انفارمیشن سیکیورٹی

انفارمیشن سیکیورٹی کے 3 عناصر رازداری (機密性)، سالمیت (完全性) اور دستیابی (可用性) ہیں، جنہیں CIA تثلیث کہا جاتا ہے۔ اصلیت (真正性)، جواب دہی (責任追跡性)، اعتمادیت (信頼性) اور عدم انکار (否認防止) وہ عناصر ہیں جن پر ان 3 کے علاوہ غور کیا جاتا ہے، اور یہ خود تثلیث کا حصہ نہیں ہیں۔

سالمیت (完全性) وہ خصوصیت ہے جس کے تحت معلومات چھیڑ چھاڑ (改ざん)، مٹائے جانے اور تباہی سے محفوظ رہ کر درست اور مکمل حالت میں رہتی ہیں۔ صرف مجاز افراد تک محدود رسائی رازداری ہے، ضرورت کے وقت استعمال کر سکنا دستیابی ہے، اور اصلی ہونا اصلیت ہے؛ ان میں سے کوئی بھی سالمیت نہیں۔

دستیابی (可用性) ضرورت کے وقت سسٹم کو استعمال کر سکنے کی خصوصیت ہے، اور اسے دوہرا بنانے (二重化)، فاضل بنانے (冗長化) اور بیک اپ جیسے خرابی برداشت کرنے والے ڈیزائن (耐障害設計) سے بڑھایا جاتا ہے۔ انکرپشن رازداری کے لیے، ہیش ویلیوز کے ذریعے چھیڑ چھاڑ کی نشاندہی سالمیت کے لیے، اور ڈیجیٹل دستخط اصلیت اور عدم انکار کے لیے ہیں؛ یہ دستیابی کو براہِ راست نہیں بڑھاتے۔

عدم انکار (否認防止) وہ خصوصیت ہے جس کے تحت بھیجنے یا منظوری دینے جیسا عمل کرنے والا شخص بعد میں اس کے کرنے سے انکار نہیں کر سکتا، اور یہ ڈیجیٹل دستخط (デジタル署名) وغیرہ سے حاصل ہوتی ہے۔ مستقل رویہ اعتمادیت ہے، رسائی کا سراغ لگانا جواب دہی ہے، اور صرف مجاز افراد تک محدود استعمال رازداری کی وضاحت ہے۔

انشورنس لینے سے، رسک کے حقیقت بننے کی صورت میں نقصانات کا بوجھ ایک تیسرے فریق — یعنی انشورنس کمپنی — پر منتقل ہو جاتا ہے، اس لیے یہ رسک کی منتقلی (リスクの移転) کے زمرے میں آتا ہے۔ اجتناب کا مطلب رسک کا سبب بننے والی سرگرمی کو ہی روک دینا ہے، کمی کا مطلب اقدامات کے ذریعے امکان یا اثر کو کم کرنا ہے، اور برقرار رکھنا (قبولیت) کا مطلب اقدامات کے بغیر رسک کو قبول کر لینا ہے۔

رینسم ویئر (ランサムウェア) ایسا میل ویئر ہے جو مثلاً ڈیٹا کو انکرپٹ کر کے سسٹمز کو ناقابلِ استعمال بنا دیتا ہے اور بحالی کے بدلے تاوان مانگتا ہے؛ طبی اداروں میں بھی ایسے واقعات رپورٹ ہوئے ہیں جن میں الیکٹرانک میڈیکل ریکارڈز (電子カルテ) بند ہو گئے۔ کی اسٹروکس چرانا کی لاگر (キーロガー) ہے، بیک ڈور نصب کرنا بیک ڈور (バックドア) ہے، اور میکرو کا غلط استعمال میکرو وائرس ہے۔

ٹارگٹڈ حملہ (標的型攻撃) کسی مخصوص ادارے یا فرد کو نشانہ بناتا ہے، اور کاروباری شراکت داروں کی خط و کتابت کا روپ دھارنے والی چالاکی سے تیار کردہ ای میل کے ذریعے اٹیچمنٹس کھلوا کر ہدف کو میل ویئر سے متاثر کرتا اور اس میں داخل ہوتا ہے۔ غیر متعین وصول کنندگان کو بڑی تعداد میں بھیجنا اسپام ہے، بہت سی ہائی جیک شدہ مشینوں سے بیک وقت حملہ DDoS کی وضاحت ہے، اور بلا امتیاز متاثر کرنا مخصوص متاثرین کو نشانہ بنانے والی ٹارگٹڈ نوعیت کے منافی ہے۔

فشنگ (フィッシング) ایک چال ہے جس میں حقیقی مالیاتی اداروں یا سروسز کا روپ دھارنے والی ای میل کے ذریعے متاثرین کو جعلی سائٹس کی طرف لے جا کر ان سے IDs، پاس ورڈز اور کارڈ نمبرز درج کروائے اور یوں چرائے جاتے ہیں۔ بھاری ٹریفک کے ذریعے بوجھ ڈالنا DoS حملہ ہے، پیکٹس کو چھپ کر سننا اسنفنگ (スニッフィング) ہے، اور کمزوریوں کے ذریعے اختیارات پر قبضہ غیر مجاز رسائی (不正アクセス) کی وضاحت ہے۔

DDoS (منتشر سروس سے انکار، 分散型サービス妨害) حملہ DoS سے اس لحاظ سے مختلف ہے کہ یہ بوٹ سے متاثرہ بہت سی مشینوں کو بطور زینہ (踏み台) استعمال کرتا ہے اور منتشر ذرائع سے بیک وقت بھاری ٹریفک بھیجتا ہے، جس کی وجہ سے اسے روکنا مشکل ہوتا ہے۔ تاوان کے مطالبے کے ساتھ انکرپشن رینسم ویئر کی وضاحت ہے، جعلی سائٹس کی طرف راغب کرنا فشنگ کی وضاحت ہے، اور 1 مشین سے اندر گھسنا DDoS کی خصوصیت نہیں۔

3-2-1 اصول کا مطلب ہے ڈیٹا کی 3 کاپیاں (اصل اور مزید 2) رکھنا، انہیں 2 مختلف اقسام کے میڈیا (媒体) پر محفوظ کرنا، اور ان میں سے 1 کو سائٹ سے باہر (オフサイト)، مثلاً کسی دور دراز مقام پر، رکھنا۔ نیٹ ورک سے منقطع ایک کاپی رکھنے سے اس صورت سے بچاؤ ہوتا ہے کہ رینسم ویئر بیک اپس کو بھی انکرپٹ کر دے۔ دیگر آپشنز بیک اپ کے وقفوں یا بجلی کی ترتیب کی بات کرتے ہیں اور یہ اصول نہیں ہیں۔

سیمیٹرک انکرپشن (共通鍵暗号方式) انکرپشن اور ڈی کرپشن کے لیے ایک ہی کی استعمال کرتی ہے، اس لیے کی کو مواصلاتی فریق کے ساتھ محفوظ طریقے سے بانٹنا ضروری ہے (کی کی ترسیل کا مسئلہ، 鍵配送問題)۔ پبلک/پرائیویٹ کی جوڑی کا استعمال پبلک کی انکرپشن (公開鍵暗号方式) ہے، اور پبلک کی سرٹیفکیٹس PKI سے تعلق رکھتے ہیں۔ درحقیقت دونوں میں سے سیمیٹرک انکرپشن زیادہ تیز ہے، اس لیے سست ہونے کا دعویٰ الٹا ہے۔

RSA پبلک کی انکرپشن (公開鍵暗号方式) کا ایک نمائندہ الگورتھم ہے جو بڑے اعداد کے اجزائے ضربی (素因数分解) نکالنے کی دشواری پر مبنی ہے، اور انکرپشن اور ڈیجیٹل دستخط دونوں کے لیے استعمال ہوتا ہے۔ AES، DES اور 3DES سب سیمیٹرک انکرپشن کے الگورتھم ہیں جو انکرپشن اور ڈی کرپشن کے لیے ایک ہی کی استعمال کرتے ہیں۔

جب مقصد رازداری ہو تو دستاویز کو وصول کنندہ (B) کی پبلک کی (公開鍵) سے انکرپٹ کیا جاتا ہے تاکہ صرف وصول کنندہ ہی اسے ڈی کرپٹ کر سکے۔ صرف B، جس کے پاس متعلقہ پرائیویٹ کی (秘密鍵) ہے، ڈی کرپٹ کر سکتا ہے۔ A کی پرائیویٹ کی سے پروسیسنگ ڈیجیٹل دستخط کی صورت ہے، اور B کی پرائیویٹ کی ایسی کی ہے جو B کے سوا کسی کے پاس نہیں ہونی چاہیے، اس لیے اسے انکرپشن کے لیے استعمال نہیں کیا جا سکتا۔

سائفر ٹیکسٹ (暗号文) وصول کنندہ B کی پبلک کی سے انکرپٹ کیا گیا تھا، اس لیے ڈی کرپشن کے لیے اس کی جوڑی والی کی — یعنی B کی پرائیویٹ کی (秘密鍵) — استعمال ہوتی ہے۔ چونکہ پرائیویٹ کی صرف B کے پاس ہوتی ہے، اس لیے کوئی اور ڈی کرپٹ نہیں کر سکتا۔ بھیجنے والے کی پبلک کی ڈیجیٹل دستخط کی تصدیق کے لیے استعمال ہوتی ہے، اور جو چیز B کی پبلک کی سے انکرپٹ کی گئی ہو اسے B کی پبلک کی سے ڈی کرپٹ نہیں کیا جا سکتا۔

ڈیجیٹل دستخط (デジタル署名) دستاویز کی ہیش ویلیو (ハッシュ値) کو بھیجنے والے کی پرائیویٹ کی (秘密鍵) سے پروسیس کر کے بنایا جاتا ہے، اور وصول کنندہ بھیجنے والے کی پبلک کی سے اس کی تصدیق کرتا ہے۔ چونکہ پرائیویٹ کی صرف اسی شخص کے پاس ہوتی ہے، اس لیے کامیاب تصدیق سے یہ ثابت ہو جاتا ہے کہ اسی نے اسے بنایا۔ وصول کنندہ کی پبلک کی وہ کی ہے جو رازداری یقینی بنانے کے لیے انکرپشن میں استعمال ہوتی ہے — دھیان رہے کہ اس کی سمت دستخط کے الٹ ہے۔

ڈیجیٹل دستخط ہیش کے موازنے کے ذریعے چھیڑ چھاڑ کی نشاندہی (改ざんの検出) (سالمیت) اور بنانے والے کی تصدیق — کیونکہ اسے صرف بھیجنے والے کی پرائیویٹ کی ہی بنا سکتی تھی — (اصلیت اور عدم انکار، 否認防止) حاصل کرتا ہے۔ یہ خود دستاویز کو انکرپٹ نہیں کرتا، اس لیے چھپ کر سننے کی روک تھام (رازداری) کی ضمانت نہیں دیتا، اور اس کا دستیابی یا مواصلات کی رفتار سے کوئی تعلق نہیں۔

ہیش فنکشن (ハッシュ関数) ایک یک طرفہ فنکشن ہے جو کسی بھی لمبائی کے ڈیٹا سے مقررہ لمبائی کا میسج ڈائجسٹ (メッセージダイジェスト) (ہیش ویلیو) بناتا ہے، اور ہیش سے اصل ڈیٹا واپس حاصل کرنا عملاً ناممکن ہے۔ ایک ہی اندراج سے ہمیشہ ایک ہی ہیش ویلیو حاصل ہوتی ہے (اسی وجہ سے یہ چھیڑ چھاڑ کی نشاندہی کے لیے کارآمد ہے)، اور ہیش کی لمبائی ہر الگورتھم کے لیے مقرر ہوتی ہے، ڈیٹا کی لمبائی کے تناسب سے نہیں۔

ہائبرڈ طریقہ (ハイブリッド方式) دونوں طریقوں کی خوبیوں کو یکجا کرتا ہے: ڈیٹا کا بڑا حصہ تیز رفتار سیمیٹرک انکرپشن سے انکرپٹ کیا جاتا ہے، اور پبلک کی انکرپشن صرف سیمیٹرک کی کو بانٹنے کے لیے استعمال ہوتی ہے، جسے کی کی ترسیل کا مسئلہ (鍵配送問題) درپیش ہوتا ہے۔ الٹا مجموعہ بڑے ڈیٹا کو سست پبلک کی انکرپشن سے پروسیس کرے گا، جو غیر معقول ہے۔ دوہری سیمیٹرک انکرپشن اور کی جوڑیوں کا دوبارہ استعمال ہائبرڈ طریقے کی وضاحت نہیں۔

سرٹیفکیٹ اتھارٹی (認証局، CA) درخواست دہندہ کی شناخت کی تصدیق کرتی ہے، پبلک کی اور اس کے مالک کے باہمی تعلق کی ضمانت دینے والا پبلک کی سرٹیفکیٹ (公開鍵証明書) (ڈیجیٹل سرٹیفکیٹ، 電子証明書) جاری کرتی ہے، اور منسوخی (失効) کا انتظام کرتی ہے۔ اس سے پبلک کی کے ذریعے روپ دھارنے کی روک تھام ہوتی ہے۔ ڈیٹا کی انکرپشن صارفین کرتے ہیں، پاس ورڈز کا مرکزی انتظام تصدیقی سرور کرتا ہے، اور دخل اندازی کا پتا لگانا اور اسے روکنا IDS/IPS کا کام ہے۔

HPKI صحت، طب اور فلاح و بہبود کے شعبوں (保健医療福祉分野) کا پبلک کی انفراسٹرکچر (公開鍵基盤) ہے؛ یہ ڈاکٹر اور فارماسسٹ جیسی قومی اسناد (国家資格) اور ادارے کے منتظم کے کرداروں کو ڈیجیٹل سرٹیفکیٹس کے ذریعے ثابت کر سکتا ہے، اور ڈیجیٹل دستخطوں کے لیے استعمال ہوتا ہے۔ سرکاری PKI دراصل GPKI ہے، SSL سرور سرٹیفکیٹس ویب سرورز کی تصدیق کا ایک الگ نظام ہیں، اور وائرلیس انکرپشن کے طریقے WPA2 وغیرہ ہیں — ان میں سے کوئی بھی HPKI کی وضاحت نہیں۔

HTTPS وہ پروٹوکول ہے جو HTTP ویب مواصلت کو SSL/TLS سے انکرپٹ کر کے محفوظ بناتا ہے؛ یہ سرور سرٹیفکیٹ (サーバ証明書) کے ذریعے مواصلاتی فریق کی تصدیق کرتا ہے اور مواد کو انکرپٹ کرتا ہے۔ SMTP ای میل بھیجنے کے لیے، DHCP خودکار IP ایڈریس تفویض کرنے کے لیے، اور FTP فائل منتقلی کے لیے ہے؛ ان میں سے کسی کا مقصد ویب مواصلت کا تحفظ نہیں۔

ملٹی فیکٹر تصدیق (多要素認証) علم (پاس ورڈز)، ملکیت (IC کارڈز وغیرہ) اور بائیو میٹرکس (انگلیوں کے نشانات وغیرہ) میں سے 2 یا زیادہ مختلف عوامل کو یکجا کرتی ہے؛ IC کارڈ (ملکیت، 所持) کو پاس ورڈ (علم، 知識) کے ساتھ ملانا اس کے زمرے میں آتا ہے۔ 2 پاس ورڈز یا 2 خفیہ سوالات استعمال کرنا ایک ہی علم والے عامل کو دہرانا ہے اور ملٹی فیکٹر نہیں۔

بائیو میٹرک تصدیق (生体認証) انگلیوں کے نشانات، رگوں اور آنکھ کی پتلی (虹彩) جیسی جسمانی خصوصیات استعمال کرتی ہے، اس لیے انہیں بھولنے یا کھونے کا خطرہ نہیں؛ دوسری طرف اصل شخص کو غلطی سے مسترد کرنے (本人拒否) اور کسی دوسرے کو غلطی سے قبول کرنے (他人受入) کی غلطیاں کبھی مکمل طور پر ختم نہیں کی جا سکتیں۔ جسمانی خصوصیات پاس ورڈز کی طرح دوبارہ جاری نہیں کی جا سکتیں اور دوسروں کو دی بھی نہیں جا سکتیں، اس لیے دیگر آپشنز غلط ہیں۔

ون ٹائم پاس ورڈ تصدیق (ワンタイムパスワード認証) صرف ایک بار کارآمد قابلِ تلف پاس ورڈز استعمال کرتی ہے، اس لیے اگر مواصلت کو چھپ کر سن بھی لیا جائے تو اسی قدر سے دوبارہ لاگ اِن نہیں کیا جا سکتا۔ چیلنج/رسپانس تصدیق (チャレンジ/レスポンス認証) کا بھی ایسا ہی اثر ہوتا ہے۔ مقررہ پاس ورڈز کو سادہ متن میں بھیجنا یا صرف ID سے تصدیق کرنا چھپ کر سننے اور اندازہ لگانے کے مقابلے میں کمزور ہے، اور کارڈ پر سادہ متن والا پاس ورڈ افشا ہونے پر براہِ راست غلط استعمال ہو سکتا ہے۔

سنگل سائن آن (シングルサインオン) ایسا نظام ہے جس میں ایک بار کی تصدیق سے مزید تصدیق کے بغیر متعدد منسلک سسٹمز استعمال کیے جا سکتے ہیں، جس سے سہولت بڑھتی ہے اور پاس ورڈ کے انتظام کا بوجھ کم ہوتا ہے۔ دوسری طرف اگر تصدیقی معلومات افشا ہو جائیں تو اثر وسیع پیمانے پر پھیلتا ہے، اس لیے تصدیقی پلیٹ فارم (認証基盤) کا تحفظ نہایت اہم ہے۔ بیک وقت لاگ اِن کی حد، پاس ورڈ کی وقتاً فوقتاً تبدیلی اور ٹرمینل کا اشتراک SSO نہیں ہیں۔

رسائی کے کنٹرول (アクセス制御) کی بنیاد کم سے کم اختیار کا اصول (最小権限) — یعنی صرف فرائض کے لیے درکار دائرے میں حقوق دینا — اور رسائی کے ریکارڈز کو آڈٹ لاگز (監査ログ) کے طور پر محفوظ رکھنا ہے۔ لاگز بدعنوانی کی روک تھام اور بعد میں اس کا سراغ لگانے کے لیے ناگزیر ہیں۔ سب کو ایڈمنسٹریٹر کے اختیارات دینا یا ریٹائر ہونے والوں کے اکاؤنٹس فعال چھوڑ دینا غیر مجاز رسائی کو جنم دیتا ہے، اور آڈٹ لاگز کے بغیر کام چلانا جواب دہی کو ختم کر دیتا ہے۔

عوام کے لیے کھلا سرور DMZ میں رکھا جاتا ہے، جو فائر والز (ファイアウォール) کے ذریعے باہر اور اندر دونوں سے الگ ایک بفر زون (緩衝地帯) ہے، تاکہ اگر عوامی سرور پر حملہ ہو اور اس میں دخل اندازی ہو جائے تب بھی حملہ آور براہِ راست اندرونی نیٹ ورک تک نہ پہنچ سکے۔ اسے اندرونی نیٹ ورک یا ٹرمینل سیگمنٹ پر رکھنے سے دخل اندازی کی صورت میں نقصان اندر تک پھیلتا ہے، اور فائر وال کے بغیر براہِ راست کنکشن بالکل غیر محفوظ ہے۔

IDS (侵入検知システム) دخل اندازی کی کوششوں کی علامت والی ٹریفک کا پتا لگا کر ایڈمنسٹریٹر کو اطلاع دیتا ہے، جبکہ IPS (侵入防止システム) اس سے آگے بڑھ کر متعلقہ ٹریفک کو روکنے جیسی دفاعی کارروائی خودکار طور پر کرتا ہے۔ کرداروں کو الٹ بتانے والا آپشن غلط ہے، اور یہ فرق وائرڈ اور وائرلیس کا بھی نہیں۔ وائرس ہٹانا اینٹی وائرس سافٹ ویئر کا اور انکرپشن کرپٹوگرافک ٹیکنالوجی کا کام ہے؛ ان میں سے کوئی بھی IDS/IPS کا فنکشن نہیں۔

VPN ایسی ٹیکنالوجی ہے جو انکرپشن اور تصدیق کے ذریعے عوامی نیٹ ورک (公衆網) پر ایک ورچوئل لیزڈ لائن (仮想的な専用線) بناتی ہے؛ اس کی اقسام میں IPsec-VPN اور SSL-VPN شامل ہیں، اور یہ مختلف مقامات کے درمیان رابطوں اور ریموٹ رسائی کے تحفظ کے لیے استعمال ہوتی ہے۔ DNS ڈومین ناموں کو IP ایڈریسز سے ملاتا ہے، NTP وقت کو ہم آہنگ کرتا ہے، اور DHCP خودکار طور پر IP ایڈریس تفویض کرتا ہے؛ ان میں سے کوئی بھی مواصلاتی راستے کا تحفظ نہیں کرتا۔

سیکیورٹی سوراخوں (セキュリティホール) پر حملوں کے خلاف براہِ راست جوابی اقدام یہ ہے کہ فراہم کنندہ کی طرف سے جاری کردہ اصلاحی پروگرام (سیکیورٹی پیچز، セキュリティパッチ) فوری طور پر لگا کر کمزوری (脆弱性) کو ہی ختم کر دیا جائے۔ بہت سے حملے ایسی معلوم کمزوریوں سے فائدہ اٹھاتے ہیں جن پر پیچ نہیں لگایا گیا۔ بیک اپس نقصان کے بعد بحالی کے لیے ہیں، مضبوط پاس ورڈز تصدیق سے متعلق ہیں، اور پرائیویسی فلٹرز ایک طبعی اقدام ہیں؛ ان میں سے کوئی بھی کمزوری کو دور نہیں کرتا۔