बैंकों की वेबसाइट के संबंध में निम्नलिखित में से कौन-सा एक SSL एन्क्रिप्शन (कूटलेखन) का सही अर्थ है ?

सही उत्तर — A, (a) सिक्योर सॉकेट लेयर एन्क्रिप्शन — SSL का विस्तार Secure Sockets Layer है, और तीनों शब्द उस प्रणाली के बारे में कुछ न कुछ बताते हैं।

'सॉकेट' नाम जाल-संगणन से आया है। जब दो मशीनें आपस में जुड़ती हैं तो हर सिरे को पते और द्वार-संख्या के जोड़े से पहचाना जाता है, और उसी सिरे को सॉकेट कहते हैं। यही वह शब्द है जिस पर तीनों ग़लत विकल्प चूकते हैं, क्योंकि वह तकनीकी है और अनुमान से नहीं निकलता। 'लेयर' यानी परत, क्योंकि यह प्रणाली किसी अनुप्रयोग के भीतर नहीं बैठती; वह अनुप्रयोग और परिवहन के बीच एक अलग परत की तरह लगती है। इसी बनावट का व्यावहारिक लाभ यह है कि ऊपर चलने वाले किसी भी अनुप्रयोग को — वेब हो, डाक हो या फ़ाइल-अंतरण — बदले बिना सुरक्षा मिल जाती है। और 'सिक्योर' उस परत का उद्देश्य है।

बैंक की वेबसाइट के संदर्भ में इसका काम तीन तहों में समझा जा सकता है। पहला, गोपनीयता : आपका उपयोक्ता-नाम, कूटशब्द और लेन-देन का ब्योरा बीच के जाल में कूटबद्ध रूप में चलता है, इसलिए रास्ते में बैठा कोई उसे पढ़ नहीं सकता। दूसरा, अखंडता : रास्ते में संदेश बदला गया हो तो वह पकड़ में आ जाता है। तीसरा, प्रमाणीकरण : सर्वर अपना अंकीय प्रमाणपत्र दिखाता है, जिस पर किसी विश्वसनीय प्रमाणन प्राधिकारी के हस्ताक्षर होते हैं, और उसी से ब्राउज़र को भरोसा होता है कि वह उसी नाम की मशीन से बात कर रहा है। तीनों में से यह तीसरा काम ही जाल-मत्स्यन से बचाव की असली कड़ी है, क्योंकि कूटबद्धता तो नक़ली वेबसाइट भी लगा सकती है।

आरंभ में जुड़ते समय दोनों पक्ष एक संक्षिप्त परिचय-विनिमय करते हैं : वे तय करते हैं कि कौन-सी कूट-विधि चलेगी, सर्वर अपना प्रमाणपत्र देता है, और असममित कुंजियों की सहायता से एक साझा गुप्त कुंजी बना ली जाती है। उसके बाद का सारा आदान-प्रदान उसी तेज़ सममित कुंजी से चलता है। यही कारण है कि यह परत सुरक्षित होते हुए भी धीमी नहीं पड़ती।

व्यवहार में आज जो प्रोटोकॉल चलता है वह इसका उत्तराधिकारी TLS है, पर उद्योग में नाम SSL ही प्रचलित रह गया, और पते में लगा https तथा ताले का चिह्न इसी परत की उपस्थिति दिखाते हैं। ध्यान रहे कि यह चिह्न केवल इतना बताता है कि कड़ी कूटबद्ध है और प्रमाणपत्र नाम से मेल खाता है — वह इस बात की गवाही नहीं देता कि वेबसाइट चलाने वाला ईमानदार है।

अन्य विकल्प क्यों गलत हैं

• (b)सुपीरियर सेफ्टी लेवल एन्क्रिप्शन — यह विकल्प तीनों शब्द बदल देता है और उनमें से कोई भी इस प्रोटोकॉल से जुड़ा नहीं है। पहली भूल 'सिक्योरिटी' और 'सेफ़्टी' के बीच है : अंग्रेज़ी में 'सेफ़्टी' का अर्थ दुर्घटना या भौतिक हानि से बचाव है, जबकि यहाँ प्रसंग किसी जान-बूझकर किए गए आक्रमण से बचाव का है, जिसके लिए 'सिक्योरिटी' शब्द चलता है। दूसरी भूल 'लेवल' की है — प्रोटोकॉल में कोई स्तर या श्रेणी नहीं होती, जैसे 'उच्च' या 'निम्न' सुरक्षा-स्तर; यह या तो लगा है या नहीं। तीसरी भूल यह कि इस विस्तार में वह शब्द ही नहीं है जो बताए कि यह प्रणाली जाल के किस भाग पर काम करती है।
• (c)सर्वर-टू-सर्वर लिंक्ड एन्क्रिप्शन — यह विकल्प व्याकरण की दृष्टि से अधिक तकनीकी लगता है, इसलिए भ्रम पैदा करता है, पर तथ्य दो जगह चूकता है। पहला, संक्षेप के तीन अक्षर S, S और L हैं, और 'सर्वर-टू-सर्वर' उन्हें ठीक से भरता ही नहीं। दूसरा और अधिक महत्वपूर्ण, बैंक की वेबसाइट खोलते समय जो कड़ी सुरक्षित की जाती है वह दो सर्वरों के बीच नहीं, आपके ब्राउज़र और बैंक के सर्वर के बीच होती है — यानी ग्राहक और सेवा-प्रदाता के बीच। यह प्रोटोकॉल दो सर्वरों के बीच भी लगाया जा सकता है, पर उसका नाम उस विशेष स्थिति से नहीं बना।
• (d)सेफ्टी सर्वर लेवल एन्क्रिप्शन — यह (b) की ही शब्दावली को फिर से जमाकर बनाया गया विकल्प है — वही 'सेफ़्टी' और वही 'लेवल', बस क्रम बदला हुआ। इसमें 'सर्वर' शब्द जोड़ देने से यह कुछ अधिक विश्वसनीय लगने लगता है, पर विस्तार फिर भी ग़लत है। ध्यान देने योग्य बात यह है कि चारों विकल्प एक ही शब्द 'एन्क्रिप्शन' पर समाप्त होते हैं, इसलिए भेद केवल उसके पहले वाले तीन शब्दों में है, और परीक्षक ने वहीं तीनों अक्षरों के लिए मिलते-जुलते शब्द रख दिए हैं। जहाँ दो विकल्प एक ही शब्द-समूह को उलट-पलटकर बने हों, वहाँ प्रायः वे दोनों ही ग़लत होते हैं।

इंटरनेट पर भेजा गया संदेश अनेक मध्यवर्ती मशीनों से होकर गुज़रता है। बिना सुरक्षा के वह खुले पोस्टकार्ड जैसा है — रास्ते का कोई भी बिंदु उसे पढ़ सकता है और बदल भी सकता है। यही समस्या हल करने के लिए यह परत बनी।

काम दो चरणों में होता है। पहला चरण हस्तमिलाप कहलाता है : ब्राउज़र और सर्वर तय करते हैं कि कौन-सी कूटलेखन विधि चलेगी, सर्वर अपना अंकीय प्रमाणपत्र भेजता है, ब्राउज़र उसे किसी विश्वसनीय प्रमाणन प्राधिकारी के हस्ताक्षर से जाँचता है, और फिर दोनों मिलकर एक अस्थायी सत्र-कुंजी बना लेते हैं। इस चरण में असममित कूटलेखन का उपयोग होता है, जिसमें एक सार्वजनिक और एक निजी कुंजी होती है।

दूसरे चरण में असली आँकड़ा उसी सत्र-कुंजी से सममित कूटलेखन द्वारा भेजा जाता है, क्योंकि वह बहुत तेज़ पड़ता है। इस तरह असममित विधि की सुरक्षा और सममित विधि की गति, दोनों मिल जाती हैं।

यहीं एक सीमा भी समझ लेनी चाहिए : ताले का चिह्न यह बताता है कि कड़ी कूटबद्ध है और प्रमाणपत्र उसी पते के लिए है — यह नहीं बताता कि उस पते के पीछे बैठा व्यक्ति ईमानदार है।

मुख्य तथ्य

• SSL का विस्तार Secure Sockets Layer है; 'सॉकेट' जाल-संबंध के सिरे को कहते हैं, जो पते और द्वार-संख्या के जोड़े से पहचाना जाता है।
• यह अनुप्रयोग और परिवहन के बीच एक अलग परत की तरह काम करता है, इसलिए ऊपर चलने वाले अनुप्रयोग को बदले बिना सुरक्षा मिल जाती है।
• यह तीन काम करता है — गोपनीयता, अखंडता और सर्वर का प्रमाणीकरण; तीसरा काम अंकीय प्रमाणपत्र के माध्यम से होता है।
• हस्तमिलाप में असममित कूटलेखन से सत्र-कुंजी तय होती है और उसके बाद असली आँकड़ा तेज़ सममित कूटलेखन से भेजा जाता है।
• आज व्यवहार में इसका उत्तराधिकारी TLS चलता है, यद्यपि नाम SSL ही प्रचलित रहा; पते का https और ताले का चिह्न इसी परत की उपस्थिति दिखाते हैं।

सामान्य भ्रम

• 'सेफ़्टी' और 'सिक्योरिटी' को एक मान लेना; संक्षेप का पहला S सुरक्षा के अर्थ वाले शब्द से बनता है।
• ताले के चिह्न को यह प्रमाण मान लेना कि वेबसाइट ईमानदार है; वह केवल कड़ी की कूटबद्धता और प्रमाणपत्र का मेल दिखाता है।
• इसे दो सर्वरों के बीच की व्यवस्था समझ लेना, जबकि सामान्य स्थिति में यह ब्राउज़र और सर्वर के बीच लगती है।

• practice — not a real PYQ

  किसी बैंकिंग वेबसाइट के पते के आगे ताले का चिह्न दिखाई देने से निम्नलिखित में से क्या सिद्ध होता है ?

  • (a)कि वेबसाइट चलाने वाली संस्था विश्वसनीय और ईमानदार है
  • (b)कि ब्राउज़र और सर्वर के बीच की कड़ी कूटबद्ध है और प्रमाणपत्र उसी पते के लिए जारी हुआ है
  • (c)कि उस वेबसाइट पर किया गया कोई भी लेन-देन बीमाकृत है
  • (d)कि वेबसाइट किसी सरकारी संस्था द्वारा संचालित है

  उत्तर(b) कि ब्राउज़र और सर्वर के बीच की कड़ी कूटबद्ध है और प्रमाणपत्र उसी पते के लिए जारी हुआ है — यह चिह्न कड़ी की सुरक्षा और पते के मेल तक सीमित है; नक़ली वेबसाइट भी प्रमाणपत्र ले सकती है, इसलिए पते की वर्तनी अलग से मिलानी पड़ती है।