रैनसमवेयर हमले के बाद: यह साबित करना कि आपके रिकॉर्ड बदले नहीं गए

रिस्टोर रविवार रात को पूरा हुआ। मंगलवार तक खाता-बहियां खुल चुकी हैं, अनुबंध अपने फ़ोल्डरों में वापस आ गए हैं, और वित्त प्रमुख ऑडिटर के साथ कॉल पर हैं। ऑडिटर वह एक सवाल पूछता है जिसका जवाब बैकअप सॉफ़्टवेयर नहीं दे सकता: हमें कैसे पता कि ये वही फ़ाइलें हैं जो घटना से पहले आपके पास थीं?

बैकअप दिखाता है कि अभी आपके पास क्या है। यह नहीं दिखाता कि आखिरी साफ़ कॉपी और रिस्टोर की गई कॉपी के बीच कुछ नहीं बदला। अगर एन्क्रिप्शन शुरू होने से कई दिन पहले कोई नेटवर्क के अंदर था, तो रिस्टोर की गई फ़ाइल में पहले से ही कोई ऐसा बदलाव हो सकता है जिस पर किसी का ध्यान नहीं गया।

रिस्टोर की गई फ़ाइल अकेले क्या साबित नहीं कर सकती

बैकअप से निकाली गई PDF में एक modification date होती है, जिसे उस कंप्यूटर ने लिखा है जिसने उसे आखिरी बार सेव किया था। वह तारीख किसी भी मूल्य पर सेट की जा सकती है। फ़ाइल में इसका कोई रिकॉर्ड नहीं होता कि वह पिछले महीने कैसी दिखती थी, और तब कोई तीसरा पक्ष उसके पीछे खड़ा नहीं था। आपका यह कहना कि वह मेल खाती है, यही पूरा मामला है।

स्विस बहीखाता कानून इससे अधिक की अपेक्षा करता है। व्यावसायिक अभिलेख अध्यादेश (GeBüV) का अनुच्छेद 3 यह अनिवार्य करता है कि व्यावसायिक अभिलेख और लेखा वाउचर इस तरह रखे जाएं कि उन्हें बिना पता चले बदला न जा सके। अनुच्छेद 9 पैराग्राफ 1 अक्षर b परिवर्तनीय स्टोरेज मीडिया की अनुमति इस शर्त पर देता है कि तकनीकी प्रक्रियाएं संग्रहीत जानकारी की अखंडता सुरक्षित करें और संग्रहण का समय ऐसे तरीके से साबित किया जा सके जिसमें जालसाजी न हो सके; अध्यादेश स्वयं डिजिटल हस्ताक्षर प्रक्रियाओं और time stamps को उदाहरण के रूप में बताता है। अनुच्छेद 10 मीडिया की अखंडता और पठनीयता की नियमित जांच, और किसी भी माइग्रेशन का लॉग जोड़ता है, जिसे डेटा के साथ रखा जाए।

रिस्टोर डेटा को एक माध्यम से दूसरे माध्यम में ले जाता है, और अनुच्छेद 10 की कसौटी वही है जो आपका ऑडिटर लगाएगा: क्या वह पूरा और सही संरक्षित रहा, और क्या आप इसे दिखा सकते हैं?

सील क्या जोड़ती है

जब Swiss Trust Layer पर कोई दस्तावेज़ सील किया जाता है, तो फ़ाइल का एक क्रिप्टोग्राफ़िक फ़िंगरप्रिंट निकाला जाता है। वह फ़िंगरप्रिंट, फ़ाइल नहीं, qualified trust service provider Swisscom Trust Services को भेजा जाता है, जो उस पर ऐसी key से हस्ताक्षर करता है जो उसके हार्डवेयर से कभी बाहर नहीं जाती। हस्ताक्षर में RFC 3161 के अनुसार एक timestamp होता है और इसे PDF में एम्बेड किया जाता है। मूल फ़ाइल बदली नहीं जाती। हर सील किए गए फ़ोल्डर संस्करण को एक certificate of proof भी मिलता है, जिसमें हर फ़ाइल उसके फ़िंगरप्रिंट और UTC में सील करने के समय के साथ सूचीबद्ध होती है।

eIDAS विनियमन के अनुच्छेद 41(2) के तहत, एक qualified electronic time stamp को यह अनुमान प्राप्त है कि उसमें दर्शाई गई तारीख और समय सही हैं और जिस डेटा से वे बंधे हैं उसकी अखंडता बनी हुई है। timestamp यह साबित करता है कि ठीक यही फ़ाइल उस क्षण मौजूद थी और तब से बदली नहीं है। यह साबित नहीं करता कि इसे किसने लिखा, इसकी सामग्री सच है या नहीं, या अधिकार किसके पास हैं। रिस्टोर के बाद अखंडता के सवाल के लिए, यही सीमित दावा वह है जिसकी आपको ज़रूरत है।

रिस्टोर के बाद की जांच

सील की गई PDF की रिस्टोर की गई कॉपी लें और उसे swisstrustlayer.com/validate पर सार्वजनिक validator में अपलोड करें। न खाता, न पंजीकरण। यह हस्ताक्षर श्रृंखला, जारी करने वाली certificate authority, प्रमाणपत्र की समाप्ति और timestamp की अखंडता की जांच करता है, फिर बताता है कि किसने, कब, किस प्रमाणपत्र से हस्ताक्षर किए, और क्या हस्ताक्षर के बाद सामग्री बदली गई। यह हस्ताक्षर के metadata को प्रोसेस करता है और दस्तावेज़ को स्टोर नहीं करता।

अगर रिस्टोर की गई फ़ाइल अछूती है, तो validator यही बताता है, और timestamp उस स्थिति को घटना से पहले की तारीख देता है। अगर कुछ भी बदला है, तो फ़िंगरप्रिंट मेल नहीं खाता और validator हस्ताक्षर के बाद बदलाव की रिपोर्ट करता है। दोनों ही स्थितियों में जवाब आपके अपने आश्वासन पर टिका नहीं है, और कोई बैंक, बीमाकर्ता, प्रतिपक्ष या ऑडिटर अपनी मशीन पर वही जांच चला सकता है।

सीमा, साफ़ शब्दों में

यह उन फ़ाइलों के लिए मदद करता है जो घटना से पहले सील की गई थीं। और किसी के लिए नहीं।

रिस्टोर के बाद फ़ाइल सील करना यह साबित करता है कि सील करने के दिन वह फ़ाइल कैसी थी, और उस दिन से आगे का हर बदलाव दिखाएगा। उससे पहले के हफ़्तों के बारे में यह कुछ नहीं कहता। अगर घुसपैठ के दौरान कोई रिकॉर्ड बदला गया और फिर साफ़ सिस्टम पर सील किया गया, तो सील बदले हुए संस्करण को ही स्थिर कर देती है। timestamp पीछे की तारीख से नहीं जोड़ा जा सकता। जो कुछ पहले सील नहीं हुआ, उसके लिए आप वापस अपने शब्द और बैकअप लॉग पर आ जाते हैं, और समझदारी इसी में है कि अभी सील करना शुरू करें।

कौन से रिकॉर्ड सील करें, और कब

सब कुछ सील करना मकसद नहीं है। जिन रिकॉर्ड के बारे में ऑडिटर या प्रतिपक्ष पूछेगा, उनकी सूची छोटी है, और उनमें से ज़्यादातर कैलेंडर के हिसाब से बंद होते हैं:

• क्लोज़िंग लेजर और उनके पीछे के एक्सपोर्ट, हर महीने, तिमाही और साल के अंत में।
• हस्ताक्षरित अनुबंध, जैसे ही आखिरी हस्ताक्षर हो जाए।
• बोर्ड की बैठक के कार्यवृत्त, अध्यक्ष और कार्यवृत्त लेखक के हस्ताक्षर के बाद।
• नीतियां और प्रक्रियाएं, हर स्वीकृत संशोधन पर।
• बैकअप मैनिफ़ेस्ट, यानी हर बैकअप रन में क्या है उसकी सूची। रिस्टोर के बाद, सील किया गया मैनिफ़ेस्ट दिखाता है कि आपने कौन सा बैकअप सेट इस्तेमाल किया और उसकी सूची तब से संपादित नहीं हुई।

Swiss Trust Layer पर हर सील किया गया फ़ोल्डर एक संस्करण इतिहास रखता है। नया संस्करण जोड़ा जा सकता है और अलग से सील किया जा सकता है, अपने प्रमाणपत्र और एक नोट के साथ, इसलिए महीने के अंत का एक फ़ोल्डर साल के अंत तक बारह सील किए गए संस्करण रख सकता है।

सील किया गया मूल कहीं और रखें

सील आपके दस्तावेज़ के फ़िंगरप्रिंट को कवर करती है, इसलिए सील की गई फ़ाइल और उसके प्रमाणपत्र को भी घटना से बचना होगा। अगर रैनसमवेयर उस फ़ोल्डर तक पहुंच जाए जहां सील की गई PDF रखी हैं, तो फ़िंगरप्रिंट उन्हें दोबारा नहीं बना सकता। दोनों को दूसरी जगह रखें, उन सिस्टम से दूर जिन पर हमले की सबसे अधिक संभावना है।

पोर्टल ESCROW Storage को एक वैकल्पिक स्टोरेज विकल्प के रूप में देता है, जो स्विट्ज़रलैंड में होस्ट किया गया है और खाताधारक की सत्यापित पहचान से बंधा है। वहां जमा किए गए सील किए गए फ़ोल्डरों को रिकवरी के लिए एक ESCROW ID मिलती है। Swisscom Trust Services स्टोरेज देता है, ProLitteris escrow चलाता है, Swiss Trust Layer तकनीक देता है। अगर घटना में सभी क्रेडेंशियल खो जाएं, तो पहचान दोबारा सत्यापित की जा सकती है, ऑनलाइन या KYC एजेंट के ज़रिए व्यक्तिगत रूप से, और पहुंच बहाल की जा सकती है।

इस हफ़्ते एक कदम

अनुच्छेद 10 नियमित अखंडता जांच और हर माइग्रेशन का लॉग मांगता है। किसी भी रिस्टोर के बाद, सील की गई फ़ाइलों को validator से गुज़ारें, नतीजे दर्ज करें, और वह रिकॉर्ड डेटा के साथ रखें।

फिर वह एक रिकॉर्ड चुनें जिसका बचाव आप याददाश्त के भरोसे सबसे कम करना चाहेंगे। आखिरी क्लोज़िंग लेजर एक अच्छा उम्मीदवार है। उसे सील करें, सील की गई फ़ाइल और उसका प्रमाणपत्र वहां रखें जहां अगली घटना न पहुंच सके, और अगले महीने के अंत को कैलेंडर में डालें। पूरी प्रक्रिया यह कैसे काम करता है पर है।

Swiss Trust Layer पर अपना पहला दस्तावेज़ सील करें और अगले सवाल का जवाब तैयार रखें।