गहरे नेटवर्क में ग्रेडिएंट का प्रसार कठिन होने पर रेज़िड्युअल कनेक्शन और लेयर नॉर्मलाइज़ेशन कैसे मदद करते हैं?

बैकप्रोपेगेशन में ग्रेडिएंट बहुत छोटे या बड़े हो सकते हैं। रेज़िड्युअल कनेक्शन y = F(x) + x, तत्समक पद से अवकलज का सीधा मार्ग देता है। लेयर नॉर्मलाइज़ेशन सक्रियणों का पैमाना बदलता है और प्रशिक्षण स्थिर कर सकता है। ये मदद करते हैं, लेकिन ग्रेडिएंट के लुप्त होने या विस्फोटक बढ़ने को खत्म करने की गारंटी नहीं देते।

विशेषता-आयाम स्थिर होने पर पूर्ण सेल्फ-अटेंशन, FlashAttention और KV कैश की लागत अनुक्रम की लंबाई से कैसे बदलती है?

N टोकन के लिए सामान्य पूर्ण अटेंशन O(N²) अंकगणितीय क्रियाएँ और स्पष्ट रूप से रखे स्कोर के लिए O(N²) मेमोरी लेता है। सटीक FlashAttention यह द्विघाती भंडारण बचाता है, पर द्विघाती गणना रहती है। ऑटोरेग्रेसिव डिकोडिंग में KV कैश पूर्ववर्ती कुंजियों और मानों का पुनः उपयोग करता है; उनकी पुनर्गणना बचती है, लेकिन पूर्ण अटेंशन में हर नई क्वेरी की तुलना अब भी पिछले टोकनों से की जाती है।

ट्रैफ़िक की मात्रा वाले DDoS, SYN फ़्लड और अनुप्रयोग-स्तर के हमले कैसे अलग हैं?

वितरित स्रोतों से वे क्रमशः बैंडविड्थ, कनेक्शन-स्थिति संसाधनों और अनुप्रयोग के काम को निशाना बनाते हैं। रक्षा बाधा के अनुसार होनी चाहिए: ऊपरी नेटवर्क में ट्रैफ़िक फ़िल्टर या सफ़ाई, कुछ कनेक्शन-स्थिति हमलों में SYN कुकी, और HTTP दुरुपयोग में अनुप्रयोग-विशिष्ट फ़िल्टर या दर-सीमा। एक उपाय सभी DDoS नहीं रोकता।

रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) क्या है और क्या सुनिश्चित नहीं करता?

RAG बाहरी सामग्री खोजकर लाता है और उस पर आधारित जनरेशन करता है। इससे उत्तरों का स्रोत-आधार बेहतर हो सकता है और जनरेटर को फिर प्रशिक्षित किए बिना जानकारी बदलना आसान हो सकता है। सामग्री पुरानी, गलत या अप्रासंगिक हो सकती है और जनरेशन भी गलत हो सकता है; सामग्री मिल जाने से उसकी सत्यता सुनिश्चित नहीं होती।

HSTS, HTTPS को HTTP में घटाने वाले हमले कैसे सीमित करता है और पहली बार वेबसाइट खोलने पर उसकी क्या सीमा है?

हमलावर ब्राउज़र को अनएन्क्रिप्टेड HTTP पर रखने की कोशिश कर सकता है। ज्ञात HSTS होस्ट के लिए ब्राउज़र HTTPS इस्तेमाल करता है और प्रमाणपत्र की त्रुटियाँ अस्वीकार करता है। यदि नीति केवल किसी पहले के सुरक्षित कनेक्शन पर मिली हो, तो वह पहली असुरक्षित पहुँच की रक्षा नहीं करती; पहले से लोड नीति यह शुरुआती कमी पूरी कर सकती है।

बैकप्रोपेगेशन और SGD या Adam जैसे ऑप्टिमाइज़र न्यूरल नेटवर्क प्रशिक्षण का काम कैसे बाँटते हैं?

बैकप्रोपेगेशन चेन नियम से हानि के ग्रेडिएंट निकालता है। SGD नमूने से निकले ग्रेडिएंट की विपरीत दिशा में कदम लेकर पैरामीटर बदलता है। Adam ग्रेडिएंट के आघूर्णों के समय के साथ अद्यतन होने वाले अनुमान से अपडेट अनुकूलित करता है। ग्रेडिएंट निकालना और पैरामीटर अपडेट चुनना अलग कार्य हैं।

द्विआधारी वर्गीकरण में प्रिसिजन, रिकॉल, F1 और ROC-AUC क्या मापते हैं?

चुने सकारात्मक वर्ग के लिए प्रिसिजन = TP/(TP+FP), रिकॉल = TP/(TP+FN), F1 = 2TP/(2TP+FP+FN), जब सूत्रों के हर शून्य न हों। ROC-AUC अलग सीमाओं पर वास्तविक सकारात्मक दर बनाम गलत सकारात्मक दर को संक्षेपित करता है। असंतुलित वर्गों में प्रिसिजन–रिकॉल का व्यवहार और गलतियों की लागत भी देखें; अकेला ROC-AUC सार्वभौमिक गुणवत्ता-माप नहीं।

दीर्घकालिक प्रमाणीकरण कुंजी उजागर होने पर फ़ॉरवर्ड सीक्रेसी क्या बचाती है?

पहले रिकॉर्ड किए गए सत्र गोपनीय रहते हैं, यदि उनके सत्र-रहस्य भी उजागर नहीं हुए हैं। अस्थायी रहस्यों को सुरक्षित रूप से मिटाने पर अस्थायी Diffie–Hellman यह गुण दे सकता है; तब केवल दीर्घकालिक कुंजी उजागर होने से पुराने सत्रों की कुंजियाँ नहीं खुलतीं।

परंपरागत बायस–वैरिएंस दृष्टि में बायस और वैरिएंस का अंडरफ़िटिंग और ओवरफ़िटिंग से क्या संबंध है?

बायस औसत भविष्यवाणी या अनुमान की व्यवस्थित त्रुटि है; वैरिएंस प्रशिक्षण नमूने के प्रति संवेदनशीलता है। अधिक बायस अंडरफ़िटिंग में योगदान दे सकता है। अधिक वैरिएंस नमूने-विशिष्ट उतार-चढ़ाव से फिट होने और कमजोर सामान्यीकरण में योगदान दे सकता है। संतुलन मॉडल, डेटा और प्रशिक्षण विधि पर निर्भर है।

पर्यवेक्षित, अपर्यवेक्षित और पुनर्बलन सीखने में क्या अंतर है?

पर्यवेक्षित सीखना लक्ष्य-लेबल वाले उदाहरणों से अनुमान लगाना सीखता है। अपर्यवेक्षित सीखना ऐसे लेबल के बिना डेटा में संरचना ढूँढ़ता है। पुनर्बलन सीखना अपेक्षित संचयी पुरस्कार बढ़ाने के लिए परिवेश से अंतःक्रिया करके व्यवहार सीखता है।

CSRF क्या है और SameSite कुकी पूर्ण सुरक्षा क्यों नहीं देती?

CSRF ब्राउज़र से अनचाहे अनुरोध भेजवाता है, जिनमें सत्र-कुकी जैसे पहचान-संबंधी प्रमाण अपने आप जुड़ते हैं। स्थिति बदलने वाले अनुरोधों में उपयुक्त CSRF-विरोधी टोकन जाँचें और SameSite को अतिरिक्त रक्षा मानें। SameSite=Lax दूसरी साइट से शीर्ष-स्तरीय GET नेविगेशन में कुकी की अनुमति दे सकता है; इसलिए GET एंडपॉइंट स्थिति बदलने वाले काम न करें।

नियतात्मक और अनियतात्मक सीमित ऑटोमेटा तथा औपचारिक रेगुलर एक्सप्रेशन में क्या समान है?

दोनों ऑटोमेटा ठीक रेगुलर भाषाएँ पहचानते हैं, जिन्हें औपचारिक रेगुलर एक्सप्रेशन भी वर्णित करते हैं। अनियतात्मक ऑटोमेटन स्वीकार करता है यदि कोई एक अनुमत गणना स्वीकार करे। प्रोग्रामिंग भाषाओं के रेगुलर एक्सप्रेशन में बैकरेफ़रेंस जैसी सुविधाएँ इस औपचारिक वर्ग से आगे जा सकती हैं।

HMAC क्या प्रमाणित करता है और क्या नहीं देता?

HMAC साझा गुप्त कुंजी से संदेश का टैग निकालता है, जैसे HMAC-SHA256। सही टैग उस कुंजी के धारक के लिए संदेश की अखंडता और प्रामाणिकता का आधार है। वह संदेश एन्क्रिप्ट नहीं करता और कई कुंजीधारकों में से किसने उसे बनाया, यह सिद्ध नहीं करता।

SSRF क्या है और बचाव में क्या सीमित करना चाहिए?

SSRF सर्वर से हमलावर के चुने गंतव्यों पर अनुरोध भेजवाता है, जिससे आंतरिक सेवाएँ या क्लाउड मेटाडेटा खुल सकते हैं। अनुमत गंतव्य और प्रोटोकॉल सीमित करें, नाम-समाधान से मिले पते और रीडायरेक्ट जाँचें तथा बाहर जाने वाले नेटवर्क ट्रैफ़िक पर नियंत्रण लगाएँ। केवल दिए होस्टनाम की जाँच पर्याप्त नहीं।

हॉल्टिंग समस्या की अनिर्णेयता क्या असंभव बताती है?

ऐसा एल्गोरिदम जो हमेशा समाप्त हो और हर प्रोग्राम तथा इनपुट के लिए सही बताए कि वह निष्पादन कभी समाप्त होगा या नहीं। इससे विशेष प्रोग्रामों या सीमित वर्गों के समाप्त होने या न होने के प्रमाण निषिद्ध नहीं होते।

SQL इंजेक्शन कैसे होता है और पैरामीटरयुक्त क्वेरी कैसे मदद करती हैं?

अविश्वसनीय इनपुट को डेटा की जगह SQL कोड माना जाता है। डेटा मानों को SQL पाठ में जोड़ने के बजाय पैरामीटर से बाँधें। पैरामीटर सामान्यतः तालिका या कॉलम के नाम और SQL कीवर्ड नहीं बदल सकते; ऐसी संरचनात्मक चीज़ें विश्वसनीय, स्पष्ट रूप से अनुमत विकल्पों से चुनें।

पासवर्ड केवल SHA-256 से नहीं, बल्कि सॉल्ट वाली पासवर्ड-हैशिंग योजना से क्यों रखें?

अलग यादृच्छिक सॉल्ट पहले से गणना की गई तालिकाओं का दोबारा इस्तेमाल रोकता है और समान पासवर्ड चुनने पर भी अलग संग्रहित हैश देता है। समायोज्य लागत अनुमान लगाने को धीमा करती है। Argon2id और scrypt मेमोरी लागत लगाते हैं; bcrypt मुख्यतः CPU लागत वाला धीमा, पुराना विकल्प है। SHA-256 तेज़ होने के लिए बनाया गया है। सॉल्ट गुप्त नहीं है; उपयुक्त लागत तैनाती पर निर्भर है।

कॉम्पैक्ट रूप के हस्ताक्षरित JWT में क्या होता है और उसे डिकोड करना पर्याप्त क्यों नहीं?

उसके तीन base64url भागों में हेडर, दावों वाला पेलोड और हस्ताक्षर या MAC होता है। वे एन्कोड किए जाते हैं, एन्क्रिप्ट नहीं। विश्वसनीय कुंजी और स्पष्ट रूप से अनुमत एल्गोरिदम से हस्ताक्षर या MAC जाँचें, फिर अनुप्रयोग के आवश्यक दावे, जैसे जारीकर्ता, लक्षित प्राप्तकर्ता और समाप्ति समय जाँचें। JWT के एन्क्रिप्टेड रूप भी हो सकते हैं।

प्रमाणपत्र द्वारा प्रमाणीकरण और अस्थायी Diffie–Hellman का उपयोग करने वाले सामान्य TLS 1.3 हैंडशेक में सर्वर और सत्र-कुंजियाँ कैसे जाँची जाती हैं?

क्लाइंट प्रमाणपत्र, सर्वर की पहचान और हैंडशेक संदेशों के रिकॉर्ड पर CertificateVerify हस्ताक्षर जाँचता है। अस्थायी Diffie–Hellman साझा रहस्य स्थापित करता है, जिससे ट्रैफ़िक कुंजियाँ निकाली जाती हैं। Finished संदेश रिकॉर्ड को प्रमाणित करते हैं और निकाली गई कुंजियों की पुष्टि करते हैं। TLS 1.3 अन्य प्रकार के हैंडशेक का भी समर्थन करता है।

निर्णय समस्याओं और बहुपद-समय के अनेक-से-एक रिडक्शन में P, NP, NP-hard और NP-complete कैसे अलग हैं?

P में वे समस्याएँ हैं जिनका निर्णय नियतात्मक बहुपद समय में होता है। NP में «हाँ» वाले उदाहरणों के बहुपद लंबाई के प्रमाणपत्र होते हैं जिन्हें बहुपद समय में जाँचा जा सकता है। यदि NP की हर समस्या किसी समस्या में ऐसे घटाई जा सकती है, तो वह NP-hard है। NP-complete का अर्थ NP-hard और NP में होना है; केवल NP-hard होने से NP में होना आवश्यक नहीं।

न्यूरल नेटवर्क की अफ़ाइन परतों के बीच गैर-रैखिक सक्रियण क्यों चाहिए?

अफ़ाइन रूपांतरणों का संयोजन फिर अफ़ाइन होता है; केवल उन्हें एक के बाद एक लगाने से गैर-रैखिक विशेषताएँ नहीं बनतीं। ReLU या GELU जैसे छिपी परतों के गैर-रैखिक सक्रियण अधिक अभिव्यंजक फलन देते हैं। यह छिपे निरूपण के बारे में है, केवल आउटपुट पर गैर-रैखिक रूपांतरण के बारे में नहीं।

सममित एन्क्रिप्शन और सार्वजनिक-कुंजी क्रिप्टोग्राफी में क्या अंतर है?

AES या ChaCha20 जैसे सममित एन्क्रिप्शन में एन्क्रिप्ट और डिक्रिप्ट करने के लिए एक ही गुप्त कुंजी होती है। सार्वजनिक-कुंजी क्रिप्टोग्राफी में संबंधित सार्वजनिक और निजी कुंजियों की जोड़ी होती है; योजना के अनुसार इससे एन्क्रिप्शन, डिजिटल हस्ताक्षर या कुंजी-सहमति संभव होती है। ये अलग कार्य हैं, एक-दूसरे के विकल्प नहीं।

चर्च–ट्यूरिंग थीसिस क्या कहती है और इसे थीसिस क्यों कहते हैं?

प्रभावी यांत्रिक विधि से गणनीय हर फलन ट्यूरिंग मशीन से गणनीय है। यह प्रभावी गणना की अनौपचारिक धारणा को औपचारिक मॉडल से जोड़ता है; इसलिए यह पहचान थीसिस है, दो औपचारिक मॉडलों के बारे में प्रमेय नहीं। विशिष्ट औपचारिक मॉडलों की समतुल्यता सिद्ध की जा सकती है।

निर्भरताओं के संस्करण तय करना, हस्ताक्षर जाँचना और SBOM सॉफ़्टवेयर आपूर्ति शृंखला की सुरक्षा में कैसे मदद करते हैं?

तय संस्करण और जाँचे हैश अपेक्षित निर्भरताएँ पहचानने में मदद करते हैं; सत्यापित हस्ताक्षर और उत्पत्ति-सूचना सॉफ़्टवेयर आर्टिफ़ैक्ट का स्रोत और अखंडता स्थापित करने में मदद करते हैं; SBOM घटकों की सूची देता है। इन्हें सुरक्षित बिल्ड प्रक्रिया और भेद्यता समीक्षा के साथ अपनाएँ। वैध हस्ताक्षर या SBOM सॉफ़्टवेयर सुरक्षित होने का प्रमाण नहीं है।

PKCE, OpenID Connect सहित OAuth के प्राधिकरण-कोड प्रवाह को कैसे सुरक्षित करता है?

क्लाइंट नया गुप्त कोड-वेरिफ़ायर बनाता है और उससे S256 द्वारा निकला चैलेंज प्राधिकरण अनुरोध में भेजता है। कोड भुनाते समय वेरिफ़ायर देता है; सर्वर जाँचता है कि उससे निकला चैलेंज कोड से बँधे चैलेंज से मिलता है। केवल कोड पकड़ लेना पर्याप्त नहीं। OAuth सौंपे गए प्राधिकरण से संबंधित है; OpenID Connect प्रमाणीकरण की परत जोड़ता है।

बफ़र ओवरफ़्लो मेमोरी को कैसे प्रभावित कर सकता है और ASLR, NX तथा स्टैक कैनरी की सीमाएँ क्या हैं?

सीमा से बाहर लिखना स्टैक या हीप का डेटा बिगाड़ सकता है, कभी नियंत्रण-संबंधी जानकारी भी। ASLR स्थान यादृच्छिक करता है, NX तय मेमोरी पृष्ठों में कोड चलना रोकता है और कैनरी स्टैक के कुछ ओवरराइट पकड़ती है। ये भेद्यता का लाभ उठाना कठिन बनाते हैं, मूल मेमोरी-सुरक्षा त्रुटि नहीं मिटाते।

SHA-256 जैसे निश्चित आउटपुट लंबाई वाले क्रिप्टोग्राफिक हैश फ़ंक्शन में कौन-से सुरक्षा गुण चाहिए?

वह इनपुट को नियतात्मक ढंग से निश्चित लंबाई के हैश में बदलता है। प्रीइमेज प्रतिरोध में दिए हैश के लिए इनपुट ढूँढ़ना संगणनात्मक रूप से अव्यावहारिक होता है; द्वितीय प्रीइमेज प्रतिरोध में दिए इनपुट के समान हैश वाला दूसरा इनपुट ढूँढ़ना; टकराव प्रतिरोध में समान हैश वाले कोई भी दो अलग इनपुट ढूँढ़ना।

स्केल किए डॉट-प्रोडक्ट वाला सेल्फ-अटेंशन मास्क सहित टोकनों की जानकारी कैसे जोड़ता है?

यह softmax(QKᵀ/√dₖ + M)V निकालता है। Q, K और V उसी अनुक्रम के प्रक्षेपण हैं; dₖ कुंजियों और क्वेरी का आयाम है। योगात्मक मास्क M अनुमत स्थानों पर 0 और रोके स्थानों पर −∞ है। हर क्वेरी के लिए softmax अनुमत कुंजियों पर लगाया जाता है। कॉज़ल मास्क भविष्य के टोकन रोकता है।

L1 और L2 दंड मॉडल के भारों को कैसे बदलते हैं? क्या वे ओवरफ़िटिंग घटने की गारंटी देते हैं?

L1 हानि में λ∑|wᵢ| जोड़ता है और कुछ भार शून्य कर सकता है। L2, λ∑wᵢ² जोड़ता है और ठीक शून्य को बढ़ावा दिए बिना भार घटाने की प्रवृत्ति रखता है। तीव्रता λ ≥ 0 समायोजित करनी चाहिए; कोई भी बेहतर सामान्यीकरण या केवल अप्रासंगिक विशेषताओं की पहचान की गारंटी नहीं देता।

समान-ऑरिजिन नीति और CORS दूसरे ऑरिजिन की प्रतिक्रियाएँ पढ़ने पर कैसे नियंत्रण करते हैं?

सामान्य वेब URL का ऑरिजिन स्कीम, होस्ट और पोर्ट से बनता है। समान-ऑरिजिन नीति स्क्रिप्ट द्वारा दूसरे ऑरिजिन से पढ़ना सीमित करती है; CORS सर्वर को प्रतिक्रिया हेडर द्वारा कुछ ब्राउज़र पहुँच की अनुमति देने देता है। केवल कुछ अनुरोधों में प्रारंभिक OPTIONS जाँच चाहिए। CORS सर्वर पर प्राधिकरण का विकल्प नहीं है।

XSS रोकने वाले उपाय और केवल उसका प्रभाव घटाने वाले उपाय कैसे अलग हैं?

XSS हमलावर के नियंत्रण वाला कोड ब्राउज़र में वेबसाइट के संदर्भ में चलाता है। संदर्भानुकूल आउटपुट एन्कोडिंग, सुरक्षित DOM क्रियाएँ और जानबूझकर अनुमत HTML की उचित सफ़ाई इंजेक्शन का सामना करती हैं। CSP अतिरिक्त रक्षा देता है। HttpOnly स्क्रिप्ट को कुकी पढ़ने से रोक सकता है, पर XSS कोड चलने से नहीं।

न्यूनतम विशेषाधिकार और ज़ीरो ट्रस्ट का क्या संबंध है?

न्यूनतम विशेषाधिकार काम के लिए आवश्यक पहुँच ही देता है। ज़ीरो ट्रस्ट केवल नेटवर्क स्थान या स्वामित्व के आधार पर भरोसा नहीं करता; संसाधन तक पहुँच से पहले पहचान, डिवाइस की स्थिति और नीति का मूल्यांकन तथा लगातार पुनर्मूल्यांकन करता है। वह न्यूनतम विशेषाधिकार लागू करता है, उसकी जगह नहीं लेता।

सुरक्षा, मशीन लर्निंग और संगणना सिद्धांत

क्रिप्टोग्राफी, वेब और सॉफ़्टवेयर सुरक्षा, मशीन लर्निंग, न्यूरल नेटवर्क और संगणना सिद्धांत की चुनिंदा अवधारणाओं का पुनरावलोकन। प्रोग्रामिंग, नेटवर्क, प्रायिकता और रैखिक बीजगणित की बुनियादी जानकारी अपेक्षित है। यह परिभाषाओं, शर्तों और सीमाओं पर केंद्रित है, कार्यान्वयन का संपूर्ण पाठ्यक्रम नहीं है।

Level: advanced
Languages: hi → hi
Cards: 32
Markdown: सुरक्षा, मशीन लर्निंग और संगणना सिद्धांत (.md)

Flashcards (32)

#	Front (Term / Question)	Back (Definition / Answer)
1	गहरे नेटवर्क में ग्रेडिएंट का प्रसार कठिन होने पर रेज़िड्युअल कनेक्शन और लेयर नॉर्मलाइज़ेशन कैसे मदद करते हैं?	बैकप्रोपेगेशन में ग्रेडिएंट बहुत छोटे या बड़े हो सकते हैं। रेज़िड्युअल कनेक्शन y = F(x) + x, तत्समक पद से अवकलज का सीधा मार्ग देता है। लेयर नॉर्मलाइज़ेशन सक्रियणों का पैमाना बदलता है और प्रशिक्षण स्थिर कर सकता है। ये मदद करते हैं, लेकिन ग्रेडिएंट के लुप्त होने या विस्फोटक बढ़ने को खत्म करने की गारंटी नहीं देते।
2	विशेषता-आयाम स्थिर होने पर पूर्ण सेल्फ-अटेंशन, FlashAttention और KV कैश की लागत अनुक्रम की लंबाई से कैसे बदलती है?	N टोकन के लिए सामान्य पूर्ण अटेंशन O(N²) अंकगणितीय क्रियाएँ और स्पष्ट रूप से रखे स्कोर के लिए O(N²) मेमोरी लेता है। सटीक FlashAttention यह द्विघाती भंडारण बचाता है, पर द्विघाती गणना रहती है। ऑटोरेग्रेसिव डिकोडिंग में KV कैश पूर्ववर्ती कुंजियों और मानों का पुनः उपयोग करता है; उनकी पुनर्गणना बचती है, लेकिन पूर्ण अटेंशन में हर नई क्वेरी की तुलना अब भी पिछले टोकनों से की जाती है।
3	ट्रैफ़िक की मात्रा वाले DDoS, SYN फ़्लड और अनुप्रयोग-स्तर के हमले कैसे अलग हैं?	वितरित स्रोतों से वे क्रमशः बैंडविड्थ, कनेक्शन-स्थिति संसाधनों और अनुप्रयोग के काम को निशाना बनाते हैं। रक्षा बाधा के अनुसार होनी चाहिए: ऊपरी नेटवर्क में ट्रैफ़िक फ़िल्टर या सफ़ाई, कुछ कनेक्शन-स्थिति हमलों में SYN कुकी, और HTTP दुरुपयोग में अनुप्रयोग-विशिष्ट फ़िल्टर या दर-सीमा। एक उपाय सभी DDoS नहीं रोकता।
4	रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) क्या है और क्या सुनिश्चित नहीं करता?	RAG बाहरी सामग्री खोजकर लाता है और उस पर आधारित जनरेशन करता है। इससे उत्तरों का स्रोत-आधार बेहतर हो सकता है और जनरेटर को फिर प्रशिक्षित किए बिना जानकारी बदलना आसान हो सकता है। सामग्री पुरानी, गलत या अप्रासंगिक हो सकती है और जनरेशन भी गलत हो सकता है; सामग्री मिल जाने से उसकी सत्यता सुनिश्चित नहीं होती।
5	HSTS, HTTPS को HTTP में घटाने वाले हमले कैसे सीमित करता है और पहली बार वेबसाइट खोलने पर उसकी क्या सीमा है?	हमलावर ब्राउज़र को अनएन्क्रिप्टेड HTTP पर रखने की कोशिश कर सकता है। ज्ञात HSTS होस्ट के लिए ब्राउज़र HTTPS इस्तेमाल करता है और प्रमाणपत्र की त्रुटियाँ अस्वीकार करता है। यदि नीति केवल किसी पहले के सुरक्षित कनेक्शन पर मिली हो, तो वह पहली असुरक्षित पहुँच की रक्षा नहीं करती; पहले से लोड नीति यह शुरुआती कमी पूरी कर सकती है।
6	बैकप्रोपेगेशन और SGD या Adam जैसे ऑप्टिमाइज़र न्यूरल नेटवर्क प्रशिक्षण का काम कैसे बाँटते हैं?	बैकप्रोपेगेशन चेन नियम से हानि के ग्रेडिएंट निकालता है। SGD नमूने से निकले ग्रेडिएंट की विपरीत दिशा में कदम लेकर पैरामीटर बदलता है। Adam ग्रेडिएंट के आघूर्णों के समय के साथ अद्यतन होने वाले अनुमान से अपडेट अनुकूलित करता है। ग्रेडिएंट निकालना और पैरामीटर अपडेट चुनना अलग कार्य हैं।
7	द्विआधारी वर्गीकरण में प्रिसिजन, रिकॉल, F1 और ROC-AUC क्या मापते हैं?	चुने सकारात्मक वर्ग के लिए प्रिसिजन = TP/(TP+FP), रिकॉल = TP/(TP+FN), F1 = 2TP/(2TP+FP+FN), जब सूत्रों के हर शून्य न हों। ROC-AUC अलग सीमाओं पर वास्तविक सकारात्मक दर बनाम गलत सकारात्मक दर को संक्षेपित करता है। असंतुलित वर्गों में प्रिसिजन–रिकॉल का व्यवहार और गलतियों की लागत भी देखें; अकेला ROC-AUC सार्वभौमिक गुणवत्ता-माप नहीं।
8	दीर्घकालिक प्रमाणीकरण कुंजी उजागर होने पर फ़ॉरवर्ड सीक्रेसी क्या बचाती है?	पहले रिकॉर्ड किए गए सत्र गोपनीय रहते हैं, यदि उनके सत्र-रहस्य भी उजागर नहीं हुए हैं। अस्थायी रहस्यों को सुरक्षित रूप से मिटाने पर अस्थायी Diffie–Hellman यह गुण दे सकता है; तब केवल दीर्घकालिक कुंजी उजागर होने से पुराने सत्रों की कुंजियाँ नहीं खुलतीं।
9	परंपरागत बायस–वैरिएंस दृष्टि में बायस और वैरिएंस का अंडरफ़िटिंग और ओवरफ़िटिंग से क्या संबंध है?	बायस औसत भविष्यवाणी या अनुमान की व्यवस्थित त्रुटि है; वैरिएंस प्रशिक्षण नमूने के प्रति संवेदनशीलता है। अधिक बायस अंडरफ़िटिंग में योगदान दे सकता है। अधिक वैरिएंस नमूने-विशिष्ट उतार-चढ़ाव से फिट होने और कमजोर सामान्यीकरण में योगदान दे सकता है। संतुलन मॉडल, डेटा और प्रशिक्षण विधि पर निर्भर है।
10	पर्यवेक्षित, अपर्यवेक्षित और पुनर्बलन सीखने में क्या अंतर है?	पर्यवेक्षित सीखना लक्ष्य-लेबल वाले उदाहरणों से अनुमान लगाना सीखता है। अपर्यवेक्षित सीखना ऐसे लेबल के बिना डेटा में संरचना ढूँढ़ता है। पुनर्बलन सीखना अपेक्षित संचयी पुरस्कार बढ़ाने के लिए परिवेश से अंतःक्रिया करके व्यवहार सीखता है।
11	CSRF क्या है और SameSite कुकी पूर्ण सुरक्षा क्यों नहीं देती?	CSRF ब्राउज़र से अनचाहे अनुरोध भेजवाता है, जिनमें सत्र-कुकी जैसे पहचान-संबंधी प्रमाण अपने आप जुड़ते हैं। स्थिति बदलने वाले अनुरोधों में उपयुक्त CSRF-विरोधी टोकन जाँचें और SameSite को अतिरिक्त रक्षा मानें। SameSite=Lax दूसरी साइट से शीर्ष-स्तरीय GET नेविगेशन में कुकी की अनुमति दे सकता है; इसलिए GET एंडपॉइंट स्थिति बदलने वाले काम न करें।
12	नियतात्मक और अनियतात्मक सीमित ऑटोमेटा तथा औपचारिक रेगुलर एक्सप्रेशन में क्या समान है?	दोनों ऑटोमेटा ठीक रेगुलर भाषाएँ पहचानते हैं, जिन्हें औपचारिक रेगुलर एक्सप्रेशन भी वर्णित करते हैं। अनियतात्मक ऑटोमेटन स्वीकार करता है यदि कोई एक अनुमत गणना स्वीकार करे। प्रोग्रामिंग भाषाओं के रेगुलर एक्सप्रेशन में बैकरेफ़रेंस जैसी सुविधाएँ इस औपचारिक वर्ग से आगे जा सकती हैं।
13	HMAC क्या प्रमाणित करता है और क्या नहीं देता?	HMAC साझा गुप्त कुंजी से संदेश का टैग निकालता है, जैसे HMAC-SHA256। सही टैग उस कुंजी के धारक के लिए संदेश की अखंडता और प्रामाणिकता का आधार है। वह संदेश एन्क्रिप्ट नहीं करता और कई कुंजीधारकों में से किसने उसे बनाया, यह सिद्ध नहीं करता।
14	SSRF क्या है और बचाव में क्या सीमित करना चाहिए?	SSRF सर्वर से हमलावर के चुने गंतव्यों पर अनुरोध भेजवाता है, जिससे आंतरिक सेवाएँ या क्लाउड मेटाडेटा खुल सकते हैं। अनुमत गंतव्य और प्रोटोकॉल सीमित करें, नाम-समाधान से मिले पते और रीडायरेक्ट जाँचें तथा बाहर जाने वाले नेटवर्क ट्रैफ़िक पर नियंत्रण लगाएँ। केवल दिए होस्टनाम की जाँच पर्याप्त नहीं।
15	हॉल्टिंग समस्या की अनिर्णेयता क्या असंभव बताती है?	ऐसा एल्गोरिदम जो हमेशा समाप्त हो और हर प्रोग्राम तथा इनपुट के लिए सही बताए कि वह निष्पादन कभी समाप्त होगा या नहीं। इससे विशेष प्रोग्रामों या सीमित वर्गों के समाप्त होने या न होने के प्रमाण निषिद्ध नहीं होते।
16	SQL इंजेक्शन कैसे होता है और पैरामीटरयुक्त क्वेरी कैसे मदद करती हैं?	अविश्वसनीय इनपुट को डेटा की जगह SQL कोड माना जाता है। डेटा मानों को SQL पाठ में जोड़ने के बजाय पैरामीटर से बाँधें। पैरामीटर सामान्यतः तालिका या कॉलम के नाम और SQL कीवर्ड नहीं बदल सकते; ऐसी संरचनात्मक चीज़ें विश्वसनीय, स्पष्ट रूप से अनुमत विकल्पों से चुनें।
17	पासवर्ड केवल SHA-256 से नहीं, बल्कि सॉल्ट वाली पासवर्ड-हैशिंग योजना से क्यों रखें?	अलग यादृच्छिक सॉल्ट पहले से गणना की गई तालिकाओं का दोबारा इस्तेमाल रोकता है और समान पासवर्ड चुनने पर भी अलग संग्रहित हैश देता है। समायोज्य लागत अनुमान लगाने को धीमा करती है। Argon2id और scrypt मेमोरी लागत लगाते हैं; bcrypt मुख्यतः CPU लागत वाला धीमा, पुराना विकल्प है। SHA-256 तेज़ होने के लिए बनाया गया है। सॉल्ट गुप्त नहीं है; उपयुक्त लागत तैनाती पर निर्भर है।
18	कॉम्पैक्ट रूप के हस्ताक्षरित JWT में क्या होता है और उसे डिकोड करना पर्याप्त क्यों नहीं?	उसके तीन base64url भागों में हेडर, दावों वाला पेलोड और हस्ताक्षर या MAC होता है। वे एन्कोड किए जाते हैं, एन्क्रिप्ट नहीं। विश्वसनीय कुंजी और स्पष्ट रूप से अनुमत एल्गोरिदम से हस्ताक्षर या MAC जाँचें, फिर अनुप्रयोग के आवश्यक दावे, जैसे जारीकर्ता, लक्षित प्राप्तकर्ता और समाप्ति समय जाँचें। JWT के एन्क्रिप्टेड रूप भी हो सकते हैं।
19	प्रमाणपत्र द्वारा प्रमाणीकरण और अस्थायी Diffie–Hellman का उपयोग करने वाले सामान्य TLS 1.3 हैंडशेक में सर्वर और सत्र-कुंजियाँ कैसे जाँची जाती हैं?	क्लाइंट प्रमाणपत्र, सर्वर की पहचान और हैंडशेक संदेशों के रिकॉर्ड पर CertificateVerify हस्ताक्षर जाँचता है। अस्थायी Diffie–Hellman साझा रहस्य स्थापित करता है, जिससे ट्रैफ़िक कुंजियाँ निकाली जाती हैं। Finished संदेश रिकॉर्ड को प्रमाणित करते हैं और निकाली गई कुंजियों की पुष्टि करते हैं। TLS 1.3 अन्य प्रकार के हैंडशेक का भी समर्थन करता है।
20	निर्णय समस्याओं और बहुपद-समय के अनेक-से-एक रिडक्शन में P, NP, NP-hard और NP-complete कैसे अलग हैं?	P में वे समस्याएँ हैं जिनका निर्णय नियतात्मक बहुपद समय में होता है। NP में «हाँ» वाले उदाहरणों के बहुपद लंबाई के प्रमाणपत्र होते हैं जिन्हें बहुपद समय में जाँचा जा सकता है। यदि NP की हर समस्या किसी समस्या में ऐसे घटाई जा सकती है, तो वह NP-hard है। NP-complete का अर्थ NP-hard और NP में होना है; केवल NP-hard होने से NP में होना आवश्यक नहीं।
21	न्यूरल नेटवर्क की अफ़ाइन परतों के बीच गैर-रैखिक सक्रियण क्यों चाहिए?	अफ़ाइन रूपांतरणों का संयोजन फिर अफ़ाइन होता है; केवल उन्हें एक के बाद एक लगाने से गैर-रैखिक विशेषताएँ नहीं बनतीं। ReLU या GELU जैसे छिपी परतों के गैर-रैखिक सक्रियण अधिक अभिव्यंजक फलन देते हैं। यह छिपे निरूपण के बारे में है, केवल आउटपुट पर गैर-रैखिक रूपांतरण के बारे में नहीं।
22	सममित एन्क्रिप्शन और सार्वजनिक-कुंजी क्रिप्टोग्राफी में क्या अंतर है?	AES या ChaCha20 जैसे सममित एन्क्रिप्शन में एन्क्रिप्ट और डिक्रिप्ट करने के लिए एक ही गुप्त कुंजी होती है। सार्वजनिक-कुंजी क्रिप्टोग्राफी में संबंधित सार्वजनिक और निजी कुंजियों की जोड़ी होती है; योजना के अनुसार इससे एन्क्रिप्शन, डिजिटल हस्ताक्षर या कुंजी-सहमति संभव होती है। ये अलग कार्य हैं, एक-दूसरे के विकल्प नहीं।
23	चर्च–ट्यूरिंग थीसिस क्या कहती है और इसे थीसिस क्यों कहते हैं?	प्रभावी यांत्रिक विधि से गणनीय हर फलन ट्यूरिंग मशीन से गणनीय है। यह प्रभावी गणना की अनौपचारिक धारणा को औपचारिक मॉडल से जोड़ता है; इसलिए यह पहचान थीसिस है, दो औपचारिक मॉडलों के बारे में प्रमेय नहीं। विशिष्ट औपचारिक मॉडलों की समतुल्यता सिद्ध की जा सकती है।
24	निर्भरताओं के संस्करण तय करना, हस्ताक्षर जाँचना और SBOM सॉफ़्टवेयर आपूर्ति शृंखला की सुरक्षा में कैसे मदद करते हैं?	तय संस्करण और जाँचे हैश अपेक्षित निर्भरताएँ पहचानने में मदद करते हैं; सत्यापित हस्ताक्षर और उत्पत्ति-सूचना सॉफ़्टवेयर आर्टिफ़ैक्ट का स्रोत और अखंडता स्थापित करने में मदद करते हैं; SBOM घटकों की सूची देता है। इन्हें सुरक्षित बिल्ड प्रक्रिया और भेद्यता समीक्षा के साथ अपनाएँ। वैध हस्ताक्षर या SBOM सॉफ़्टवेयर सुरक्षित होने का प्रमाण नहीं है।
25	PKCE, OpenID Connect सहित OAuth के प्राधिकरण-कोड प्रवाह को कैसे सुरक्षित करता है?	क्लाइंट नया गुप्त कोड-वेरिफ़ायर बनाता है और उससे S256 द्वारा निकला चैलेंज प्राधिकरण अनुरोध में भेजता है। कोड भुनाते समय वेरिफ़ायर देता है; सर्वर जाँचता है कि उससे निकला चैलेंज कोड से बँधे चैलेंज से मिलता है। केवल कोड पकड़ लेना पर्याप्त नहीं। OAuth सौंपे गए प्राधिकरण से संबंधित है; OpenID Connect प्रमाणीकरण की परत जोड़ता है।
26	बफ़र ओवरफ़्लो मेमोरी को कैसे प्रभावित कर सकता है और ASLR, NX तथा स्टैक कैनरी की सीमाएँ क्या हैं?	सीमा से बाहर लिखना स्टैक या हीप का डेटा बिगाड़ सकता है, कभी नियंत्रण-संबंधी जानकारी भी। ASLR स्थान यादृच्छिक करता है, NX तय मेमोरी पृष्ठों में कोड चलना रोकता है और कैनरी स्टैक के कुछ ओवरराइट पकड़ती है। ये भेद्यता का लाभ उठाना कठिन बनाते हैं, मूल मेमोरी-सुरक्षा त्रुटि नहीं मिटाते।
27	SHA-256 जैसे निश्चित आउटपुट लंबाई वाले क्रिप्टोग्राफिक हैश फ़ंक्शन में कौन-से सुरक्षा गुण चाहिए?	वह इनपुट को नियतात्मक ढंग से निश्चित लंबाई के हैश में बदलता है। प्रीइमेज प्रतिरोध में दिए हैश के लिए इनपुट ढूँढ़ना संगणनात्मक रूप से अव्यावहारिक होता है; द्वितीय प्रीइमेज प्रतिरोध में दिए इनपुट के समान हैश वाला दूसरा इनपुट ढूँढ़ना; टकराव प्रतिरोध में समान हैश वाले कोई भी दो अलग इनपुट ढूँढ़ना।
28	स्केल किए डॉट-प्रोडक्ट वाला सेल्फ-अटेंशन मास्क सहित टोकनों की जानकारी कैसे जोड़ता है?	यह softmax(QKᵀ/√dₖ + M)V निकालता है। Q, K और V उसी अनुक्रम के प्रक्षेपण हैं; dₖ कुंजियों और क्वेरी का आयाम है। योगात्मक मास्क M अनुमत स्थानों पर 0 और रोके स्थानों पर −∞ है। हर क्वेरी के लिए softmax अनुमत कुंजियों पर लगाया जाता है। कॉज़ल मास्क भविष्य के टोकन रोकता है।
29	L1 और L2 दंड मॉडल के भारों को कैसे बदलते हैं? क्या वे ओवरफ़िटिंग घटने की गारंटी देते हैं?	L1 हानि में λ∑\|wᵢ\| जोड़ता है और कुछ भार शून्य कर सकता है। L2, λ∑wᵢ² जोड़ता है और ठीक शून्य को बढ़ावा दिए बिना भार घटाने की प्रवृत्ति रखता है। तीव्रता λ ≥ 0 समायोजित करनी चाहिए; कोई भी बेहतर सामान्यीकरण या केवल अप्रासंगिक विशेषताओं की पहचान की गारंटी नहीं देता।
30	समान-ऑरिजिन नीति और CORS दूसरे ऑरिजिन की प्रतिक्रियाएँ पढ़ने पर कैसे नियंत्रण करते हैं?	सामान्य वेब URL का ऑरिजिन स्कीम, होस्ट और पोर्ट से बनता है। समान-ऑरिजिन नीति स्क्रिप्ट द्वारा दूसरे ऑरिजिन से पढ़ना सीमित करती है; CORS सर्वर को प्रतिक्रिया हेडर द्वारा कुछ ब्राउज़र पहुँच की अनुमति देने देता है। केवल कुछ अनुरोधों में प्रारंभिक OPTIONS जाँच चाहिए। CORS सर्वर पर प्राधिकरण का विकल्प नहीं है।
31	XSS रोकने वाले उपाय और केवल उसका प्रभाव घटाने वाले उपाय कैसे अलग हैं?	XSS हमलावर के नियंत्रण वाला कोड ब्राउज़र में वेबसाइट के संदर्भ में चलाता है। संदर्भानुकूल आउटपुट एन्कोडिंग, सुरक्षित DOM क्रियाएँ और जानबूझकर अनुमत HTML की उचित सफ़ाई इंजेक्शन का सामना करती हैं। CSP अतिरिक्त रक्षा देता है। HttpOnly स्क्रिप्ट को कुकी पढ़ने से रोक सकता है, पर XSS कोड चलने से नहीं।
32	न्यूनतम विशेषाधिकार और ज़ीरो ट्रस्ट का क्या संबंध है?	न्यूनतम विशेषाधिकार काम के लिए आवश्यक पहुँच ही देता है। ज़ीरो ट्रस्ट केवल नेटवर्क स्थान या स्वामित्व के आधार पर भरोसा नहीं करता; संसाधन तक पहुँच से पहले पहचान, डिवाइस की स्थिति और नीति का मूल्यांकन तथा लगातार पुनर्मूल्यांकन करता है। वह न्यूनतम विशेषाधिकार लागू करता है, उसकी जगह नहीं लेता।