4 सितंबर को New York Times ने Salt Typhoon की जानकारी सामने लाई(नई विंडो) — Salt Typhoon चीन का सरकारी समर्थन प्राप्त एक हैकिंग अभियान है(नई विंडो), जिसने खामोशी से लाखों लोगों के इस्तेमाल किए जाने वाले अमेरिकी एंटरप्राइज़ सॉफ्टवेयर में घुसपैठ की। तकनीक, सुरक्षा या सरकार से जुड़े किसी भी व्यक्ति को इन तरीकों से वाकिफ़यत महसूस होगा: छेड़छाड़ किए गए राऊटर, चुराया गया मेटाडाटा, बिना पैच की गई कमज़ोरियां। लेकिन Salt Typhoon(नई विंडो) को अलग बनाने वाली चीज़ इसका दायरा है।
ये हमला उस इंफ्रास्ट्रक्चर का लगातार, व्यवस्थित तरीके से ध्वस्त होना है जिस पे हमारी डिजिटल दुनिया चलती है। लेकिन इससे भी बढ़कर, ये एक खतरे की घंटी है, जो हमें याद दिलाती है कि खंगाले गए डाटा के ढेर, रूटीन निगरानी की प्रथाएं, और दुनिया भर में सरकारों का एन्क्रिप्शन को कमज़ोर करने(नई विंडो) के लिए दबाव हमारी जानकारी को दिन-ब-दिन ज़्यादा जोखिम में डाल रहे हैं।
खुले में छिपा एक वैश्विक जासूसी तंत्र
Salt Typhoon, चीन के राज्य सुरक्षा मंत्रालय के नेतृत्व में चल रहे एक बड़े ऑपरेशन का हिस्सा है। इन एक्टर्स ने खामोशी से टेलीकॉम तक एक्सेस हासिल किया है(नई विंडो), साथ ही सरकारी नेटवर्क, परिवहन, होटल, और सैन्य तंत्रों तक — सिर्फ अमेरिका में ही नहीं, बल्कि यूके, कनाडा, जर्मनी, जापान समेत 80 से ज़्यादा देशों में(नई विंडो)।
Salt Typhoon को 2024 के आखिर में AT&T हैक से जोड़ा गया था, जिसमें खुलासा हुआ था कि चीनी राज्य एक्टर अमेरिका में करोड़ों लोगों की कॉल और मैसेज को जियोलोकेट और रिकॉर्ड कर सकते थे(नई विंडो)।
इस ताज़ा रिपोर्ट से पता चलता है कि Salt Typhoon अब इतने ज़्यादा तंत्रों को प्रभावित कर चुका है कि अधिकारियों को शक है कि इसने शायद लगभग हर अमेरिकी से जानकारी चुरा ली हो(नई विंडो)।
साइबर सुरक्षा सलाह(नई विंडो) (CSA) — जिसमें NSA, CISA, FBI, और अंतरराष्ट्रीय साझेदारों समेत कई सुरक्षा एजेंसियां शामिल हैं — ने पुष्टि की है कि Salt Typhoon कोई एक बार की घटना नहीं है। इसके बजाय, ये एक लगातार जारी, तालमेल से चलने वाला जासूसी अभियान है, जो दुनिया भर में ज़रूरी इंफ्रास्ट्रक्चर को निशाना बनाता है(नई विंडो), और जिसे सलाह में “वैश्विक जासूसी तंत्र” कहा गया है।
Salt Typhoon क्या है?
Salt Typhoon एक हैकिंग अभियान है, जिसकी शुरुआत 2021 में हुई थी और जिसे चीनी खुफिया सेवाओं से जुड़ी संस्थाओं से जोड़ा गया है। ये इंटरनेट इंफ्रास्ट्रक्चर पे हमला करता है: बैकबोन राऊटर, एज डिवाइस, और वो VPN जिन पे टेलीकॉम निर्भर करते हैं। ये Cisco, Ivanti, और Palo Alto के आम उपकरणों में मौजूद उन ज्ञात बगों का फायदा उठाता है जिन्हें पैच नहीं किया गया।
एक बार अंदर घुसने के बाद, Salt Typhoon हार्डवेयर के अंदर पहले से मौजूद टूल्स को निशाना बनाता है, जिससे साधारण नेटवर्क मैनेजमेंट के ऑपरेशन असल में गुप्त निगरानी के ज़रिए बन जाते हैं।
मुख्य इंफ्रास्ट्रक्चर के अंदर छिपकर, Salt Typhoon महीनों तक बिना किसी ध्यान खींचे खामोशी से प्रमाण, रिकॉर्ड, और मेटाडाटा की कॉपी करता रहा। CSA ने बताया कि Salt Typhoon 18 महीनों से ज़्यादा समय तक छिपा रहा और पकड़ में न आने वाले बैचों में डाटा इकट्ठा करते हुए सिस्टम पे काबू बनाए रखा।
सुरक्षित रहने के लिए आप क्या कर सकते हैं
Salt Typhoon से हुए नुकसान का बड़ा हिस्सा पहले ही हो चुका है, लेकिन अपने जोखिम को कम करने और अपने संवादों की सुरक्षा के लिए आप कुछ कदम उठा सकते हैं। ये कदम तब भी लागू होते हैं, चाहे आप कोई व्यक्ति हों, कोई बिज़नेस, या कोई बड़ा एंटरप्राइज़:
- एन्क्रिप्ट की गई सेवाएं इस्तेमाल करें: Signal(नई विंडो), WhatsApp(नई विंडो), या Proton Mail जैसे शुरु-से-अंत तक एन्क्रिप्ट किए गए टूल्स चुनें।
- सब कुछ अपडेट रखें: अपने फोन, लैपटॉप, राऊटर, और किसी भी कनेक्टेड डिवाइस को अपडेट करें जिन्हें अपडेट की ज़रूरत है।
- अपना मल्टी-फैक्टर सत्यापन (MFA) चालू करें: MFA आपके खातों में लॉगइन करते वक्त बचाव की एक दूसरी परत जोड़ता है। अपने खाते सुरक्षित रखने का ये सबको सुझाया जाने वाला तरीका है।
- संवेदनशील जानकारी शेयर करने के तरीके से सावधान रहें: एन्क्रिप्ट किए गए चैनल इस्तेमाल करें या आमने-सामने मिलें। किसी भी निजी चीज़ के लिए एसएमएस से बचें।
- कंपनियों को जवाबदेह बनाएं: इसके बजाय उन सेवाओं को सहायता दें जो सुरक्षा और निजता को प्राथमिकता देती हैं।
- सरकारों को जवाबदेह बनाएं: शुरु-से-अंत तक एन्क्रिप्शन को कमज़ोर करने की कोशिशों का विरोध करें और मज़बूत निजता सुरक्षा की मांग करें।
शुरु-से-अंत तक एन्क्रिप्शन सुरक्षा के लिए ज़रूरी है
Salt Typhoon साबित करता है कि नेटवर्क की कोई भी कमज़ोरी बस एक खुला दरवाज़ा है, जो ढूंढे जाने का इंतज़ार कर रहा है।
शुरु-से-अंत तक एन्क्रिप्शन ये पक्का करता है कि नेटवर्क में छेड़छाड़ होने पे भी हमलावर शायद कुछ मेटाडाटा इकट्ठा कर ले, लेकिन वो किसी फ़ाइल या संदेश के कंटेंट तक एक्सेस नहीं कर सकता। E2EE के बिना, Salt Typhoon जैसा हमलावर, जो दूरसंचार इंफ्रास्ट्रक्चर में घुसपैठ करता है, बातचीत और मैसेज पर रीयल टाइम में नज़र रख सकता है।
साइबरस्पेस और इंफ्रास्ट्रक्चर सुरक्षा एजेंसी (CISA) ने तो ज़्यादा निशाने पे रहे लोगों — वरिष्ठ अधिकारियों, पत्रकारों, राजनीतिक नेताओं — को तक खुद की सुरक्षा के लिए Signal जैसे शुरु-से-अंत तक एन्क्रिप्ट किए गए टूल्स इस्तेमाल करने(नई विंडो) की सलाह दी है। ये ही तर्क हर किसी पे लागू होता है।
आम लोगों को भी लगातार खतरों का सामना करना पड़ता है, जिनमें पहचान की चोरी, वित्तीय धोखाधड़ी, कॉर्पोरेट निगरानी, और कमज़ोर लिंक का फायदा उठाने की कोशिश करने वाले आम हैकर्स शामिल हैं। अगर सरकार के सबसे ताकतवर लोगों को शुरु-से-अंत तक एन्क्रिप्शन की ज़रूरत है, तो हम बाकी सबको भी है।
और इसीलिए एन्क्रिप्शन को कमज़ोर करने की चल रही कोशिशें — यूके के इन्वेस्टिगेटरी पावर्स एक्ट से लेकर ऑस्ट्रेलिया के असिस्टेंस एंड एक्सेस एक्ट तक और EU में प्रस्तावित कानूनों तक — इतनी खतरनाक रूप से गलत दिशा में जा रही हैं। Salt Typhoon हमें साफ दिखाता है कि बैकडोर होने पे क्या होता है: दुश्मन उन्हें ढूंढ लेते हैं। एन्क्रिप्शन या तो सबकी सुरक्षा करता है, या किसी की नहीं।
एन्क्रिप्शन को कायम रहना चाहिए
निगरानी पे बनी दुनिया में सुरक्षा हमेशा मुश्किल रहेगी। हाल के Salesloft Drift लीक की तरह, ये हमला दिखाता है कि जब कंपनियां बहुत ज़्यादा जानकारी इकट्ठा करती हैं और उसे ठीक से सुरक्षित करने में नाकाम रहती हैं, तो हमारा इंफ्रास्ट्रक्चर कितना नाज़ुक हो जाता है। लेकिन जो सिस्टम डिज़ाइन से निजी होते हैं, वो डिज़ाइन से ज़्यादा सुरक्षित भी होते हैं, और यही मॉडल हमें अपनाना चाहिए।
Proton की नींव इस सिद्धांत पे रखी गई थी कि निजता एक बुनियादी इंसानी हक है। इसीलिए हम सेवाएं देते हैं — ईमेल, VPN, कैलेंडर, फ़ाइल स्टोरेज — सब शुरु-से-अंत तक एन्क्रिप्शन से सुरक्षित। और इसीलिए हम इसे कमज़ोर करने की हर कोशिश के खिलाफ लड़ते रहेंगे।
