একটি বিপরীতযোগ্য হাইব্রিড টোকেনাইজেশন অ্যালগরিদমের নিরাপত্তা প্রমাণ

সূচিপত্র

1 ভূমিকা

ডিজিটাল পেমেন্ট আর্থিক লেনদেনে আধিপত্য বিস্তার করায় ক্রেডিট কার্ড ডেটা সুরক্ষা ক্রমবর্ধমান গুরুত্বপূর্ণ হয়ে উঠেছে। পেমেন্ট কার্ড ইন্ডাস্ট্রি সিকিউরিটি স্ট্যান্ডার্ড কাউন্সিল (PCI SSC) কার্ডধারকের তথ্য সুরক্ষিত রাখতে PCI DSS-এর মাধ্যমে কঠোর মান প্রতিষ্ঠা করেছে। টোকেনাইজেশন একটি মৌলিক প্রযুক্তি হিসেবে আবির্ভূত হয়েছে যা সংবেদনশীল প্রাইমারি অ্যাকাউন্ট নম্বর (PAN)-কে অ-সংবেদনশীল টোকেন দ্বারা প্রতিস্থাপন করে, অপারেশনাল কার্যকারিতা বজায় রাখার পাশাপাশি ডেটা ব্রিচের ঝুঁকি হ্রাস করে।

এই গবেষণাপত্রটি বিপরীতযোগ্য টোকেনাইজেশন সিস্টেমের নিরাপত্তা চ্যালেঞ্জগুলি সমাধান করে, বিশেষত হাইব্রিড পদ্ধতির উপর ফোকাস করে যা ক্রিপ্টোগ্রাফিক কৌশল এবং লুকআপ মেকানিজমকে একত্রিত করে। পেমেন্ট প্রসেসর, ই-কমার্স প্ল্যাটফর্ম এবং আর্থিক প্রতিষ্ঠানগুলিতে টোকেনাইজেশনের ক্রমবর্ধমান গ্রহণযোগ্যতা প্রমাণযোগ্য নিরাপদ বাস্তবায়নের গুরুত্বকে তুলে ধরে।

2 PCI DSS টোকেনাইজেশন প্রয়োজনীয়তা

2.1 নিরাপত্তা প্রয়োজনীয়তা বিশ্লেষণ

PCI DSS নির্দেশিকাগুলি টোকেনাইজেশন সমাধানের জন্য ব্যাপক নিরাপত্তা প্রয়োজনীয়তা নির্দিষ্ট করে, অপরিবর্তনীয়তা, স্বতন্ত্রতা এবং গোপনীয়তার উপর ফোকাস করে। প্রধান প্রয়োজনীয়তাগুলির মধ্যে রয়েছে:

• অনুমোদন ছাড়া টোকেন থেকে PAN পুনরুদ্ধার করা অসম্ভব
• শক্তিশালী অ্যালগরিদমের মাধ্যমে ক্রিপ্টোগ্রাফিক আক্রমণ প্রতিরোধ
• নিরাপদ কী ম্যানেজমেন্ট এবং স্টোরেজ পদ্ধতি
• টোকেনাইজেশন সিস্টেমের জন্য অডিট ট্রেইল এবং অ্যাক্সেস কন্ট্রোল

2.2 টোকেন শ্রেণীবিভাগ

PCI DSS তাদের বৈশিষ্ট্য এবং বাস্তবায়ন পদ্ধতির উপর ভিত্তি করে টোকেনগুলিকে পাঁচটি স্বতন্ত্র প্রকারে শ্রেণীবদ্ধ করে:

• প্রমাণযোগ্য অপরিবর্তনীয় টোকেন: বিপরীত করা যায় না কিন্তু যাচাই করা যায়
• অপ্রমাণযোগ্য অপরিবর্তনীয় টোকেন: সম্পূর্ণরূপে অপরিবর্তনীয় যাচাই করার ক্ষমতা ছাড়া
• বিপরীতযোগ্য ক্রিপ্টোগ্রাফিক টোকেন: ক্রিপ্টোগ্রাফি ব্যবহার করে PAN-এর সাথে গাণিতিক সম্পর্ক
• বিপরীতযোগ্য অ-ক্রিপ্টোগ্রাফিক টোকেন: শুধুমাত্র নিরাপদ লুকআপ টেবিলের মাধ্যমে PAN পুনরুদ্ধার
• বিপরীতযোগ্য হাইব্রিড টোকেন: ক্রিপ্টোগ্রাফিক এবং লুকআপ মেকানিজমের সংমিশ্রণ

3 প্রস্তাবিত টোকেনাইজেশন অ্যালগরিদম

3.1 অ্যালগরিদম নকশা

প্রস্তাবিত বিপরীতযোগ্য হাইব্রিড টোকেনাইজেশন অ্যালগরিদম একটি ব্লক সাইফারকে তার ক্রিপ্টোগ্রাফিক ভিত্তি হিসাবে ব্যবহার করে, অতিরিক্ত ইনপুট প্যারামিটার দিয়ে শক্তিশালী করা হয় যা সর্বজনীন হতে পারে। নকশাটি হাইব্রিড বৈশিষ্ট্য অর্জনের জন্য গাণিতিক রূপান্তর এবং নিরাপদ স্টোরেজ উপাদান উভয়ই অন্তর্ভুক্ত করে।

3.2 গাণিতিক সূত্রায়ন

মূল টোকেনাইজেশন ফাংশনটি নিম্নরূপ উপস্থাপন করা যেতে পারে:

$Token = E_K(PAN \oplus AdditionalInput) \oplus Mask$

যেখানে:

• $E_K$ সিক্রেট কী $K$ সহ ব্লক সাইফার এনক্রিপশন প্রতিনিধিত্ব করে
• $PAN$ হল প্রাইমারি অ্যাকাউন্ট নম্বর
• $AdditionalInput$ ঐচ্ছিক সর্বজনীন প্যারামিটার প্রতিনিধিত্ব করে
• $Mask$ মাস্কিং অপারেশনের মাধ্যমে অতিরিক্ত নিরাপত্তা প্রদান করে

function generateToken(pan, key, additionalInput):
    # প্রি-প্রসেসিং পর্যায়
    processedPAN = preprocess(pan)
    
    # ক্রিপ্টোগ্রাফিক রূপান্তর
    intermediate = blockCipher.encrypt(xor(processedPAN, additionalInput), key)
    
    # পোস্ট-প্রসেসিং এবং মাস্কিং
    token = xor(intermediate, generateMask(key, additionalInput))
    
    # প্রয়োজন হলে নিরাপদ ভল্টে ম্যাপিং সংরক্ষণ করুন
    if hybrid_mode:
        secureVault.storeMapping(token, pan)
    
    return token

function recoverPAN(token, key, additionalInput):
    # রূপান্তরটি বিপরীত করুন
    intermediate = xor(token, generateMask(key, additionalInput))
    
    # ক্রিপ্টোগ্রাফিক বিপরীতকরণ
    processedPAN = xor(blockCipher.decrypt(intermediate, key), additionalInput)
    
    # হাইব্রিড মোডের জন্য, নিরাপদ ভল্ট দিয়ে যাচাই করুন
    if hybrid_mode:
        pan = secureVault.retrievePAN(token)
        if pan != postprocess(processedPAN):
            raise SecurityError("টোকেন-PAN ম্যাপিং মিসম্যাচ")
    
    return postprocess(processedPAN)

4 নিরাপত্তা প্রমাণ

4.1 IND-CPA নিরাপত্তা মডেল

চুজেন-প্লেইনটেক্সট অ্যাটাক (IND-CPA) নিরাপত্তা মডেলের অধীনে অপ্রতুলতা প্রস্তাবিত টোকেনাইজেশন অ্যালগরিদম বিশ্লেষণের জন্য একটি কঠোর কাঠামো প্রদান করে। এই মডেলে, একটি প্রতিপক্ষ বিভিন্ন PAN থেকে উৎপন্ন টোকেনগুলির মধ্যে পার্থক্য করতে পারে না, এমনকি যখন টোকেনাইজেশনের জন্য প্লেইনটেক্সট বেছে নেওয়ার অনুমতি দেওয়া হয়।

নিরাপত্তা প্রমাণ প্রতিষ্ঠিত করে যে যদি অন্তর্নিহিত ব্লক সাইফার নিরাপদ হয়, তাহলে টোকেনাইজেশন স্কিম IND-CPA নিরাপত্তা বজায় রাখে। প্রমাণটি স্ট্যান্ডার্ড ক্রিপ্টোগ্রাফিক রিডাকশন কৌশল ব্যবহার করে, যা প্রদর্শন করে যে টোকেনাইজেশন স্কিমে যে কোনও সফল আক্রমণ ব্লক সাইফারের নিরাপত্তা ভঙ্গ করতে ব্যবহার করা যেতে পারে।

4.2 আনুষ্ঠানিক নিরাপত্তা প্রমাণ

গবেষণাপত্রটি বিভিন্ন আক্রমণ পরিস্থিতি সমাধান করে একাধিক আনুষ্ঠানিক নিরাপত্তা প্রমাণ প্রদান করে:

• উপপাদ্য 1: স্ট্যান্ডার্ড মডেল অনুমানের অধীনে IND-CPA নিরাপত্তা
• উপপাদ্য 2: টোকেন স্পেসে কলিজন আক্রমণের বিরুদ্ধে প্রতিরোধ
• উপপাদ্য 3: কী রিকভারি আক্রমণের বিরুদ্ধে নিরাপত্তা
• উপপাদ্য 4: ফরম্যাট-প্রিজারভিং বৈশিষ্ট্য সংরক্ষণ

নিরাপত্তা প্রমাণগুলি সিউডোর্যান্ডম ফাংশন (PRF)-এর ধারণাকে কাজে লাগায় এবং প্রতিষ্ঠিত করে যে টোকেনাইজেশন ফাংশনটি যেকোনো সম্ভাব্য বহুপদী-সময়ের প্রতিপক্ষের জন্য একটি র্যান্ডম ফাংশন থেকে গণনীয়ভাবে আলাদা করা যায় না।

5 বাস্তবায়ন ও ফলাফল

5.1 কংক্রিট ইনস্ট্যান্টিয়েশন

গবেষণাপত্রটি নির্দিষ্ট প্যারামিটার পছন্দ সহ অন্তর্নিহিত ব্লক সাইফার হিসাবে AES-256 ব্যবহার করে একটি কংক্রিট বাস্তবায়ন উপস্থাপন করে:

• ব্লক সাইফার: CTR মোডে AES-256
• PAN দৈর্ঘ্য: 16 বাইট (স্ট্যান্ডার্ড ক্রেডিট কার্ড ফরম্যাট)
• টোকেন দৈর্ঘ্য: 16 বাইট (ফরম্যাট-প্রিজারভিং)
• অতিরিক্ত ইনপুট: 8-বাইট টাইমস্ট্যাম্প বা ট্রানজেকশন আইডি

5.2 কর্মদক্ষতা বিশ্লেষণ

পরীক্ষামূলক ফলাফলগুলি ব্যবহারিক পরিস্থিতিতে অ্যালগরিদমের দক্ষতা প্রদর্শন করে:

বাস্তবায়নটি শক্তিশালী নিরাপত্তা গ্যারান্টি প্রদানের পাশাপাশি সামঞ্জস্যপূর্ণ কর্মদক্ষতা বজায় রাখে, যা এটিকে উচ্চ-ভলিউম পেমেন্ট প্রসেসিং পরিবেশের জন্য উপযুক্ত করে তোলে।

6 মূল বিশ্লেষণ

7 ভবিষ্যত প্রয়োগ

বিপরীতযোগ্য হাইব্রিড টোকেনাইজেশন পদ্ধতির পেমেন্ট কার্ড ডেটার বাইরেও উল্লেখযোগ্য সম্ভাবনা রয়েছে:

• স্বাস্থ্যসেবা ডেটা সুরক্ষা: ইলেকট্রনিক স্বাস্থ্য রেকর্ডে রোগীর শনাক্তকারীর নিরাপদ টোকেনাইজেশন
• আইডেন্টিটি ম্যানেজমেন্ট: সরকার-জারি করা শনাক্তকারীর গোপনীয়তা-সংরক্ষণকারী টোকেনাইজেশন
• IoT নিরাপত্তা: IoT নেটওয়ার্কে সম্পদ-সীমিত ডিভাইসের জন্য লাইটওয়েট টোকেনাইজেশন
• ব্লকচেইন অ্যাপ্লিকেশন: সংবেদনশীল অন-চেইন ডেটার অফ-চেইন টোকেনাইজেশন
• ক্রস-বর্ডার ডেটা ট্রান্সফার: কার্যকারিতা বজায় রাখার সময় ডেটা লোকালাইজেশন আইন মেনে চলা

ভবিষ্যতের গবেষণার দিকগুলির মধ্যে রয়েছে:

• কোয়ান্টাম-প্রতিরোধী টোকেনাইজেশন অ্যালগরিদম
• বিতরণিত টোকেনাইজেশনের জন্য মাল্টি-পার্টি কম্পিউটেশন
• সম্পূর্ণ টোকেনাইজেশন সিস্টেমের আনুষ্ঠানিক যাচাইকরণ
• টোকেনাইজড ডেটা প্রসেসিংয়ের জন্য হোমোমরফিক এনক্রিপশনের সাথে একীকরণ

8 তথ্যসূত্র

1. Longo, R., Aragona, R., & Sala, M. (2017). Several Proofs of Security for a Tokenization Algorithm. arXiv:1609.00151v3
2. PCI Security Standards Council. (2016). PCI DSS Tokenization Guidelines. Version 1.1
3. Zhu, J. Y., Park, T., Isola, P., & Efros, A. A. (2017). Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks. IEEE International Conference on Computer Vision
4. NIST. (2020). Special Publication 800-57: Recommendation for Key Management
5. Bellare, M., & Rogaway, P. (2005). Introduction to Modern Cryptography. UCSD CSE
6. IEEE Security & Privacy. (2021). Formal Methods in Payment Security. Volume 19, Issue 3
7. ACM Computing Surveys. (2022). Cloud Security Architectures for Financial Systems. Volume 55, Issue 4