DigiCert தரவு மீறல் விளக்கம்: காப்பகப்படுத்தப்பட்ட ஒரு அமைப்பு எவ்வாறு அடையாள ஆவணங்களை வெளிப்படுத்தியது, மேலும் இது குறித்து என்ன செய்ய வேண்டும்

இங்கே யாரும் கதவை உடைக்கவில்லை. ஒரு தனிப்பட்ட அறை வெளியில் இருந்து அமைதியாக அணுகக்கூடியதாக மாறியது, அந்நியர்கள் வரவேற்பு மேசையில் சுயமாகப் பதிவுசெய்து கொள்ள முடிந்தது, மேலும் அனுமதிகளில் இருந்த ஒரு பலவீனம் உள்ளே சேமிக்கப்பட்டிருந்த பழைய கோப்புகளை அவர்கள் படிக்க வழிவகுத்தது.

இன்று நவம்பர் 6, 2026, மேலும் இந்த விவகாரம் இப்போது மிக முக்கியமானது; ஏனெனில் மிகவும் பிரபலமான சான்றிதழ் அதிகார அமைப்புகளில் (certificate authorities) ஒன்றான DigiCert, காப்பகப்படுத்தப்பட்ட பதிவுகளின் தரவு மீறல் குறித்து வாடிக்கையாளர்களுக்கு அறிவித்து வருகிறது. அந்தப் பதிவுகளில் வணிகத் தொடர்பு விவரங்கள் மற்றும் சில சந்தர்ப்பங்களில் பாஸ்போர்ட்கள் மற்றும் ஓட்டுநர் உரிமங்கள் போன்ற அடையாள ஆவணங்களும் அடங்கும். நிறுவனத்தின் தொடர் பணிகளுக்கான பட்டியலிலும் இன்றைய தினமே காலக்கெடுவாகக் குறிப்பிடப்பட்டுள்ளது.

நீங்கள் ஒரு DigiCert வாடிக்கையாளராக இருந்தால், நீங்கள் செய்ய வேண்டிய நடைமுறைப் பணிகளின் ஒரு சிறிய பட்டியல் உள்ளது. நீங்கள் வாடிக்கையாளர் இல்லை என்றாலும், இந்தச் சம்பவம் உங்கள் கவனத்திற்குரியதாகும்; ஏனெனில் இதே முறை கிட்டத்தட்ட எந்தவொரு நிறுவனத்திற்குள்ளும் மறைந்திருக்கலாம்: ஒரு பழைய உள் பயன்பாட்டுக் கருவி, ஒரு நெட்வொர்க் மாற்றம், மற்றும் பல ஆண்டுகளாக யாரும் சரிபார்க்காத சில அனுமானங்கள்.

இந்த வழிகாட்டி என்ன நடந்தது என்பதை எளிய மொழியில் விளக்குகிறது, தெரிந்தவற்றையும் தெரியாதவற்றையும் தனித்தனியாகப் பிரித்துக் காட்டுகிறது, மேலும் இரண்டு நடைமுறை உதாரணங்கள் மூலம் விளக்குகிறது. முதலாவதில், Rohit என்ற பாதுகாப்புத் தலைவர் வாடிக்கையாளர் தரப்பில் மேற்கொள்ளப்படும் நடவடிக்கைகளைக் கையாள்கிறார். இரண்டாவதில், Rohit நிறுவனத்தின் சொந்த காப்பகங்களில் ஒன்றில் இதேபோன்ற தோல்வி உள்ளதா என்பதைச் சோதிக்கிறார்.

நாம் தொடங்குவதற்கு முன் ஒரு சிறிய கலைச்சொல் விளக்கம்

சில சொற்கள் அடிக்கடி இடம்பெறுகின்றன, எனவே அவை எளிய வார்த்தைகளில் இங்கே தரப்பட்டுள்ளன.

• Certificate authority: நீங்கள் யார் என்பதைச் சரிபார்த்து, இணையதளங்களும் மென்பொருட்களும் தங்களின் அடையாளத்தை நிரூபிக்க அனுமதிக்கும் டிஜிட்டல் சான்றிதழ்களை வழங்கும் ஓர் அமைப்பு.
• Identity verification: ஒரு நபர் அல்லது நிறுவனத்தை நம்புவதற்கு முன் ஒரு சேவை வழங்குநர் மேற்கொள்ளும் சோதனைகள். இதில் ஆவணங்களைச் சமர்ப்பிப்பதும் அடங்கும்.
• VPN: ஒரு தனிப்பட்ட, குறியாக்கம் செய்யப்பட்ட இணைப்பு. பல உள் அமைப்புகளை இதன் மூலமாக மட்டுமே அணுக முடியும்.
• Multifactor authentication (MFA): கடவுச்சொல்லுடன் சேர்த்து, தொலைபேசி ஒப்புதல் போன்ற இரண்டாவது ஆதாரம் தேவைப்படும் ஒரு உள்நுழைவு.
• Authentication: நீங்கள் யார் என்பதை நிரூபிப்பது.
• Authorisation: உங்கள் அடையாளம் அறியப்பட்டவுடன், நீங்கள் எதைப் பார்க்க அல்லது செய்ய அனுமதிக்கப்படுகிறீர்கள் என்பதைத் தீர்மானிப்பது.

கடைசி இரண்டையும் நினைவில் கொள்ளுங்கள். அவைதான் இந்தக் கதையின் மையக்கருத்து.

என்ன நடந்தது, வரிசைப்படி

சான்றிதழ் அதிகார அமைப்புகளுக்கான Mozilla-வின் பொதுவான இணக்கக் கண்காணிப்பான் (public compliance tracker) மூலம் DigiCert-இன் சம்பவ அறிக்கை வெளியிடப்பட்டது. வாடிக்கையாளர் அறிவிப்புடன் சேர்த்து, அது இந்த வரிசையைத் தருகிறது.

தேதி	என்ன நடந்தது
4 பிப்ரவரி 2025	ஒரு இடம்பெயர்வு, முன்பு VPN மூலம் மட்டுமே கட்டுப்படுத்தப்பட்டிருந்த ஒரு அமைப்பை வெளியில் இருந்து அணுகக்கூடியதாக மாற்றியது
ஜூன் 2026	DigiCert அங்கீகரிக்கப்படாத கணக்குகளைக் கண்டறிந்தது, மேலும் அவை வாடிக்கையாளர் தகவல்களை அணுக முடியாது என்று ஆரம்பத்தில் முடிவுக்கு வந்தது
தேதி குறிப்பிடப்படவில்லை	அதன் நிர்வகிக்கப்படும் பாதுகாப்பு ஆராய்ச்சித் திட்டத்தின் மூலமாக வந்த ஓர் அறிக்கை வெளி கணக்கு உருவாக்கம் குறித்த கவலைகளை எழுப்பியது, அதைத் தொடர்ந்து பாதுகாப்புத் திருத்தங்கள் மேற்கொள்ளப்பட்டன
27 ஜூன் முதல் 2 ஜூலை 2026 வரை	அங்கீகரிக்கப்படாத அணுகல் நிகழ்ந்ததாகப் பின்னர் உறுதிப்படுத்தப்பட்ட காலம்
19 அக்டோபர் 2026	மேலும் மேற்கொள்ளப்பட்ட பரிசோதனையில் வாடிக்கையாளர் பதிவுகளுக்கு அங்கீகரிக்கப்படாத அணுகல் நிகழ்ந்துள்ளது உறுதி செய்யப்பட்டது
6 நவம்பர் 2026	வெளிப்புற வெளிப்பாடு தணிக்கை மற்றும் இறுதிக் கணக்கு எச்சரிக்கை மறுஆய்வுக்கான காலக்கெடுவாகப் பட்டியலிடப்பட்டுள்ளது

இடம்பெயர்வுக்குப் பிறகும் அது கண்டறியப்பட்டதற்கும் இடையே உள்ள இடைவெளியைக் கவனியுங்கள். இந்த அமைப்பு பிப்ரவரி 2025 இல் மாற்றப்பட்டது, மேலும் கணக்குகள் ஜூன் 2026 இல் கண்டறியப்பட்டன. கணக்குகளைக் கண்டறிவதற்கும் அவை எவற்றைப் படித்தன என்பதை உறுதிப்படுத்துவதற்கும் இடையே உள்ள இடைவெளியையும் கவனியுங்கள். அந்த இரண்டாவது இடைவெளி முழு அறிக்கையிலும் மிகவும் பயனுள்ள பாடங்களில் ஒன்றாகும்.

மூன்று சிறிய விஷயங்கள் எவ்வாறு ஒரு பெரிய பிரச்சனையாக மாறின

எந்தவொரு தனிப்பட்ட தோல்வியும் முழுக்கதையும் சொல்லிவிடாது. மூன்று சூழல்கள் ஒன்றாக இணைந்தன.

முதலாவதாக, நெட்வொர்க் தடை மறைந்து போனது. VPN மூலம் பாதுகாக்கப்பட்ட ஒரு அமைப்பு, இடம்பெயர்வின் போது வெளியில் இருந்து அணுகக்கூடியதாக மாறியது. மக்கள் பெரும்பாலும் ஒரு VPN-ஐத்தான் உள் பயன்பாட்டுக் கருவியைப் பாதுகாப்பானதாக மாற்றும் விஷயமாகக் கருதுகிறார்கள். அது மறைந்துவிட்டால், அதன் மேல் கட்டமைக்கப்பட்ட ஒவ்வொரு அனுமானமும் அம்பலப்பட்டுவிடும்.

இரண்டாவதாக, வெளியாட்கள் கணக்குகளை உருவாக்க முடிந்தது. ஒரு சுய பதிவு அம்சம் வெளியாட்களைக் கணக்குகளை உருவாக்க அனுமதித்தது. பணியாளர்கள் பயன்படுத்த வேண்டிய கட்டாயத்திலிருந்த MFA இந்த கணக்குகளுக்கு இருக்கவில்லை.

மூன்றாவதாக, அனுமதி பலவீனம் மீதமுள்ள வேலையைச் செய்துவிட்டது. அந்தப் புதிய கணக்குகளுக்கு எந்தப் பயன்பாட்டு ஒதுக்கீடுகளும் (application assignments) இல்லை. வேறு வார்த்தைகளில் கூறுவதானால், ஏட்டுச் சுரைக்காயாகப் பார்த்தால் அவற்றுக்கு எதுவும் இருந்திருக்கக் கூடாது. ஆனாலும் ஓர் அங்கீகார பலவீனம் (authorisation weakness) காப்பகப்படுத்தப்பட்ட பதிவுகளைப் படிக்கும் அணுகலை அவற்றுக்கு வழங்கியது.

ஒரு அலுவலகக் கட்டிடத்தை கற்பனை செய்து பாருங்கள். அந்தக் கட்டிடம் முன்பு பூட்டப்பட்ட வாயிலுக்குப் பின்னால் (VPN) இருந்தது. ஒரு புனரமைப்புப் பணியின் போது அந்த வாயில் அகற்றப்பட்டது. வரவேற்பு மேசை கேட்பவருக்கு எல்லாம் வருகையாளர் அடையாள அட்டையை வழங்கியது (சுய பதிவு). அந்த அட்டை எந்தக் கதவையும் திறக்கக் கூடாது, ஆனால் ஒரு சேமிப்பறையின் பூட்டு எந்த அட்டையையும் ஏற்றுக் கொண்டது (அனுமதி பலவீனம்).

ஒவ்வொரு பகுதியும் தனித்தனியாகப் பார்க்கும்போது சமாளிக்கக் கூடியதாகத் தோன்றலாம். ஆனால் அவை ஒன்றாக இணைந்து கோப்புகளை அம்பலப்படுத்தின.

Authentication is not authorisation

இதுவே மிக முக்கியமான பாடம், மேலும் இது இந்தச் சம்பவத்தையும் தாண்டிப் பொருந்தக்கூடியது.

உள்நுழைய முடிவது என்பது மிகக் குறைந்த அளவிலான ஒரு விஷயத்தையே நிரூபிக்கிறது. ஒரு கணக்கு உள்ளது மற்றும் யாரோ அதன் நற்சான்றிதழ்களைக் (credentials) கொண்டுள்ளனர் என்பதை மட்டுமே அது கணினிக்குத் தெரிவிக்கிறது. அந்தக் கணக்கால் ஒரு காப்பகத்தில் இருந்து பாஸ்போர்ட் ஸ்கேனை எடுக்க முடியுமா என்பதைப் பற்றி அது எதுவும் சொல்வதில்லை.

பிரபலமான பயன்பாட்டுப் பாதுகாப்புத் திட்டமான OWASP, தனது authorisation வழிகாட்டலில் இவ்விரண்டு செயல்பாடுகளையும் தெளிவாகப் பிரிக்கிறது. Authentication அடையாளத்தை நிறுவுகிறது. Authorisation அந்த அடையாளம் எந்த வளங்களையும் செயல்களையும் அணுகலாம் என்பதைத் தீர்மானிக்கிறது. OWASP மூன்று பழக்கங்களை பரிந்துரைக்கிறது:

• முன்னிருப்பாக அணுகலை மறுக்கவும் (Deny access by default).
• குறைந்தபட்ச சலுகையைப் (least privilege) பயன்படுத்துங்கள், அதாவது ஒவ்வொரு கணக்கும் அதற்கு உண்மையிலேயே தேவையானதை மட்டுமே பெற வேண்டும்.
• ஒவ்வொரு கோரிக்கையிலும் அனுமதிகளைச் சரிபார்க்கவும்.

ஒரு காப்பகத்திற்குப் பயன்படுத்தும்போது, இந்தக் கொள்கைகளின்படி, ஒரு தெளிவான, நியாயமான அனுமதி வழங்கப்படும் வரை ஒரு புதிய கணக்கு எந்த வாடிக்கையாளர் பதிவுகளையும் பெறக்கூடாது. எந்தவொரு பாத்திரம் (role) அல்லது பயன்பாட்டு ஒதுக்கீடும் இல்லாதபோது அணுகல் மறுக்கப்பட வேண்டுமே தவிர, ஒருபோதும் இயல்புநிலை மாற்று அனுமதியாக மாறிவிடக்கூடாது.

நியாயமாகவும் துல்லியமாகவும் சொல்ல வேண்டுமென்றால், அது OWASP-இன் வழிகாட்டுதலின் ஒரு கட்டமைப்பு ரீதியான தாக்கமாகும். DigiCert தனது அமைப்பை எவ்வாறு கட்டமைத்தது என்பது பற்றிய கூடுதல் கண்டுபிடிப்பு அல்ல.

முதல் விசாரணை இதை ஏன் தவறவிட்டது

DigiCert ஜூன் 2026 இல் கணக்குகளைக் கண்டறிந்தது, மேலும் அவை வாடிக்கையாளர் தகவல்களை அணுக முடியாது என்று முதலில் முடிவுக்கு வந்தது. பிந்தைய ஆய்வுகள் மாறாகக் காட்டின.

இதைச் செய்வது மிகவும் எளிதானது, மேலும் புரிந்துகொள்ளத் தக்கது. ஒரு நிர்வாகி ஒரு மேலாண்மைத் திரையைத் திறந்து, எந்தப் பாத்திரங்களும் இல்லாத ஒரு கணக்கைப் பார்த்து, அதனால் எதுவும் செய்ய முடியாது என்று நியாயமான முடிவுக்கு வருகிறார். ஆனால் அந்தத் திரை பெயர்ப்பலகைகளை (labels) மட்டுமே காட்டுகிறது. கணக்கு எதையாவது கோரும்போது பயன்பாடு உண்மையில் எதைத் திருப்பித் தரும் என்பதை அது காட்டுவதில்லை. ஒதுக்கீடு எதுவும் இல்லாதது போல் தோன்றும் ஒரு கணக்கும்கூட, மத்திய கணக்கு மேலாண்மை இடைமுகத்திலிருந்து மாறுபட்டு செயல்படும் அணுகல் சோதனைகளைக் கொண்ட முனையங்களை (endpoints) சென்றடையக்கூடும்.

எனவே எதிர்பாராத ஒரு கணக்கு மூன்று கேள்விகளை எழுப்ப வேண்டும்:

1. அதன் நடைமுறை அனுமதிகள் (effective permissions) என்ன, அதாவது அதனால் உண்மையில் என்ன செய்ய முடியும்?
2. அது என்ன அமர்வுகளைத் (sessions) திறந்தது?
3. அது உண்மையில் எந்த வளங்களைக் கோரியது?

இதே வரிசையில் இரண்டாவது பாடம் ஒன்று உள்ளது. ஓர் அணுகல் வழியை மூடுவதும், நீங்கள் அதை மூடுவதற்கு முன்பு என்ன நடந்தது என்பதைக் கண்டறிவதும் இரண்டு தனித்தனிப் பணிகள். DigiCert திருத்தங்களை அறிமுகப்படுத்தியது, ஆனால் அந்தத் திருத்தங்கள் பதிவுகள் ஏற்கனவே அணுகப்பட்டதா என்பதை உடனடியாக நிறுவவில்லை. அக்டோபர் 19 அன்று மேற்கொள்ளப்பட்ட பரிசோதனை மட்டுமே ஜூன் 27 முதல் ஜூலை 2 வரை அணுகல் நிகழ்ந்ததை உறுதிப்படுத்தியது.

அனுமதித் தோல்வியை நீங்கள் எப்போது சரிசெய்தாலும், பின்னோக்கிப் பார்க்க மறக்காதீர்கள். ஏற்கனவே இருந்த கணக்குகள் அல்லது அமர்வுகள் உட்பட, இந்தத் திருத்தத்திற்கு முன்பு இதே தோல்வி பயன்படுத்தப்பட்டதா?

எவை வெளிப்படுத்தப்பட்டன, மற்றும் அடையாள ஆவணங்கள் ஏன் எல்லாவற்றையும் மாற்றுகின்றன

வெளிப்படுத்தப்பட்ட தகவல்களில் பெயர்கள், வணிக மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் மற்றும் வணிக முகவரிகள் ஆகியவை அடங்கும். சில பதிவுகளில் அடையாளச் சரிபார்ப்பிற்காகச் சமர்ப்பிக்கப்பட்ட ஆவணங்களும் இருந்தன.

யார் பாதிக்கப்பட்டார்கள் என்பதைத் தீர்மானிக்க அடையாள ஆவணங்களை இன்னும் மதிப்பாய்வு செய்து வருவதாகவும், அந்த மதிப்பாய்வு முடிந்ததும் பாதிக்கப்பட்ட நபர்களுக்குத் தெரிவிக்கப்படும் என்றும் DigiCert கூறுகிறது.

சம்பந்தப்பட்ட நபர்களுக்கு, இதில் மிகப்பெரிய வித்தியாசம் உள்ளது. அலுவலக மின்னஞ்சல் பதிவில் உள்ள ஒருவருக்கு ஒரு விதமான கவலைகள் இருக்கும். பாஸ்போர்ட் ஸ்கேன் பதிவில் கிடைத்த ஒருவருக்கு முற்றிலும் மாறுபட்ட கவலைகள் இருக்கும். பாஸ்போர்ட்டில் அச்சிடப்பட்ட விவரங்களை மாற்றுவதை விட மின்னஞ்சல் முகவரியை மிக எளிதாக மாற்றிவிட முடியும்.

சான்றிதழ் வழங்குநருடனான தற்போதைய உறவைப் பயன்படுத்திக் கொள்ளும் செய்திகள் உட்பட, இலக்கு வைக்கப்பட்ட ஆள்மாறாட்டத்திற்கான (targeted impersonation) சாத்தியக்கூறுகளை Brandefense-இன் மதிப்பீடு சுட்டிக்காட்டுகிறது. சரிபார்ப்பு ஆவணங்களை வழங்கிய பிரதிநிதிகள் யார் என்பதைக் கண்டறிந்து, சந்தேகத்திற்கிடமான தொடர் கோரிக்கைகள் குறித்து அவர்களை எச்சரிக்குமாறு அது பரிந்துரைக்கிறது.

இதோ நம்பத்தகுந்த ஓர் உதாரணம், ஆனால் இது ஒரு அனுமானம் மட்டுமே. உங்கள் சான்றிதழ்களில் தடங்கல் ஏற்படுவதைத் தவிர்க்க உங்கள் நிறுவனம் அதன் அடையாளச் சரிபார்ப்பை மீண்டும் செய்ய வேண்டும் என்று ஒரு செய்தி கூறுகிறது. இது நம்பும்படியாகத் தோன்றலாம், ஏனெனில் அதில் துல்லியமான பெயர்கள், தொடர்பு விவரங்கள் மற்றும் உங்கள் சேவை வழங்குநர் பற்றிய தகவல்கள் இடம்பெற்றிருக்கலாம்.

இவை சாத்தியமான அபாயங்கள் மற்றும் விவேகமான முன்னெச்சரிக்கைகள் மட்டுமே. குற்றவாளிகள் இந்தத் தரவு மீறலை மோசடிக்குப் பயன்படுத்தியுள்ளனர் என்பதை இவை காட்டவில்லை.

எது பாதிக்கப்படவில்லை என்று DigiCert கூறுகிறது

இந்தப் பகுதி முக்கியமானது, மேலும் கெட்ட செய்தியைப் போலவே இதுவும் சமமான கவனத்திற்குரியது.

தனது சான்றிதழ் வழங்கும் சேவைகள், CertCentral மற்றும் DigiCert ONE ஆகியவை பாதிக்கப்படவில்லை என்று DigiCert கூறுகிறது. வாடிக்கையாளரின் உள்நுழைவு நற்சான்றிதழ்கள் மற்றும் வழங்கப்பட்ட சான்றிதழ்கள் பாதுகாப்பாக உள்ளன என்றும், இந்தச் சம்பவத்தின் காரணமாக வாடிக்கையாளர்கள் செயலில் உள்ள சான்றிதழ்களை மாற்ற வேண்டிய அவசியமில்லை என்றும் அது கூறுகிறது.

அங்கீகரிக்கப்படாத கணக்கால் பதிவுகளை மாற்றவோ, சரிபார்ப்புகளை அங்கீகரிக்கவோ அல்லது சான்றிதழ்களை வழங்கவோ முடியாது என்றும், சான்றிதழ் வழங்கல், சரிபார்ப்பு அல்லது ரத்துசெய்தல் தொடர்பான எந்தவொரு செயல்பாடும் தனது மதிப்பாய்வில் காணப்படவில்லை என்றும் நிறுவனம் கூறுகிறது.

எனவே வாடிக்கையாளர்களின் உடனடி நடவடிக்கை என்பது வெளிப்படுத்தப்பட்ட தகவல்கள் மற்றும் அதன் பின்னணியில் உள்ள நபர்களைப் பற்றியது மட்டுமே. நிறுவனத்தின் அறிக்கையின்படி, இந்தச் சம்பவத்தால் அவசர அவசரமாகச் சான்றிதழ்களை மாற்ற வேண்டிய அவசியம் இல்லை.

இதைப் பற்றிச் சிந்திக்க ஒரு பயனுள்ள வழி உள்ளது. மீறலின் தாக்கம் தனித்தனி பரிமாணங்களைக் கொண்டுள்ளது:

• Confidentiality தகவல் வெளிப்படுத்தப்பட்டதா என்று கேட்கிறது.
• Integrity பதிவுகள் அல்லது செயல்முறைகள் மாற்றப்பட்டனவா என்று கேட்கிறது.

எழுதுவதற்கான அணுகல் (write access) மீதான கட்டுப்பாடு ஒருமைப்பாட்டைப் (integrity) பாதுகாக்கலாம், ஆனால் முக்கியமான தகவல்களை வெளிப்படுத்தியிருக்கக்கூடும். வாசிப்புக்கான அணுகல் (read-only access) பாதிப்பில்லாதது போல் தோன்றலாம், ஆனால் சிதைந்த அணுகல் கட்டுப்பாட்டின் (broken access control) சாத்தியமான விளைவாக அங்கீகரிக்கப்படாத வாசிப்பை OWASP பட்டியலிடுகிறது; மேலும் வளங்கள் எவ்வளவு முக்கியமானவை என்பதைப் பொறுத்து இதன் தீவிரம் அமைகிறது. வாசிப்பு அணுகல் தனிப்பட்ட பதிவுகளை எட்டும்போது, "read-only" என்பது எந்த வகையிலும் ஆறுதல் அளிக்காது.

DigiCert என்ன மாற்றங்களைச் செய்துள்ளது

சம்பவ அறிக்கை இந்தத் திருத்த நடவடிக்கைகளைப் பட்டியலிடுகிறது:

• சுய பதிவு முடக்கப்பட்டது.
• Private endpoints.
• வணிக அமைப்பு பயனர்களுக்கான கடவுச்சொல் மறுவடிவமைப்புகள்.
• கூடுதல் கண்காணிப்பு.
• அனுமதிகள் மறுஆய்வு.

ஒரு வெளிப்புற வெளிப்பாடு தணிக்கை மற்றும் இறுதிக் கணக்கு எச்சரிக்கை மறுஆய்வு ஆகியவை 6 நவம்பர் 2026 காலக்கெடுவுடன் நடைபெற்று வருவதாகப் பட்டியலிடப்பட்டுள்ளன.

பெரிய கட்டமைப்பு ரீதியான அம்சம் NIST-இன் Zero Trust Architecture வழிகாட்டுதலுடன் ஒத்துப்போகிறது. ஒரு அமைப்போ அல்லது கணக்கோ அதன் நெட்வொர்க் இருப்பிடம் அல்லது உரிமையின் காரணமாக மட்டுமே மறைமுகமான நம்பிக்கையைப் பெறக்கூடாது என்று NIST கூறுகிறது. பாதுகாப்பு என்பது வளங்கள் மற்றும் தெளிவான அணுகல் முடிவுகளை மையமாகக் கொண்டிருக்க வேண்டும்.

அது ஒவ்வொரு நிறுவனத்திற்கும் ஒரு எளிய மற்றும் சற்று சங்கடமான சோதனையை அளிக்கிறது:

ஃபயர்வால் விதி, ரூட்டிங் மாற்றம் அல்லது இடம்பெயர்வு எதிர்பாராதவிதமாக இந்த பயன்பாட்டை அணுகக்கூடியதாக மாற்றினால், அது அங்கீகரிக்கப்படாத கோரிக்கையை இன்னமும் மறுக்குமா?

நெட்வொர்க் கட்டுப்பாடுகள் இன்னமும் பயனுள்ளவைதான். ஆனால் அவை மட்டுமே கதவை மூடி வைத்திருக்கும் ஒரே விஷயமாக இருக்கக்கூடாது.

இன்னமும் நமக்குத் தெரியாதவை என்ன

நேர்மையான அறிக்கை என்பது விடுபட்டவற்றையும் பட்டியலிடுவதாகும்.

• பாதிக்கப்பட்ட நபர்கள், நிறுவனங்கள் அல்லது அடையாள ஆவணங்களின் மொத்த எண்ணிக்கையை பொது வெளிப்பாடு வெளியிடவில்லை.
• கணக்கை இயக்கியவர் யார் என்பது பொதுவெளியில் அடையாளம் காணப்படவில்லை என்று Cybersixt-இன் சுயாதீன செய்தி அறிக்கை குறிப்பிடுகிறது.
• அந்த எண்கள் இல்லாமல், "காப்பகப்படுத்தப்பட்ட தரவின் ஒரு சிறிய பகுதி" போன்ற ஒரு விளக்கம் எத்தனை பேருக்கு ஆதரவு தேவைப்படுகிறது என்பதையோ அல்லது ஒவ்வொரு நபரின் வெளிப்பாடும் எவ்வளவு தீவிரமானது என்பதையோ நமக்குச் சொல்ல முடியாது.

அளவைக் குறிப்பிடும் எந்தவொரு தலைப்புச் செய்தியிலும் கவனமாக இருங்கள். தற்போதைக்கு, அந்த எண் பொதுவெளியில் இல்லை.

நடைமுறை உதாரணம் 1: வாடிக்கையாளர் தரப்பில் Rohit நடவடிக்கை எடுக்கிறார்

இப்போது ஒரு கற்பனையான நிறுவனத்தைப் பார்ப்போம். Acme என்பது ஒரு வழங்குநரிடமிருந்து சான்றிதழ்களை வாங்கும் நடுத்தர அளவிலான ஒரு நிறுவனமாகும். அதன் பாதுகாப்புத் தலைவர் Rohit, வெள்ளிக்கிழமை காலையில் இந்தச் செய்தியைப் பெறுகிறார். பெயர் மற்றும் முகவரி உட்பட கீழே உள்ள அனைத்தும் விளக்கத்திற்காக மட்டுமே.

படி 1: சான்றிதழ்களுடன் தொடங்காதீர்கள்

Rohit-இன் முதல் உள்ளுணர்வு சான்றிதழ்களைச் சரிபார்ப்பதாகவே இருக்கிறது, ஆனால் வழங்குநரின் அறிக்கையோ செயலில் உள்ள சான்றிதழ்களை மாற்ற வேண்டிய அவசியமில்லை என்று கூறுகிறது. அவற்றை அவசரமாக மாற்றுவது உண்மையான பிரச்சனைக்குத் தீர்வு காணாமல் ஆபத்தையும் கூடுதல் வேலையையும் உருவாக்கும். அன்றைய தினத்திற்கான உண்மையான கேள்வியை Rohit குறித்துக் கொள்கிறார்: நம் ஆட்களில் யாருடைய தகவல்கள் வெளிப்படுத்தப்பட்டுள்ளன?

படி 2: நபர்களின் பட்டியலை உருவாக்குங்கள்

Acme-க்காக இந்த சேவை வழங்குநருடன் யாரெல்லாம் தொடர்பு கொண்டிருந்தார்கள் என்று Rohit சான்றிதழ் மேலாண்மைக் குழுவிடம் கேட்கிறார். காப்பகங்கள் நீண்ட காலத்திற்கு முன்பு வெளியேறிய நபர்களையும் நினைவில் வைத்திருக்கும் என்பதால், முன்னாள் ஊழியர்களும் இதில் கணக்கில் எடுத்துக்கொள்ளப்படுவர்.

இந்தப் பட்டியல் எளிமையானது மற்றும் ஒவ்வொரு நபருக்கும் மூன்று கேள்விகளுக்குப் பதிலளிக்கிறது:

Name         Role              Gave contact details   Gave identity document
A. Sample    Network engineer  yes                    unknown
B. Sample    Finance manager   yes                    yes (from old emails)
C. Sample    Former employee   yes                    unknown

"unknown" என்ற சொல் நேர்மையானது மற்றும் பயனுள்ளது. அது அடுத்தடுத்த கேள்விகளாக மாறுகிறது.

படி 3: சப்ளையரிடம் துல்லியமான கேள்விகளைக் கேளுங்கள்

தெளிவற்ற மின்னஞ்சலுக்கு தெளிவற்ற பதில்தான் கிடைக்கும். Rohit நிறுவப்பட்ட கணக்குத் தொடர்பு வழியாக இந்தக் கேள்விகளை அனுப்புகிறார்:

1. நம்முடைய நபர்களில் யார் மற்றும் எந்த ஆவணங்கள் இதில் தொடர்பு கொண்டிருந்தன?
2. அவை அணுகப்பட்டன என்பதை எந்த ஆதாரம் உறுதிப்படுத்துகிறது?
3. மேலும் தனிப்பட்ட அறிவிப்புகளை அனுப்ப நீங்கள் எதிர்பார்க்கிறீர்களா?

பின்னர் Rohit ஒவ்வொரு பதிலையும் ஒரு தேதியுடன் பதிவு செய்கிறார், இதன் மூலம் என்ன விஷயம் எப்போது தெரிந்தது என்பதை குழுவினர் பின்னர் சொல்ல முடியும்.

படி 4: தனியுரிமை மற்றும் HR குழுக்களை ஈடுபடுத்துங்கள்

சான்றிதழ்கள் பற்றிய தொழில்நுட்ப உத்தரவாதம் ஊழியர்களின் தேவைகளை மறைக்கக் கூடாது. Rohit சான்றிதழ் குழு, பாதுகாப்பு மற்றும் தனியுரிமை சகாக்களை ஒன்றிணைக்கிறார். பட்டியலில் உள்ள நபர்களைப் பொறுத்தவரை, கேள்வி தனிப்பட்ட ஒன்று: "எனது பாஸ்போர்ட் அதில் இருந்ததா?" அவர்களுக்குப் பதில் கிடைத்தவுடன் நேரடியான பதிலும், அதுவரை ஒரு தெளிவான "எங்களுக்கு இன்னும் தெரியவில்லை" என்ற பதிலும் கிடைக்க வேண்டும்.

படி 5: தாக்குதல் நடத்துபவர் அவர்களை அணுகும் முன்பே நபர்களை எச்சரிக்கவும்

பட்டியலில் உள்ள அனைவருக்கும் Rohit ஒரு சிறிய குறிப்பை அனுப்புகிறார்:

You may be contacted about our certificate provider.
Do not upload identity documents, click links or confirm details
because of a message, even one that uses accurate names.
Report it to [email protected]. We will verify it through a
known contact.

முழு நடவடிக்கையிலும் இதுவே மிக முக்கியமான மனித நிலையிலான படியாகும். மாற்று அடையாள ஆவணங்களைப் பதிவேற்றுவதற்கான எந்தவொரு அறிவுறுத்தலும், அறியப்பட்ட தொடர்பு அல்லது அங்கீகரிக்கப்பட்ட சேவையின் மூலம் சுயாதீனமாகச் சரிபார்க்கப்பட வேண்டும்.

படி 6: வழக்கமான பாதுகாப்புப் பழக்கத்தை (hygiene) மேற்கொண்டு, அதைச் சரியாகக் குறிப்பிடுங்கள்

Rohit வழங்குநரின் போர்ட்டலில் கணக்கின் பயனர்கள் மற்றும் API விசைகளை மதிப்பாய்வு செய்து, முன்னாள் ஊழியரின் அணுகலை நீக்குகிறார். இது வழக்கமான பாதுகாப்புப் பழக்கமாகும் (security hygiene). சமரசம் செய்யப்பட்ட நற்சான்றிதழ்களுக்கான எதிர்வினை என்று இதை விவரிக்கக் கூடாது, ஏனெனில் அவை தொடர்ந்து பாதுகாப்பாக இருப்பதாக வழங்குநர் கூறுகிறார். துல்லியமான சொற்கள் நிறுவனத்திற்குள் வதந்திகள் பரவுவதைத் தடுக்கின்றன.

படி 7: வழக்கை நிலுவையில் (open) வைக்கவும்

வழங்குநர் இன்னும் அடையாள ஆவணங்களை மதிப்பாய்வு செய்து வருவதால், வழக்கு திறந்த நிலையிலேயே உள்ளது. Rohit ஒவ்வொரு வாரமும் ஒரு சரிபார்ப்பைத் திட்டமிட்டு, சப்ளையரின் அறிவிப்புகள் முடிவடைந்து, பட்டியலில் உள்ள ஒவ்வொரு நபருக்கும் பதில் கிடைத்த பின்னரே அதை மூடுகிறார்.

செயல்முறை உதாரணம் 2: Acme-இன் சொந்தக் காப்பகத்தை Rohit சோதிக்கிறார்

அடுத்ததாக மிகவும் மதிப்புமிக்க கேள்வி வருகிறது. இது நமக்கும் நடக்க முடியுமா? Rohit ஒரு பழைய உள் கருவியைத் தேர்வு செய்கிறார், archive.example.com, இது ஸ்கேன் செய்யப்பட்ட சப்ளையர் ஒப்பந்தங்களைக் கொண்டுள்ளது. ஊழியர்கள் இதை VPN வழியாக அணுகுகிறார்கள். அனைவரும் இது பாதுகாப்பானது என்றே கருதுகின்றனர். உங்களுக்குச் சொந்தமான அல்லது சோதிக்க அனுமதி உள்ள அமைப்புகளில் மட்டுமே இது போன்ற சோதனைகளைச் செய்யுங்கள்.

படி 1: நீங்கள் எதை வைத்திருக்கிறீர்கள், ஏன் வைத்திருக்கிறீர்கள் என்பதைப் பட்டியலிடுங்கள்

எதையும் சோதிக்கும் முன், ஆவணங்கள் குறித்த நான்கு கேள்விகளுக்கு Rohit பதிலளிக்கிறார்:

• அவை ஏன் சேகரிக்கப்பட்டன?
• நகல்கள் எங்கே இருக்கின்றன?
• அவற்றை யாரால் மீட்டெடுக்க முடியும்?
• அணுகல் எவ்வாறு கண்காணிக்கப்படுகிறது?

முதல் கேள்வி பெரும்பாலும் விரைவான தீர்வைத் தரும். ஸ்கேன் செய்யப்பட்ட ஆவணம் ஏன் இன்னும் வைத்திருக்கப்படுகிறது என்பதை யாராலும் விளக்க முடியவில்லை என்றால், அதைத் தனியுரிமைக் குழுவிடம் கொண்டு செல்வது நல்லது.

படி 2: ஒரு கணக்கை உருவாக்குவதற்கான ஒவ்வொரு வழியையும் கண்டறியவும்

Rohit பதிவுப் பக்கங்கள் (sign-up pages), அழைப்பு இணைப்புகள் (invitation links) மற்றும் single sign-on அமைப்புகளைத் தேடுகிறார். ஒரு self-registration அம்சம் பழைய மென்பொருளுக்குள் பல ஆண்டுகளாக மறக்கப்பட்டு கிடக்கலாம். ஊழியர்களால் உருவாக்கப்படாத கணக்குகள் உட்பட ஒவ்வொரு கணக்கிற்கும் அதே MFA விதி பொருந்துமா என்பதையும் Rohit உறுதிப்படுத்துகிறார்.

படி 3: நெட்வொர்க் தடை இல்லை என்று வைத்துக்கொள்ளுங்கள்

VPN பாதையைத் தவிர்க்கும் ஒரு சோதனை நெட்வொர்க்கிலிருந்து, அங்கீகரிக்கப்பட்ட ஒரு சோதனைச் சூழலில், Rohit செயலியை நேரடியாக முயற்சிக்கிறார். பின்னர், எந்தப் பங்கும் (role) இல்லாத ஒரு புதிய கணக்கின் மூலம், Rohit ஒரு பதிவைக் கோருகிறார்:

curl -s -o /dev/null -w "%{http_code}\n" \
  -H "Authorization: Bearer REPLACE_WITH_TEST_TOKEN" \
  https://archive.example.com/api/documents/1001

Rohit எதிர்பார்க்கும் பதில் 401 அல்லது 403, அதாவது கோரிக்கை நிராகரிக்கப்பட்டது என்று பொருள். ஒரு 200 என்பது அந்தக் கணக்கு ஆவணத்தைப் பெற்றுவிட்டது என்பதைக் குறிக்கிறது, மேலும் நிர்வாகத் திரையில் அந்தக் கணக்கிற்கு "has no permissions" என்று இருந்தாலும் கூட இது ஒரு குறைபாடே ஆகும்.

படி 4: முதன்மை வழியை மட்டுமல்லாமல், ஒவ்வொரு வழியையும் சோதிக்கவும்

அனுமதிச் சரிபார்ப்புகள் பக்கங்களுக்கு இடையே வேறுபடலாம், எனவே Rohit தேடல், export, download மற்றும் API endpoints முழுவதும் கோரிக்கையை மீண்டும் செய்கிறார். வலை இடைமுகங்கள் ஒரு பொத்தானை மறைக்கக்கூடும், ஆனால் அதன் பின்னணியில் உள்ள சேவையகம் (server) தொடர்ந்து பதிலளிக்கலாம். சோதனை எப்போதும் சேவையகத்திடமே கேட்க வேண்டும்.

படி 5: இயல்பாகவே நிராகரிப்பை (deny-by-default) நடைமுறைப்படுத்துங்கள்

லாஜிக் இந்த அமைப்பைப் பின்பற்றுகிறதா என்பதை உறுதிப்படுத்துமாறு டெவலப்பர்களிடம் Rohit கேட்கிறார். இது deny-by-default என்பதற்கான எளிய விளக்கமாகும், எந்தவொரு உண்மையான தயாரிப்பின் குறியீடும் அல்ல:

def can_read(user, document):
    if user is None:
        return False
    # No explicit grant means no access. There is no fallback.
    return document.id in user.explicit_grants

இதில் விடுபட்டிருப்பது என்ன என்பதுதான் முக்கியமானது. இதில் "otherwise allow" என்ற கிளை எதுவும் இல்லை, மேலும் எந்த ஒதுக்கீடும் இல்லாத கணக்கிற்கு எந்தப் பதிவுகளும் கிடைக்காது.

படி 6: முக்கியமான சமிக்ஞையைக் கவனியுங்கள்

புதிய வெளிப்புற கணக்குகளுக்கும், உருவாக்கப்பட்ட சிறிது நேரத்திலேயே பல ஆவணங்களைப் படிக்கும் எந்தவொரு கணக்கிற்கும் Rohit எச்சரிக்கைகளைச் (alerts) சேர்க்கிறார். ஒரு புதிய கணக்கின் மீதான எச்சரிக்கை, அந்தக் கணக்கு உண்மையில் என்ன செய்தது என்பதை யாராவது சரிபார்த்தால் மட்டுமே பயனுள்ளதாக இருக்கும்.

படி 7: சரிபார்ப்புப் பட்டியலில் இடப்பெயர்வுகளைச் (migrations) சேர்க்கவும்

இறுதியாக, Rohit இடப்பெயர்வு மதிப்பாய்வை (migration review) மாற்றுகிறார். முன்பு அது, "இடப்பெயர்வுக்குப் பிறகு அமைப்பு செயல்படுகிறதா?" என்று கேட்டது. இப்போது அது, "முன்பு அணுக முடியாத எவற்றை இப்போது அணுக முடிகிறது, அந்தச் சேவைகள் எவ்வாறு செயல்படுகின்றன?" என்றும் கேட்கிறது. ஒரு அமைப்பை யார் அணுக முடியும் என்பது குறித்த அனுமானங்கள், அவை அமைக்கப்பட்ட உள்கட்டமைப்பை விட நீண்ட காலம் நீடிக்கக்கூடும்; பழைய வணிகக் கருவிகளில்தான் இது அதிகமாக நிகழ்கிறது.

பாதுகாப்புத் தலைவர்களுக்கான விரிவான பாடம்

காப்பகங்கள் மந்தமாகத் தோன்றுவதால், அவை நேரலை அமைப்புகளை (live systems) விடக் குறைந்த கவனத்தையே பெறுகின்றன. ஆனால் உள்ளே இருக்கும் தரவு பெரும்பாலும் பழமையானது, குறைவாக மதிப்பாய்வு செய்யப்பட்டது மற்றும் அதே அளவிற்கு முக்கியத்துவம் வாய்ந்தது. ஒரு காப்பகத்தின் குறைந்த செயல்பாட்டுக் கவனிப்பானது, அதில் உள்ள தகவல்களுக்குப் பயன்படுத்தப்படும் பாதுகாப்பைக் குறைக்கக் கூடாது.

ஒரு சரிபார்ப்பு ஆவணத்தின் சேகரிப்பு முதல் நீக்குதல் வரையிலான முழு வாழ்நாளையும் கவனியுங்கள். அது ஏன் சேகரிக்கப்படுகிறது, நகல்கள் எங்கு இருக்கின்றன, அதை யாரால் மீட்டெடுக்க முடியும் மற்றும் அணுகல் எவ்வாறு கண்காணிக்கப்படுகிறது என்பதைத் தீர்மானியுங்கள். ஒரு இடப்பெயர்வு அவற்றை உங்கள் மீது திணிப்பதற்கு முன்பே அந்தக் கேள்விகளைக் கேளுங்கள்.

முடிவுரை

DigiCert சம்பவம் என்பது சான்றிதழ்கள் போலியாக உருவாக்கப்பட்ட ஒரு கதை அல்ல. நிறுவனத்தின் கூற்றுப்படி, சான்றிதழ் செயல்பாடுகள் பாதுகாப்பாகவே இருந்தன. இது அணுகக்கூடியதாக மாறிய ஒரு அமைப்பு, எதையும் பார்த்திருக்கக் கூடாத கணக்குகள் மற்றும் முக்கியப் பதிவுகளை எட்டிய வாசிப்பு அணுகல் (read access) பற்றிய ஒரு கதையாகும். நீங்கள் ஒரு வாடிக்கையாளராக இருந்தால், பாதிக்கப்பட்ட நபர்கள் யார் என்பதைக் கண்டறிந்து, அவர்களை எச்சரித்து, எதிர்பாராத ஒவ்வொரு கோரிக்கையையும் அறியப்பட்ட வழியின் மூலம் சரிபார்க்கவும். நீங்கள் வேறு யாராக இருந்தாலும், நெட்வொர்க் தடை ஏற்கனவே நீங்கிவிட்டது என்ற அனுமானத்தின் அடிப்படையில் உங்கள் காப்பகங்களைச் சோதிக்கவும், ஏனெனில் ஒரு நாள் ஒரு இடப்பெயர்வு அதை உண்மையாக்கிவிடக்கூடும்.

நன்மைகள்

• வாடிக்கையாளர்களுக்கு செயலில் உள்ள சான்றிதழ்களை மாற்ற வேண்டிய அவசியமில்லாத தெளிவான, நடைமுறை சார்ந்த படிகள் உள்ளன.
• பொதுவான சம்பவ அறிக்கை ஒவ்வொரு குழுவும் கற்றுக்கொள்வதற்கான ஒரு நிஜ வாழ்க்கை நிகழ்வை வழங்குகிறது.
• இங்கு விவரிக்கப்பட்டுள்ள சோதனை செலவு குறைவானது மற்றும் எந்தவொரு பழைய உள் கருவிக்கும் வேலை செய்யும்.
• சேமிக்கப்பட்ட ஆவணங்களை மதிப்பாய்வு செய்வது, இனி தேவையில்லாத தரவை அகற்றுவதன் மூலம் எதிர்கால அபாயத்தைக் குறைக்கும்.
• Authorisation-ஐ ஒரு தனி கட்டுப்பாடாகக் கருதுவது, நெட்வொர்க் அமைப்புகள் மாறினாலும் அமைப்புகளைப் பாதுகாக்கிறது.

குறைபாடுகள்

• ஆவண மதிப்பாய்வு தொடரும் வேளையில், பாதிக்கப்பட்ட நபர்கள் பதில்களுக்காகக் காத்திருக்க வேண்டியிருக்கலாம்.
• பொதுப் புள்ளிவிவரங்கள் வெளியிடப்படாததால், உண்மையான அளவை இன்னும் கணிக்க முடியவில்லை.
• பழைய காப்பகங்களை மதிப்பாய்வு செய்ய நேரம் எடுக்கும், மேலும் பழைய கருவிகள் பற்றிய ஆவணங்கள் குறைவாகவே இருக்கக்கூடும்.
• ஒவ்வொரு endpoint முழுவதிலும் அனுமதிச் சோதனை செய்வதற்குத் திறமையும் அங்கீகரிக்கப்பட்ட சோதனைச் சூழல்களும் தேவை.
• உண்மைகள் இன்னும் முழுமையடையாத நிலையில் ஊழியர்களுக்கு எச்சரிக்கை விடுப்பது கவலையை ஏற்படுத்தலாம்.

எச்சரிக்கை

இந்தக் கட்டுரை கல்வி நோக்கத்திற்கானது மற்றும் எழுதப்பட்ட நேரத்தில் கிடைத்த பொது அறிக்கைகளை அடிப்படையாகக் கொண்டது, எனவே விசாரணை தொடரும் போது விவரங்கள் மாறக்கூடும். Acme, Rohit, மாதிரிப் பணியாளர்கள், முகவரிகள், டோக்கன் மற்றும் குறியீடு ஆகியவை கற்பனையான ஒதுக்கிடங்கள் (fictional placeholders) ஆகும், மேலும் அவற்றை உங்கள் சொந்த மதிப்புகளால் மாற்ற வேண்டும். உங்களுக்குச் சொந்தமான அல்லது சோதிக்க உங்களுக்கு அங்கீகாரம் உள்ள அமைப்புகளை மட்டுமே சோதிக்கவும், மேலும் DigiCert-இன் சொந்த அறிவிப்புகள் மற்றும் உங்கள் சட்ட அல்லது தனியுரிமை ஆலோசகர்களிடம் சரிபார்த்த பின்னரே தகவல்களை நம்பவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• DigiCert மீறலில் என்ன நடந்தது? — 4 பிப்ரவரி 2025 அன்று நடந்த ஒரு இடப்பெயர்வு, VPN-கட்டுப்படுத்தப்பட்ட அமைப்பை வெளிப்புறமாக அணுகக்கூடியதாக மாற்றியது, வெளியாட்கள் தாங்களாகவே கணக்குகளைப் பதிவு செய்ய முடிந்தது, மேலும் ஒரு authorisation பலவீனம் அந்தக் கணக்குகளுக்குக் காப்பகப்படுத்தப்பட்ட பதிவுகளைப் படிக்கும் அணுகலை (read access) வழங்கியது.
• எந்தத் தரவு அம்பலமானது? — பெயர்கள், வணிக மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் மற்றும் வணிக முகவரிகள், அத்துடன் பாஸ்போர்ட் மற்றும் ஓட்டுநர் உரிமங்கள் போன்ற சில பதிவுகளில் உள்ள அடையாள ஆவணங்கள்.
• எனது DigiCert சான்றிதழ்களை நான் மாற்ற வேண்டுமா? — இந்தச் சம்பவத்தின் காரணமாக வாடிக்கையாளர்கள் செயலில் உள்ள சான்றிதழ்களை மாற்றத் தேவையில்லை என்றும், வழங்கப்பட்ட சான்றிதழ்கள் மற்றும் உள்நுழைவு நற்சான்றிதழ்கள் தொடர்ந்து பாதுகாப்பாக உள்ளன என்றும் DigiCert கூறுகிறது.
• CertCentral மற்றும் DigiCert ONE ஆகியவை பாதிக்கப்பட்டதா? — அதன் certificate authority சேவைகள், CertCentral மற்றும் DigiCert ONE ஆகியவை பாதிக்கப்படவில்லை என்றும், அதன் மதிப்பாய்வில் தொடர்புடைய வழங்கல், சரிபார்ப்பு அல்லது ரத்துசெய்தல் நடவடிக்கைகள் எதுவும் கண்டறியப்படவில்லை என்றும் DigiCert கூறுகிறது.
• எத்தனை பேர் பாதிக்கப்பட்டனர்? — பொது வெளிப்படுத்தலில் நபர்கள், நிறுவனங்கள் அல்லது அடையாள ஆவணங்களுக்கான மொத்த எண்ணிக்கை எதுவும் வழங்கப்படவில்லை, மேலும் DigiCert இன்னும் அடையாள ஆவணங்களை மதிப்பாய்வு செய்து வருவதாகக் கூறுகிறது.
• பாதிக்கப்பட்ட வாடிக்கையாளர்கள் இப்போது என்ன செய்ய வேண்டும்? — யார் தகவல்களை வழங்கினார்கள் என்பதைக் கண்டறிந்து, அடையாள ஆவணங்கள் சமர்ப்பிக்கப்பட்டுள்ளதா என்பதைச் சரிபார்த்து, எதிர்பாராத செய்திகளை நிறுவப்பட்ட வழிகள் மூலம் சரிபார்க்கவும்.
• Authentication மற்றும் authorisation இடையே உள்ள வேறுபாடு என்ன? — Authentication என்பது நீங்கள் யார் என்பதை நிரூபிக்கிறது, அதே சமயம் authorisation என்பது நீங்கள் எதை அணுகலாம் என்பதைத் தீர்மானிக்கிறது; எனவே ஒரு வெற்றிகரமான உள்நுழைவு மட்டுமே முக்கியமான பதிவுகளைத் திறந்துவிடக் கூடாது.
• இந்தப் பிரச்சனைக்காக எனது சொந்தக் காப்பகத்தை நான் எவ்வாறு சோதிக்கலாம்? — ஓர் அங்கீகரிக்கப்பட்ட சோதனையில், எந்தப் பங்கும் (role) இல்லாத ஒரு கணக்கை உருவாக்கி, ஒவ்வொரு endpoint-லிருந்தும் நேரடியாகப் பதிவுகளைக் கோரவும்; நிராகரிப்பைத் தவிர வேறு எதுவும் ஒரு குறைபாடே ஆகும்.

குறிச்சொற்கள்

#DigiCert #DataBreach #IdentityDocuments #AccessControl #Authorisation #IncidentResponse #ZeroTrust #OWASP #PrivacyRisk #CyberSecurity