प्रमाणीकरण आश्वासन स्तर (AAL) क्या है?

प्रमाणीकरण आश्वासन स्तर (AAL) एक वर्गीकरण को संदर्भित करता है जिसका उपयोग प्रमाणीकरण प्रक्रियाओं की मजबूती और विश्वसनीयता का वर्णन करने के लिए किया जाता है। NIST के विशेष प्रकाशन SP 800-63-3 में परिभाषित, AAL संगठनों को उनकी डिजिटल इंटरैक्शन के लिए सुरक्षा के उचित स्तर को निर्धारित करने में मदद करता है।

AAL के तीन स्तर हैं:

• उपयोगकर्ता प्रमाणीकरण में कुछ विश्वास प्रदान करता है।
• इसमें आमतौर पर एकल-कारक प्रमाणीकरण शामिल होता है, जैसे पासवर्ड या OTP डिवाइस।

• प्रमाणीकरण के लिए दो अलग-अलग कारकों की आवश्यकता होती है।
• यह स्तर रीप्ले प्रतिरोध और छोटे पुनः प्रमाणीकरण समय जैसे अतिरिक्त सुरक्षा उपायों को संबोधित करता है।
• सिंक किए गए पासकी AAL2-अनुपालक हैं।

• इसमें हार्डवेयर-आधारित ऑथेंटिकेटर का उपयोग करके बहु-कारक प्रमाणीकरण शामिल है।
• इसमें सत्यापनकर्ता प्रतिरूपण प्रतिरोध और सत्यापनकर्ता समझौता प्रतिरोध सहित कड़ी सुरक्षा आवश्यकताएं शामिल हैं।
• डिवाइस-बाउंड पासकी AAL3-अनुपालक हैं।

प्रत्येक स्तर अलग-अलग सुरक्षा आवश्यकताओं के अनुरूप बनाया गया है, जो AAL1 पर कम जोखिम वाले वातावरण से लेकर AAL3 पर उच्च-सुरक्षा मांगों तक है।

---

यहां प्रमाणीकरण आश्वासन स्तरों और उनके निहितार्थों पर एक गहरी नज़र है:

• कम-सुरक्षा वाले अनुप्रयोगों के लिए लक्षित जहां सुविधा को प्राथमिकता दी जाती है।
• पासवर्ड जैसे सरल प्रमाणीकरण रूपों पर निर्भरता के कारण सामान्य सुरक्षा खतरों के प्रति संवेदनशील (जैसे फ़िशिंग, मैन-इन-द-मिडिल हमला, क्रेडेंशियल स्टफिंग, ...)

• उच्च सुरक्षा की आवश्यकता वाले लेनदेन के लिए उपयुक्त।
• सुरक्षा को मजबूत करने के लिए भौतिक (जैसे, सुरक्षा टोकन) और ज्ञान-आधारित कारकों (जैसे, पासवर्ड) को जोड़ता है।

• उच्च जोखिम वाले वातावरण के लिए डिज़ाइन किया गया, जो अधिकतम सुरक्षा सुनिश्चित करता है।
• उन्नत क्रिप्टोग्राफ़िक उपायों और भौतिक छेड़छाड़ के प्रति हार्डवेयर प्रतिरोध का उपयोग करता है।

• NIST सिंक किए गए पासकी (जैसे iCloud कीचेन के माध्यम से) को AAL2-अनुपालक के रूप में अनुमोदित करता है, जो डिजिटल संस्थाओं के लिए सुरक्षा ढांचे को बढ़ाता है और पासकी को व्यापक रूप से अपनाने का मार्ग प्रशस्त करता है।
• पासकी का उपयोग उच्च जोखिम वाले परिदृश्यों में AAL3-अनुपालक प्रमाणीकरण के रूप में भी किया जा सकता है, यदि वे डिवाइस-बाउंड पासकी हैं, जो AAL2 की तरह उपकरणों में पासकी सिंक्रनाइज़ेशन की अनुमति नहीं देते हैं।

पासकी की AAL-अनुरूपता के बारे में इस ब्लॉग में और पढ़ें।

---

AAL1 बुनियादी प्रमाणीकरण सुरक्षा प्रदान करता है, जिसका उपयोग आमतौर पर कम जोखिम वाले वातावरण में किया जाता है जहाँ उपयोगकर्ता की सुविधा प्राथमिकता होती है।

AAL2 के लिए दो अलग-अलग प्रमाणीकरण कारकों की आवश्यकता होती है, जो AAL1 की तुलना में अनधिकृत पहुंच के जोखिम को काफी कम कर देता है।

AAL3 प्रमाणीकरण आश्वासन का उच्चतम स्तर है, जिसमें हार्डवेयर-आधारित ऑथेंटिकेटर और सत्यापनकर्ता प्रतिरूपण प्रतिरोध जैसे कड़े सुरक्षा उपाय शामिल हैं।

सिंक किए गए पासकी (जैसे iCloud कीचेन के माध्यम से) को AA2 के रूप में वर्गीकृत किया गया है जबकि डिवाइस-बाउंड पासकी को AA3-अनुपालक के रूप में वर्गीकृत किया गया है। इसके बारे में इस ब्लॉग में और पढ़ें।