File Transfer Protocol (FTP): Port 20 (Data) and Port 21 (Control) Notes in Hindi : FTP प्रोटोकॉल: पोर्ट 20 (डेटा) और पोर्ट 21 (कंट्रोल कनेक्शन) और 20 महत्वपूर्ण MCQ प्रश्न (Rajasthan IT Exam)

PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Non-Repudiation and Authentication Principles (गैर-अस्वीकरण (Non-Repudiation) और प्रमाणीकरण के सिद्धांत) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।

Overview: Authentication verifies claimed identities through knowledge, possession, inherence, or cryptographic tokens, whereas Non-Repudiation mathematically prevents an entity from denying a prior action or transmission. Together with Authorization and Accounting, these principles underpin PKI, FIDO2/WebAuthn, Kerberos, and legally verifiable digital transactions.

अध्याय सार: प्रमाणीकरण (Authentication) ज्ञान, स्वामित्व, बायोमेट्रिक या क्रिप्टोग्राफिक टोकन के माध्यम से दावे की गई पहचान की पुष्टि करता है, जबकि गैर-अस्वीकरण (Non-Repudiation) किसी पक्ष को अपने किए गए कार्य या संदेश भेजने से मुकरने से रोकता है। प्राधिकरण और लेखा-जोखा (Accounting) के साथ मिलकर ये सिद्धांत PKI, FIDO2, Kerberos और कानूनी रूप से मान्य डिजिटल लेनदेन की नींव रखते हैं।

Non-Repudiation and Authentication Principles: Detailed Notes & Architecture (गैर-अस्वीकरण (Non-Repudiation) और प्रमाणीकरण के सिद्धांत)

1. AAA Framework: Identification, Authentication, Authorization, Accounting (AAA फ्रेमवर्क: पहचान, प्रमाणीकरण, प्राधिकरण और लेखा-जोखा)

[EN] Security access workflows strictly separate Identification (asserting an identity via username, employee ID, or X.509 subject) from Authentication (proving that claim via secret or cryptographic challenge). Once authenticated, Authorization enforces least-privilege permissions using RBAC, ABAC, or ACLs, while Accounting records immutable session timestamps, actions, and IP telemetry via protocols such as RADIUS (UDP 1812/1813) or TACACS+ (TCP 49). Confusing authentication with authorization leads to Broken Access Control vulnerabilities like IDOR.

[HI] सुरक्षा प्रणाली में Identification (यूजरनेम या ID द्वारा पहचान बताना) और Authentication (पासवर्ड, OTP या कुंजी से उसे सिद्ध करना) अलग-अलग चरण हैं। सफल प्रमाणीकरण के बाद Authorization यह तय करता है कि उपयोगकर्ता RBAC, ABAC या ACL के तहत किन संसाधनों का उपयोग कर सकता है, जबकि Accounting RADIUS (UDP 1812) या TACACS+ (TCP 49) के माध्यम से सभी गतिविधियों के लॉग दर्ज करता है। प्रमाणीकरण और प्राधिकरण में भ्रम होने पर IDOR जैसी गंभीर सुरक्षा कमजोरियां उत्पन्न होती हैं।

2. Authentication Factors, MFA and NIST SP 800-63B (प्रमाणीकरण कारक, MFA और NIST SP 800-63B मानक)

[EN] Authentication factors fall into three classic categories: Something You Know (passwords, PINs), Something You Have (hardware security keys, smart cards, TOTP apps), and Something You Are (fingerprints, iris, facial geometry), sometimes extended with location or behavioral biometrics. Multi-Factor Authentication (MFA) requires combining at least two independent categories—two passwords remain single-factor. Under NIST SP 800-63B, Authenticator Assurance Level 3 (AAL3) requires phishing-resistant hardware cryptographic authenticators such as FIDO2/WebAuthn rather than SMS OTPs vulnerable to SIM swapping.

[HI] प्रमाणीकरण मुख्यतः तीन कारकों पर आधारित होता है: Knowledge (पासवर्ड, PIN), Possession (हार्डवेयर की, स्मार्ट कार्ड, TOTP ऐप) और Inherence (फिंगरप्रिंट, आइरिस)। Multi-Factor Authentication (MFA) में कम से कम दो अलग-अलग श्रेणियों के कारकों का उपयोग अनिवार्य है; एक ही श्रेणी के दो पासवर्ड MFA नहीं कहलाते। NIST SP 800-63B के अनुसार उच्चतम सुरक्षा स्तर (AAL3) के लिए SMS OTP के बजाय फ़िशिंग-रोधी FIDO2/WebAuthn आधारित हार्डवेयर क्रिप्टोग्राफिक प्रमाणीकरण की आवश्यकता होती है।

3. Non-Repudiation via Asymmetric Digital Signatures and PKI (असममित डिजिटल सिग्नेचर और PKI द्वारा गैर-अस्वीकरण)

[EN] Non-Repudiation guarantees that neither the sender (Non-Repudiation of Origin) nor the recipient (Non-Repudiation of Receipt) can plausibly deny participating in a transaction. Symmetric schemes like HMAC fail true third-party non-repudiation because both parties hold the identical shared secret key, meaning either could forge a message. True non-repudiation requires Asymmetric Public Key Cryptography (RSA-PSS, ECDSA, Ed25519) where only the signer holds the private key, bound to identity via a Certificate Authority (CA) X.509 certificate and an RFC 3161 Trusted Timestamping Authority (TSA).

[HI] गैर-अस्वीकरण (Non-Repudiation) यह सुनिश्चित करता है कि भेजने वाला (Origin) या प्राप्त करने वाला (Receipt) बाद में किसी डिजिटल संदेश या लेनदेन से इनकार न कर सके। HMAC जैसी सममित प्रणाली तीसरे पक्ष के सामने गैर-अस्वीकरण सिद्ध नहीं कर सकती क्योंकि दोनों पक्षों के पास समान गुप्त कुंजी होती है। वास्तविक गैर-अस्वीकरण के लिए RSA, ECDSA या Ed25519 जैसी असममित क्रिप्टोग्राफी (जहां प्राइवेट की केवल हस्ताक्षरकर्ता के पास हो), CA द्वारा जारी X.509 प्रमाणपत्र और RFC 3161 टाइमस्टैम्प की आवश्यकता होती है।

4. Modern Federated Authentication: Kerberos, SAML 2.0, OAuth 2.0 and OIDC (आधुनिक फेडरेटेड प्रमाणीकरण: Kerberos, SAML 2.0, OAuth 2.0 और OIDC)

[EN] Enterprise Single Sign-On (SSO) uses specialized token protocols to avoid transmitting raw passwords repeatedly. Kerberos v5 (port 88) relies on a trusted Key Distribution Center (KDC) issuing time-stamped symmetric Ticket Granting Tickets (TGTs) and Service Tickets. For web federation, SAML 2.0 exchanges signed XML assertions between an Identity Provider (IdP) and Service Provider (SP), whereas OAuth 2.0 is strictly an authorization delegation protocol—requiring OpenID Connect (OIDC) on top of it with signed JSON Web Token (JWT) ID Tokens to perform authentication.

[HI] एंटरप्राइज Single Sign-On (SSO) में बार-बार पासवर्ड भेजने से बचने के लिए टोकन प्रोटोकॉल अपनाए जाते हैं। Kerberos v5 (पोर्ट 88) एक विश्वसनीय KDC का उपयोग करके समयबद्ध Ticket Granting Ticket (TGT) और Service Ticket जारी करता है। वेब फेडरेशन में SAML 2.0 हस्ताक्षरित XML असर्शन का आदान-प्रदान करता है, जबकि OAuth 2.0 केवल प्राधिकरण (Authorization) के लिए है; प्रमाणीकरण के लिए इसके ऊपर OpenID Connect (OIDC) और JWT (JSON Web Token) ID Token का उपयोग किया जाता है।

Syntax, Formula & Technical Example (Non-Repudiation and Authentication Principles)

# Cryptographic Non-Repudiation using OpenSSL Digital Signatures & TOTP Formula
# 1. Sign document digest with signer's Private Key (ECDSA / RSA)
openssl dgst -sha256 -sign sender_private.pem -out contract.sig contract.pdf

# 2. Any third party verifies Origin + Integrity using Public Key
openssl dgst -sha256 -verify sender_public.pem -signature contract.sig contract.pdf
# Output: Verified OK  (Sender cannot deny signing contract.pdf)

# 3. RFC 6238 TOTP (Time-based One-Time Password) Calculation:
# Counter T = floor((Current_Unix_Time - T0) / 30)
# TOTP = DynamicTruncate(HMAC-SHA1(Secret_K, T)) mod 10^6

Non-Repudiation and Authentication Principles Quick Reference & Comparison Table

Security Principle	Core Technical Mechanism & Protocol	Key Exam Fact
Identification	Username, Employee UID, or X.509 Subject claim	Claims identity without proving it
Authentication	FIDO2/WebAuthn, TOTP (RFC 6238), Kerberos TGT	Verifies claim via knowledge/possession/inherence
Authorization	RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens	Grants least-privilege access post-AuthN
Non-Repudiation	Private-key Digital Signature + X.509 CA + Timestamp	Impossible with shared symmetric MAC alone

Non-Repudiation and Authentication Principles Top 20 Bilingual MCQs with Answers

Q1. Why can an HMAC-SHA256 tag NOT provide legally binding third-party Non-Repudiation?

(HMAC-SHA256 टैग तीसरे पक्ष के सामने कानूनी रूप से बाध्यकारी गैर-अस्वीकरण (Non-Repudiation) क्यों नहीं प्रदान कर सकता है?)

(A) HMAC outputs only 32 bits which collide immediately

(B) HMAC requires an internet connection to a root CA for every byte

(C) Both the sender and receiver share the identical secret key, so either could have generated the tag

(D) HMAC does not protect message integrity during transit

Correct Answer: (C)

[EN] Because symmetric MACs rely on a shared secret key, a third party cannot prove whether the sender or the recipient forged the MAC.

[HI] चूंकि HMAC में प्रेषक और प्राप्तकर्ता दोनों के पास एक ही गुप्त कुंजी होती है, इसलिए यह सिद्ध नहीं किया जा सकता कि टैग किसने बनाया।

Q2. A login portal asks a user for their password and a security question ('Mother's maiden name'). Does this satisfy Multi-Factor Authentication (MFA)?

(एक लॉगिन पोर्टल उपयोगकर्ता से पासवर्ड और एक सुरक्षा प्रश्न ('माता का पहला नाम') पूछता है। क्या यह Multi-Factor Authentication (MFA) है?)

(A) Yes, because security questions are classified as Inherence

(B) Yes, because two separate text input fields are validated

(C) No, because both challenges belong to the same 'Something You Know' factor

(D) Only if the password uses uppercase letters

Correct Answer: (C)

[EN] True MFA requires combining at least two independent factor categories (Knowledge, Possession, Inherence); two knowledge items remain single-factor.

[HI] सच्चे MFA के लिए कम से कम दो अलग श्रेणियों के कारकों का उपयोग आवश्यक है; पासवर्ड और सुरक्षा प्रश्न दोनों 'Knowledge' श्रेणी में आते हैं।

Q3. Which protocol operates on TCP/UDP port 88 and uses a Ticket Granting Ticket (TGT) from an Authentication Server to enable Single Sign-On?

(कौन सा प्रोटोकॉल पोर्ट 88 पर कार्य करता है और Single Sign-On के लिए Authentication Server से प्राप्त Ticket Granting Ticket (TGT) का उपयोग करता है?)

(A) OAuth 2.0 Implicit Flow

(B) SSHv2

(C) RADIUS

(D) Kerberos v5

Correct Answer: (D)

[EN] Kerberos v5 uses a KDC (AS + TGS) on port 88, issuing time-limited TGTs and Service Tickets without sending passwords repeatedly.

[HI] Kerberos v5 पोर्ट 88 पर KDC के माध्यम से TGT और Service Ticket जारी करके सुरक्षित SSO प्रदान करता है।

Q4. In OpenSSL, which key is used to CREATE a digital signature and which key is used by recipients to VERIFY it?

(OpenSSL में डिजिटल सिग्नेचर बनाने (Sign) के लिए किस कुंजी का उपयोग होता है और प्राप्तकर्ता द्वारा सत्यापन (Verify) के लिए किस कुंजी का उपयोग होता है?)

(A) Sender's Public Key signs; Sender's Private Key verifies

(B) Sender's Private Key signs; Sender's Public Key verifies

(C) Receiver's Private Key signs; Receiver's Public Key verifies

(D) A single shared AES-256 session key both signs and verifies

Correct Answer: (B)

[EN] Signing uses the signer's exclusive Private Key for Non-Repudiation; anyone holding the corresponding Public Key can verify it.

[HI] हस्ताक्षर केवल हस्ताक्षरकर्ता की Private Key से किया जाता है ताकि वह मुकर न सके, जबकि सत्यापन उसकी Public Key से होता है।

Q5. What is the primary distinction between OAuth 2.0 and OpenID Connect (OIDC)?

(OAuth 2.0 और OpenID Connect (OIDC) के बीच मुख्य अंतर क्या है?)

(A) OIDC replaces TLS encryption on port 443

(B) OAuth 2.0 only runs on local Windows Active Directory domains

(C) OAuth 2.0 handles Authorization delegation, whereas OIDC adds an Authentication layer with an ID Token (JWT)

(D) OAuth 2.0 uses XML assertions while OIDC uses binary ASN.1 packets

Correct Answer: (C)

[EN] OAuth 2.0 grants scoped access tokens for APIs without confirming user identity; OIDC sits atop OAuth 2.0 and issues signed JWT ID Tokens.

[HI] OAuth 2.0 केवल API एक्सेस की अनुमति (Authorization) देता है, जबकि OIDC उसके ऊपर JWT ID Token द्वारा पहचान प्रमाणित (Authentication) करता है।

Q6. Under NIST SP 800-63B, why are SMS-based OTPs discouraged at higher Authenticator Assurance Levels compared to FIDO2/WebAuthn?

(NIST SP 800-63B के अनुसार FIDO2/WebAuthn की तुलना में उच्च सुरक्षा स्तरों पर SMS-आधारित OTP को हतोत्साहित क्यों किया जाता है?)

(A) SMS messages are vulnerable to SIM swapping, SS7 interception, and real-time phishing proxies

(B) SMS OTPs use asymmetric RSA-4096 keys that slow down mobile CPUs

(C) FIDO2 requires users to memorize 64-character random hex strings

(D) SMS networks do not support numeric digits longer than 2 characters

Correct Answer: (A)

[EN] Attackers bypass SMS OTPs via SIM-swap fraud or AitM phishing proxies, whereas WebAuthn binds cryptographic challenges to the exact origin domain.

[HI] SMS OTP सिम-स्वैपिंग, SS7 इंटरसेप्शन और फ़िशिंग प्रॉक्सी के प्रति संवेदनशील है, जबकि WebAuthn डोमेन-बाउंड क्रिप्टोग्राफी से फ़िशिंग को रोकता है।

Q7. In RFC 6238 TOTP (Time-based One-Time Password), what is the standard time step interval and why must client-server clocks stay synchronized?

(RFC 6238 TOTP में मानक समय अंतराल (time step) कितना होता है और क्लाइंट व सर्वर की घड़ियों का सिंक रहना क्यों आवश्यक है?)

(A) 30 seconds; both devices independently divide Unix epoch time by 30 to compute matching OTPs

(B) 24 hours; TOTP tokens are transmitted only during nightly batch jobs

(C) 5 minutes; TOTP sends the server clock inside every plaintext HTML form

(D) 1 millisecond; TOTP relies on GPS atomic clocks over UDP port 123

Correct Answer: (A)

[EN] TOTP replaces HOTP's event counter with floor(UnixTime/30); clock drift beyond the tolerance window causes verification failure.

[HI] TOTP में 30 सेकंड का मानक अंतराल होता है और दोनों पक्ष वर्तमान Unix समय को 30 से विभाजित करके एक जैसा OTP निकालते हैं।

Q8. During an e-commerce audit, a user claims they never clicked 'Approve Wire Transfer,' even though the bank logged an authenticated TLS session. What must the bank prove to establish Non-Repudiation?

(ई-कॉमर्स ऑडिट में एक उपयोगकर्ता दावा करता है कि उसने 'Approve Wire Transfer' पर क्लिक नहीं किया, भले ही वह TLS सत्र में लॉग-इन था। गैर-अस्वीकरण सिद्ध करने के लिए बैंक के पास क्या प्रमाण होना चाहिए?)

(A) Only the server's TLS certificate proving the webpage used HTTPS

(B) A client-side digital signature created with the user's sole private key plus an audit timestamp over the transaction payload

(C) An unauthenticated HTTP cookie containing the user ID

(D) The user's plaintext browser User-Agent string

Correct Answer: (B)

[EN] TLS encrypts the pipe, but only a signature generated with the user's exclusive private key over the transaction hash proves origin non-repudiation.

[HI] TLS केवल नेटवर्क चैनल को एन्क्रिप्ट करता है; गैर-अस्वीकरण के लिए लेनदेन डेटा पर उपयोगकर्ता की निजी कुंजी से किया गया डिजिटल सिग्नेचर आवश्यक है।

Q9. Which authentication vulnerability occurs when an application checks that a user is logged in, but fails to verify whether that user owns resource `/api/invoices/1042`?

(यदि कोई एप्लिकेशन यह तो जांचता है कि उपयोगकर्ता लॉग-इन है, पर यह नहीं जांचता कि वह `/api/invoices/1042` का मालिक है या नहीं, तो यह कौन सी कमजोरी है?)

(A) Insecure Direct Object Reference (IDOR) / Broken Object Level Authorization

(B) ARP Cache Poisoning

(C) Buffer Overflow in Kerberos TGT

(D) Birthday Attack on SHA-512

Correct Answer: (A)

[EN] IDOR arises when an application relies on Authentication alone without enforcing object-level Authorization checks for the requested record.

[HI] IDOR तब होता है जब सिस्टम केवल Authentication जांच कर लेती है लेकिन यह Authorization नहीं देखती कि उपयोगकर्ता उस विशिष्ट रिकॉर्ड का हकदार है या नहीं।

Q10. Which of the following is NOT true about TACACS+ compared to RADIUS?

(RADIUS की तुलना में TACACS+ के बारे में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)

(A) TACACS+ encrypts only the user password field while leaving commands in plaintext

(B) TACACS+ separates Authentication, Authorization, and Accounting into modular processes

(C) TACACS+ uses TCP port 49 whereas RADIUS primarily uses UDP ports 1812/1813

(D) TACACS+ is widely used for granular network-device CLI command authorization

Correct Answer: (A)

[EN] Unlike RADIUS (which encrypts only the password attribute over UDP), TACACS+ encrypts the entire packet body over TCP port 49.

[HI] RADIUS के विपरीत, TACACS+ केवल पासवर्ड ही नहीं बल्कि TCP पोर्ट 49 पर पूरे पैकेट पेलोड को एन्क्रिप्ट करता है।

Q11. What mechanism do browsers and clients use to verify whether an X.509 certificate used for authentication or non-repudiation was revoked prior to expiration?

(ब्राउज़र और क्लाइंट यह जांचने के लिए किस तंत्र का उपयोग करते हैं कि प्रमाणीकरण या गैर-अस्वीकरण के लिए उपयोग किया गया X.509 प्रमाणपत्र समय से पहले रद तो नहीं किया गया?)

(A) Checking the file's Base64 padding length

(B) CRL (Certificate Revocation List) or OCSP (Online Certificate Status Protocol) / OCSP Stapling

(C) Comparing MD5 hashes inside `/etc/hosts`

(D) Traceroute to the sender's local router

Correct Answer: (B)

[EN] CAs publish revoked serial numbers via CRLs and real-time OCSP responders (often stapled inside the TLS handshake) to invalidate compromised keys.

[HI] प्रमाणपत्र की वैधता और निरस्तीकरण की जांच CRL या रीयल-टाइम OCSP / OCSP Stapling के माध्यम से की जाती है।

Q12. Which biometric failure metric measures the probability that an unauthorized impostor is mistakenly accepted by a biometric scanner?

(कौन सा बायोमेट्रिक मेट्रिक उस संभावना को मापता है जिसमें कोई अनधिकृत व्यक्ति गलती से सिस्टम द्वारा स्वीकार कर लिया जाता है?)

(A) False Rejection Rate (FRR)

(B) Cross-Over Error Rate (CER)

(C) Mean Time to Acknowledge (MTTA)

(D) False Acceptance Rate (FAR)

Correct Answer: (D)

[EN] FAR indicates unauthorized impersonation acceptance (critical security risk); the threshold where FAR equals FRR is the Equal/Cross-Over Error Rate (EER/CER).

[HI] FAR (False Acceptance Rate) वह दर है जिस पर अनधिकृत व्यक्ति को गलत तरीके से वैध मान लिया जाता है; यह सुरक्षा की दृष्टि से अत्यंत संवेदनशील है।

Q13. Why must web servers store user passwords using salted adaptive functions like Argon2id or bcrypt instead of fast plain SHA-256?

(वेब सर्वर को उपयोगकर्ता पासवर्ड संग्रहीत करने के लिए तेज़ SHA-256 के बजाय Argon2id या bcrypt जैसे सॉल्टेड और धीमे फंक्शन क्यों उपयोग करने चाहिए?)

(A) bcrypt reduces database disk storage to 1 byte per user

(B) SHA-256 can only hash passwords shorter than 8 characters

(C) Argon2id automatically restores forgotten passwords back to plaintext

(D) Unique per-user salts defeat rainbow tables and high memory/CPU cost slows GPU brute-force cracking

Correct Answer: (D)

[EN] GPU rigs compute billions of unsalted SHA-256 hashes per second; Argon2id/bcrypt inject unique salts and tunable memory/time costs to thwart cracking.

[HI] सामान्य SHA-256 पर GPU से अरबों अनुमान प्रति सेकंड लगाए जा सकते हैं, जबकि Argon2id/bcrypt के सॉल्ट और मेमोरी-कॉस्ट रेनबो टेबल व ब्रूट-फोर्स को विफल करते हैं।

Q14. In SAML 2.0 Web Single Sign-On, which entity cryptographically signs the SAML Assertion confirming the user's authenticated identity?

(SAML 2.0 Web Single Sign-On में उपयोगकर्ता की प्रमाणित पहचान की पुष्टि करने वाले SAML Assertion पर डिजिटल हस्ताक्षर कौन करता है?)

(A) The local DNS recursive resolver

(B) The Service Provider's CSS stylesheet

(C) The end-user's web browser cache

(D) The Identity Provider (IdP)

Correct Answer: (D)

[EN] The IdP authenticates the user and signs the XML Assertion with its private key so the Service Provider (SP) can verify trust without contacting the IdP directly.

[HI] SAML 2.0 में Identity Provider (IdP) उपयोगकर्ता को प्रमाणित करके XML Assertion पर अपनी निजी कुंजी से हस्ताक्षर करता है।

Q15. How does RFC 3161 Trusted Timestamping strengthen Non-Repudiation on signed legal contracts?

(RFC 3161 Trusted Timestamping हस्ताक्षरित कानूनी अनुबंधों पर गैर-अस्वीकरण को कैसे मजबूत बनाता है?)

(A) It converts asymmetric RSA keys into symmetric DES keys automatically

(B) It disables certificate revocation checks in web browsers

(C) It proves the signature existed before the signer's certificate expired or was later claimed compromised/revoked

(D) It compresses PDF contracts into 64-byte integers

Correct Answer: (C)

[EN] Without a trusted timestamp, a malicious signer could revoke their key and claim a signature was forged afterward; TSA proof anchors the exact signing time.

[HI] विश्वसनीय टाइमस्टैम्प यह सिद्ध करता है कि हस्ताक्षर प्रमाणपत्र के रद होने या समाप्त होने से पहले ही किया जा चुका था, जिससे मुकरने की गुंजाइश खत्म होती है।

Q16. What security flaw occurs in Kerberos environments if system clocks across clients and the KDC drift beyond the default 5-minute skew limit?

(यदि Kerberos नेटवर्क में क्लाइंट और KDC की घड़ियों के बीच समय का अंतर डिफ़ॉल्ट 5 मिनट की सीमा से अधिक हो जाए तो क्या होता है?)

(A) Authentication fails with `KRB_AP_ERR_SKEW` because Kerberos relies on timestamps to stop replay attacks

(B) Kerberos automatically downgrades to plaintext Telnet authentication

(C) The KDC grants Domain Admin privileges to all guest accounts

(D) Tickets become valid permanently without expiration

Correct Answer: (A)

[EN] Kerberos embeds encrypted timestamps inside authenticators to block replay attacks; NTP time synchronization within 5 minutes is strictly required.

[HI] रीप्ले हमलों को रोकने के लिए Kerberos टाइमस्टैम्प का उपयोग करता है; 5 मिनट से अधिक समय का अंतर होने पर प्रमाणीकरण `KRB_AP_ERR_SKEW` त्रुटि के साथ विफल हो जाता है।

Q17. Within Non-Repudiation and Authentication Principles, which security principle directly maps to: "Username, Employee UID, or X.509 Subject claim"?

(Non-Repudiation and Authentication Principles में कौन सा Security Principle सीधे "Username, Employee UID, or X.509 Subject claim" से संबंधित है?)

(A) Authentication

(B) Non-Repudiation

(C) Identification

(D) Authorization

Correct Answer: (C)

[EN] In Non-Repudiation and Authentication Principles, 'Identification' handles 'Username, Employee UID, or X.509 Subject claim' (Claims identity without proving it).

[HI] Non-Repudiation and Authentication Principles में 'Identification' का कार्य/विवरण 'Username, Employee UID, or X.509 Subject claim' (Claims identity without proving it) है।

Q18. Which option accurately describes 'Authentication' in Non-Repudiation and Authentication Principles?

(Non-Repudiation and Authentication Principles के संदर्भ में 'Authentication' की सही विशेषता कौन सी है?)

(A) Username, Employee UID, or X.509 Subject claim

(B) RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens

(C) Private-key Digital Signature + X.509 CA + Timestamp

(D) FIDO2/WebAuthn, TOTP (RFC 6238), Kerberos TGT

Correct Answer: (D)

[EN] 'Authentication' provides 'FIDO2/WebAuthn, TOTP (RFC 6238), Kerberos TGT' — key point: Verifies claim via knowledge/possession/inherence.

[HI] 'Authentication' का मुख्य विवरण 'FIDO2/WebAuthn, TOTP (RFC 6238), Kerberos TGT' है (Verifies claim via knowledge/possession/inherence)।

Q19. In Non-Repudiation and Authentication Principles, identify the correct parameter for the specification: "RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens".

(Non-Repudiation and Authentication Principles में "RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens" विवरण किस विकल्प के लिए सही है?)

(A) Identification

(B) Authentication

(C) Authorization

(D) Non-Repudiation

Correct Answer: (C)

[EN] 'Authorization' corresponds to 'RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens' (Grants least-privilege access post-AuthN).

[HI] 'Authorization' का संबंध 'RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens' (Grants least-privilege access post-AuthN) से है।

Q20. Considering Non-Repudiation and Authentication Principles, what key behavior defines 'Non-Repudiation'?

(Non-Repudiation and Authentication Principles में 'Non-Repudiation' की मुख्य भूमिका या मान क्या है?)

(A) FIDO2/WebAuthn, TOTP (RFC 6238), Kerberos TGT

(B) Username, Employee UID, or X.509 Subject claim

(C) Private-key Digital Signature + X.509 CA + Timestamp

(D) RBAC, ABAC, ACLs, OAuth 2.0 Access Tokens

Correct Answer: (C)

[EN] 'Non-Repudiation' represents 'Private-key Digital Signature + X.509 CA + Timestamp' (Impossible with shared symmetric MAC alone).

[HI] 'Non-Repudiation' का अर्थ/मान 'Private-key Digital Signature + X.509 CA + Timestamp' है (Impossible with shared symmetric MAC alone)।

Non-Repudiation and Authentication Principles — Exam FAQs

Q1: What is the exact difference between Authentication and Non-Repudiation?

प्रमाणीकरण (Authentication) और गैर-अस्वीकरण (Non-Repudiation) के बीच सटीक अंतर क्या है?

[EN] Authentication verifies who you are during an active session (e.g., logging in with a password or Kerberos ticket), whereas Non-Repudiation creates persistent cryptographic evidence—such as an asymmetric digital signature plus timestamp—so you cannot later deny having sent or signed a specific message.

[HI] Authentication सक्रिय सत्र के दौरान आपकी पहचान सत्यापित करता है (जैसे लॉगिन करना), जबकि Non-Repudiation ऐसा स्थायी क्रिप्टोग्राफिक प्रमाण (जैसे डिजिटल सिग्नेचर और टाइमस्टैम्प) बनाता है जिससे आप भविष्य में किसी संदेश या लेनदेन से इनकार न कर सकें।

Q2: Why is Something You Know + Something You Know not considered MFA?

दो अलग-अलग पासवर्ड या पासवर्ड + सुरक्षा प्रश्न को MFA क्यों नहीं माना जाता है?

[EN] True Multi-Factor Authentication must draw from at least two distinct categories among Knowledge, Possession, and Inherence; combining two Knowledge secrets only creates multi-step single-factor authentication.

[HI] सच्चे MFA के लिए ज्ञान (Knowledge), स्वामित्व (Possession) और बायोमेट्रिक (Inherence) में से कम से कम दो अलग श्रेणियों का होना जरूरी है; एक ही श्रेणी के दो सवाल पूछना केवल सिंगल-फैक्टर ही रहता है।

Q3: Can an application use OAuth 2.0 alone for user login authentication?

क्या कोई एप्लिकेशन केवल OAuth 2.0 का उपयोग करके सुरक्षित यूजर लॉगिन प्रमाणीकरण कर सकता है?

[EN] No; OAuth 2.0 was engineered strictly for delegated authorization (Access Tokens for APIs) and provides no standardized identity claims. OpenID Connect (OIDC) layers signed JWT ID Tokens on top of OAuth 2.0 specifically to handle authentication safely.

[HI] नहीं; OAuth 2.0 मूल रूप से केवल API एक्सेस अनुमति (Authorization) के लिए बनाया गया है। सुरक्षित यूजर लॉगिन प्रमाणीकरण के लिए इसके ऊपर OpenID Connect (OIDC) और हस्ताक्षरित JWT ID Token का उपयोग किया जाता है।

Cyber Security