आरपीएससी पोर्टल में सेंधमारी के बाद साइबर पुलिस की एडवाइजरी, संस्थानों को वेब सुरक्षा मजबूत करने के निर्देश

विश्वविद्यालयों, सरकारी विभागों और निजी संगठनों को सर्वर सत्यापन, सुरक्षित डेटाबेस क्वेरी और मल्टी-फैक्टर ऑथेंटिकेशन लागू करने की सलाह

जयपुर। राजस्थान लोक सेवा आयोग से जुड़े भर्ती पोर्टल में हाल में सामने आई साइबर सेंधमारी के बाद राजस्थान पुलिस की साइबर क्राइम शाखा ने विश्वविद्यालयों, शैक्षणिक संस्थानों तथा सरकारी और निजी संगठनों के लिए विस्तृत सुरक्षा एडवाइजरी जारी की है। संस्थानों से अपने वेब पोर्टल, डेटाबेस और यूजर अकाउंट की सुरक्षा का तत्काल परीक्षण कर तकनीकी खामियां दूर करने को कहा गया है।

हालिया प्रकरण में आरोप है कि एक अभ्यर्थी ने फर्जी सरकारी एसएसओ पहचान, वीपीएन और तकनीकी तरीकों का इस्तेमाल कर भर्ती पोर्टल में अनधिकृत प्रवेश किया तथा सहायक खनन अभियंता भर्ती के तीन अन्य अभ्यर्थियों के आवेदन वापस कर दिए। अजमेर पुलिस ने इस मामले में आरोपी को गिरफ्तार किया था।

संवेदनशील डेटा तक पहुंचने का खतरा

साइबर क्राइम शाखा ने बताया कि कई पोर्टल यूआरएल या रिक्वेस्ट में भेजी गई यूजर आईडी पर निर्भर रहते हैं। सर्वर पर अधिकारों की दोबारा जांच नहीं होने की स्थिति में हमलावर आईडी बदलकर दूसरे उपयोगकर्ता का निजी डेटा देख सकता है।

इस तरह की खामी को तकनीकी भाषा में असुरक्षित प्रत्यक्ष ऑब्जेक्ट संदर्भ या आईडी आधारित अनधिकृत पहुंच कहा जाता है। साइबर अपराधी बॉट और स्वचालित स्क्रिप्ट के माध्यम से अलग-अलग आईडी भेजकर पोर्टल की सुरक्षा जांच सकते हैं।

गलत एसक्यूएल कमांड से डेटाबेस पर हमला

एडवाइजरी में वेबसाइट के सर्च बॉक्स, लॉगिन फॉर्म और अन्य इनपुट फील्ड की सख्त जांच करने को कहा गया है। असुरक्षित फॉर्म में दुर्भावनापूर्ण एसक्यूएल कमांड डालकर हमलावर डेटाबेस में संग्रहित जानकारी पढ़ने, बदलने या मिटाने का प्रयास कर सकते हैं।

संस्थानों को प्रीपेयर्ड स्टेटमेंट, पैरामीटराइज्ड क्वेरी और विश्वसनीय ओआरएम फ्रेमवर्क का उपयोग करने की सलाह दी गई है। यूजर की ओर से भेजे गए किसी भी डेटा पर सीधे भरोसा नहीं करने और सर्वर स्तर पर उसका सत्यापन करने को कहा गया है।

पासवर्ड रीसेट व्यवस्था की दोबारा जांच हो

साइबर शाखा ने चेताया कि वर्तमान पासवर्ड, सक्रिय सेशन या ओटीपी की पुष्टि किए बिना नया पासवर्ड बनाने की सुविधा गंभीर सुरक्षा जोखिम पैदा कर सकती है।

संवेदनशील कार्यों से पहले उपयोगकर्ता की पहचान दोबारा सत्यापित करने और मल्टी-फैक्टर ऑथेंटिकेशन लागू करने की सलाह दी गई है। प्रशासकीय अकाउंट और डेटाबेस एक्सेस वाले यूजर के लिए अतिरिक्त सुरक्षा अनिवार्य करने को कहा गया है।

लॉगिन के असीमित प्रयास रोकें

वेबसाइट या ऐप पर पासवर्ड और ओटीपी डालने के प्रयासों की अधिकतम सीमा निर्धारित नहीं होने पर साइबर अपराधी ऑटोमेटेड टूल से लाखों संभावित संयोजन आजमा सकते हैं।

एडवाइजरी में बार-बार गलत पासवर्ड या ओटीपी डालने पर अकाउंट को कुछ समय के लिए स्वतः लॉक करने, कैप्चा लगाने और संदिग्ध आईपी एड्रेस की निगरानी करने की सलाह दी गई है।

क्रमवार आईडी की जगह सुरक्षित पहचानकर्ता अपनाएं

संस्थानों को क्रमवार संख्या वाली यूजर या रिकॉर्ड आईडी के बजाय यूयूआईडी अथवा जीयूआईडी जैसे कठिन और अनुमान नहीं लगाए जा सकने वाले पहचानकर्ताओं का उपयोग करने को कहा गया है।

हालांकि केवल रैंडम आईडी पर्याप्त सुरक्षा नहीं देती। प्रत्येक रिक्वेस्ट पर सर्वर को यह भी जांचना होगा कि संबंधित उपयोगकर्ता उस रिकॉर्ड को देखने या बदलने के लिए अधिकृत है या नहीं।

लॉग और संदिग्ध गतिविधियों की नियमित निगरानी

संगठनों को पोर्टल पर लॉगिन, पासवर्ड परिवर्तन, रिकॉर्ड संशोधन, आवेदन वापसी और अन्य महत्वपूर्ण गतिविधियों का विस्तृत लॉग सुरक्षित रखने की सलाह दी गई है।

एक ही आईपी से लगातार प्रयास, असामान्य समय पर लॉगिन, एक यूजर द्वारा कई खातों तक पहुंच और रिकॉर्ड में अचानक बदलाव जैसी गतिविधियों पर स्वतः अलर्ट की व्यवस्था करने को कहा गया है।

साइबर घटना पर इन नंबरों पर संपर्क

साइबर अपराध या संदिग्ध गतिविधि सामने आने पर राष्ट्रीय साइबर हेल्पलाइन 1930 पर तत्काल सूचना दी जा सकती है। राजस्थान पुलिस के साइबर हेल्पडेस्क नंबर 9256001930 और 9257510100 पर भी संपर्क किया जा सकता है। राजस्थान पुलिस इन नंबरों के माध्यम से साइबर शिकायतों में सहायता उपलब्ध करा रही है।

संस्थानों को किसी साइबर हमले की स्थिति में संबंधित लॉग, आईपी विवरण और डिजिटल रिकॉर्ड सुरक्षित रखने की सलाह भी दी गई है, ताकि जांच के दौरान इलेक्ट्रॉनिक साक्ष्य नष्ट न हों।