सुरक्षा के मूल सिद्धांत

बग ठीक करना पर्याप्त नहीं है — आपको एक मजबूत नींव चाहिए। इस पाठ में सुरक्षा के मूल सिद्धांतों को शामिल किया गया है, जो शुरुआत से सुरक्षित सॉफ़्टवेयर बनाने की रूपरेखाएँ हैं।

सुरक्षा सिद्धांत उपकरण नहीं, बल्कि सोचने के तरीके हैं: ये मूलभूत नियम किसी भी सिस्टम या भाषा में सुरक्षित डिज़ाइन का मार्गदर्शन करते हैं और कमजोरियों को कम करते हैं।

न्यूनतम विशेषाधिकार: प्रत्येक उपयोगकर्ता या प्रक्रिया को केवल वही अनुमतियाँ दें जिनकी उसे वास्तव में आवश्यकता है — इससे अधिक नहीं। यदि कोई खाता भंग हो जाए, तो इससे नुकसान सीमित रहता है।

व्यवहार में, न्यूनतम विशेषाधिकार का अर्थ है कि रिपोर्ट तैयार करने वाले खाते के पास प्रशासकीय अधिकार नहीं होते और उत्पाद प्राप्त करने वाली सेवा ग्राहक रिकॉर्ड में बदलाव नहीं कर सकती। छोटा कार्यक्षेत्र, कम जोखिम।

सुरक्षा की गहराई: किले की दीवारों और खाइयों की तरह कई स्वतंत्र नियंत्रण-परतें बनाएँ। यदि एक विफल हो जाए, तो अगली परत हमलावर को रोकती रहे।

सुरक्षा की गहराई कई परतों को जोड़ती है: फ़ायरवॉल, प्रमाणीकरण, इनपुट सत्यापन, पहुँच नियंत्रण और एन्क्रिप्शन — प्रत्येक उन कमियों को संभालता है जिन्हें अन्य परतें नहीं संभाल पातीं।

डिज़ाइन द्वारा सुरक्षा: योजना बनाने से लेकर हर चरण में सुरक्षा को शामिल करें। यह सक्रिय दृष्टिकोण है, जिसे बाद में पैबंद की तरह नहीं जोड़ा जाता — सुरक्षा एक मुख्य सुविधा है।

पहले दिन से ही इसे शामिल करें: खतरा मॉडलिंग, सुरक्षित संरचना, कोडिंग मानक और डिज़ाइन तथा कोड समीक्षा के दौरान सुरक्षा समीक्षाओं का उपयोग करें।

ये सिद्धांत एक-दूसरे को मजबूत करते हैं: डिज़ाइन द्वारा सुरक्षा आपको न्यूनतम विशेषाधिकार और सुरक्षा की गहराई लागू करने का मार्गदर्शन करती है, इसलिए किसी एक नियंत्रण की विफलता घातक नहीं होती।

तीन आधारों का पुनरावलोकन: न्यूनतम विशेषाधिकार (न्यूनतम पहुँच), सुरक्षा की गहराई (परतदार नियंत्रण), डिज़ाइन द्वारा सुरक्षा (शुरुआत से सुरक्षा)। अगला विषय: OWASP Top 10।