डिजिटल हस्ताक्षर

डिजिटल हस्ताक्षर या डिजिटल हस्ताक्षर योजना किसी डिजिटल संदेश या दस्तावेज़ की प्रामाणिकता को निरूपित करने के लिए एक गणितीय योजना है। एक मान्य डिजिटल हस्ताक्षर, प्राप्तकर्ता को यह विश्वास दिलाता है कि संदेश किसी ज्ञात प्रेषक द्वारा तैयार किया गया था और उसे पारगमन में बदला नहीं गया था। डिजिटल हस्ताक्षर सामान्यतः सॉफ्टवेयर वितरण, वित्तीय लेन-देन और ऐसे अन्य मामलों में प्रयुक्त होते हैं, जहां जालसाजी और छेड़-छाड़ का पता लगाना अधिक महत्वपूर्ण है।
डिजिटल हस्ताक्षर का इस्तेमाल अक्सर इलेक्ट्रॉनिक हस्ताक्षर कार्यान्वित करने के लिए होता है, जो कि एक ऐसा व्यापक शब्द है जिसका संदर्भ ऐसे किसी इलेक्ट्रॉनिक डाटा से है, जो हस्ताक्षर के उद्देश्य को साथ लिए होता है, लेकिन सभी इलेक्ट्रानिक हस्ताक्षरों में डिजिटल हस्ताक्षर का उपयोग नहीं किया जाता. संयुक्त राज्य अमेरिका सहित कुछ देशों और यूरोपीय संघ में, इलेक्ट्रॉनिक हस्ताक्षरों का क़ानूनी महत्व है। तथापि, इलेक्ट्रॉनिक हस्ताक्षर से संबंधित कानून हमेशा यह स्पष्ट नहीं करते कि क़ानूनी परिभाषा को परे रखते हुए, क्या वे डिजिटल बीज-लेखन हस्ताक्षर के अर्थ में यहां प्रयुक्त हैं और इसलिए उनका महत्व, कुछ हद तक भ्रामक है।
डिजिटल हस्ताक्षर एक प्रकार की असममित क्रिप्टोग्राफ़ी लागू करते हैं। एक असुरक्षित चैनल से प्रेषित, एक उपयुक्त रूप से कार्यान्वित डिजिटल हस्ताक्षर, प्राप्तकर्ता को यह विश्वास दिलाते हैं कि संदेश, अधियाचित प्रेषक द्वारा ही भेजा गया था। कई मायनों में डिजिटल हस्ताक्षर पारंपरिक हस्तलिखित हस्ताक्षर के बराबर हैं; उचित रूप से कार्यान्वित डिजिटल हस्ताक्षर के साथ जालसाज़ी, हस्तलिखित क़िस्म की तुलना में कठिन है। यहां प्रयुक्त अर्थ में, डिजिटल हस्ताक्षर प्रणालियां गुप्त रूप पर आधारित हैं और ठीक तरह से लागू किए जाने पर ही ये प्रभावी हो सकती हैं। डिजिटल हस्ताक्षर ग़ैर-अस्वीकरण भी प्रदान कर सकते हैं, यानि हस्ताक्षरकर्ता सफलतापूर्वक यह दावा नहीं कर सकता है कि उसने संदेश पर हस्ताक्षर नहीं किए हैं, जबकि साथ में यह दावा हो कि उनकी निजी कुंजी गोपनीय है; साथ ही, कुछ ग़ैर-अस्वीकरण प्रणालियां डिजिटल हस्ताक्षर के लिए समय की मुहर पेश करती हैं, ताकि निजी कुंजी के उजागर हो जाने पर, हस्ताक्षर फिर भी मान्य रहता है। डिजिटल रूप से हस्ताक्षित संदेश, बिटस्ट्रिंग के रूप में निरूपणीय कुछ भी हो सकते हैं: उदाहरणों में शामिल हैं इलेक्ट्रॉनिक मेल, अनुबंध, या किसी अन्य गुप्त प्रोटोकॉल के माध्यम से प्रेषित संदेश.

डिजिटल हस्ताक्षर के उपयोग

संचार हेतु डिजिटल हस्ताक्षर लागू करने के लिए कुछ सामान्य कारण नीचे प्रस्तुत हैं:

प्रमाणीकरण

हालांकि संदेशों पर अक्सर संदेश भेजने वाले के अस्तित्व की जानकारी शामिल हो सकती है, लेकन वह जानकारी सही नहीं भी हो सकती है। डिजिटल हस्ताक्षरों का उपयोग, संदेश के स्रोत को प्रमाणित करने के लिए किया जा सकता है। जब किसी डिजिटल हस्ताक्षर की गुप्त कुंजी का स्वामित्व किसी विशिष्ट प्रयोक्ता को प्रेषित होता है, तो वैध हस्ताक्षर से पता चलता है कि संदेश उस उपयोगकर्ता द्वारा भेजा गया था। प्रेषक की 
प्रामाणिकता में उच्च विश्वास का महत्व वित्तीय संदर्भ में विशेष रूप से स्पष्ट है। उदाहरण के लिए, मान लें कि किसी बैंक की शाखा द्वारा केन्द्रीय कार्यालय को खाते में शेषराशि में परिवर्तन करने का अनुरोध करते हुए अनुदेश भेजा जाता है। अगर केंद्रीय कार्यालय आश्वस्त नहीं है कि इस तरह का संदेश वास्तव में एक अधिकृत स्रोत से भेजा गया है, तो ऐसे अनुरोध पर कार्रवाई एक बड़ी ग़लती हो सकती है।

सत्यनिष्ठता

कई स्थितियों में, संदेश के प्रेषक और प्राप्तकर्ता को इस बात के विश्वास की आवश्यकता हो सकती है कि प्रेषण के दौरान संदेश को बदला नहीं गया है। हालांकि एन्क्रिप्शन संदेश की सामग्री को छुपाती है, बिना उस एन्क्रिप्टेड संदेश को समझे उसे बदलना संभव हो सकता है। (कुछ एन्क्रिप्शन एल्गोरिदम, जो नानमैलिएबल के रूप में जाने जाते हैं, इसे रोकते हैं, लेकिन दूसरे ऐसा नहीं कर पाते हैं।) फिर भी, अगर संदेश पर डिजिटल हस्ताक्षर किया गया है, तो हस्ताक्षर के बाद संदेश में किया गया कोई भी बदलाव, हस्ताक्षर को अमान्य करेगा। इसके अलावा, एक मान्य हस्ताक्षर के साथ नए संदेश को उत्पन्न करने के लिए, संदेश या उसके हस्ताक्षर को संशोधित करने का कोई कारगर तरीका मौजूद नहीं है, क्योंकि अधिकांश गोपनीय हैश फलनक द्वारा इसे अभी भी परिकलनात्मक तौर पर सुसाध्य नहीं माना जाता है (देखें संघात प्रतिरोध)।

अलग कुंजीपटल के साथ स्मार्ट कार्ड रीडर का उपयोग

स्मार्ट कार्ड सक्रिय करने हेतु PIN कोड दर्ज करने के लिए सामान्यतः एक संख्यात्मक की-पैड की आवश्यकता होती है। कुछ कार्ड रीडरों में उनके अपने संख्यात्मक की-पैड होते हैं। यह PC में एकीकृत कार्ड रीडर और फिर उस कंप्यूटर के की-बोर्ड का उपयोग करते हुए PIN प्रविष्ट करने से कहीं ज़्यादा सुरक्षित है। एक संख्यात्मक की-पैड वाले रीडर प्रच्छन्न श्रवण संकट से बचने के लिए बनाए गए हैं, जहां संभावित तौर पर PIN कोड को जोखिम में डालते हुए, कंप्यूटर एक की-स्ट्रोक लॉगर चला सकता है। विशेष कार्ड रीडर भी उनके सॉफ्टवेयर या हार्डवेयर में छेड़छाड़ के प्रति कम असुरक्षित हैं और अक्सर EAL3 प्रमाणित होते हैं।

अन्य स्मार्ट कार्ड डिजाइन

स्मार्ट कार्ड डिजाइन एक सक्रिय क्षेत्र है और ऐसी स्मार्ट कार्ड प्रणालियां हैं, जो इन विशेष समस्याओं से बचने के उद्देश्य को लिए हुए हैं, हालांकि बहुत कम सुरक्षा के सबूत इनके सामने हैं।

केवल भरोसेमंद अनुप्रयोगों के साथ डिजिटल हस्ताक्षर का उपयोग

एक डिजिटल हस्ताक्षर और लिखित हस्ताक्षर के बीच एक मुख्य अंतर यह है कि उपयोगकर्ता "देख" नहीं पाता कि वह किस पर हस्ताक्षर कर रहा है। उपयोगकर्ता आवेदन, निजी कुंजी का उपयोग करते हुए डिजिटल हस्ताक्षर करने वाले एल्गोरिदम द्वारा एनक्रिप्ट करने के लिए एक हैश कोड पेश करता है। एक हमलावर जो उपयोगकर्ता के PC पर नियंत्रण हासिल करता है, संभवतः उपयोगकर्ता के अनुप्रयोग की जगह किसी विदेशी अनुप्रयोग को प्रतिस्थापित कर सकता है, यानि उपयोगकर्ता के अपने संचार की जगह हमलावर के संचार से बदल सकता है। इससे एक दुर्भावनापूर्ण अनुप्रयोग द्वारा उपयोगकर्ता के मूल दस्तावेज़ को ऑन-स्क्रीन पर प्रदर्शित करते हुए, उपयोगकर्ता को किसी भी दस्तावेज़ पर हस्ताक्षर करने के लिए चाल चल सकता है, जहां हमलावर अपने दस्तावेज हस्ताक्षर करने वाले अनुप्रयोग को पेश करता है।
इस परिदृश्य में सुरक्षा के लिए, उपयोगकर्ता के अनुप्रयोग (शब्द संसाधक, ई-मेल क्लाइंट, आदि) और हस्ताक्षर किए जाने वाले अनुप्रयोग के बीच, एक प्रमाणीकरण प्रणाली को स्थापित किया जा सकता है। सामान्य आशय है कि प्रयोक्ता अनुप्रयोग और हस्ताक्षर करने वाला अनुप्रयोग, दोनों के लिए एक दूसरे की सत्यनिष्ठता को सत्यापित करने के लिए कोई माध्यम उपलब्ध कराया जाए. उदाहरण के लिए, हस्ताक्षर करने वाला अनुप्रयोग अपेक्षा कर सकता है कि उसके पास आने वाले सभी अनुरोध, डिजिटल तकनीक से हस्ताक्षरित बाइनरियों से आएं.

WYSIWYS

तकनीकी रूप से कहें, तो डिजिटल हस्ताक्षर बिट्स की स्ट्रिंग पर लागू होता है, जबकि मानव और अनुप्रयोग "विश्वास" करते हैं कि वे उन बिट्स के अर्थ की व्याख्या पर हस्ताक्षर कर रहे हैं। अर्थगत रूप से व्याख्यायित होने के लिए बिट स्ट्रिंग को ऐसे रूप में परिवर्तित करने की आवश्यकता है जो मानव और अनुप्रयोगों के लिए सार्थक हो और यह कंप्यूटर प्रणाली के हार्डवेयर और सॉफ़्टवेयर आधारित प्रक्रियाओं के संयोजन के माध्यम से किया जाता है। समस्या यह है कि बिट्स के अर्थ की व्याख्या, बिट्स को अर्थ सामग्री में बदलने की प्रक्रिया के फलनक के रूप में परिवर्तित हो सकता है। जिस कंप्यूटर प्रणाली पर दस्तावेज़ संसाधित हो रहा हो, वहां परिवर्तन लागू करत हुए डिजिटल दस्तावेज़ के व्याख्या को बदलना अपेक्षाकृत आसान है। अर्थ के परिप्रेक्ष्य में इससे अनिश्चितता सामने आती है कि वास्तव में किस पर हस्ताक्षर किए गए। WYSIWYS (व्हॉट यू सी इज़ व्हॉट यू साइन, यानि आप जो देख रहे हैं, वही आप हस्ताक्षरित कर रहे हैं) का मतलब है कि एक हस्ताक्षरित संदेश के अर्थ की व्याख्या नहीं बदली जा सकती है। विशेष रूप से इसका यह भी मतलब है कि किसी संदेश में ऐसी गुप्त जानकारी नहीं हो सकती जिससे हस्ताक्षर करने वाला अनजान है और जो हस्ताक्षर लागू किए जाने के बाद ज़ाहिर किया जा सकता है। WYSIWYS डिजिटल हस्ताक्षरों की एक वांछनीय विशेषता है, जिसके बारे में आधुनिक कंप्यूटर प्रणाली की बढ़ती जटिलता के कारण गारंटी देना मुश्किल है।

उद्योग मानक

कुछ उद्योगों ने, उद्योग के सदस्यों और नियामकों के बीच डिजिटल हस्ताक्षर के उपयोग के लिए सामान्य अंतर-संचालन क्षमता मानकों को स्थापित किया है। इनमें शामिल हैं, ऑटोमोबाइल उद्योग के लिए ऑटोमोटिव नेटवर्क एक्सचेंज और स्वास्थ्य उद्योग के लिए SAFE बायो-फ़ार्मा एसोसिएशन.

हस्ताक्षर और एन्क्रिप्शन के लिए अलग-अलग कुंजी युग्म का उपयोग

कई देशों में, डिजिटल हस्ताक्षर की स्थिति, कुछ हद तक एक पारंपरिक कलम और काग़ज़ी हस्ताक्षर के समान है। आम तौर पर, इन प्रावधानों का मतलब है कि डिजिटल हस्ताक्षर क़ानूनी रूप से दस्तावेज़ पर हस्ताक्षर करने वाले को उसमें उल्लिखित शर्तों से बांधते हैं। इस कारण से, प्रायः यह उचित समझा गया कि एनक्रिप्टिंग और हस्ताक्षर के लिए अलग-अलग कुंजी युग्म का उपयोग किया जाए. एन्क्रिप्शन कुंजी युग्म के उपयोग द्वारा, कोई व्यक्ति एक एन्क्रिप्टेड वार्तालाप में (जैसे, किसी अचल संपत्ति के लेन-देन संबंधी) भाग ले सकता है, लेकिन एन्क्रिप्शन उसके द्वारा प्रेषित प्रत्येक संदेश पर क़ानूनी तौर हस्ताक्षर नहीं करता है। केवल जब दोनों पक्ष किसी समझौते पर पहुंचते हैं, वे अपने हस्ताक्षर कुंजी के साथ क़रार पर हस्ताक्षर कर सकते हैं और केवल उस स्थिति में ही वे क़ानूनी तौर पर विशिष्ट दस्तावेज़ की शर्तों से बंधते हैं। हस्ताक्षर करने के बाद, दस्तावेज़ को एन्क्रिप्टेड लिंक पर भेजा जा सकता है।