सुरक्षा सप्ताह 30: गोपनीयता, प्रौद्योगिकी और समाज

12 जुलाई, प्रेस ने अभी तक आधिकारिक तौर पर उन रिपोर्टों की पुष्टि नहीं की है कि फेसबुक उपयोगकर्ता जानकारी के लीक के संबंध में अमेरिकी संघीय व्यापार आयोग के साथ एक समझौते पर गया था। FTC जांच का मुख्य विषय कैम्ब्रिज एनालिटिका की कार्रवाइयाँ थीं, जिसने 2015 में फेसबुक के करोड़ों उपयोगकर्ताओं से डेटा प्राप्त किया। फेसबुक पर उपयोगकर्ता गोपनीयता की अपर्याप्त सुरक्षा का आरोप है, और यदि संदेशों की पुष्टि की जाती है, तो सामाजिक नेटवर्क अमेरिकी राज्य आयोग को $ 5 बिलियन की राशि में इतिहास का सबसे बड़ा जुर्माना देगा।

फेसबुक और कैम्ब्रिज एनालिटिका घोटाला पहला है, लेकिन किसी भी तरह से पूरी तरह से गैर-तकनीकी तरीकों से तकनीकी समस्याओं पर चर्चा करने का अंतिम उदाहरण नहीं है। इस डाइजेस्ट में हम इस तरह की चर्चाओं के कुछ हालिया उदाहरणों पर गौर करेंगे। अधिक विशेष रूप से, नेटवर्क सेवाओं के संचालन की विशिष्ट विशेषताओं के संबंध में उपयोगकर्ता की गोपनीयता के मुद्दों पर चर्चा कैसे की जाती है।

उदाहरण एक: Google reCaptcha v3


Google बॉट कंट्रोल टूल reCaptcha v3 का नया संस्करण अक्टूबर 2018 में पेश किया गया था। Google के "कैप्चा" के पहले संस्करण को टेक्स्ट रिकग्निशन में लोगों से अलग रोबोट। दूसरे संस्करण ने पाठ को चित्रों में बदल दिया, और फिर - उन्हें केवल उन लोगों को दिखाया, जिन्हें वह संदिग्ध मानते थे।


तीसरा संस्करण वेबसाइट पर उपयोगकर्ता के व्यवहार के विश्लेषण पर निर्भर करते हुए, कुछ भी नहीं मांगता है। प्रत्येक आगंतुक को एक विशिष्ट रेटिंग दी जाती है, जिसके आधार पर साइट के मालिक उदाहरण के लिए, मोबाइल फोन के माध्यम से एक प्राधिकरण अनुरोध को बाध्य कर सकते हैं यदि वह लॉगिन को संदिग्ध मानता है। सब कुछ ठीक लगता है, लेकिन काफी नहीं। 27 जून को, फास्ट कंपनी प्रकाशन ने एक लंबा लेख प्रकाशित किया, जहां दो शोधकर्ताओं का उल्लेख करते हुए, यह गोपनीयता के संदर्भ में reCaptcha v3 के समस्या क्षेत्रों की पहचान करता है।

सबसे पहले, कैप्चा के नवीनतम संस्करण का विश्लेषण करते समय, यह पाया गया कि उपयोगकर्ता Google खाते में लॉग इन करते हैं, परिभाषा के अनुसार, उच्च रेटिंग प्राप्त करते हैं। इसी तरह, यदि आप वीपीएन या टोर नेटवर्क के माध्यम से वेबसाइट खोलते हैं, तो आपको एक संदिग्ध आगंतुक के रूप में चिह्नित होने की अधिक संभावना है। अंत में, Google वेबसाइट के सभी पन्नों पर reCaptcha स्थापित करने की अनुशंसा करता है (और न केवल उन जहां आपको उपयोगकर्ता को सत्यापित करने की आवश्यकता है)। यह उपयोगकर्ता के व्यवहार के बारे में अधिक जानकारी देता है। लेकिन यह वही सुविधा सैद्धांतिक रूप से Google को सैकड़ों हजारों साइटों पर उपयोगकर्ता के व्यवहार के बारे में बड़ी मात्रा में जानकारी प्रदान करती है (फास्ट कंपनी के अनुसार, reCaptcha v3 650 हजार साइटों पर स्थापित है, कई लाखों पिछले संस्करणों का उपयोग करते हैं)।

यह प्रौद्योगिकियों के अस्पष्ट चर्चा का एक विशिष्ट उदाहरण है: एक तरफ, बॉट से लड़ने के लिए एक उपयोगी उपकरण जितना अधिक होगा, साइट मालिकों और उपयोगकर्ताओं दोनों के लिए बेहतर होगा। दूसरी ओर, सेवा प्रदाता डेटा के एक विशाल चयन तक पहुंच प्राप्त करता है, और एक ही समय में नियंत्रण करता है कि किसे डिजिटल डेटा में तुरंत भर्ती किया जाना चाहिए और कौन जीवन को कठिन बनाता है। जाहिर है, अधिकतम गोपनीयता की वकालत करने वाले, अपने ब्राउज़र में अनावश्यक कुकीज़ रखने की कोशिश कर रहे हैं, लगातार वीपीएन का उपयोग कर रहे हैं, यह प्रगति बिल्कुल पसंद नहीं है। Google के दृष्टिकोण से, कोई समस्या नहीं है: कंपनी का दावा है कि डेटा "कैप्चा" का उपयोग विज्ञापन लक्ष्यीकरण के लिए नहीं किया गया है, और बॉट ड्राइवरों के लिए जीवन की जटिलता ऐसे नवाचारों का एक अच्छा कारण है।

उदाहरण दो: एंड्रॉइड एप्लिकेशन में डेटा एक्सेस

जून के अंत में, उसी अमेरिकी संघीय व्यापार आयोग ने एक गोपनीयता सम्मेलन आयोजित किया। शोधकर्ता सर्ज एगेलमैन की रिपोर्ट इस बात के लिए समर्पित थी कि कैसे एंड्रॉइड के लिए डेवलपर्स सिस्टम की सीमाओं को दरकिनार करते हैं और डेटा प्राप्त करते हैं, जो सिद्धांत रूप में, प्राप्त नहीं किया जाना चाहिए। एक वैज्ञानिक अध्ययन में , अमेरिकी Google Play Store के 88 हजार अनुप्रयोगों का विश्लेषण किया गया, जिनमें से 1325 सिस्टम सीमाओं को दरकिनार करने में सक्षम थे।

वे इसे कैसे करते हैं? उदाहरण के लिए, Shutterfly के फोटो-प्रोसेसिंग एप्लिकेशन को जियोलोकेशन डेटा तक पहुंच प्राप्त होती है, भले ही उपयोगकर्ता उन्हें ऐसा करने से रोकता हो। यह सरल है: ऐप उन तस्वीरों में संग्रहीत किए गए जियोटैग को संसाधित करता है जिन तक पहुंच खुली है। डेवलपर का प्रतिनिधि यथोचित टिप्पणी करता है कि जियोटैग का प्रसंस्करण फोटो को सॉर्ट करने के लिए उपयोग किए जाने वाले प्रोग्राम की एक मानक कार्यक्षमता है। कई अनुप्रयोगों ने निकटतम वाई-फाई बिंदुओं के मैक पते को स्कैन करके और इस प्रकार उपयोगकर्ता के अनुमानित स्थान का निर्धारण करके जियोलोकेशन तक पहुंच को रोक दिया।



प्रतिबंधों को दरकिनार करने का एक और अधिक "आपराधिक" तरीका 13 अनुप्रयोगों में खोजा गया था: एक ऐप स्मार्टफोन के आईएमईआई तक पहुंच सकता है। वह इसे एक मेमोरी कार्ड में सहेजता है, जहां से अन्य प्रोग्राम जिनके पास पहुंच नहीं है, वे इसे पढ़ सकते हैं। इसलिए, उदाहरण के लिए, चीन का एक विज्ञापन नेटवर्क करता है, जिसका एसडीके अन्य अनुप्रयोगों के कोड में एम्बेडेड होता है। IMEI तक पहुंच आपको बाद में विज्ञापन लक्ष्यीकरण के लिए उपयोगकर्ता को विशिष्ट रूप से पहचानने की अनुमति देता है। वैसे, मेमोरी कार्ड पर डेटा के लिए सार्वभौमिक पहुंच के साथ एक और अध्ययन जुड़ा हुआ है: टेलीग्राम और व्हाट्सएप दूतों में संचार करते समय मीडिया फ़ाइलों के प्रतिस्थापन की (सैद्धांतिक) संभावना। नतीजतन, एंड्रॉइड क्यू के नए संस्करण में डेटा एक्सेस नियमों को और कड़ा किया जाएगा।

उदाहरण तीन: तस्वीरों में फेसबुक आईडी


कुछ साल पहले, इस तरह के एक ट्वीट को ट्रिगर किया जा सकता था, सबसे अच्छा, एक दर्जन पदों के लिए एक तकनीकी चर्चा, लेकिन अब फोर्ब्स ब्लॉग पोस्ट इसके बारे में लिख रहे हैं । कम से कम 2014 के बाद से, फेसबुक ने अपने स्वयं के पहचानकर्ताओं को छवियों के आईपीटीसी मेटाडेटा में जोड़ा है जो स्वयं फेसबुक पर या इंस्टाग्राम नेटवर्क पर अपलोड किए जाते हैं। फ़ेसबुक आइडेंटिफ़ायर पर यहां और अधिक विस्तार से चर्चा की जाती है , लेकिन कोई नहीं जानता कि सोशल नेटवर्क उनका कितना सही उपयोग करता है।

नकारात्मक समाचार पृष्ठभूमि को देखते हुए, इस व्यवहार की व्याख्या "उपयोगकर्ताओं की निगरानी करने का एक और तरीका है, लेकिन यह ऐसा है जैसे वे कर सकते थे।" लेकिन वास्तव में, मेटाडेटा में पहचानकर्ताओं का उपयोग किया जा सकता है, उदाहरण के लिए, अवैध सामग्री के कालीन प्रतिबंधों के लिए, और आप न केवल नेटवर्क में रिपॉस्ट को ब्लॉक कर सकते हैं, बल्कि स्क्रिप्ट को "छवि को डाउनलोड किया और इसे फिर से अपलोड किया"। ऐसी कार्यक्षमता उपयोगी हो सकती है।

गोपनीयता के मुद्दों की सार्वजनिक चर्चा की समस्या यह है कि किसी सेवा की वास्तविक तकनीकी विशेषताओं को अक्सर अनदेखा कर दिया जाता है। सबसे अधिक उदाहरण: कंप्यूटर या स्मार्टफोन पर तत्काल दूत या डेटा के लिए एन्क्रिप्शन सिस्टम में सरकार के बैकडोर की चर्चा। अपराध के खिलाफ लड़ाई के एन्क्रिप्टेड डेटा की परेशानी से मुक्त पहुंच में रुचि रखने वालों को। एन्क्रिप्शन विशेषज्ञों ने तर्क दिया है कि एन्क्रिप्शन इस तरह से काम नहीं करता है, और क्रिप्टोग्राफ़िक एल्गोरिदम का जानबूझकर कमजोर होना उन्हें सभी के लिए असुरक्षित बना देगा । लेकिन कम से कम हम एक वैज्ञानिक अनुशासन के बारे में बात कर रहे हैं जो कई दशकों पुराना है।

गोपनीयता क्या है, हमारे डेटा पर किस तरह का नियंत्रण आवश्यक है, इस तरह के मानकों के अनुपालन की निगरानी कैसे करें - सभी सवालों का कोई सामान्य, स्पष्ट जवाब नहीं है। इस पोस्ट में सभी उदाहरणों में, हमारे डेटा को कुछ उपयोगी कार्यक्षमता के लिए एकत्र किया गया है, हालांकि, यह लाभ हमेशा अंतिम उपयोगकर्ता (अधिक बार विज्ञापनदाता के लिए) के लिए नहीं होता है। लेकिन जब आप अपने घर के रास्ते पर ट्रैफिक जाम को देखते हैं, तो यह आपके और सैकड़ों हजारों अन्य लोगों के बारे में डेटा एकत्र करने का भी परिणाम है।

मैं इस मूर्खतापूर्ण निष्कर्ष के साथ पोस्ट को समाप्त नहीं करना चाहता "यह इतना आसान नहीं है", इसलिए इस तरह से प्रयास करें: आगे, अक्सर कार्यक्रमों, उपकरणों और सेवाओं के डेवलपर्स को न केवल तकनीकी मुद्दों ("यह कैसे काम करना है") को हल करना होगा, बल्कि सामाजिक रूप से भी राजनीतिक ("जुर्माना कैसे अदा नहीं करना है, मीडिया में खुद को नाराज लेखों को न पढ़ें और अन्य कंपनियों के लिए प्रतिस्पर्धा न खोएं जहां कम से कम शब्दों में अधिक गोपनीयता है")। इस नई वास्तविकता में उद्योग कैसे बदलेगा? क्या हमारा डेटा पर अधिक नियंत्रण होगा? क्या "सार्वजनिक दबाव" के कारण नई तकनीकों का विकास धीमा हो जाएगा, जिसके लिए समय और संसाधन खर्च करने की आवश्यकता है? यह विकास हम अवलोकन करेंगे।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।