सिस्टम डिज़ाइन इंटरव्यू: आप एक ऑडिट करने योग्य क्रिप्टोग्राफ़िक इन्वेंट्री सर्विस कैसे बनाएंगे?

प्रॉम्प्ट और दायरा

एक कंपनी पोस्ट-क्वांटम माइग्रेशन की तैयारी कर रही है लेकिन यह नहीं बता सकती कि कौन से सिस्टम RSA, एलिप्टिक कर्व या साझा कुंजियों (shared keys) का उपयोग करते हैं। एक क्रिप्टोग्राफ़िक इन्वेंट्री सर्विस डिज़ाइन करें जिसमें संग्रह (collection), डिडुप्लीकेशन, जोखिम स्कोरिंग, एक्सेस नियंत्रण, परिवर्तन पहचान (change detection) और माइग्रेशन हैंडऑफ़ शामिल हो।

यह एसेट-गवर्नेंस डिज़ाइन का प्रश्न है, न कि यह भविष्यवाणी करने का अनुरोध कि क्वांटम कंप्यूटर कब आएंगे। RFC 9958 इन्वेंट्री, की-एस्टैब्लिशमेंट बनाम सिग्नेचर उपयोग, क्रिप्टोग्राफ़िक एजिलिटी और माइग्रेशन साक्ष्य को जोड़ता है; NIST ने ML-KEM, ML-DSA और SLH-DSA मानकों को अंतिम रूप दे दिया है।

इंटरव्यूअर क्या मूल्यांकन करता है

• एल्गोरिदम, कुंजियों, प्रमाणपत्रों, प्रोटोकॉल सुइट्स और डेटा के जीवनकाल में अंतर करना।
• कोड स्कैन, रनटाइम टेलीमेट्री, प्रमाणपत्र डेटा और HSM API को ट्रेस करने योग्य तथ्यों से जोड़ना।
• डुप्लिकेट निष्कर्षों, पुराने रिकॉर्ड्स, अज्ञात एल्गोरिदम और अपारदर्शी वेंडरों को संभालना।
• टेनेंट आइसोलेशन, न्यूनतम विशेषाधिकार (least privilege), वर्ज़न्ड साक्ष्य और ऑडिट प्रश्नों (queries) को डिज़ाइन करना।
• केवल डैशबोर्ड तैयार करने के बजाय जोखिम स्कोर को माइग्रेशन बैचों, स्टॉप लाइनों और रोलबैक से जोड़ना।

स्पष्टीकरण के लिए प्रश्न

• कौन से वातावरण दायरे में हैं: सोर्स, कंटेनर, मोबाइल क्लाइंट, फर्मवेयर, क्लाउड KMS, HSM और SaaS वेंडर?
• क्या पहचान एक कुंजी, प्रमाणपत्र, कॉल साइट, सेवा या डेटा प्रवाह है? क्या क्रॉस-सिस्टम कुंजी पुनर्चक्रण (key reuse) की अनुमति है?
• इतिहास को कब तक बनाए रखा जाना चाहिए, और कौन एल्गोरिदम के नाम या संवेदनशील व्यावसायिक लेबल देख सकता है?
• क्या स्कोरिंग अनुपालन साक्ष्य, इंजीनियरिंग योजना या स्वचालित परिनियोजन (deployment) ब्लॉकिंग के लिए है?
• जब संग्रह विफल हो जाता है, तो क्या सिस्टम अनुमान लगा सकता है, या उसे अज्ञात के रूप में चिह्नित करना चाहिए और पूर्ण दावे को रोकना चाहिए?

एंड-टू-एंड डिज़ाइन

कलेक्टर स्टैटिक-स्कैन परिणामों, प्रमाणपत्र पार्स, KMS/HSM ऑडिट इवेंट्स, सेवा कॉन्फ़िगरेशन और रनटाइम हैंडशेक सारांशों को एक अपरिवर्तनीय (immutable) इवेंट स्ट्रीम में लिखते हैं। एक सामान्यीकरण (normalization) परत एल्गोरिदम, उद्देश्य, कुंजी पहचानकर्ता, कॉलर, गोपनीयता जीवनकाल, स्रोत, समय और विश्वसनीयता को एक वर्ज़न्ड स्कीमा में मैप करती है। एंटिटी रिज़ॉल्यूशन tenant_id + asset_namespace + provider_id + local_id को एक उम्मीदवार कुंजी के रूप में उपयोग करता है और प्रमाणपत्र फ़िंगरप्रिंट, कुंजी ARN, डिप्लॉयमेंट ID और समय सीमाओं के साथ डिडुप्लिकेट करता है। जिन रिकॉर्ड्स को समान साबित नहीं किया जा सकता, उन्हें मर्ज करने के बजाय लिंक रखा जाता है।

क्वेरी API मेटाडेटा और साक्ष्य लिंक लौटाती है, निजी कुंजियाँ या संपूर्ण सिफ़रटेक्स्ट कभी नहीं। एक नीति परत डेटा जीवनकाल, एल्गोरिदम स्थिति, एक्सपोज़र, गैर-अपडेट करने योग्य क्लाइंट शेयर और साक्ष्य की नवीनता (freshness) के आधार पर एसेट का स्कोर तय करती है। स्कोर इनपुट स्नैपशॉट, नियम संस्करण और ओवरराइड कारण को संग्रहीत करते हैं। एक माइग्रेशन ऑर्केस्ट्रेटर बैच, मालिक, अनुकूलता मैट्रिक्स और स्वीकृति मेट्रिक्स बनाने के लिए उच्च जोखिम वाले एसेट का उपभोग करता है; इसे सीधे प्रोडक्शन कुंजियों को प्रतिस्थापित नहीं करना चाहिए।

निरंतरता और परिवर्तन पहचान

चूंकि स्ट्रीम कम से कम एक बार (at-least-once) वाली है, प्रत्येक निष्कर्ष source_event_id और कलेक्टर संस्करण रखता है; उपभोक्ता इडेम्पोटेंट राइट्स का उपयोग करते हैं। एसेट स्थिति को इवेंट्स से तैयार (fold) किया जाता है, और विलोपन एक समयबद्ध निरस्तीकरण (revocation) इवेंट है ताकि स्कैन छूट जाने पर यह गायब होना न लगे। शेड्यूल्ड स्कैन और रनटाइम हार्टबीट्स last_seen को अपडेट करते हैं; नवीनता विंडो से बाहर के रिकॉर्ड अज्ञात हो जाते हैं।

कोड, प्रमाणपत्रों और कॉन्फ़िगरेशन के लिए अलग-अलग सामग्री डाइजेस्ट (content digests) की गणना करें। एक डाइजेस्ट परिवर्तन इतिहास को ओवरराइट करने के बजाय एक नया संस्करण बनाता है। नियम अपग्रेड पुराने स्कोर को बनाए रखते हुए स्कोर की पुनर्गणना करते हैं, जिससे यह ऑडिट किया जा सकता है कि उस समय किसी एसेट को क्यों अनुमोदित किया गया था। टकराव होने पर फ़ील्ड, स्रोत प्राथमिकता और एक पुष्टिकरण कार्य प्रदर्शित होते हैं; सिस्टम को चुपचाप किसी स्रोत का चयन नहीं करना चाहिए।

एक्सेस, गोपनीयता और विश्वसनीयता

टेनेंट, डोमेन और एसेट लेबल द्वारा पंक्ति-स्तरीय प्राधिकरण (row-level authorization) लागू करें। सुरक्षा टीम एल्गोरिदम और एक्सपोज़र देख सकती है; एप्लिकेशन टीमें केवल अपने माइग्रेशन कार्य देखती हैं। कुंजी सामग्री, टोकन और कच्चा ट्रैफ़िक कभी भी इन्वेंट्री में प्रवेश नहीं करते हैं; रनटाइम संग्रह केवल हैंडशेक मेटाडेटा और संशोधित पहचानकर्ताओं को रखता है। प्रत्येक रीड और मैन्युअल संपादन का ऑडिट किया जाता है।

ऑफ़लाइन कलेक्टर स्थानीय रूप से बफ़र करते हैं और रीप्ले करते हैं। कोटा और बैकप्रेशर इवेंट स्ट्रीम की सुरक्षा करते हैं। क्वेरीज़ "उस समय तक" (as-of time) का समय और साक्ष्य की नवीनता को उजागर करती हैं ताकि पुरानी इन्वेंट्री को लाइव सत्य के रूप में प्रस्तुत न किया जाए। मल्टी-रीजन डिप्लॉयमेंट विभाजित राइट्स और एक वैश्विक रीड इंडेक्स का उपयोग करते हैं; प्रतिकृति (replication) विफल होने पर पूर्ण स्थिति का दावा करने के बजाय कवरेज अंतराल की रिपोर्ट दी जाती है।

ट्रेड-ऑफ़ और सीमाएं

स्टैटिक स्कैन व्यापक रूप से कवर करते हैं लेकिन डायनामिक बातचीत (negotiation) को छोड़ सकते हैं; रनटाइम टेलीमेट्री वास्तविक उपयोग के करीब है लेकिन ट्रैफ़िक और गोपनीयता द्वारा सीमित है। दोनों को अलग-अलग विश्वसनीयता स्तरों के साथ संग्रहीत करें। एक केंद्रीय ग्राफ़ निर्भरता प्रश्नों को सरल बनाता है लेकिन ब्लास्ट रेडियस को बढ़ाता है; डोमेन विभाजन प्राधिकरण को सरल बनाते हैं, जिसमें क्रॉस-डोमेन केवल-पठन लिंक होते हैं।

नए एल्गोरिदम को स्वचालित रूप से ब्लॉक करने से नया तकनीकी कर्ज़ कम होता है लेकिन अज्ञात वेंडर टूट सकते हैं। उच्च-जोखिम वाले नियमों के लिए अनुमोदन गेट्स के साथ शुरुआत करें, फिर गलत-सकारात्मक दर, अज्ञात-एसेट शेयर और रोलबैक सफलता का उपयोग करके प्रवर्तन पर निर्णय लें। इन्वेंट्री तथ्यों और प्राथमिकताओं की स्वामी होती है; लाइब्रेरी अपग्रेड, प्रमाणपत्र जारी करना और व्यावसायिक माइग्रेशन अलग-अलग पाइपलाइनों में रहते हैं।

विफलता अभ्यास और स्कोरिंग रूब्रिक

यदि कोई HSM कुंजी का उद्देश्य उजागर नहीं करता है, तो "उद्देश्य अज्ञात" रिकॉर्ड करें और एक साक्ष्य कार्य बनाएं; इसे कभी भी सेवा के नाम से अनुमानित न करें। यदि कोई प्रमाणपत्र कई टेनेंट्स में दिखाई देता है, तो साझाकरण संबंध बनाए रखें और आइसोलेशन समीक्षा शुरू करें। यदि कोई कलेक्टर अपग्रेड अचानक एसेट की संख्या में वृद्धि का कारण बनता है, तो एक नई आधार रेखा स्वीकार करने से पहले कच्चे इवेंट्स और नियम संस्करणों की तुलना करें।

एक मजबूत उत्तर में कई स्रोत प्रकार, अपरिवर्तनीय साक्ष्य, इडेम्पोटेन्सी और समाप्ति सिमेंटिक्स, न्यूनतम विशेषाधिकार, व्याख्या योग्य स्कोरिंग और माइग्रेशन हैंडऑफ़ शामिल हैं। स्पष्ट अज्ञात स्थितियों, प्रतिधारण (retention), टकराव से निपटने, रोलबैक सीमाओं और इन्वेंट्री-पूर्णता मेट्रिक्स के लिए अतिरिक्त श्रेय दिया जाता है। केवल एक डेटाबेस और डैशबोर्ड पर्याप्त नहीं हैं।

फॉलो-अप प्रश्न और संदर्भ उत्तर

सेवा के नाम से एल्गोरिदम का अनुमान क्यों नहीं लगाना चाहिए?

एक सेवा कई पुस्तकालयों, प्रोटोकॉल या वेंडरों को कॉल कर सकती है; इसका नाम कुंजी के उद्देश्य या तय किए गए व्यवहार को साबित नहीं करता है। स्रोत साक्ष्य रखें और अनुमान को कम विश्वसनीयता के रूप में चिह्नित करें।

आप इन्वेंट्री की पूर्णता को कैसे परिभाषित करते हैं?

पर्यावरण कवरेज, स्रोत नवीनता, अज्ञात-एसेट शेयर, डुप्लिकेट दर, इवेंट विलंबता (latency), और नमूना-आधारित मानव-सत्यापन सटीकता का उपयोग करें। केवल एसेट की संख्या पूर्णता का प्रमाण नहीं है।

माइग्रेशन इन्वेंट्री का उपभोग कैसे करता है?

ऑर्केस्ट्रेटर जोखिम और अपडेट करने योग्यता के आधार पर संपत्तियों को बैच करता है, अनुकूलता और प्रदर्शन बजट पढ़ता है, और कैनरी, अवलोकन और रोलबैक चलाता है। इन्वेंट्री तथ्य और साक्ष्य प्रदान करती है; यह प्रोडक्शन क्रिप्टो सेटिंग्स को नहीं बदलती है।