மின்-வணிக பாதுகாப்பு அமைப்புகள்: ஒரு மதிப்பெண் வினாக்கள், புத்தக வினா விடைகள் மற்றும் குறிப்புகள்

மின்-வணிக பாதுகாப்பு அமைப்புகள் பற்றி

நடுத்தரம் ~120 நிமிடப் படிப்பு

ஒரு ஆன்லைன் கடை அட்டை எண்கள், முகவரிகள், ஆர்டர்கள் ஆகியவற்றைத் திறந்த இணையம் வழியாக அனுப்புகிறது. வழியில் உள்ள எவரும் அந்தத் தரவைப் படிக்கவோ, மாற்றவோ, வேறொருவர் போல நடிக்கவோ முயலலாம். என்ன தவறு நடக்கலாம், அதை எது தடுக்கிறது என்பதை இந்தப் பாடம் விளக்குகிறது.

பாடம் மூன்று படிகளாகச் செல்கிறது. முதலில் அச்சுறுத்தல்களைப் பட்டியலிடுகிறது: தகவல் கசிவு, தரவு சிதைப்பு, பண மோசடி, தீங்கிழைக்கும் நிரல், ஃபிஷிங் (Phishing), சேவை மறுப்புத் தாக்குதல், டொமைன் பெயர் தவறான பயன்பாடு. அடுத்து, பாதுகாப்பான பரிவர்த்தனை நிறைவேற்ற வேண்டிய பாதுகாப்புப் பரிமாணங்களைச் சொல்கிறது. உதாரணம்: நம்பகத்தன்மை, நேர்மை, மறுதலிக்க இயலாமை. கடைசியாக, அவற்றை நிறைவேற்றும் தொழில்நுட்பத்தைக் காட்டுகிறது: குறியாக்கம், எண்முறைக் கையொப்பம், எண்முறைச் சான்றிதழ், SSL, SET, 3-D Secure நெறிமுறைகள்.

ஒரு மதிப்பெண் வினாக்களில் ஒரு அச்சுறுத்தலை அதன் பெயருடன் பொருத்த வேண்டியிருக்கும் (உதாரணம்: டைப்போபைரஸி (Typopiracy), நட்பு மோசடி (Friendly fraud)). சமச்சீர், சமச்சீரற்ற குறியாக்கத்தைப் பிரித்தறிய வேண்டும். எந்த நெறிமுறை எந்த வேலைக்காக உருவானது என்றும் தேர்ந்தெடுக்க வேண்டும். SSL இணைப்பைப் பாதுகாக்கிறது; SET, 3-D Secure இரண்டும் அட்டை மூலம் பணம் செலுத்துவது தொடர்பானவை.

நீங்கள் கற்பவை

• பொதுவான மின்-வணிக அச்சுறுத்தல்களை அடையாளம் காணுதல்; கொடுக்கப்பட்ட உதாரணத்தில் உள்ள தீங்கிழைக்கும் நிரல் அல்லது மோசடியின் வகையைப் பெயரிடுதல்
• பாதுகாப்பின் பரிமாணங்களைக் கூறி, ஒவ்வொன்றையும் ஒரு உதாரணத்துடன் விளக்குதல்
• சமச்சீர், சமச்சீரற்ற விசைக் குறியாக்கத்தை வேறுபடுத்துதல்
• எண்முறைக் கையொப்பமும் எண்முறைச் சான்றிதழும் தனித்தனியாக எதை நிரூபிக்கின்றன என்பதை விளக்குதல்
• உலாவிக்கும் சேவையகத்துக்கும் இடையிலான தகவல்தொடர்பை SSL எப்படிப் பாதுகாக்கிறது என்பதை விவரித்தல்
• SET, 3-D Secure இரண்டும் அட்டைப் பணப்பரிமாற்றங்களை எப்படிப் பாதுகாக்கின்றன என்பதை விளக்குதல்

தொடங்குவதற்கு முன்

• கணினி வலையமைப்புகள் பற்றிய அடிப்படை அறிவு; இணையம் தரவை எப்படிக் கொண்டு செல்கிறது என்பது
• மின்-வணிக வணிக மாதிரிகள்
• பாடம் 16-இல் உள்ள மின்னணு பணம் செலுத்தும் முறைகள்

மின்-வணிக பாதுகாப்பு அமைப்புகள் — விரிவான விளக்கம்

மின்-வணிகப் பாதுகாப்பு: ஒரு பார்வை

பாதுகாப்பு அச்சுறுத்தல்கள்

இணையம் திறந்த அமைப்பு. அதனால் ஆன்லைன் வணிகங்கள் தற்செயலான தாக்குதல்களையும் வேண்டுமென்றே செய்யப்படும் தாக்குதல்களையும் சந்திக்கின்றன. தகவல் கசிவு என்பது வணிக ரகசியங்கள் அல்லது பரிவர்த்தனை விவரங்கள் அங்கீகாரம் இல்லாத ஒருவரிடம் சென்று சேர்வது. தரவு சிதைப்பு (Tampering) என்பது தரவு பயணிக்கும்போதே மாற்றப்படுவது. பண மோசடிகளில் மூன்று வகைகள் உள்ளன. நட்பு மோசடி: வாடிக்கையாளர் பொருளைப் பெற்ற பிறகு, பணம் செலுத்தியதைப் பொய்யாக மறுத்து முறையிடுவது. தூய மோசடி (Clean fraud): திருடிய அட்டையைச் சரியான விவரங்களுடன் பயன்படுத்துவதால் வாங்குதல் உண்மையானது போலத் தெரிவது. முக்கோண மோசடி (Triangulation fraud): போலிக் கடை அட்டை விவரங்களைச் சேகரிப்பது. தீங்கிழைக்கும் நிரல் (Malicious code) என்பதில் வைரஸ், வோர்ம் (Worm), ரான்சம்வேர் (Ransomware), SQL உட்செலுத்தல் (SQL injection) ஆகியவை அடங்கும். ஃபிஷிங் பயனர்களை ஏமாற்றி கடவுச்சொல், அட்டை விவரங்களைப் பெறுகிறது. பகிர்ந்தளிக்கப்பட்ட சேவை மறுப்புத் தாக்குதல் (DDoS) ஒரு சேவையகத்துக்குக் கோரிக்கைகளைக் குவித்து, அது பதில் தருவதை நிறுத்தும் வரை செய்கிறது. சைபர் ஸ்குவாட்டிங் (Cyber squatting), டைப்போபைரஸி இரண்டும் டொமைன் பெயர்களைத் தவறாகப் பயன்படுத்துகின்றன. இரண்டாவது, பிரபலமான தளப் பெயர்களின் எழுத்துப்பிழை வடிவங்களைப் பதிவு செய்கிறது.

பாதுகாப்பின் பரிமாணங்கள்

பாதுகாப்பான பரிவர்த்தனை கீழ்க்கண்ட தேவைகளை நிறைவேற்ற வேண்டும். நம்பகத்தன்மை (Authenticity): பங்கேற்பவர்கள் தாங்கள் சொல்லும் நபர்களே. இரகசியத்தன்மை (Confidentiality): அங்கீகாரம் இல்லாதவர்களுக்குத் தரவு வெளிப்படாது. நேர்மை: தரவு மாற்றப்படாது. கிடைக்கும்தன்மை (Availability): தகவல் தாமதமாகாது, நீக்கப்படாது. மறுதலிக்க இயலாமை: வாங்குபவரோ விற்பவரோ பின்னர் பங்கேற்றதை மறுக்க முடியாது. தனியுரிமை (Privacy): வாடிக்கையாளர்களின் தனிப்பட்ட தரவு பாதுகாக்கப்படுகிறது. மீளாய்வுத் திறன் (Review ability): செயல்பாடுகளைப் பின்னர் தணிக்கை செய்ய முடியும்.

குறியாக்கம், கையொப்பங்கள், சான்றிதழ்கள்

குறியாக்கம் (Encryption) படிக்கக்கூடிய மூல உரையை (Plaintext) படிக்க முடியாத மறையுரையாக (Ciphertext) மாற்றுகிறது. சமச்சீர் விசைக் குறியாக்கத்தில் (Symmetric key encryption) ஒரே இரகசிய விசை குறியாக்கம், குறிநீக்கம் இரண்டையும் செய்கிறது. இது வேகமானது. ஆனால் அந்த விசையை மறுதரப்புடன் பாதுகாப்பாகப் பகிர வேண்டும்; அது கடினம். சமச்சீரற்ற விசை (பொது விசை) குறியாக்கத்தில் (Asymmetric key encryption) ஒவ்வொரு பயனருக்கும் ஒரு ஜோடி விசைகள் உண்டு. பெறுநரின் பொது விசையால் குறியாக்கம் செய்த தரவைப் பெறுநரின் தனிப்பட்ட விசையால் மட்டுமே திறக்க முடியும். இது இரகசியத்தன்மையைத் தருகிறது. அனுப்புநர் தனது தனிப்பட்ட விசையால் கையொப்பமிட்டு, மற்றவர்கள் அனுப்புநரின் பொது விசையால் சரிபார்த்தால், நம்பகத்தன்மையும் மறுதலிக்க இயலாமையும் கிடைக்கின்றன. எண்முறைக் கையொப்பம் (Digital signature) ஒரு ஆவணத்தை அனுப்பியவர் யார், அது மாற்றப்படவில்லை என்பதைக் காட்டுகிறது. எண்முறைச் சான்றிதழ் (Digital certificate) சான்றளிக்கும் அதிகாரத்தால் (Certification Authority, CA) வழங்கப்படுகிறது. அது ஒரு பொது விசையை ஒரு குறிப்பிட்ட நபர் அல்லது நிறுவனத்துடன் இணைக்கிறது.

பாதுகாப்பு நெறிமுறைகள்

SSL (Secure Sockets Layer) நெறிமுறையை Netscape உருவாக்கியது. அது கலப்புக் குறியாக்கத்தைப் பயன்படுத்தி, உலாவிக்கும் வலை சேவையகத்துக்கும் இடையே குறியாக்கம் செய்யப்பட்ட வழியை உருவாக்குகிறது. இதைப் பயன்படுத்தும் தளம் முகவரிப் பட்டையில் https:// மற்றும் பூட்டுக் குறியைக் காட்டும். SET (Secure Electronic Transaction) நெறிமுறையை Visa, MasterCard நிறுவனங்கள் உருவாக்கின. அது பொது விசை மறைக்குறியீட்டியலையும் இரட்டைக் கையொப்பங்களையும் (Dual signatures) பயன்படுத்திக் கடன் அட்டைப் பணப்பரிமாற்றங்களைப் பாதுகாக்கிறது. இதனால் வணிகருக்கு அட்டை விவரங்கள் தெரியாது; வங்கிக்கு ஆர்டர் விவரங்கள் தெரியாது. 3-D Secure என்பது XML அடிப்படையிலான நெறிமுறை. அது அட்டை வழங்கிய வங்கியிடமிருந்து வரும் OTP போன்ற ஒரு அங்கீகாரப் படியைச் சேர்க்கிறது. அதன் மூன்று களங்கள்: பெறுநர் களம் (Acquirer domain), வழங்குநர் களம் (Issuer domain), இயங்குதிறன் களம் (Interoperability domain).

தவிர்க்க வேண்டிய பொதுவான தவறுகள்

• இரண்டு குறியாக்க வகைகளையும் குழப்புவது. சமச்சீர் முறை இரண்டு வேலைக்கும் பகிரப்பட்ட ஒரே விசையைப் பயன்படுத்துகிறது. சமச்சீரற்ற முறை ஒரு பொது விசையையும் அதிலிருந்து வேறான தனிப்பட்ட விசையையும் பயன்படுத்துகிறது.
• எண்முறைக் கையொப்பமும் எண்முறைச் சான்றிதழும் ஒன்றே என்று நினைப்பது. கையொப்பம் ஒரு செய்தியுடன் இணைக்கப்படுகிறது; அதை அனுப்பியவர் யார், அது மாற்றப்படவில்லை என்பதை நிரூபிக்கிறது. CA வழங்கும் சான்றிதழ், ஒரு பொது விசை உண்மையில் அந்த நபருக்கோ நிறுவனத்துக்கோ சொந்தமானது என்பதை நிரூபிக்கிறது.
• HTTPS முழு இணையதளத்தையும் பாதுகாப்பாக்கும் என்று எண்ணுவது. தரவு பயணிக்கும்போது மட்டுமே HTTPS பாதுகாக்கிறது. SQL உட்செலுத்தலையோ சேவையகத்தின் தரவுத்தளத்தின் மீதான தாக்குதலையோ அது தடுக்காது.
• பாதுகாப்பு என்பது தொழில்நுட்பம் மட்டுமே என்று நினைப்பது. கொள்கைகள், பணியாளர்கள், பயனர் விழிப்புணர்வு (உதாரணம்: ஃபிஷிங்கில் ஏமாறாமல் இருப்பது), சட்ட விதிகள் ஆகியவையும் தேவை.

இவற்றை பயிற்சித் தேர்வு மூலம் சோதித்துப் பாருங்கள்; பிறகு விடையுடன் கூடிய வினாக்கள் பகுதியில் விரிவான விளக்கத்தைப் படியுங்கள்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

சமச்சீர் குறியாக்கத்துக்கும் சமச்சீரற்ற குறியாக்கத்துக்கும் என்ன வேறுபாடு?

சமச்சீர் குறியாக்கம் குறியாக்கம் செய்யவும் குறிநீக்கம் செய்யவும் ஒரே இரகசிய விசையைப் பயன்படுத்துகிறது. அதனால் இது வேகமானது. ஆனால் இரு தரப்பும் அந்த விசையை எப்படியாவது பாதுகாப்பாகப் பகிர வேண்டும். சமச்சீரற்ற குறியாக்கம் ஒரு ஜோடி விசைகளைப் பயன்படுத்துகிறது: பொது விசையால் பூட்டிய தரவைப் பொருந்தும் தனிப்பட்ட விசையால் மட்டுமே திறக்க முடியும். இதனால் திறந்த வலையமைப்பில் இரகசிய விசையைப் பகிர வேண்டிய தேவை இல்லை.

ஆன்லைனில் பொருள் வாங்குவதை SSL எப்படிப் பாதுகாக்கிறது?

வாங்குபவரின் உலாவிக்கும் கடையின் சேவையகத்துக்கும் இடையே SSL குறியாக்கம் செய்யப்பட்ட இணைப்பை அமைக்கிறது. அட்டை எண்கள், கடவுச்சொற்கள், முகவரிகள் மறையுரையாகப் பயணிக்கின்றன. எனவே அவற்றை இடைமறிப்பவர் படிக்க முடியாது. முகவரி https:// என்று தொடங்கி, பூட்டுக் குறி தெரிந்தால் SSL செயல்படுகிறது என்று பொருள்.

எண்முறைக் கையொப்பங்கள் எதற்குப் பயன்படுகின்றன?

எண்முறைக் கையொப்பம் இரண்டு விஷயங்களை உறுதி செய்கிறது: செய்தி உண்மையில் குறிப்பிட்ட அனுப்புநரிடமிருந்தே வந்தது; வழியில் அது மாற்றப்படவில்லை. அனுப்புநர் தனது தனிப்பட்ட விசையால் கையொப்பமிடுகிறார். பெறுநர் அனுப்புநரின் பொது விசையால் கையொப்பத்தைச் சரிபார்க்கிறார். தனிப்பட்ட விசை அனுப்புநரிடம் மட்டுமே இருப்பதால், அனுப்பியதை அவர் மறுக்கவும் முடியாது.

சைபர் ஸ்குவாட்டிங் என்றால் என்ன?

வேறொருவரின் பிரபலமான வணிகமுத்திரை (Trademark) உள்ள டொமைன் பெயரைத் தீய நோக்கத்துடன் பதிவு செய்வது அல்லது பயன்படுத்துவது சைபர் ஸ்குவாட்டிங். அப்படிச் செய்பவர் பொதுவாக அந்த டொமைனை உண்மையான வணிகமுத்திரை உரிமையாளருக்கு அதிக விலைக்கு விற்க எதிர்பார்க்கிறார். டைப்போபைரஸி இதனுடன் தொடர்புடைய ஒரு தந்திரம்; அது பிரபலமான டொமைன் பெயர்களின் எழுத்துப்பிழை வடிவங்களைப் பதிவு செய்கிறது.

மறுதலிக்க இயலாமை என்றால் என்ன?

ஒருவர் தான் செய்த செயலை மறுக்க முடியாது என்பதே மறுதலிக்க இயலாமை. வாங்குபவர் கையொப்பமிட்டுப் பணம் செலுத்த அனுமதி தந்த பிறகோ, விற்பவர் உறுதிப்படுத்தலில் கையொப்பமிட்ட பிறகோ, அவர்கள் அதைச் செய்தார்கள் என்பதற்கு எண்முறைக் கையொப்பமே சான்று. பின்னர் சச்சரவு எழும்போது இது பயன்படுகிறது.

3-D Secure எப்படிச் செயல்படுகிறது?

3-D Secure என்பது XML அடிப்படையிலான நெறிமுறை. ஆன்லைனில் அட்டை மூலம் பணம் செலுத்தும்போது அது ஒரு கூடுதல் சோதனையைச் சேர்க்கிறது. பணம் செலுத்துதல் அனுமதிக்கப்படும் முன், அட்டைதாரரின் வங்கி பயனரிடம் அடையாளத்தை உறுதிப்படுத்தச் சொல்கிறது. பொதுவாகக் கடவுச்சொல் அல்லது OTP மூலம் இது நடக்கிறது. பெறுநர், வழங்குநர், இயங்குதிறன் ஆகிய மூன்று களங்களிலிருந்து (Domains) இந்தப் பெயர் வந்தது.