RPSC भर्ती पोर्टल प्रकरण के बाद राजस्थान पुलिस अलर्ट, संस्थागत वेब पोर्टल्स की सुरक्षा पर जारी की विस्तृत एडवाइजरी
RPSC भर्ती पोर्टल प्रकरण के बाद राजस्थान पुलिस ने संस्थागत वेब पोर्टलों की सुरक्षा को लेकर विस्तृत एडवाइजरी जारी की। जानिए किन कमजोरियों पर चेताया गया और क्या उपाय सुझाए गए।
RPSC भर्ती पोर्टल से जुड़े प्रकरण के बाद राजस्थान पुलिस की साइबर क्राइम शाखा ने संस्थागत वेब पोर्टल्स की सुरक्षा को लेकर विस्तृत साइबर एडवाइजरी जारी करते हुए शैक्षणिक संस्थानों, विश्वविद्यालयों तथा सरकारी एवं निजी संगठनों से अपने डिजिटल प्लेटफॉर्म की सुरक्षा व्यवस्था तत्काल सुदृढ़ करने की अपील की है।
अतिरिक्त महानिदेशक पुलिस साइबर क्राइम श्री वीके सिंह ने बताया कि हाल ही में RPSC भर्ती पोर्टल से जुड़े प्रकरण में पोर्टल में अनधिकृत प्रवेश कर राज्य स्तरीय भर्ती परीक्षा के परिणाम, अभ्यर्थियों की वरीयता सूची तथा आवेदन संबंधी रिकॉर्ड में छेड़छाड़ का मामला सामने आया था। इस मामले में अजमेर पुलिस ने त्वरित कार्रवाई करते हुए आरोपियों को गिरफ्तार किया। उन्होंने कहा कि इस घटना के मद्देनज़र संस्थागत वेब पोर्टलों की सुरक्षा को और मजबूत बनाए जाने की आवश्यकता पर विशेष बल दिया गया है।
एडवाइजरी में पोर्टलों में पाई जाने वाली चार प्रमुख तकनीकी कमजोरियों की पहचान की गई है। इसमें बताया गया है कि यदि सर्वर पर अनुमति की जांच नहीं होती तो यूजर URL या Request में मौजूद ID, जैसे id=1001, बदलकर दूसरे यूजर का डेटा देख सकता है। इसी प्रकार लॉगिन फॉर्म या सर्च बॉक्स में गलत SQL कमांड डालकर डेटाबेस को सीधे प्रभावित किया जा सकता है, जिससे साइबर अपराधी डेटाबेस में मौजूद जानकारी पढ़, बदल या मिटा सकते हैं। इसके अलावा संवेदनशील कार्य, जैसे पासवर्ड बदलने या रीसेट करने के दौरान वर्तमान पासवर्ड अथवा सेशन की पुष्टि नहीं होना भी गंभीर कमजोरी है। लॉगिन, ओटीपी या पासवर्ड रीसेट पर सीमित प्रयासों की पाबंदी नहीं होने से ऑटोमेटेड टूल्स के माध्यम से लाखों बार पासवर्ड का अनुमान लगाने की आशंका भी बनी रहती है।
साइबर क्राइम शाखा ने एडवाइजरी में साइबर अपराधियों के काम करने के तरीके का भी उल्लेख किया है। इसके अनुसार अपराधी सबसे पहले HTTP रिक्वेस्ट और URL में मौजूद कमजोरियों, जैसे recordID=501, की पहचान करते हैं। इसके बाद बॉट्स और स्क्रिप्ट्स के जरिए अलग-अलग IDs भेजकर सिस्टम की परमिशन चेकिंग का परीक्षण करते हैं। सुरक्षा में चूक मिलने पर वे अनधिकृत कमांड चलाकर संवेदनशील डेटा चुरा लेते हैं या रिकॉर्ड में बदलाव कर देते हैं।
एडवाइजरी में बचाव और सुरक्षा के लिए कई महत्वपूर्ण उपाय सुझाए गए हैं। प्रत्येक रिक्वेस्ट पर सर्वर-साइड ऑथराइजेशन की जांच सुनिश्चित करने, क्रमिक IDs (Sequential IDs) के स्थान पर UUID या GUID जैसे रैंडम आइडेंटिफायर्स का उपयोग करने, Prepared Statements, Parameterized Queries अथवा ORM Framework अपनाने तथा फॉर्म, URL, XML और JSON सहित सभी इनपुट की सर्वर-साइड Validation एवं Sanitization करने की सलाह दी गई है। इसके साथ ही पासवर्ड बदलने से पहले वर्तमान पासवर्ड की री-वेरिफिकेशन अनिवार्य करने, संवेदनशील कार्यों के लिए Multi-Factor Authentication (MFA) लागू करने, लॉगिन, ओटीपी और पासवर्ड रीसेट पर सीमित प्रयासों की सीमा तय करने तथा बार-बार असफल प्रयास होने पर अकाउंट को अस्थायी रूप से लॉक करने की भी अनुशंसा की गई है।
राजस्थान पुलिस ने किसी भी प्रकार की साइबर सुरक्षा सेंधमारी या साइबर धोखाधड़ी की स्थिति में तत्काल निकटतम पुलिस स्टेशन अथवा साइबर पुलिस स्टेशन से संपर्क करने और साइबर अपराध रिपोर्टिंग पोर्टल https://cybercrime.gov.in पर शिकायत दर्ज कराने की अपील की है। इसके अलावा साइबर हेल्पलाइन 1930 तथा साइबर हेल्पडेस्क नंबर 9256001930 और 9257510100 पर तुरंत सूचना देने को कहा गया है। साइबर क्राइम शाखा ने स्पष्ट किया है कि संस्थागत वेब पोर्टलों की सुरक्षा को मजबूत बनाना संवेदनशील डिजिटल डेटा की सुरक्षा और साइबर हमलों की रोकथाम के लिए अत्यंत आवश्यक है।
