉक सिफर स्थिर‑आकार के ब्लॉकों को साझा कुंजी से रूपांतरित करते हैं। AES डे‑फ़ैक्टो मानक है और AES‑NI द्वारा हार्डवेयर एक्सीलरेट होता है।

3.1.2 स्ट्रीम सिफर (ChaCha20)

स्ट्रीम सिफर की‑स्ट्रीम उत्पन्न कर प्लेनटेक्स्ट से XOR करते हैं। ChaCha20‑Poly1305 मोबाइल CPU पर तेज़ है और अंतर्निहित अखंडता देता है।

3.1.3 संचालन मोड (GCM, CBC, CTR, XTS)

मोड ब्लॉक सिफर को परिवर्तनीय लंबाई की एन्क्रिप्शन में बदलते हैं। GCM AEAD प्रदान करता है; XTS स्टोरेज सेक्टर सुरक्षित करता है; नए डिज़ाइन में अनऑथेंटिकेटेड CBC से बचें।

3.2 एसिमेट्रिक / सार्वजनिक‑कुंजी एल्गोरिद्म

3.2.1 RSA व कुंजी‑आकार अर्थशास्त्र

लगभग 128‑बिट सुरक्षा हेतु RSA को 3072‑बिट कुंजी और OAEP पैडिंग की आवश्यकता है।

3.2.2 एलिप्टिक‑कर्व क्रिप्टोग्राफी (X25519, Ed25519)

ECC कम चाबी आकार व तेज़ कम्प्यूटेशन से समान सुरक्षा देता है। Curve25519/Ed25519 कई ऐतिहासिक खामियों से बचाते हैं।

3.2.3 पोस्ट‑क्वांटम परिवार (लैटिस, हैश, कोड)

CRYSTALS‑Kyber (KEM) व Dilithium (सिग्नेचर) NIST के फ़ाइनलिस्ट हैं; SPHINCS+ स्टेट‑लेस हैश‑आधारित सिग्नेचर है।

3.3 हैश व MAC फ़ंक्शन

SHA‑2/3 प्रमुख; BLAKE3 ट्री हैशिंग व SIMD समानांतरता देता है। MAC (HMAC, Poly1305) जोड़कर अखंडता पाएं।

3.4 कुंजी व्युत्पत्ति व पासवर्ड कठोरन

Argon2 GPU हमलों से बचने को मेमोरी‑हार्ड है; scrypt संसाधन‑सीमित डिवाइस हेतु उपयोगी है।

3.5 डिजिटल सिग्नेचर व प्रमाण‑पत्र

डिजिटल सिग्नेचर पहचान को डेटा से जोड़ती हैं। X.509 सर्टिफिकेट सार्वजनिक कुंजी को विश्वसनीय CA से बाँधते हैं। Certificate Transparency लेन‑देन में पारदर्शिता लाता है।

3.6 यादृच्छिक संख्या जनन व हार्डवेयर TRNG

RNG में पूर्वाग्रह हर एल्गोरिद्म को कमजोर करता है। हार्डवेयर एंट्रॉपी + DRBG (NIST SP 800‑90A) संयोजन सुरक्षित है।

4 प्रोटोकॉल एवं सुरक्षित चैनल

4.1 TLS 1.3 हैंडशेक सिंहावलोकन

TLS 1.3 राउंड‑ट्रिप घटाता है, अधिक मेटाडाटा एन्क्रिप्ट करता है और AEAD (AES‑GCM/ChaCha20‑Poly1305) अनिवार्य करता है। 0‑RTT से विलंबता घटती है पर रिप्ले‑जोखिम बढ़ता है।

4.2 IPsec बनाम WireGuard

IPsec पुराना व जटिल है; WireGuard 4 kLOC में NoiseIK क्रिप्टोग्राफी उपयोग करता है—ऑडिट व प्रदर्शन दोनों उत्कृष्ट।

4.3 SSH कुंजी‑विनिमय व फ़ॉरवर्ड सीक्रेसी

SSH Diffie‑Hellman/ECDH से कुंजी तय कर हैश‑आधारित KDF से सत्र‑कुंजी निकालता है। Ed25519 होस्ट कुंजी अपनाएँ, RSA‑SHA1 अक्षम करें।

4.4 ई‑मेल सुरक्षा (PGP, S/MIME, DKIM, DMARC)

एंड‑टू‑एंड एन्क्रिप्शन सामग्री की रक्षा करता है; SMTP हॉप पर TLS सुरक्षा देता है। DKIM हैडर साइन; DMARC SPF व DKIM को संरेखित कर स्पूफिंग रोकता है।

4.5 ज़ीरो‑नॉलेज प्रूफ़ व MPC

zk‑SNARK बिना रहस्य खोले ज्ञान प्रमाणित करते हैं; MPC थ्रेशहोल्ड सिग्नेचर व गोपनीय विश्लेषण संभव बनाता है।

5 कुंजी प्रबंधन व अवसंरचना

5.1 कुंजी जीवन‑चक्र

उत्पादन → सक्रियण → रोटेशन → निलंबन → निरस्तीकरण → विनाश। स्वचालित नीतियाँ त्रुटि घटाती हैं।

5.2 HSM व KMS सेवाएँ

HSM टैंपर‑प्रूफ़ भंडारण व पृथक क्रिप्टो‑ऑपरेशन देता है। AWS KMS, GCP KMS, Azure Key Vault बादलों में API प्रदान करते हैं; कुंजी‑निर्यात हेतु द्वि‑प्राधिकार लागू करें।

5.3 PKI डिज़ाइन पैटर्न

एंटरप्राइज़ PKI में ऑफ़लाइन रूट CA, ऑनलाइन इश्यूइंग CA, OCSP रिस्पॉन्डर शामिल; ACME या cert‑manager से ऑटो‑एनरोलमेंट करें।

5.4 क्लाउड‑नेटिव स्टैक्स में सीक्रेट प्रबंधन

Vault, AWS Secrets Manager, GCP Secret Manager — संग्रहण, रोटेशन, रनटाइम‑इंजेक्शन। सर्विस मेश (mTLS) स्वत: सर्ट रोटेट करता है।

5.5 पोस्ट‑क्वांटम माइग्रेशन योजना

एल्गोरिद्म इन्वेंटरी; हाइब्रिड TLS सूट (x25519+Kyber768); 256‑बिट सिमेट्रिक की; क्रिप्टो‑एजाइल पाइपलाइन।

6 अनुप्रयोग व उद्योग उपयोग‑मामले

6.1 डेटा‑एट‑रेस्ट एन्क्रिप्शन

पूर्ण‑डिस्क एन्क्रिप्शन (BitLocker, LUKS), पारदर्शी डेटाबेस एन्क्रिप्शन (TDE) गुम डिवाइस व स्नैपशॉट रिस्क घटाते हैं। XTS‑AES व एनवलप‑एन्क्रिप्शन प्रचलित हैं।

6.2 सुरक्षित मैसेजिंग (Signal, Matrix)

Signal (X3DH + Double‑Ratchet) अग्रगामी व पोस्ट‑कंप्रोमाइज़ सुरक्षा देता है। Matrix Olm/Megolm से समूह चैट E2EE बनाता है।

6.3 ब्लॉकचेन व स्मार्ट‑कॉण्ट्रैक्ट सुरक्षा

ट्रांज़ैक्शन प्रमाणीकरण हेतु डिजिटल सिग्नेचर; Sybil प्रतिरोध हेतु सहमति‑एल्गोरिद्म। रीएन्ट्रेन्सी आदि रोकने को औपचारिक सत्यापन आवश्यक।

6.4 प्रमाणीकरण टोकन (OAuth 2.1, WebAuthn, FIDO2)

OAuth/OIDC JWT या PASETO टोकन जारी करते हैं; WebAuthn हार्डवेयर‑आधारित सार्वजनिक कुंजी से पासवर्ड हटाता है।

6.5 सुरक्षित भुगतान व PCI DSS अनुपालन

PAN एंड‑टू‑एंड एन्क्रिप्शन, टोकनाइज़ेशन; PCI DSS 4.0 कुंजी प्रबंधन, स्कैन व सेगमेंटेशन माँगता है। 3‑D Secure 2.x, EMVCo टोकनाइज़ेशन CNP धोखाधड़ी घटाते हैं।

6.6 IoT फ़र्मवेयर सिग्निंग व अपडेट

सीमित डिवाइस Ed25519 सिग्नेचर से फ़र्मवेयर सत्यापित करते हैं। सिक्योर बूट, TLS PSK/DTLS एन्क्रिप्टेड अपडेट, हार्डवेयर रूट‑ऑफ़‑ट्रस्ट (TPM/TrustZone‑M) अनधिकृत फ़लैश रोकते हैं।

7 खतरा परिदृश्य व आक्रमण तकनीक

7.1 क्रिप्टोअनालिसिस श्रेणियाँ

• डिफरेंशियल व लीनियर — सिमेट्रिक सिफर में सांख्यिकीय पूर्वाग्रह शोषण।
• बीजगणितीय एवं Index Calculus — सार्वजनिक‑कुंजी प्रिमिटिव पर वार।
• साइड‑चैनल — समय, पावर, EM, ध्वनि से कुंजी निकासी।

7.2 कुंजी पुनर्प्राप्ति आक्रमण

ब्रूट‑फ़ोर्स, डिक्शनरी, रेनबो टेबल—उच्च एंट्रॉपी व धीमी KDF अनिवार्य।

7.3 प्रोटोकॉल कमियाँ

Downgrade (POODLE), Padding Oracle (Lucky13), मेमोरी बग (Heartbleed)।

7.4 Man‑in‑the‑Middle, Replay व सेशन हाइजैकिंग

कमज़ोर सर्ट वैरिफ़िकेशन, nonce हैंडलिंग या टोकन एक्सपायरी पर ट्रैफ़िक इंटरसेप्ट/रिप्ले। mTLS, समय‑आधारित टोकन व anti‑replay यंत्र रोकथाम करते हैं।

7.5 क्वांटम कंप्यूटिंग खतरा समय‑सीमा

NIST अनुसार 10‑15 वर्ष में प्रासंगिक क्वांटम कंप्यूटर संभव। हाइब्रिड मोड व PQC माइग्रेशन रोडमैप तुरन्त आवश्यक।

7.6 सप्लाई‑चेन व बैकडोर जोखिम

SolarWinds‑जैसी लाइब्रेरी, CI/CD पाइपलाइन या अंदरूनी दुश्मन दुर्भावनापूर्ण कोड/कमज़ोर कुंजी इंजेक्ट कर सकते हैं। SBOM व sigstore से श्रंखला सत्यापित करें।

8 इन‑डेप्थ सुरक्षा एवं सर्वोत्तम अभ्यास

8.1 क्रिप्टोग्राफ़िक चपलता

प्रिमिटिव को API के पीछे अलग करें ताकि सूट बदलते ही एप्लिकेशन लॉजिक न बदले।

8.2 सुरक्षित कोड दिशानिर्देश

Memory‑safe भाषाएँ (Rust, Go) या constant‑time लाइब्रेरी; असुरक्षित फ़ंक्शन प्रतिबंध व कम्पाइलर हार्डनिंग फ़्लैग्स।

8.3 CI/CD में सीक्रेट स्कैनिंग

git‑secrets, TruffleHog, DLP टूल्स से कुंजी/टोकन वाले commits रोकें। pre‑commit hooks लागू करें।

8.4 सर्टिफिकेट पिनिंग व ट्रांसपेरेंसी

मोबाइल ऐप में पिनिंग rogue CA निष्क्रिय करती है; Certificate Transparency लॉग से गलत निर्गम पकड़ें। STH मॉनिटर करें।

8.5 कुंजी रोटेशन ऑटोमेशन व क्रिप्टो‑हाइजीन

ACME से स्वत: नवीकरण, छोटे TTL, सक्रिय कुंजी/सर्ट इन्वेंटरी रखें।

8.6 पर्पल‑टीम क्रिप्टो मूल्यांकन

Red/Purple टीम अभ्यास टोकन लीक, डाउनग्रेड पथ व HSM एक्सट्रैक्शन की जांच करते हैं।

9 शासन, अनुपालन व नीति

9.1 वैश्विक क्रिप्टो निर्यात नियंत्रण

Wassenaar Arrangement व U.S. EAR मज़बूत क्रिप्टो के निर्यात सीमित करते, लक्षित बाज़ार हेतु लाइसेंस ज़रूरी।

9.2 GDPR, HIPAA, PCI DSS की क्रिप्टो धाराएँ

GDPR अनुच्छेद 32 "स्टेट‑ऑफ‑दी‑आर्ट" एन्क्रिप्शन माँगता; HIPAA §164.312(a)(2)(iv) डेटा‑एट‑रेスト सुरक्षा; PCI DSS PAN एन्क्रिप्शन व कुंजी प्रबंधन।

9.3 NIST 800-53 / ISO 27001 नियंत्रण मैपिंग

SC-13, SC-28 और IA-7 परिवार कुंजी-प्रबंधन, एन्क्रिप्शन और मल्टी-फैक्टर ऑथेंटिकेशन से संबंधित नियंत्रण निर्दिष्ट करते हैं। संगठन इन मानकों को अपनाकर ऑडिट-तैयार सुरक्षा आधाररेखा बना सकते हैं।

9.4 घटना खुलासा और कुंजी निरस्तीकरण प्रोटोकॉल

कुंजी से समझौते की स्थिति में त्वरित प्रमाण-पत्र निरस्तीकरण, प्रतिस्थापन, ग्राहक सूचना और कानूनी रिपोर्टिंग (जैसे GDPR का 72-घंटे नियम) हेतु तैयार टेम्पलेट रखें।

10 सुरक्षित सॉफ़्टवेयर एवं सिस्टम जीवन-चक्र

10.1 थ्रेट मॉडलिंग और डिज़ाइन-समीक्षा गेट्स

STRIDE/LINDDUN का उपयोग कर प्रारंभिक चरण में क्रिप्टो-गलतियों को पहचानें; आर्किटेक्चरल समीक्षाओं में RFC-आधारित चेकलिस्ट अनिवार्य करें।

10.2 क्रिप्टो लाइब्रेरी: तैयार लें या स्वयं लिखें

OpenSSL 3.x, BoringSSL, libsodium जैसी सुव्यवस्थित लाइब्रेरी वरीय करें। स्वयं लेखन की स्थिति में स्वतंत्र ऑडिट और औपचारिक प्रमाण सुनिश्चित करें।

10.3 स्थैतिक व गतिशील विश्लेषण द्वारा दुरुपयोग पहचान

Linters कमजोर एल्गोरिद्म बताते हैं; fuzzers (libFuzzer, AFL) पार्सर दोष पाते हैं; रन-टाइम टूल्स त्रुटि-पथों की जाँच करते हैं।

10.4 फील्ड-पैच प्रबंधन और प्रमाण-पत्र नवीनीकरण

डिजिटल-साक्षांकित OTA अपडेट, चरणबद्ध रोल-आउट, और प्रमाण-पत्र समाप्ति डैशबोर्ड उपयोग करें।

11 घटना-प्रतिक्रिया और डिजिटल फॉरेंसिक

11.1 लॉग में क्रिप्टो मिसकॉन्फ़िग का पता लगाना

SIEM नियम नल सिफ़र सूट, स्व-हस्ताक्षरित सर्ट तथा TLS डाउनग्रेड को चेतावनी दें।

11.2 मेमोरी अधिग्रहण और कुंजी निष्कर्षण

कोल्ड-बूट व DMA हमले RAM से कुंजियाँ निकालते हैं; TPM-सील FDE कुंजी और सस्पेंड पर लॉक-स्क्रीन सुरक्षा लागू करें।

11.3 एन्क्रिप्टेड साक्ष्य हेतु संरक्षित श्रंखला

हैश डाइजेस्ट, मीडिया-आईडी व एक्सेस-लॉग प्रलेखित करें। कुंजी सामग्री के लिए टेम्पर-इविडेंट सीलबंद लिफ़ाफे प्रयोग करें।

12 उभरते आयाम

12.1 पोस्ट-क्वांटम मानकीकरण रोडमैप

NIST PQC राउंड 4, ETSI TC CYBER और IETF cfrg ड्राफ़्ट पर नज़र रखें; TLS व SSH एकीकरण की तैयारी करें।

12.2 होमोमॉर्फिक एन्क्रिप्शन और गोपनीय विश्लेषण

CKKS, BFV, TFHE योजनाएँ एन्क्रिप्टेड डेटा पर गणना की अनुमति देती हैं—विनियमित डाटा-शेयरिंग के लिए आदर्श।

12.3 गोपनीय संगणना और विश्वसनीय निष्पादन परिवेश (TEE)

Intel SGX, AMD SEV-SNP व Arm CCA हार्डवेयर-संरक्षित एन्क्लेव में वर्कलोड अलग कर मल्टी-टेनेंसी सुरक्षित करते हैं।

12.4 AI-समर्थित क्रिप्टोविश्लेषण और AI-आधारित बचाव

न्यूरल नेटवर्क साइड-चैनल डिफरेंशियल विश्लेषण को तेज़ करते हैं; वहीं AI मॉडल असामान्य हैंडशेक व दुष्ट प्रमाण-पत्र पहचानते हैं।

12.5 विकेंद्रीकृत पहचान (DID) और सत्यापनीय क्रेडेंशियल

W3C DID विनिर्देश और VC डेटा मॉडल उपयोगकर्ता-नियंत्रित पहचान व क्रिप्टोग्राफ़िक प्रमाण सक्षम करते हैं।

13 अध्ययन पथ एवं संसाधन

13.1 अनिवार्य पाठ्य-पुस्तकें व RFC

• "Applied Cryptography" — ब्रूस श्नायर
• "Serious Cryptography" — जीन-फिलिप ओमासों
• RFC 8446 (TLS 1.3), RFC 7519 (JWT), और NIST SP 800-90A/B/C

13.2 कैप्चर-द-फ्लैग (CTF) अभ्यास ट्रैक

PicoCTF, CryptoHack व NCC Group के Cryptopals में क्लासिक सिफ़रों से लेकर लैटिस अटैक तक क्रमिक चुनौतियाँ हैं।

13.3 अध्ययन हेतु मुक्त-स्रोत लाइब्रेरी

libsodium (NaCl), Bouncy Castle, rust-crypto व Tink आधुनिक API डिज़ाइन व कॉन्स्टैंट-टाइम इम्प्लीमेंटेशन दिखाती हैं।

13.4 प्रमाणन रोडमैप (CISSP → OSCP → CCSP-Q)

सुरक्षा-व्यापक CISSP से शुरुआत करें, फिर पैनेट्रेशन-टेस्टिंग OSCP पाएं, क्लाउड-विशेषज्ञता CCSP करें, और भविष्य की पोस्ट-क्वांटम प्रमाणन (जैसे PQC-Professional) हेतु तैयारी रखें।