पिछले कुछ हफ़्तों में चार असंबंधित सुरक्षा से जुड़ी खबरें सामने आईं। एक शोधकर्ता ने पाया कि KARR नाम का एक आफ्टरमार्केट कार अलार्म — जो अनुमानित तौर पर 20 लाख से ज़्यादा वाहनों में लगा हुआ है — ब्लूटूथ रेंज में मौजूद कोई भी व्यक्ति चुपचाप अनलॉक, डिसआर्म या डिसेबल कर सकता है। Bitsight के एक थ्रेट रिसर्चर ने पता लगाया कि एक लोकप्रिय सस्ता स्ट्रीमिंग स्टिक, H96, सालों से चुपचाप अपने मालिकों का इंटरनेट कनेक्शन किराए पर देता रहा है और मोबाइल फोन होने का दिखावा करते हुए धोखाधड़ी वाले विज्ञापनों पर क्लिक करता रहा है। एक हैकर ने 10 करोड़ से ज़्यादा लोगों के डेटा से जुड़ी सेंधों के लिए दोष स्वीकार किया, जो किसी चालाक एक्सप्लॉइट से नहीं बल्कि उन ग्राहक पासवर्ड्स के ज़रिए हुआ जो सालों पहले हुए एक इन्फोस्टीलर संक्रमण के बाद से यूं ही पड़े हुए थे, ऐसे खातों पर जिनमें मल्टी-फैक्टर ऑथेंटिकेशन कभी चालू ही नहीं किया गया था। और शोधकर्ताओं ने दिखाया कि सही परिस्थितियों में मैलवेयर, Google पासवर्ड मैनेजर के ज़रिए सिंक की गई पासकीज़ को निकाल सकता है — वही सिस्टम जिसे हममें से कई लोगों ने खासतौर पर पासवर्ड के जोखिम से बचने के लिए अपनाया था।
अलग-अलग देखा जाए तो ये चार अलग-अलग तरह की समस्याएं हैं: एक हार्डवेयर खामी, एक सप्लाई-चेन धोखाधड़ी योजना, एक कॉर्पोरेट सेंध, और एक क्रिप्टोग्राफी कार्यान्वयन से जुड़ी दिक्कत। लेकिन इन सबकी एक साझा जड़ है जिसका इस्तेमाल की गई तकनीक से कोई लेना-देना नहीं है। हर मामले में, जो चीज़ असुरक्षित थी, उसे एक बार इंस्टॉल, एक्टिवेट या बनाया गया — और फिर किसी ने दोबारा उसकी ओर देखा ही नहीं।
सुर्खियों के पीछे छिपा पैटर्न
सुरक्षा से जुड़ा कर्ज़ ठीक उन्हीं जगहों पर जमा होता है जहां आप ध्यान देना बंद कर देते हैं। एक कार अलार्म डीलर के ऐड-ऑन पैकेज के दौरान लगा दिया जाता है और फिर आपके दिमाग में तब तक नहीं आता जब तक यह वजह न बन जाए कि आपकी कार किसी और के हाथ लग गई। एक स्ट्रीमिंग स्टिक टीवी में लगा दी जाती है, सालों तक ठीक चलती है, और कभी कोई अलार्म नहीं बजाती क्योंकि वह अब भी वही चला रही होती है जो आपने चलाने को कहा था — विज्ञापन-धोखाधड़ी वाला ट्रैफ़िक और बैंडविड्थ-शेयरिंग इसके साथ-साथ अदृश्य रूप से होते रहते हैं। एक लॉगिन क्रेडेंशियल बनाया जाता है, लॉगिन प्रॉम्प्ट के लिए काम करता है, और फिर सालों तक एक डेटाबेस में पड़ा रहता है, उस डिवाइस के भुला दिए जाने के बहुत बाद तक भी जिसने उसे लीक किया था, क्योंकि जिस पासवर्ड के बारे में आप सोचते ही नहीं, उसे बदलना किसी के भी कैलेंडर पर लिखा हुआ काम नहीं होता। एक पासकी खासतौर पर "पासवर्ड से ज़्यादा सुरक्षित" होने के लिए सेट की जाती है, और यही प्रतिष्ठा इस बारे में सोचना बंद करने की वजह बन जाती है कि जिस डिवाइस पर वह मौजूद है, उसकी सुरक्षा कौन कर रहा है।
इनमें से किसी के लिए भी किसी माहिर हमलावर की ज़रूरत नहीं पड़ी जो कोई नई, अनदेखी खामी ढूंढ निकाले। कार अलार्म और पासकी चोरी में वाकई ठोस तकनीकी शोध शामिल था। लेकिन जिस चीज़ ने असल में इस नुकसान को बड़े पैमाने पर होने दिया, वह थी "एक बार सेटअप करना" और "फिर कभी दोबारा न देखना" के बीच का फ़ासला।
जो चीज़ें आपके पास पहले से हैं, उनकी 20 मिनट की जांच
इस फ़ासले को पाटने के लिए आपको कुछ खरीदने या खुद को किसी अलग तरह का इंसान बनाने की ज़रूरत नहीं है। आपको ऊपर बताई गई श्रेणियों में से एक बार गुज़रना है, और इसे एक बार का सेटअप काम नहीं बल्कि दोहराए जाने वाले काम की तरह लेना है।
1. आफ्टरमार्केट और ऐड-ऑन डिवाइस
उन सभी चीज़ों पर नज़र डालें जिन्हें किसी तीसरे पक्ष ने इंस्टॉल किया था, न कि जो पहले से बनी-बनाई आई थीं — कार अलार्म, डैश कैम, स्मार्ट लॉक, आफ्टरमार्केट ट्रैकर। निर्माता के ऐप या साइट पर फ़र्मवेयर अपडेट के किसी तरीके की जांच करें और उसे वाकई चलाएं। खासतौर पर KARR अलार्म के लिए, शोधकर्ताओं ने बताया कि इसे पहचानने का एक आसान तरीका ड्राइवर की तरफ़ वाली खिड़की पर लगा "KARR" स्टिकर है; अगर आपके पास एक है, तो यह मान लेने से पहले कि सब ठीक है, इंस्टॉलर या निर्माता से पैच के बारे में पूछें। इससे जो बड़ी आदत बनानी चाहिए वह यह है: जिस भी चीज़ में रेडियो और निर्माता का ऐप हो, वह ऐसा डिवाइस है जिसे आपके फ़ोन या लैपटॉप की तरह ही कभी-कभार रखरखाव की ज़रूरत होती है।
2. आपके टीवी में जो भी लगा है
H96 जैसे नामों वाले जेनेरिक स्ट्रीमिंग बॉक्स, जो मार्केटप्लेस पर बिकते हैं और अक्सर "अनलिमिटेड" कॉन्टेंट के लिए एक बार की फ़ीस के इर्द-गिर्द विज्ञापित किए जाते हैं, पर गहराई से नज़र डालने लायक हैं। अगर आपके पास एक है, तो समझ लें कि इसका जोखिम सिर्फ़ पायरेटेड कॉन्टेंट तक सीमित नहीं है — बल्कि यह है कि यह डिवाइस खुद आपके नेटवर्क पर अपना एजेंडा लिए एक दूसरे कंप्यूटर की तरह बर्ताव कर सकता है। अगर आप यह पुख्ता नहीं कर सकते कि कोई डिवाइस आपके नेटवर्क पर क्या कर रहा है, और वह किसी अनजान ब्रांड का है जो कीमत के हिसाब से कुछ बहुत ज़्यादा अच्छा होने का वादा कर रहा है, तो इतना ही काफ़ी है कि आप उसे एक गेस्ट नेटवर्क पर अलग रखें या किसी जानी-मानी कंपनी के मुख्यधारा वाले स्ट्रीमिंग डिवाइस से बदल दें जिसकी अपनी प्रतिष्ठा दांव पर है।
3. पुराने पासवर्ड, खासकर वे जो दोबारा इस्तेमाल हो रहे हैं या सुप्त पड़े हैं
Snowflake से जुड़े हैकर की दोष-स्वीकृति से जुड़ी सेंध किसी प्लेटफ़ॉर्म की खामी की वजह से नहीं हुई थी। यह उन क्रेडेंशियल्स की वजह से हुई जिन्हें सालों पहले किसी के कंप्यूटर पर मौजूद मैलवेयर ने बटोरा था, ऐसे क्रेडेंशियल्स जिन्हें किसी ने नहीं बदला, ऐसे खातों पर जहां मल्टी-फैक्टर ऑथेंटिकेशन बंद कर दिया गया था। यह पूरी तरह टाला जा सकने वाली गलती है, और यह आम भी है: कोई भी खाता जिसे आपने एक बार सेट किया और शायद ही कभी लॉगिन करते हैं, ठीक वैसा ही खाता है जिस पर अभी इस वक़्त सालों पुराना, लीक हो चुका पासवर्ड लगा हो सकता है। अगर आपका पासवर्ड मैनेजर सेंध या दोहराव की जांच देता है, तो उसे चलाएं। अगर किसी खाते में MFA की सुविधा है और वह बंद है, तो उसे चालू करें — यह अकेला उपाय उस घुसपैठ को रोक सकता था जिसने 10 करोड़ से ज़्यादा लोगों का डेटा उजागर कर दिया।
4. वह खाता जो आपकी पासकीज़ की रखवाली करता है
फिशिंग और दोहराव की खास समस्या के लिए पासकीज़ पासवर्ड्स से वाकई एक बेहतर सुधार हैं। लेकिन Google पासवर्ड मैनेजर के ज़रिए सिंक की गई पासकीज़ चुराने से जुड़ा हालिया शोध यह याद दिलाने के लिए काफ़ी है कि पासकी कोई जादू नहीं है — इसे जिस भी खाते और डिवाइस के ज़रिए सिंक किया जाता है, उसी की सुरक्षा इसे विरासत में मिलती है। इसका मतलब है कि जो खाता आपके पासवर्ड मैनेजर या पासकी सिंक को संभालता है, वह आपके पास मौजूद सबसे मज़बूत सुरक्षा का हकदार है: खुद डिवाइस पर एक मज़बूत, यूनीक पासकोड, सिंकिंग करने वाले खाते पर MFA, और इस बात पर ध्यान कि आप उस डिवाइस पर क्या इंस्टॉल करते हैं, क्योंकि यह शोध पहले से मशीन पर चल रहे मैलवेयर पर निर्भर करता है, न कि किसी ऐसी खामी पर जिसे आप खुद पासकीज़ में "पैच" कर सकें।
इसे बाद में नहीं, अभी करने लायक क्यों है
इन चार में से कोई भी कहानी ऐसे खतरे के बारे में नहीं बताती जिसे लेकर आपको आज ही घबरा जाना चाहिए। लेकिन चारों ऐसे खतरों के बारे में बताती हैं जो महीनों या सालों तक इसीलिए बढ़ते रहे क्योंकि किसी ने पलटकर देखा ही नहीं। इसका हल कोई नया टूल या सब्सक्रिप्शन नहीं है — बल्कि एक तय समय चुनना है, शायद उसी आदत के साथ जो आपके पास पहले से है जैसे अपना बैंक स्टेटमेंट जांचना, ताकि उन चीज़ों के बारे में एक उबाऊ-सा सवाल पूछा जा सके जो आपके पास पहले से हैं और जिन पर आप पहले से भरोसा करते हैं: मैंने आखिरी बार इसे कब जांचा था, और क्या मेरे अलावा किसी और के पास भी इस पर नज़र रखने की कोई वजह अब भी बची है?
