क्वांटम खतरे से पहले एन्क्रिप्शन सूची बनाएँ—Google की सीमा 2029
पोस्ट-क्वांटम क्रिप्टोग्राफी स्थानांतरण की शुरुआत नया एल्गोरिदम लगाने से नहीं, सार्वजनिक-कुंजी क्रिप्टोग्राफी की सूची बनाने से करें। Google की 25 मार्च 2026 की समयरेखा PQC स्थानांतरण के लिए 2029 की सीमा रखती है और प्रमाणीकरण सेवाओं को प्राथमिकता देती है, क्योंकि मौजूदा एन्क्रिप्शन पर भविष्य का खतरा आज एकत्र किए जा रहे दीर्घजीवी डेटा के लिए भी प्रासंगिक है।
यह 2029 सीमा भारत में नियामकीय अंतिम तिथि नहीं, बल्कि योजना का एक उपयोगी आंतरिक पड़ाव है। पहले दर्ज करें कि कौन-सी सेवा किस सार्वजनिक-कुंजी तकनीक पर निर्भर है; फिर डेटा की उपयोगी आयु, क्रिप्टोग्राफी की भूमिका, आपूर्तिकर्ता निर्भरता और बदलाव की कठिनाई से तय करें कि किस प्रणाली पर पहले काम होगा।
सूची का दायरा प्रमाणपत्रों से बड़ा रखें
वेब सर्वर और प्रमाणपत्र भंडार केवल शुरुआती बिंदु हैं। सूची में डिजिटल हस्ताक्षर, उपकरण और उपयोगकर्ता की पहचान, प्रमाणीकरण, सुरक्षित बूट, कोड हस्ताक्षर, कुंजी विनिमय, दूरस्थ संपर्क और PKI पर निर्भर सेवाएँ भी आनी चाहिए। प्रत्येक महत्वपूर्ण व्यावसायिक सेवा से उसके अनुप्रयोग, प्रोटोकॉल, पुस्तकालय, हार्डवेयर और बाहरी प्रदाता तक निर्भरता जोड़ें।
NIST के NCCoE की क्रिप्टोग्राफिक खोज परियोजना हार्डवेयर, सॉफ्टवेयर और सेवाओं में क्वांटम-संवेदनशील सार्वजनिक-कुंजी एल्गोरिदम पहचानने तथा उस सूची को जोखिम और स्थानांतरण प्राथमिकता से जोड़ने पर केंद्रित है। इसका व्यावहारिक अर्थ है कि सामान्य परिसंपत्ति सूची पर्याप्त नहीं होगी: उसमें क्रिप्टोग्राफी कहाँ, कैसे और किस जानकारी की रक्षा के लिए चल रही है, यह भी दर्ज करना होगा।
हर प्रविष्टि के लिए कम-से-कम ये क्षेत्र रखें:
- व्यावसायिक सेवा, उसका मालिक और तकनीकी संपर्क;
- डेटा का प्रकार, संवेदनशीलता और अपेक्षित उपयोगी आयु;
- क्रिप्टोग्राफी का स्थान—संचरण, संग्रहण, हस्ताक्षर, प्रमाणीकरण या सुरक्षित बूट;
- एल्गोरिदम, कुंजी आकार, प्रमाणपत्र, प्रोटोकॉल और क्रिप्टोग्राफिक पुस्तकालय;
- हार्डवेयर सुरक्षा मॉड्यूल, फर्मवेयर, क्लाउड सेवा और बाहरी आपूर्तिकर्ता;
- समर्थित संस्करण, नवीनीकरण चक्र, बंद करने की योजना और स्वीकार्य व्यवधान।
खोज ऊपर और नीचे—दोनों दिशाओं से करें
केवल नेटवर्क स्कैन से संगठन की पूरी निर्भरता नहीं मिलेगी; सेवा-मालिकों की प्रश्नावली भी अकेले पर्याप्त नहीं है। ऊपर से नीचे की खोज में पहचान, भुगतान, संवेदनशील अभिलेख, सरकारी संचार, औद्योगिक नियंत्रण और दीर्घकालिक अनुबंध जैसी महत्वपूर्ण सेवाएँ चुनें और उनके तकनीकी घटकों तक जाएँ।
नीचे से ऊपर की खोज में प्रमाणपत्र भंडार, कुंजी-प्रबंधन प्रणाली, कोड भंडार, सॉफ्टवेयर घटक-सूची, विन्यास, यातायात निरीक्षण और उपकरण अभिलेख से वास्तविक उपयोग खोजें। दोनों परिणाम मिलाने पर वे निर्भरताएँ सामने आती हैं जिनका तकनीकी निशान तो है, लेकिन जिम्मेदार मालिक नहीं; या जिनका दावा सेवा-मालिक करता है, पर अभी तकनीकी प्रमाण नहीं मिला।
सूची में प्रत्येक निष्कर्ष के साथ प्रमाण का प्रकार, विश्वास-स्तर और सत्यापन तिथि रखें। इससे अनुमानित उपयोग, स्वचालित खोज और सेवा-मालिक द्वारा सत्यापित तथ्य अलग रहेंगे तथा सूची को दोबारा जाँचने का क्रम तय किया जा सकेगा।
चार कारकों से प्राथमिकता-पत्रक बनाएँ
हर प्रणाली को केवल “महत्वपूर्ण” या “सामान्य” कहने के बजाय चार कारकों पर उच्च, मध्यम या निम्न दर्जा दें और निर्णय का संक्षिप्त कारण लिखें। कुल अंक उपयोगी संकेत दे सकते हैं, लेकिन किसी एक गंभीर जोखिम—विशेषकर बहुत दीर्घजीवी संवेदनशील डेटा या केंद्रीय प्रमाणीकरण—को औसत अंक में छिपने न दें।
- डेटा की उपयोगी आयु: वह जानकारी पहले रखें जिसे आज एकत्र करके भविष्य में पढ़ा जाना भी नुकसानदेह होगा। इसमें दीर्घकालिक पहचान अभिलेख, संवेदनशील नागरिक डेटा और लंबे समय तक मूल्यवान बौद्धिक संपदा शामिल हो सकते हैं।
- क्रिप्टोग्राफी की भूमिका: प्रमाणीकरण, पहचान, कोड हस्ताक्षर और विश्वास-मूल कई दूसरी सेवाओं को प्रभावित करते हैं। इनके बदलाव में गलती का प्रभाव किसी एक अनुप्रयोग तक सीमित नहीं रह सकता।
- आपूर्तिकर्ता निर्भरता: यदि एल्गोरिदम या प्रोटोकॉल संगठन स्वयं नहीं बदल सकता, तो विक्रेता से समर्थित संस्करण, परीक्षण सुविधा, अनुकूलता, प्रमाणपत्र संचालन और उपलब्धता की समयसीमा माँगें।
- बदलाव की कठिनाई: बंद फर्मवेयर, लंबे जीवन वाला हार्डवेयर, औद्योगिक प्रणाली, हार्डवेयर सुरक्षा मॉड्यूल और दूरस्थ उपकरण जल्दी योजना माँगते हैं, भले उनका वास्तविक प्रतिस्थापन बाद में हो।
इन कारकों से चार कार्य-समूह बनाए जा सकते हैं: शीघ्र परीक्षण योग्य उच्च जोखिम; पहले आपूर्तिकर्ता निर्णय माँगने वाली प्रणालियाँ; सामान्य नवीनीकरण में बदली जा सकने वाली परिसंपत्तियाँ; और वे सेवाएँ जो स्थानांतरण से पहले बंद हो जाएँगी। यही वर्गीकरण खरीद, परीक्षण और बजट का क्रम स्पष्ट करेगा।
2028, 2029, 2031 और 2035 को अलग भूमिका दें
ब्रिटेन के NCSC की आधिकारिक समयरेखा 2028 तक लक्ष्य, खोज और प्रारंभिक योजना; 2031 तक सर्वोच्च प्राथमिकता वाले स्थानांतरण; और 2035 तक सभी प्रणालियों, सेवाओं तथा उत्पादों का स्थानांतरण पूरा करने के पड़ाव देती है। यह ब्रिटेन-केंद्रित सांकेतिक मार्गदर्शन है, इसलिए भारतीय संगठन इसे अपने क्षेत्रीय और संविदात्मक दायित्वों के ऊपर लागू होने वाली कानूनी समयसीमा न मानें।
Google की 2029 सीमा और NCSC का 2035 पड़ाव परस्पर विरोधी नहीं हैं। पहला एक अधिक आक्रामक संगठनात्मक लक्ष्य है; दूसरा बड़े संगठनों के लिए खोज से पूर्ण स्थानांतरण तक चरणबद्ध कार्यक्रम बताता है। भारतीय संगठन 2028 तक सत्यापित सूची और आरंभिक योजना, 2029 तक प्रमाणीकरण तथा दीर्घजीवी संवेदनशील डेटा की प्राथमिक तैयारी, 2031 तक सबसे महत्वपूर्ण बदलाव और 2035 तक शेष दायरा पूरा करने का आंतरिक क्रम बना सकता है।
पहले 90 दिनों का परिणाम सूची और निर्णय हों
पहले चरण में सूची का उत्तरदायी मालिक और साझा प्रारूप तय करें। सुरक्षा, संरचना, अनुप्रयोग, नेटवर्क, पहचान, खरीद, डेटा-शासन और संबंधित व्यावसायिक इकाइयों से सीमित संख्या में महत्वपूर्ण सेवाएँ चुनें; फिर मौजूदा परिसंपत्ति, प्रमाणपत्र और आपूर्तिकर्ता अभिलेख आयात करें।
अगले चरण में ऊपर और नीचे दोनों दिशाओं से खोज चलाएँ, निष्कर्षों को सेवा-मालिकों से सत्यापित कराएँ और अज्ञात या अनाथ निर्भरताएँ अलग करें। इसके बाद चार प्राथमिकता कारक लागू करें, शीर्ष प्रणालियों के आपूर्तिकर्ताओं से लिखित योजनाएँ माँगें और गैर-उत्पादन वातावरण में अनुकूलता परीक्षण की आवश्यकताएँ तय करें।
इस अवधि का लक्ष्य स्वयं नया क्रिप्टोग्राफिक कार्यान्वयन लिखना या जल्दबाजी में उत्पादन बदलना नहीं है। अपेक्षित परिणाम स्वामित्व वाली और सत्यापित सूची, जोखिम के अनुसार कार्य-समूह, आपूर्तिकर्ताओं से जुड़े निर्णय तथा 2028, 2029, 2031 और 2035 के स्पष्ट पड़ावों वाला स्थानांतरण कार्यक्रम है।
यह भी पढ़ें:
हमारे न्यूज़लेटर की सदस्यता लें
Web3, AI और क्रिप्टो की नवीनतम खबरें सीधे अपने इनबॉक्स में पाएँ।