Trust on first use
ટ્રસ્ટ ઓન ફર્સ્ટ યુઝ (ટી. ઓ. એફ. યુ.), અથવા ટ્રસ્ટ ઓન ફર્સ્ટ યુઝ (ટી. યુ. એફ. યુ.), ક્લાયન્ટ સોફ્ટવેર દ્વારા ઉપયોગમાં લેવાતી એક પ્રમાણીકરણ યોજના છે, જેને અજ્ઞાત અથવા હજુ સુધી વિશ્વસનીય ન હોય તેવા અંતિમ બિંદુ સાથે વિશ્વાસ સંબંધ સ્થાપિત કરવાની જરૂર છે. ટોફુ મોડેલમાં, ક્લાયન્ટ તેના સ્થાનિક ટ્રસ્ટ ડેટાબેઝમાં એન્ડપોઇન્ટની ઓળખકર્તા, સામાન્ય રીતે એન્ડપોઇન્ટની જાહેર ઓળખ કી અથવા કહેવાતી ઓળખ કીની ફિંગરપ્રિન્ટ જોવાનો પ્રયાસ કરશે. જો અંતિમ બિંદુ માટે હજી સુધી કોઈ ઓળખકર્તા અસ્તિત્વમાં ન હોય, તો ક્લાયન્ટ સોફ્ટવેર ક્યાં તો વપરાશકર્તાને પુષ્ટિ કરવા માટે સંકેત આપશે કે તેઓએ કથિત ઓળખકર્તા અધિકૃત છે તેની ચકાસણી કરી છે, અથવા જો પ્રોટોકોલમાં જાતે ચકાસણી શક્ય હોવાનું માનવામાં આવતું નથી, તો ક્લાયન્ટ ફક્ત ઓળખકર્તા પર વિશ્વાસ કરશે જે આપવામાં આવ્યું હતું અને તેના ટ્રસ્ટ ડેટાબેઝમાં ટ્રસ્ટ સંબંધને રેકોર્ડ કરશે. જો અનુગામી જોડાણમાં વિરોધી અંતિમ બિંદુથી એક અલગ ઓળખકર્તા પ્રાપ્ત થાય છે, તો ક્લાયન્ટ સોફ્ટવેર તેને અવિશ્વસનીય ગણશે. ટીઓએફયુ અમલીકરણ એસએસએચ પ્રોટોકોલમાં, મોટાભાગના ક્લાયન્ટ સોફ્ટવેર (જોકે બધા નહીં), હજી સુધી વિશ્વસનીય ન હોય તેવા સર્વર સાથે જોડાવા પર, સર્વરની જાહેર કી ફિંગરપ્રિન્ટ પ્રદર્શિત કરશે, અને વપરાશકર્તાને પ્રમાણિત ચેનલનો ઉપયોગ કરીને ખરેખર તેને પ્રમાણિત કર્યું છે તેની ચકાસણી કરવા માટે સંકેત આપશે. ત્યારબાદ ગ્રાહક ટ્રસ્ટ સંબંધને તેના ટ્રસ્ટ ડેટાબેઝમાં રેકોર્ડ કરશે. નવું ઓળખકર્તા અવરોધિત ચેતવણીનું કારણ બનશે જેમાં હાલમાં સંગ્રહિત ઓળખકર્તાને જાતે દૂર કરવાની જરૂર છે. XMPP ક્લાયન્ટ કન્વર્સેશન્સ બ્લાઇન્ડ ટ્રસ્ટ બિફોર વેરિફિકેશનનો ઉપયોગ કરે છે, જ્યાં સુધી વપરાશકર્તા ઓળખકર્તાની ક્યુઆર-કોડ રજૂઆતને સ્કેન કરીને અંતિમ બિંદુઓને પ્રમાણિત કરવાની ઇચ્છા અને ક્ષમતા દર્શાવતો નથી ત્યાં સુધી તમામ ઓળખકર્તાઓ આંધળા વિશ્વાસ કરે છે. પ્રથમ ઓળખકર્તાને સ્કેન કર્યા પછી, ક્લાયન્ટ અધિકૃત અંતિમ બિંદુઓમાંથી સંદેશાઓ માટે ઢાલ પ્રતીક અને અન્ય માટે લાલ પૃષ્ઠભૂમિ પ્રદર્શિત કરશે. સિગ્નલમાં અંતિમ બિંદુઓ શરૂઆતમાં આંખ આડા કાન કરીને ઓળખકર્તા પર વિશ્વાસ કરે છે અને જ્યારે તે બદલાય છે ત્યારે બિન-અવરોધિત ચેતવણીઓ પ્રદર્શિત કરે છે. ઓળખકર્તાની ચકાસણી ક્યાં તો ક્યુ. આર.-કોડને સ્કેન કરીને અથવા અધિકૃત ચેનલ પર ઓળખકર્તાની દશાંશ રજૂઆત (જેને સલામતી નંબર કહેવાય છે) નું આદાનપ્રદાન કરીને કરી શકાય છે. પછી ઓળખકર્તાને ચકાસાયેલ તરીકે ચિહ્નિત કરી શકાય છે. આ ઓળખકર્તાની ચેતવણીઓને અવરોધિત ન કરવાથી અવરોધિત કરવાની પ્રકૃતિમાં ફેરફાર કરે છે. દા. ત. જામી અને રિકોશે ઓળખકર્તા એ વપરાશકર્તાનું કોલ-સાઇન છે. આઇડી કોઈપણ ચેનલ પર બદલી શકાય છે, પરંતુ જ્યાં સુધી ઓળખકર્તા અધિકૃત ચેનલ પર ચકાસવામાં ન આવે ત્યાં સુધી તે અસરકારક રીતે આંધળો વિશ્વાસપાત્ર છે. ઓળખકર્તાના ફેરફાર માટે પણ એકાઉન્ટમાં ફેરફારની જરૂર પડે છે, આમ સમાન એકાઉન્ટ માટે MITM એટેક માટે એન્ડપોઇન્ટની ખાનગી કીની ઍક્સેસની જરૂર પડે છે. વોટ્સઅપમાં અંતિમ બિંદુ શરૂઆતમાં આંખ આડા કાન કરીને ઓળખકર્તા પર વિશ્વાસ કરે છે, અને જ્યારે ઓળખકર્તા બદલાય છે ત્યારે મૂળભૂત રીતે કોઈ ચેતવણી પ્રદર્શિત થતી નથી. જો વપરાશકર્તા કી ફિંગરપ્રિન્ટ (જેને સુરક્ષા કોડ કહેવાય છે) ને ઍક્સેસ કરીને અંતિમ બિંદુઓને પ્રમાણિત કરવાની ઇચ્છા અને ક્ષમતા દર્શાવે છે, તો ઓળખકર્તા બદલાય ત્યારે ક્લાયન્ટ વપરાશકર્તાને બિન-અવરોધિત ચેતવણીઓને સક્ષમ કરવા માટે સંકેત આપશે. વોટ્સઅપ ક્લાયન્ટ વપરાશકર્તાને ઓળખકર્તાને ચકાસાયેલ તરીકે ચિહ્નિત કરવાની મંજૂરી આપતું નથી. ટેલિગ્રામની વૈકલ્પિક ગુપ્ત ચેટમાં અંતિમ બિંદુઓ આંખ આડા કાન કરીને ઓળખકર્તા પર વિશ્વાસ કરે છે. બદલાયેલ ઓળખકર્તા કોઈપણ ચેતવણી પ્રદર્શિત કરવાને બદલે નવી ગુપ્ત ચેટ વિંડો પેદા કરે છે. ઓળખકર્તાની દ્રશ્ય અથવા હેક્સાડેસિમલ રજૂઆતની સરખામણી કરીને ઓળખકર્તાઓની ચકાસણી કરી શકાય છે. ટેલિગ્રામ ક્લાયન્ટ વપરાશકર્તાને ઓળખકર્તાને ચકાસાયેલ તરીકે ચિહ્નિત કરવાની મંજૂરી આપતું નથી. કીબેઝમાં ક્લાયન્ટ્સ એકબીજાની કી પર ક્રોસ-સાઇન કરી શકે છે, જેનો અર્થ છે કે એક જ ઓળખકર્તા પર વિશ્વાસ કરવાથી બહુવિધ ઓળખકર્તાઓની ચકાસણીની મંજૂરી મળે છે. કીબેઝ એક વિશ્વસનીય તૃતીય પક્ષ તરીકે કામ કરે છે જે કીબેઝ એકાઉન્ટ અને ખાતાની હસ્તાક્ષર સાંકળ વચ્ચેની કડીની ચકાસણી કરે છે જેમાં ઓળખકર્તાનો ઇતિહાસ હોય છે. કીબેઝમાં વપરાતો ઓળખકર્તા ક્યાં તો વપરાશકર્તાની હસ્તાક્ષર સાંકળના મૂળનો હેશ છે, અથવા તેની સાથે જોડાયેલ કીબેઝ ખાતાનું નામ છે. જ્યાં સુધી વપરાશકર્તા અધિકૃત ચેનલ પર હસ્તાક્ષર સાંકળના રુટ હેશ (અથવા કીબેઝ એકાઉન્ટ) ની અધિકૃતતાની ચકાસણી ન કરે ત્યાં સુધી, એકાઉન્ટ અને તેની સાથે સંકળાયેલા ઓળખકર્તાઓ અનિવાર્યપણે આંધળા વિશ્વાસપાત્ર હોય છે, અને વપરાશકર્તા MITM હુમલા માટે સંવેદનશીલ હોય છે. મોડેલની શક્તિ અને નબળાઈઓ કોઈપણ ટીઓએફયુ-શૈલીના મોડેલની સૌથી મોટી તાકાત એ છે કે મનુષ્યએ શરૂઆતમાં દરેક ક્રિયાપ્રતિક્રિયાને માન્ય કરવી જોઈએ. આ મોડેલનો એક સામાન્ય ઉપયોગ કમ્પ્યુટર્સ વચ્ચે એસએસએચ-આરપીસી 'બોટ' વપરાશકર્તાઓનો ઉપયોગ છે, જેમાં કેન્દ્રિય યજમાનો પાસેથી સ્વચાલિત ઍક્સેસ માટે કમ્પ્યુટર્સના સમૂહમાં જાહેર કીઓ વહેંચવામાં આવે છે. આ એપ્લિકેશનનું ટોફુ પાસું sysadmin (અથવા અન્ય વિશ્વસનીય વપરાશકર્તા) ને પ્રથમ જોડાણ પર દૂરસ્થ સર્વરની ઓળખને માન્ય કરવા માટે દબાણ કરે છે. એન્ડ-ટુ-એન્ડ એન્ક્રિપ્ટેડ સંચાર માટે ટીઓએફયુ મોડેલ વ્યક્તિગત પ્રમાણપત્ર મેળવવાની જટિલ પ્રક્રિયા વિના અધિકૃત એન્ક્રિપ્શનને મંજૂરી આપે છે જે સીએ સમાધાન માટે સંવેદનશીલ હોય છે. વેબ ઓફ ટ્રસ્ટની સરખામણીમાં, ટોફુમાં જાળવણીનું ભારણ ઓછું છે. ટોફૂની સૌથી મોટી નબળાઈ કે જેને જાતે ચકાસણીની જરૂર છે તે મોટા જૂથો અથવા કમ્પ્યુટર નેટવર્ક માટે માપવામાં અસમર્થતા છે. દરેક અંતિમ બિંદુ માટે ઓળખકર્તાઓનો ટ્રેક રાખવાની જાળવણી ઓવરહેડ ઝડપથી વપરાશકર્તાઓની ક્ષમતાઓથી આગળ વધી શકે છે. એવા વાતાવરણમાં જ્યાં ઓળખકર્તાની અધિકૃતતાની પૂરતી સરળતાથી ચકાસણી કરી શકાતી નથી (ઉદાહરણ તરીકે, કાર્યસ્થળ અથવા શૈક્ષણિક સુવિધાના આઇટી સ્ટાફ સુધી પહોંચવું મુશ્કેલ હોઈ શકે છે), વપરાશકર્તાઓ વિરોધી અંતિમ બિંદુની ઓળખકર્તા પર આંધળો વિશ્વાસ કરે છે. હુમલાખોરોની આકસ્મિક રીતે માન્ય ઓળખકર્તાઓ પણ શોધવાનું મુશ્કેલ હોઈ શકે છે કે મેન-ઇન-ધ-મિડલ હુમલો ચાલુ રહે છે કે કેમ. નવા અંતિમ બિંદુ હંમેશા નવા ઓળખકર્તાનો સમાવેશ કરે છે, સંભવિત હુમલા વિશે કોઈ ચેતવણી પ્રદર્શિત થતી નથી. આનાથી વપરાશકર્તાઓમાં ખોટી ધારણા પેદા થઈ છે કે પ્રારંભિક ઓળખકર્તાની અધિકૃતતાની ચકાસણી કર્યા વિના આગળ વધવું સલામત છે, પછી ભલેને ઓળખકર્તા વપરાશકર્તાને રજૂ કરવામાં આવે કે નહીં. ચેતવણીના થાકને કારણે ઘણી મેસેજિંગ એપ્લિકેશનોને અવરોધિત ચેતવણીઓને દૂર કરવા માટે દબાણ કર્યું છે જેથી વપરાશકર્તાઓને ઓછી સુરક્ષિત એપ્લિકેશનો પર પાછા ફરતા અટકાવી શકાય જે પ્રથમ સ્થાને એન્ડ-ટુ-એન્ડ એન્ક્રિપ્શનની સુવિધા આપતા નથી. દૃષ્ટિ બહારની ઓળખકર્તા ચકાસણી પદ્ધતિઓ એ શક્યતાને ઘટાડે છે કે વપરાશકર્તાઓ દ્વારા સુરક્ષિત પ્રમાણીકરણ પદ્ધતિઓ શોધવામાં આવે અને અપનાવવામાં આવે. આ શબ્દનો સૌપ્રથમ જાણીતો ઉપયોગ ટોફુ અથવા ટીયુએફયુ શબ્દનો સૌપ્રથમ જાણીતો ઔપચારિક ઉપયોગ સીએમયુના સંશોધકો ડેન વેન્ડલેન્ડ, ડેવિડ એન્ડરસન અને એડ્રિયન પેરીગ દ્વારા તેમના સંશોધન પેપર "પર્સ્પેક્ટિવ્સઃ ઇમ્પ્રૂવિંગ એસએસએચ-સ્ટાઇલ હોસ્ટ ઓથેન્ટિકેશન વિથ મલ્ટી-પાથ પ્રોબિંગ" માં 2008 માં યુઝેનિક્સ વાર્ષિક ટેકનિકલ પરિષદમાં પ્રકાશિત થયો હતો. મોક્સી માર્લિન્સપાઇકે પેનલ ચર્ચા "એન ઓપન લેટર, એ કોલ ટુ એક્શન" દરમિયાન ડેન કમિન્સ્કી દ્વારા કરવામાં આવેલી ટિપ્પણીઓના સંદર્ભમાં પર્સ્પેક્ટિવ્સ અને ટોફુ ધ ડેફ કોન 18 કાર્યવાહી શબ્દનો ઉલ્લેખ કર્યો હતો. એસ. એસ. એલ./ટી. એલ. એસ. પી. કે. આઈ. મોડેલ પર એસ. એસ. એચ. પબ્લિક કી ઇન્ફ્રાસ્ટ્રક્ચર (પી. કે. આઈ.) મોડેલની શ્રેષ્ઠતાને સૂચિત કરતા પ્રેક્ષકોનું સૂચન ઉઠાવવામાં આવ્યું હતું-જેમાં મોક્સીએ જવાબ આપ્યો હતો કેઃ આ વિષય પર સંબંધિત કાર્ય સર્વર પ્રમાણપત્ર 'ફિંગરપ્રિન્ટ' હેશની દ્રશ્ય રજૂઆતો બનાવવા તરફ કામ એ. એસ. સી. આઈ. આઈ. આર્ટના રૂપમાં ઓપનએસએસ. એચ. માં લાગુ કરવામાં આવ્યું છે. તેનો હેતુ વપરાશકર્તાઓ માટે અક્ષરો અને સંખ્યાઓની લાંબી સ્ટ્રિંગને બદલે 'ગ્રાફિકલ' છબીને દૃષ્ટિની રીતે ઓળખવાનો છે. મૂળ સંશોધન પેપર એડ્રિયન પેરીગ અને ડોન સોંગ દ્વારા કાર્નેગી મેલોન યુનિવર્સિટી કમ્પ્યુટર સાયન્સ વિભાગમાં લખવામાં આવ્યું હતું. 'TUFU' ટૂંકાક્ષરના પ્રણેતા 'પર્સપેક્ટિવ્સ ફાયરફોક્સ પ્લગ ઇન' માટેની પ્રેરણાનું વર્ણન કરી રહ્યા હતા, જે જ્યારે પણ તમારું બ્રાઉઝર HTTPS વેબસાઇટને જોડે ત્યારે નેટવર્ક નોટરીનો સંપર્ક કરીને SSL/TLS PKI મોડેલને મજબૂત કરવા માટે ડિઝાઇન કરવામાં આવ્યું હતું. આ પણ જુઓ માહિતી ટેકનોલોજી ટૂંકાક્ષરોની સૂચિ મેન-ઇન-ધ-મિડલ એટેક સંદર્ભો બાહ્ય કડીઓ "DEF CON 18 શેડ્યૂલ, ઓપન લેટર-કૉલ ટુ એક્શન" ફાયરફોક્સ એક્સ્ટેંશન કે જે નેટવર્ક નોટરીનો સંપર્ક કરે છે જ્યારે પણ તમારું બ્રાઉઝર ઓપનએસએસએચ કમ્પ્યુટર સુરક્ષામાં એચટીટીપીએસ વેબસાઇટ હેશ વિઝ્યુલાઇઝેશનને જોડે છે.