आज चुराया गया डेटा कल खुल सकता है: क्वांटम कंप्यूटरों से पहले तैयारी क्यों ज़रूरी है।

आसान शब्दों में

आज चुराई गई सुरक्षित जानकारी को कोई हमलावर अपने पास रख सकता है और भविष्य में उसे पढ़ने की कोशिश कर सकता है। इसीलिए सरकारी और सैन्य संस्थानों को पहले यह पता लगाना होगा कि उनके कौन-से उपकरण और काम सुरक्षा के इन तरीकों पर निर्भर हैं। फिर उन्हें धीरे-धीरे ऐसे नए तरीके अपनाने होंगे जिनसे जरूरी काम रुके नहीं। कुछ अहम प्रणालियों के लिए तय समय-सीमा 2030 के आखिर तक है।

खतरा क्षमता हासिल होने से पहले ही शुरू हो सकता है

आज बहुत-से संदेशों और डिजिटल फाइलों की सुरक्षा गणित पर आधारित ऐसे तरीकों से होती है, जिनके कारण सही कुंजी के बिना उन्हें पढ़ना बेहद मुश्किल है। लेकिन क्वांटम कंप्यूटरों में हो रही तरक्की से यह आशंका पैदा हुई है कि भविष्य में बहुत शक्तिशाली कंप्यूटर आज इस्तेमाल होने वाले कुछ सुरक्षा तरीकों को तोड़ सकेंगे। इसका यह मतलब नहीं है कि अभी सारी सुरक्षित जानकारी खुली पड़ी है। न ही यह ठीक-ठीक पता है कि विरोधी पक्षों के पास इस समय कितनी क्षमता है। बदलाव कब और किस हद तक आएगा, यह अनिश्चित है; इसलिए पहले से तैयारी करना अहम है।

होनोलूलू में टेकनेट इन्फो-पैसिफिक सम्मेलन के दौरान जीडीआईटी में साइबर सुरक्षा विभाग के उपाध्यक्ष मैट मैकफैडेन ने एक ऐसे तरीके के बारे में बताया जिसे आम तौर पर «अभी जमा करो, बाद में खोलो» कहा जाता है। इस स्थिति में हमलावर को चुराई गई जानकारी उसी समय पढ़ने की जरूरत नहीं होती। वह उसकी सुरक्षित प्रतियां जमा कर सकता है और अपने औजारों के बेहतर होने की प्रतीक्षा कर सकता है। संवेदनशील जानकारी कई सालों तक अहम बनी रह सकती है, इसलिए उसे देर से पढ़ पाना भी उस संस्था के लिए समस्या खत्म नहीं करता जिसकी जानकारी चोरी हुई थी।

किसी जानकारी की संवेदनशीलता इस बात पर निर्भर करती है कि उसे कितने समय तक उपयोगी या गोपनीय बने रहना चाहिए। जो जानकारी जल्दी ही अपनी अहमियत खो देती है, उससे वैसा खतरा नहीं होता जैसा उन दस्तावेज़ों से हो सकता है जिन्हें लंबे समय तक छिपाकर रखना जरूरी है। इसलिए किसी संस्था के लिए केवल यह जानना काफी नहीं कि उसके सिस्टम आज सुरक्षित हैं या नहीं। उसे यह भी सोचना होगा कि उसकी जानकारी कितने समय तक सुरक्षित रहनी चाहिए और क्या कोई विरोधी सुरक्षित प्रतियां अपने पास रखकर भविष्य में उन्हें पढ़ने की कोशिश कर सकता है।

मैकफैडेन ने यह भी कहा कि इस क्षेत्र में अमेरिका के विरोधी कितनी तरक्की कर चुके हैं, इसकी पूरी जानकारी उपलब्ध नहीं है। यह अनिश्चितता इस बात का सबूत नहीं है कि हर विरोधी के पास अभी ऐसा क्वांटम कंप्यूटर है जो मौजूदा सुरक्षा तरीकों को तोड़ सकता है। फिर भी, इससे संस्थाओं के सामने बड़े नतीजे वाले एक संभावित खतरे की तैयारी करने की चुनौती आती है। पूरी तरह पक्की जानकारी मिलने तक इंतजार करने पर उन जटिल प्रणालियों को बदलने के लिए समय कम पड़ सकता है जिन पर संचार, सेवाएं और सैन्य काम निर्भर करते हैं।

क्वांटम हमलों से बचाने वाला नया एन्क्रिप्शन क्या है

पोस्ट-क्वांटम एन्क्रिप्शन उन गणितीय तरीकों का नाम है जिन्हें ऐसे हमलों से नेटवर्क और प्रणालियों की रक्षा के लिए बनाया जा रहा है जिनमें क्वांटम कंप्यूटर इस्तेमाल हो सकते हैं। इसका मकसद यह नहीं है कि हर संस्था अपना काम क्वांटम कंप्यूटर पर चलाए। मकसद उन सुरक्षा तरीकों को बेहतर करना है जिन पर मौजूदा प्रणालियां निर्भर हैं, ताकि गणित की समस्याएं हल करने का नया तरीका उन्हें असुरक्षित न बना दे।

यह बदलाव किसी एक नए सॉफ्टवेयर को एक बार लगा देने भर से पूरा नहीं होगा। डिजिटल ढांचे के कई हिस्सों में एन्क्रिप्शन का इस्तेमाल होता है। कहीं यह दो पक्षों को सुरक्षित रूप से जानकारी भेजने के लिए कुंजियां बनाने में काम आता है, तो कहीं डिजिटल हस्ताक्षरों से यह जांचने में मदद मिलती है कि कोई फाइल या संदेश कहां से आया है और उसमें बदलाव तो नहीं किया गया। अलग-अलग हिस्सों को अलग-अलग तरीकों की जरूरत पड़ सकती है। इसलिए पहले यह जानना जरूरी है कि एन्क्रिप्शन कहां-कहां इस्तेमाल हो रहा है, तभी तय किया जा सकता है कि कौन-सा बदलाव पहले किया जाए।

अमेरिकी सरकार ने 22 जून को जारी एक कार्यकारी आदेश में इस काम के लिए संघीय समय-सीमाएं तय कीं। आदेश के मुताबिक, ज्यादा अहमियत वाली संपत्तियों और बड़े असर वाली प्रणालियों में कुंजियां बनाने के लिए पोस्ट-क्वांटम एन्क्रिप्शन का इस्तेमाल 31 दिसंबर 2030 तक शुरू हो जाना चाहिए। डिजिटल हस्ताक्षरों में इसका इस्तेमाल शुरू करने की समय-सीमा 2031 है। दोनों तारीखों में फर्क बताता है कि एन्क्रिप्शन के हर इस्तेमाल को एक ही समय पर बदलने की योजना नहीं है।

ये तारीखें सिर्फ तकनीकी कैलेंडर पर निशान नहीं हैं। इनका मतलब है कि संबंधित संस्थाओं को तय समय से काफी पहले काम शुरू करना होगा। जांच, योजना बनाना और आपूर्तिकर्ताओं के साथ तालमेल—इन सबमें कई चरण लग सकते हैं। कुछ प्रणालियों को बदलना आसान नहीं होगा और बदलाव से पहले उनकी जांच भी जरूरी हो सकती है। अगर किसी अहम काम में इस्तेमाल हो रहे एन्क्रिप्शन का पता देर से चलता है, तो समय-सीमा से पहले समस्या सुलझाने की गुंजाइश घट जाती है।

पहले पूरी सूची बनाइए: जिस चीज़ का पता न हो, उसे बदला नहीं जा सकता

शुरुआती बड़ी मुश्किल एक आसान-से दिखने वाले सवाल से जुड़ी है: आखिर किस चीज की रक्षा करनी है और किसे बदलना है? हो सकता है कि किसी संस्था को अपने सभी ऐप, उपकरणों और नेटवर्कों की पूरी जानकारी न हो, या यह न मालूम हो कि वे किन डिजिटल प्रमाणपत्रों पर निर्भर हैं। मैकफैडेन ने आगाह किया कि अपनी संपत्तियों की जानकारी के बिना बदलाव का काम करना कठिन है। इसीलिए उन्होंने पूरी सूची तैयार करने को बुनियादी कदम माना—ऐसा प्रशासनिक काम नहीं जिसे परियोजना के आखिरी हिस्से तक टाला जा सके।

इस सूची में तकनीकी ढांचे के वे सभी हिस्से शामिल होने चाहिए जो इस काम से जुड़े हैं। इसमें यह दर्ज होना चाहिए कि एन्क्रिप्शन कहां मौजूद है, किस तरह इस्तेमाल होता है और कौन-से प्रमाणपत्र ऐप, उपकरणों और नेटवर्कों के सही ढंग से काम करने के लिए जरूरी हैं। ऐसी सूची केवल संपत्तियों की जानकारी नहीं देती; वह उनके बीच के संबंध भी दिखाती है। किसी एक ऐप को बदलने के लिए शायद किसी उपकरण, नेटवर्क या बाहरी सेवा में बदलाव करना पड़े। इसलिए किसी हिस्से को बाकी व्यवस्था से अलग करके देखना काफी नहीं है।

संपत्तियों की जानकारी से यह भी तय करने में मदद मिलती है कि पहले किस काम को प्राथमिकता दी जाए। संस्था को यह फर्क समझना पड़ सकता है कि कौन-सी प्रणाली बहुत अहम है और किस पर समस्या का असर कम होगा। उसे यह भी देखना होगा कि कौन-सी जानकारी लंबे समय तक गोपनीय रहनी चाहिए और किसकी अहमियत जल्दी बदल जाती है। इससे उन जगहों पर काम को प्राथमिकता दी जा सकती है जहां रुकावट या जानकारी का खुलासा अधिक गंभीर नतीजे ला सकता है। लेकिन प्राथमिकता तय करने से पूरी तस्वीर देखने की जरूरत खत्म नहीं होती। कभी-कभी किसी बड़ी प्रणाली का छोटा-सा हिस्सा भी बहुत अहम कड़ी होता है, और वह तभी नजर आता है जब प्रणालियों के आपसी संबंधों की जांच की जाए।

जल्दी सामने आने वाली एक और चुनौती बाहरी आपूर्तिकर्ताओं पर निर्भरता है। किसी ऐप या उपकरण में ऐसे हिस्से हो सकते हैं जिन पर संस्था का सीधा नियंत्रण न हो। बदलाव के लिए उसे बनाने वाली कंपनी से जानकारी या नया सॉफ्टवेयर लेना पड़ सकता है। इसलिए मैकफैडेन ने प्रणालियों के जिम्मेदार लोगों, बाहरी आपूर्तिकर्ताओं और पूरी आपूर्ति व्यवस्था के बीच सहयोग की जरूरत बताई। उन्होंने ऐसी निगरानी टीम बनाने की भी बात कही जो नियमों के मुताबिक काम आगे बढ़ाए और बदलावों की तैयारी पर नजर रखे।

कामकाज रोके बिना सुरक्षा के तरीके बदलना

सिर्फ नया गणितीय तरीका चुन लेना काफी नहीं, खासकर तब जब बाद में उसे बदलना बहुत मुश्किल हो। इसी वजह से एन्क्रिप्शन में लचीलापन जरूरी माना जाता है। इसका मतलब है कि तकनीकी ढांचा ऐसा हो कि जरूरत पड़ने पर एक सुरक्षा तरीके को दूसरे से बदला जा सके और प्रणालियां अपना काम करती रहें। अमेरिकी वायुसेना की प्रशांत कमान में साइबर सुरक्षा और लड़ाकू संचार संचालन की निदेशक कर्नल तासिका डेविस ने इस बदलाव को एक अतिरिक्त खतरा बताया, जिसे टिकाऊ तकनीकी ढांचा बनाते समय ध्यान में रखना चाहिए।

लचीलेपन का मतलब यह नहीं कि सुरक्षा के तरीके बिना सोचे-समझे बदलते रहें। इसका आशय है कि संस्था किसी एक ऐसे विकल्प पर पूरी तरह निर्भर न हो जाए जिसे बाद में हटाना कठिन हो। यदि किसी गणितीय तरीके या उसके हिस्से को बदलने की जरूरत पड़े, तो संस्था ऐसा व्यवस्थित रूप से कर सके—बिना संपर्क खोए और बिना प्रणाली की काम करने की क्षमता घटाए। उन जगहों पर यह बात खास तौर पर महत्वपूर्ण है जहां लंबे समय तक काम रोकना या अचानक प्रदर्शन कम होना मंजूर नहीं किया जा सकता।

ऐसा लचीलापन पाने के लिए पूरे तकनीकी ढांचे को समझना जरूरी है; केवल किसी एक उपकरण या ऐप को देखना काफी नहीं। प्रणाली के हिस्से अलग-अलग नेटवर्कों, सेवाओं और संगठनों में फैले हो सकते हैं। किसी एक हिस्से में बदलाव का असर दूसरे हिस्सों पर भी पड़ सकता है। इसलिए डेविस ने खतरे को पूरी व्यवस्था के नजरिए से जांचने और एक आपस में जुड़ी योजना के तहत उससे निपटने पर जोर दिया। इससे किसी एक चीज को अपडेट करने के कारण उस पर निर्भर दूसरी चीज के काम में बाधा आने का जोखिम घटता है।

जब बदलने वाली प्रणालियां लंबे समय तक एक ही जगह पर नहीं रहतीं, तो चुनौती और बढ़ जाती है। किसी चलते-फिरते या अलग-अलग जगहों पर फैले ढांचे में सुरक्षा के तरीके बदलने की योजना बनाना, स्थिर और एक ही जगह पर मौजूद व्यवस्था से अलग होता है। बदलाव के दौरान संपर्क बनाए रखने और प्रणाली का काम जारी रखने की जरूरत को भी ध्यान में रखना पड़ता है। इसका कोई फटाफट हल नहीं है, लेकिन यही वजह है कि तैयारी को केवल सॉफ्टवेयर खरीदने या अंतिम तारीख घोषित करने तक सीमित नहीं किया जा सकता।

यह काम सिर्फ साइबर सुरक्षा टीम का नहीं

एन्क्रिप्शन का इस्तेमाल कई संगठनों के ऐप, उपकरणों और नेटवर्कों में हो सकता है, इसलिए बदलाव की जिम्मेदारी केवल साइबर सुरक्षा टीम की नहीं है। प्रणालियों के जिम्मेदार लोगों को यह समझना होगा कि उनका काम किन चीजों पर निर्भर है। आपूर्तिकर्ताओं को जरूरी जानकारी और अपडेट देने होंगे, और आपूर्ति व्यवस्था को भी योजना का हिस्सा बनाना होगा। इस सहयोग के बिना संस्था ऐसे किसी हिस्से पर अटक सकती है जिसकी जानकारी उसके पास नहीं है या जिसे वह अकेले बदल नहीं सकती।

निगरानी और तालमेल के लिए बनाई गई टीम जिम्मेदारियां तय कर सकती है, संपत्तियों की सूची बनाने के काम पर नजर रख सकती है और प्राथमिकताओं को तय समय-सीमाओं से जोड़ सकती है। वह यह भी सुनिश्चित कर सकती है कि बदलाव कामकाज की जरूरतों के हिसाब से हों। तालमेल के लिए साफ जिम्मेदारी तय होने से डिजिटल ढांचे के अलग-अलग हिस्सों के बीच निर्भरता सामने आती है। इसके उलट, अगर हर टीम अपनी अलग सूची और योजना पर काम करे, तो जरूरी कड़ियां छूट सकती हैं। यह खास तौर पर तब मायने रखता है जब किसी ऐसे हिस्से को कोई बाहरी आपूर्तिकर्ता देता हो जिसे जल्दी बदला नहीं जा सकता।

फिर भी योजना बनाते समय दो बातों के बीच संतुलन रखना होगा: सुरक्षा को मजबूत करना और प्रणालियों को काम करते रहने देना। अगर बदलाव सुरक्षा बढ़ाए, लेकिन कोई जरूरी काम ठप कर दे, तो मकसद पूरी तरह हासिल नहीं होगा। दूसरी ओर, कामकाज जारी रखने के लिए बदलाव से बचते रहने पर जानकारी भविष्य के खतरे के सामने रह सकती है। जरूरत ऐसे चरणबद्ध रास्ते की है जो संपत्तियों और खतरों की जानकारी पर आधारित हो और जिसमें जरूरी कामों को नुकसान पहुंचाए बिना बदलाव किए और परखे जा सकें।

कुंजियां बनाने के लिए 31 दिसंबर 2030 और डिजिटल हस्ताक्षरों के लिए 2031 की समय-सीमाएं संस्थाओं को साफ दिशा देती हैं। लेकिन केवल तारीखें तय हो जाने से तकनीकी और संगठनात्मक मुश्किलें अपने-आप दूर नहीं होतीं। गंभीर तैयारी की शुरुआत इस समझ से होती है कि संस्था आज किन तरीकों का इस्तेमाल कर रही है। इसके बाद यह तय करना होता है कि क्या बदलना है और समाधान के हर हिस्से पर काम करने वाले पक्षों के साथ तालमेल कैसे रखना है। संस्था की जानकारी जितनी पूरी होगी, बदलाव में अचानक आने वाली अड़चनें उतनी कम होंगी और जानकारी तथा जरूरी कामों की रक्षा करना उतना आसान होगा।

निष्कर्ष

क्वांटम कंप्यूटरों के दौर की तैयारी का मतलब उस दिन का इंतजार करना नहीं है जब आज के सुरक्षा तरीके टूटने लगें। इसकी शुरुआत पहले ही होनी चाहिए, क्योंकि आज चुराई गई सुरक्षित जानकारी को भविष्य में पढ़ा जा सकता है। जानकारी कितने समय तक गोपनीय रहनी चाहिए, यह भी सुरक्षा का अहम पहलू है, जबकि विरोधियों की क्षमता और तकनीक के आगे बढ़ने का समय अब भी पूरी तरह स्पष्ट नहीं है। इसी वजह से अमेरिकी सरकार ने ज्यादा अहम संपत्तियों और बड़े असर वाली प्रणालियों में कुंजियां बनाने के लिए 31 दिसंबर 2030 और डिजिटल हस्ताक्षरों के लिए 2031 की समय-सीमाएं तय की हैं। इन लक्ष्यों तक पहुंचने के लिए ऐप, उपकरणों, नेटवर्कों और प्रमाणपत्रों की पूरी सूची बनानी होगी, आपूर्तिकर्ताओं और आपूर्ति व्यवस्था के साथ मिलकर काम करना होगा और ऐसा लचीला ढांचा तैयार करना होगा जिसमें सुरक्षा के तरीके बदलते समय जरूरी काम न रुकें। होनोलूलू में सामने आई चेतावनियों का सीधा संदेश है: सबसे पहले संस्था को यह जानना होगा कि उसके पास क्या है और उसका काम किन चीजों पर निर्भर है। जब तक ढांचे के हिस्से अनजान रहेंगे, तब तक बदलाव की योजना भी पूरी तरह व्यवस्थित नहीं हो सकती।