मोबाइल नेटवर्क on Arpokrat

SMS वाला टू-फैक्टर अब कुछ भी नहीं बचाता: इसकी जगह क्या इस्तेमाल करें

Tue, 08 Sep 2026 00:00:00 +0000

9 जनवरी 2024 को अमेरिकी वित्तीय बाज़ार नियामक, प्रतिभूति एवं विनिमय आयोग (SEC) के आधिकारिक X अकाउंट ने बिटकॉइन ETF की मंज़ूरी की घोषणा की, वह फ़ैसला जिसका बाज़ार महीनों से इंतज़ार कर रहा था। चंद मिनटों में बिटकॉइन प्रति इकाई 1,000 डॉलर से अधिक चढ़ गया। फिर SEC ने खंडन किया: अकाउंट हैक हो चुका था। भाव 2,000 डॉलर से ज़्यादा गिर गया।

इस मामले को शिक्षाप्रद बनाने वाली बात बाज़ार की हलचल का पैमाना नहीं, बल्कि इस्तेमाल किए गए तरीके का सामान्यपन है। अमेरिकी न्याय विभाग की विज्ञप्ति के अनुसार 26 वर्षीय एरिक काउंसिल जूनियर ने एक पोर्टेबल कार्ड प्रिंटर से नकली पहचान पत्र छापा, AT&T के एक स्टोर में गया और वहाँ के कर्मचारी को यह भरोसा दिला दिया कि अकाउंट से जुड़ा फ़ोन नंबर उसके नियंत्रण वाले सिम कार्ड पर स्थानांतरित कर दिया जाए। इसके बाद उसे पासवर्ड रीसेट कोड SMS पर मिले, जो उसने अपने साथियों को भेज दिए। 16 मई 2025 को उसे 14 महीने की क़ैद की सज़ा सुनाई गई।

एक स्पष्टीकरण ज़रूरी है, जो मामले की पढ़त बदल देता है पर उसकी सीख को कमज़ोर नहीं करता। SEC के आधिकारिक वक्तव्य के अनुसार, इस अकाउंट पर मल्टी-फैक्टर प्रमाणीकरण जुलाई 2023 में, स्वयं टीम के अनुरोध पर, बंद कर दिया गया था। यानी घटना के समय SMS दूसरा कारक नहीं, बल्कि खाता वापस पाने का रास्ता था। और यही बात इस उदाहरण को उपयोगी बनाती है: दूसरा कारक हो या पिछला दरवाज़ा, कड़ी जहाँ टूटती है वह जगह फ़ोन नंबर ही रहती है।

दूसरे कारक से क्या सुनिश्चित होना चाहिए

सिद्धांत एक वाक्य में समा जाता है। अकेला पासवर्ड वह है जो आप जानते हैं; उसमें वह जो आपके पास है (एक फ़ोन, एक भौतिक कुंजी) या वह जो आप स्वयं हैं (एक अंगुलिचिह्न) जोड़ा जाता है। किसी डेटा लीक से आपका पासवर्ड चुराने वाले के हाथ इससे आपकी भौतिक वस्तु नहीं लग जाती।

यह तर्क एक ऐसी मान्यता पर टिका है जिसे शायद ही कभी कहा जाता है: कि दूसरा कारक सचमुच आपके पास मौजूद किसी वस्तु से बंधा हो, और उसे प्रस्तुत करना इस बारे में कुछ सिद्ध करता हो कि आप कहाँ लॉगिन कर रहे हैं। SMS इन दोनों बिंदुओं पर विफल है।

SMS स्वामित्व का कारक नहीं है

SMS से कोड पाना यह सिद्ध नहीं करता कि आपके पास कोई उपकरण है, बल्कि यह कि किसी ऑपरेटर द्वारा आवंटित और उसी ऑपरेटर द्वारा बदला जा सकने वाला फ़ोन नंबर किसी हैंडसेट की ओर इशारा कर रहा है। ये एक ही बात नहीं है। तीन रास्ते इस अंतर का फ़ायदा उठाते हैं, और इन्हें एक ही तरीके से नहीं रोका जा सकता।

सिम स्वैप

यही SEC मामले वाला हमला है, और यह किसी तकनीकी खामी पर टिका नहीं है। हमलावर अपने लक्ष्य की निजी जानकारी जुटाता है, जो अक्सर पहले से सार्वजनिक लीक में उपलब्ध होती है, फिर उसी व्यक्ति के रूप में ऑपरेटर से संपर्क करता है: फ़ोन खो गया, नंबर नए सिम पर डाल दीजिए। यदि वह भरोसेमंद लगे, या कोई कर्मचारी मिला हुआ हो, तो नंबर हाथ बदल जाता है और सारे SMS उसी के पास पहुँचने लगते हैं। FBI के शिकायत केंद्र IC3 की 2024 की वार्षिक रिपोर्ट अकेले उस वर्ष सिम स्वैप की 982 शिकायतें और लगभग 2.6 करोड़ डॉलर का घोषित नुक़सान दर्ज करती है, और उसमें केवल वही पीड़ित गिने गए हैं जिन्होंने शिकायत दर्ज कराई। कोई सॉफ़्टवेयर अपडेट इस रास्ते को बंद नहीं करता: यह सॉफ़्टवेयर को नहीं, बल्कि इंसानों द्वारा चलाई जाने वाली एक व्यावसायिक प्रक्रिया को निशाना बनाता है।

SS7 के ज़रिए अवरोधन

Signaling System 7 वह प्रोटोकॉल है जिसकी बदौलत दुनिया भर के टेलीफ़ोन नेटवर्क आपस में बात करते हैं: कॉल की राह तय करना, रोमिंग संभालना, एक ऑपरेटर से दूसरे तक SMS पहुँचाना। इसे 1975 में डिज़ाइन किया गया था, जब ऑपरेटरों का दायरा बंद और छोटा था और हर कोई बाक़ियों को बनावट से ही भरोसेमंद मानता था। इसलिए इसमें नेटवर्कों के बीच कोई अंतर्निहित प्रमाणीकरण है ही नहीं: जो अनुरोध वैध दिखता है, उसे वैध मानकर निपटा दिया जाता है।

यह कोई सैद्धांतिक कमज़ोरी नहीं है। दिसंबर 2014 में जर्मन शोधकर्ता टोबियास एंगेल और कार्स्टन नोल ने कैओस कम्युनिकेशन कांग्रेस में इसका सार्वजनिक प्रदर्शन किया: केवल फ़ोन नंबर के आधार पर किसी ग्राहक की लोकेशन निकालना और उसके SMS पढ़ लेना। 2017 में वास्तविक दुरुपयोग की पुष्टि हुई: जर्मन ऑपरेटर O2-Telefónica ने माना कि कुछ ग्राहकों के बैंक खाते खाली कर दिए गए, जब हमलावरों ने एक विदेशी ऑपरेटर के नेटवर्क तक पहुँच हासिल की और बैंक के पुष्टिकरण कोड पकड़ने के लिए SMS फ़ॉरवर्डिंग लगा दी।

रीयल-टाइम फ़िशिंग

तीसरा रास्ता सबसे अहम है, क्योंकि यह किसी दूरसंचार खामी पर निर्भर नहीं करता और पहले दोनों में जो कुछ ठीक किया जा सकता है, उस सबको झेल जाता है।

एक नकली साइट किसी सेवा के लॉगिन पेज की हूबहू नक़ल करती है। आप उस पर अपना यूज़रनेम और पासवर्ड डालते हैं, नक़ली साइट उन्हें तुरंत असली साइट को भेज देती है, और असली साइट आपके फ़ोन पर SMS भेजती है। SMS सचमुच आप तक पहुँचता है, और वह असली होता है। आप कोड नक़ली साइट पर डालते हैं, वह भी उसे कुछ सेकंड में आगे भेज देती है। सत्र खुल जाता है, और उसे थामे हुए हमलावर होता है।

इसे adversary-in-the-middle हमला कहते हैं। यह उद्योग बन चुका है: 2017 में आया रिवर्स प्रॉक्सी Evilginx जैसे औज़ार, या मासिक सदस्यता पर बिकने वाली किटें, इसे बिना किसी ख़ास हुनर के सुलभ बना देती हैं। और चोरी सिर्फ़ कोड की नहीं होती, सेशन कुकी की होती है, जिससे आगे बिना किसी प्रमाणीकरण के लॉगिन बना रहता है।

बात बनावट की है। SMS से भेजे गए कोड में उस साइट के बारे में कोई जानकारी नहीं होती जिसने उसे माँगा था। इसलिए वह असली और नक़ली में फ़र्क़ नहीं कर सकता: जहाँ भी टाइप किया जाए, वहीं मान्य है।

यह अब राय नहीं, आधिकारिक रुख़ है

SMS के ख़िलाफ़ सबसे मज़बूत दलील समाधान बेचने वालों से नहीं, बल्कि उन संस्थाओं से आती है जो मानक लिखती हैं।

जुलाई 2025 में अमेरिकी NIST ने SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management का अंतिम संस्करण प्रकाशित किया। यह दस्तावेज़ प्रतिबंधित प्रमाणकों की एक स्पष्ट श्रेणी बनाता है, जो उन तरीक़ों के लिए है जिनकी प्रतिरोध क्षमता ख़तरों के विकास के साथ घट चुकी है। धारा 3.1.3.3 सार्वजनिक टेलीफ़ोन नेटवर्क के उपयोग को, यानी SMS या वॉइस कॉल से भेजे गए कोड को, इसी श्रेणी में रखती है: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» व्यावहारिक रूप से, जो सेवा अब भी इसका सहारा लेती है उसे एक गैर-प्रतिबंधित विकल्प देना होगा, उपयोगकर्ताओं को जोखिम बताना होगा और एक संक्रमण योजना रखनी होगी।

इससे पहले, दिसंबर 2024 में अमेरिकी साइबर सुरक्षा एजेंसी CISA ने अपना Mobile Communications Best Practice Guidance प्रकाशित किया था, उस साल्ट टाइफ़ून जासूसी अभियान के बाद जिसमें चीनी राज्य से जुड़े तत्वों ने कई अमेरिकी दूरसंचार कंपनियों में सेंध लगाई थी। शब्दावली में व्याख्या की कोई गुंजाइश नहीं: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», और आगे, बिना लाग-लपेट: «Only FIDO authentication is phishing-resistant.» दस्तावेज़ Yubico और Google Titan का नाम लेकर FIDO हार्डवेयर कुंजियों की स्पष्ट सिफ़ारिश करता है, और साफ़ कहता है कि FIDO चालू करने के बाद SMS बंद करना ज़रूरी है, वरना वह एक दुरुपयोग योग्य वैकल्पिक रास्ता बनकर बचा रहता है।

प्रमाणक ऐप: सच्ची प्रगति, पर अधूरा समाधान

TOTP ऐप, यानी Time-based One-Time Password, हर तीस सेकंड में बदलने वाला छह अंकों का कोड बनाते हैं, जो सक्रियण के समय साझा किए गए गोपनीय मान और मौजूदा समय से उपकरण पर ही गणना होता है। टेलीफ़ोन नेटवर्क से कुछ भी नहीं गुज़रता।

लाभ तत्काल है: नंबर की भूमिका ख़त्म होने से सिम स्वैप बेअसर हो जाता है, और कोई संदेश भेजा ही नहीं जाता इसलिए SS7 अवरोधन भी। जो खाता इससे आगे नहीं जा सकता, उसके लिए प्रमाणक ऐप पर जाना करने लायक क़दम है।

पर तीसरा रास्ता ज्यों का त्यों बचा रहता है। नक़ली साइट पर डाला गया TOTP कोड असली साइट को ठीक वैसे ही भेज दिया जाता है जैसे SMS का कोड। ऐप को पता ही नहीं कि आप कहाँ लॉगिन कर रहे हैं: वह एक संख्या दिखाता है, और वह संख्या अपनी तीस सेकंड की खिड़की में जो भी उसे पेश करे, उसके लिए मान्य है। CISA भी यही कहती है: प्रमाणक कोड SMS से बेहतर हैं पर फ़िशिंग के आगे कमज़ोर बने रहते हैं।

TOTP एक ईमानदार बीच का पड़ाव है, मंज़िल नहीं।

FIDO2 कुंजी समस्या की प्रकृति ही क्यों बदल देती है

FIDO2/WebAuthn हार्डवेयर कुंजी हमले को केवल कठिन नहीं बनाती, उसकी यांत्रिक संभावना ही ख़त्म कर देती है।

किसी सेवा पर पंजीकरण के समय कुंजी उसी सेवा के लिए समर्पित एक क्रिप्टोग्राफ़िक जोड़ी बनाती है। सार्वजनिक हिस्सा सेवा के पास जाता है, निजी हिस्सा चिप से कभी बाहर नहीं निकलता और न निर्यात हो सकता है न पढ़ा जा सकता है। न कोई साझा गोपनीय मान जिसकी नक़ल हो सके, न कोई छह अंकों का कोड जिसे बीच में पकड़ा जा सके।

फिर आती है निर्णायक व्यवस्था, मूल से बंधन। लॉगिन के समय ब्राउज़र कुंजी को दिखाए जा रहे पेज का असली डोमेन नाम भेजता है। यह जानकारी हस्ताक्षरित डेटा का हिस्सा होती है और ब्राउज़र इसे लागू करता है: पेज का जावास्क्रिप्ट न इसे बदल सकता है, न इसकी जालसाज़ी कर सकता है।

FIDO2 कुंजी फ़िशिंग को सफल होने में कठिन नहीं बनाती। वह फ़िशिंग के नतीजे को बेकार बना देती है।

adversary-in-the-middle हमले को फिर से देखें, इस बार कुंजी के साथ। नक़ली साइट बेदाग़ है, पीड़ित को कुछ भी नहीं भाँपता और वह अपनी कुंजी छू देता है। ब्राउज़र पेज का असली डोमेन भेजता है, यानी उस धोखाधड़ी वाली साइट का। कुंजी पाती है कि इस डोमेन के लिए कोई जोड़ी है ही नहीं, या उसी के लिए हस्ताक्षर कर देती है और ऐसा हस्ताक्षर बनता है जिसे असली सेवा ठुकरा देगी। दोनों ही स्थितियों में हमलावर के हाथ काम की कोई चीज़ नहीं लगती।

प्रकृति का फ़र्क़ यहीं है। SMS या TOTP के साथ सुरक्षा अंततः उपयोगकर्ता की सतर्कता पर टिकी होती है, इस पर कि वह जल्दबाज़ी के उस क्षण में, जब पेज सामान्य दिख रहा हो, एड्रेस बार में नक़ली डोमेन पहचान पाता है या नहीं। FIDO2 के साथ यह जाँच एक मशीन करती है, हर बार, बिना किसी के ध्यान पर निर्भर हुए। क्रिप्टोग्राफ़ी की मज़बूती से ज़्यादा यही ज़िम्मेदारी का हस्तांतरण मायने रखता है।

असर मापा जा सकता है। गूगल ने 2017 की शुरुआत में अपने कर्मचारियों के लिए कुंजियाँ अनिवार्य कीं और 85,000 से अधिक लोगों में 2018 में बताया कि खाता समझौते की एक भी घटना दर्ज नहीं हुई।

हार्डवेयर कुंजियों की वास्तविक सीमाएँ

इन्हें निर्दोष बताना बेईमानी होगी, और असली फ़ैसलों की तैयारी के लिए बेकार भी।

लागत है। मॉडल के अनुसार 25 से 60 यूरो, बायोमेट्रिक संस्करणों में उससे अधिक, और इसे दो से गुणा कीजिए।

असली जोखिम कुंजी खो जाना है। किसी महत्वपूर्ण खाते पर अकेली कुंजी डिज़ाइन की भूल है। हर अहम खाते पर दो पंजीकृत होनी चाहिए, जिनमें से एक कहीं और रखी जाए, किसी क़रीबी के पास या तिजोरी में। दूसरी कुंजी सुविधा नहीं है, वही पहली को बेफ़िक्र होकर इस्तेमाल करने लायक बनाती है।

कवरेज अधूरा है। कई सेवाएँ, ख़ासकर यूरोप की बैंकिंग सेवाएँ, अभी FIDO2 का समर्थन नहीं करतीं, इसीलिए आगे दी गई प्राथमिकता ज़रूरी है।

कुंजी चोरी हो सकती है। इसलिए कुंजी पर PIN लगाना, या अंगुलिचिह्न वाला मॉडल चुनना ज़रूरी है: वरना जिसे वह मिल जाए उसके लिए अकेली वस्तु ही काफ़ी है।

वैकल्पिक रास्ता सबसे कमज़ोर कड़ी बना रहता है। SMS बंद किए बिना FIDO2 चालू करना किसी चीज़ से नहीं बचाता: हमलावर बस उसी रास्ते जाएगा जो खुला रह गया। संक्रमण तभी पूरा होता है जब पुराना तरीक़ा खाते से हटा दिया जाए, रिकवरी विकल्पों सहित।

हार्डवेयर की बात करें तो YubiKey श्रृंखला प्रोटोकॉल का सबसे विस्तृत दायरा समेटती है, Google Titan सस्ती है और केवल FIDO तक सीमित, Nitrokey और SoloKeys खुले तथा जाँचे जा सकने वाले फ़र्मवेयर के विकल्प देती हैं, और Token2 ऐसे मॉडल बनाती है जिनमें अंकपटल भीतर ही होता है और PIN कीबोर्ड की जगह कुंजी पर ही डाला जाता है। FIDO2 प्रमाणित कुंजियों में कोई ग़लत चुनाव नहीं है: प्रोटोकॉल एक ही है, फ़र्क़ केवल अतिरिक्त उपयोगों का है।

जब सब कुछ एक साथ नहीं बदला जा सकता, तो शुरुआत कहाँ से

संक्रमण का क्रम पसंद का मामला नहीं, यह आपके खातों के आपसी संबंधों से निकलता है।

पहले मुख्य ईमेल। बाक़ी लगभग हर चीज़ के रीसेट लिंक यहीं आते हैं। जो हमलावर इसे क़ाबू कर ले, वह बाक़ी खाते एक-एक कर ले लेता है, बिना किसी पर सीधे हमला किए। इससे पहले सुरक्षित करने लायक कुछ भी नहीं।
पासवर्ड मैनेजर। यह आपकी सारी पहुँच का पहला कारक एक जगह समेटता है, इसलिए इसकी सुरक्षा उस सबसे सुरक्षित खाते के बराबर होनी चाहिए जो इसके भीतर है। यही मौक़ा है मास्टर पासवर्ड की गुणवत्ता जाँचने का, जिस विषय को हमने एंट्रॉपी और आपकी सुरक्षा के पीछे का विज्ञान लेख में विस्तार से लिया है।
वित्तीय खाते और क्रिप्टो प्लेटफ़ॉर्म। तात्कालिक मूल्य वाले निशाने, जहाँ सेंध कुछ ही मिनटों में अपरिवर्तनीय नुक़सान बन जाती है।
पाठक वर्ग वाले सोशल अकाउंट। SEC का मामला दिखाता है कि जिस अकाउंट को लोग फ़ॉलो करते हैं उसकी बात का वज़न कितना है, और नुक़सान हमेशा उसके मालिक को ही नहीं होता।
बाक़ी इंतज़ार कर सकता है, SMS की जगह TOTP ऐप के साथ। किसी फ़ोरम या स्ट्रीमिंग सेवा के लिए उतनी मेहनत जायज़ नहीं।

जो खाते अभी FIDO2 का समर्थन नहीं करते, उनके लिए: जहाँ संभव हो TOTP पर जाइए, और अपने ऑपरेटर से नंबर पोर्टिंग पर रोक लगवाइए, जो अधिकतर के यहाँ निःशुल्क विकल्प है।

यह Arpokrat के दृष्टिकोण के बारे में क्या कहता है

यह लेख जिस समस्या का वर्णन करता है, वह केवल इसलिए मौजूद है क्योंकि एक पहचानकर्ता को व्यवस्था के केंद्र में बिठा दिया गया। फ़ोन नंबर कभी पहचान के प्रमाण के रूप में बनाया ही नहीं गया था: वह आदत के चलते ऑनलाइन प्रमाणीकरण की रीढ़ बन गया, और ऊपर बताए तीनों हमले इसी उपयोग-विचलन का फ़ायदा उठाते हैं।

यही सोच Arpokrat Messenger के प्रोटोकॉल की रचना के पीछे थी: न फ़ोन नंबर, न ईमेल पता, न खाता। उपयोगकर्ता अपने ही उपकरण पर रखी क्रिप्टोग्राफ़िक कुंजियों के समूह के रूप में मौजूद रहता है, और संपर्क एक बार इस्तेमाल होने वाले निमंत्रण लिंक से बनता है। तर्क वही FIDO2 वाला है, बस एक पायदान ऊपर: जो किसी तीसरे पक्ष के पास है ही नहीं, वह उससे न ऑपरेटर के ख़िलाफ़ सोशल इंजीनियरिंग से निकाला जा सकता है, न क़ानूनी माँग से। ज़ीरो-नॉलेज ढाँचे के साथ यह संगति हमने अभी जमा करो, बाद में डिक्रिप्ट करो लेख में खोली है।

अपना रहस्य कभी उजागर किए बिना हस्ताक्षर करने वाली हार्डवेयर कुंजी, दरअसल ऑफ़लाइन क्रिप्टो वॉलेट के काम करने का तरीक़ा भी है, जिसे हमने कोल्ड वॉलेट की पूरी गाइड में विस्तार से लिखा है: गुप्त हिस्से को एक समर्पित वस्तु में रखिए और बाहर सिर्फ़ एक हस्ताक्षर निकलने दीजिए।

निष्कर्ष

SMS वाला टू-फैक्टर ख़राब ढंग से बनाया गया नहीं था। 2010 के दशक की शुरुआत में जब यह आम हुआ, अकेले पासवर्ड की तुलना में यह काफ़ी बड़ी प्रगति थी, और बड़े पैमाने पर मायने रखने वाला इकलौता गुण इसके पक्ष में था: फ़ोन तो सबके पास पहले से था।

समस्या इसका ईजाद होना नहीं, इसका टिके रहना है। SS7 के प्रदर्शन 2014 के हैं, बैंकिंग में असली दुरुपयोग 2017 का, रीयल-टाइम फ़िशिंग का उद्योग बनना उसी दशक के अंत का। CISA ने 2024 में लिखा कि इसे अब न इस्तेमाल किया जाए, NIST ने 2025 में प्रतिबंध को औपचारिक रूप दिया। जिस क्षण ये खामियाँ बड़े पैमाने पर दुरुपयोग योग्य हुईं और जिस क्षण संस्थाओं ने इसे काग़ज़ पर उतारा, उनके बीच लगभग एक दशक है। और SMS आज भी आम उपभोक्ता सेवाओं में डिफ़ॉल्ट दूसरा कारक बना हुआ है।

यही फ़ासला इस लेख की असली जानकारी है। सुरक्षा के तरीक़े तब ग़ायब नहीं होते जब वे काम करना बंद कर देते हैं, बल्कि तब होते हैं जब उतनी ही आसान कोई चीज़ उनकी जगह ले लेती है, और उसमें कहीं ज़्यादा वक़्त लगता है। इसलिए सवाल यह नहीं कि आपको SMS छोड़ना चाहिए या नहीं, वह तो सालों पहले तय हो चुका। सवाल यह है कि जिन दूसरी सुरक्षाओं को आप स्वतःसिद्ध मानते हैं, उनमें से कौन-कौन सी पहले से इसी हालत में हैं, बस अभी किसी ने लिखा नहीं है।

स्रोत

अमेरिकी न्याय विभाग, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 मई 2025
प्रतिभूति एवं विनिमय आयोग, SECGov X Account, 22 जनवरी 2024 का आधिकारिक वक्तव्य
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, जुलाई 2025 का अंतिम संस्करण
CISA, Mobile Communications Best Practice Guidance, 18 दिसंबर 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, टोबियास एंगेल और कार्स्टन नोल का प्रदर्शन, दिसंबर 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, मई 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, जुलाई 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, WebAuthn विनिर्देश

5G, लोकेशन डेटा और कानून का गलत निशाना

Tue, 18 Aug 2026 00:00:00 +0000

2011 में डेट्रॉइट पुलिस ने एक मोबाइल ऑपरेटर से टिमोथी कार्पेंटर के फोन के टावर-कनेक्शन का इतिहास मांगा। उसे 127 दिनों में फैले 12,898 लोकेशन बिंदु मिले, यानी करीब सौ प्रतिदिन। सात साल बाद अमेरिका के सर्वोच्च न्यायालय ने माना कि यह मांग एक तलाशी थी और उसके लिए वारंट आवश्यक था।

वे 12,898 बिंदु चौथी पीढ़ी के टावरों से आए थे, जिनमें से हर एक कई किलोमीटर के दायरे को कवर करता था। यही मांग आज किसी शहरी 5G नेटवर्क से की जाए तो कुछ किलोमीटर की सटीकता वाले सौ बिंदु प्रतिदिन नहीं मिलेंगे। कुछ दसियों मीटर की सटीकता के साथ कहीं बड़ी मात्रा मिलेगी।

तकनीक का पैमाना बदल गया। कानूनी तर्क श्रृंखला में उसी जगह टिका रहा।

एक हित जिसे अटलांटिक के दोनों ओर के न्यायाधीश मानते हैं

एक ऐसा हित है जिसे लगभग हर कोई स्वीकार करता है और जिसकी प्रभावी रक्षा लगभग कोई कानून नहीं करता: कहीं होने का अधिकार, बिना इस तथ्य के दर्ज हुए।

यूरोपीय न्यायशास्त्र ने इसे स्पष्ट रूप से स्थापित किया। Digital Rights Ireland (संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014) में और फिर Tele2 Sverige और Watson (संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016) में यूरोपीय संघ के न्यायालय ने माना कि ये आंकड़े, समग्र रूप से लिए जाएं तो, व्यक्तियों के निजी जीवन के बारे में अत्यंत सटीक निष्कर्ष निकालने देते हैं: दैनिक जीवन की आदतें, ठहरने के स्थान, आवाजाही, की जाने वाली गतिविधियां और सामाजिक संबंध।

अमेरिका का सर्वोच्च न्यायालय Carpenter v. United States, 585 U.S. 296 (2018) में मिलते-जुलते निष्कर्ष पर पहुंचा। उसने एक ऐसे बिंदु पर जोर दिया जिस पर अमेरिकी विधिशास्त्र ने बहुत लिखा है: इस संग्रह का अपरिहार्य और स्वचालित स्वरूप। कोई किसी टावर से जुड़ने की सहमति नहीं देता; व्यक्ति इसलिए जुड़ा होता है क्योंकि उसके पास चालू फोन है।

तो कानूनी हित मौजूद है, और इस क्षेत्र में महत्व रखने वाली दोनों अदालतें इसे मान्यता देती हैं। समस्या कहीं और है।

5G ने वास्तव में क्या बदला

एक आम भ्रम यह है कि लोकेशन को उस डेटा की तरह देखा जाए जो फोन भेजता है, जैसे कोई संदेश या तस्वीर। ऐसा नहीं है। लोकेशन नेटवर्क के संचालन का भौतिक परिणाम है। ऑपरेटर जानता है कि उपकरण किस टावर से जुड़ा है क्योंकि कॉल पहुंचाने के लिए उसे यह जानना ही पड़ता है। इस सूचना को एन्क्रिप्ट करने वाली कोई कुंजी नहीं है, क्योंकि यह सामग्री नहीं बल्कि स्वयं कनेक्शन का एक गुण है।

ठीक यही बात 5G को तकनीकी नहीं, कानूनी धरातल पर महत्वपूर्ण बनाती है।

पुरानी संरचनाएं चौड़ी सेल पर टिकी थीं। एक 4G टावर आमतौर पर कई किलोमीटर के दायरे को सेवा देता है, और केवल कनेक्शन से निकाली गई स्थिति शहर में सैकड़ों मीटर में, ग्रामीण क्षेत्रों में कभी-कभी दसियों किलोमीटर में मापी जाती थी। 5G बड़े पैमाने के सघनीकरण पर टिका है: शहरी सेल आमतौर पर कुछ सौ मीटर कवर करती हैं, और अभियांत्रिकी साहित्य प्रति वर्ग किलोमीटर चालीस से पचास बेस स्टेशन के घनत्व की बात करता है, जबकि 3G के दौर में यह चार या पांच था।

परिणाम यांत्रिक है। 5G पोजिशनिंग पर एरिक्सन के श्वेतपत्र के अनुसार, केवल कनेक्टिविटी के लिए तैनात अवसंरचना बाहर बीस से पचास मीटर और भीतर एक से तीन मीटर की सटीकता तक पहुंचती है, और अनुकूल शहरी परिस्थितियों में एक मीटर से नीचे चली जाती है। यह कहीं चालू की गई कोई लोकेशन सुविधा नहीं, बल्कि वह है जो नेटवर्क अपनी बनावट से ही जानता है, बिना किसी ऐप के और बिना कोई अनुमति दिए। इन सभी तंत्रों और वास्तव में काम करने वाले प्रतिउपायों को हमने फोन की निरंतर लोकेशन ट्रैकिंग पर अपने लेख में विस्तार से समझाया है।

इस प्रकार हस्तक्षेप कई गुणा बढ़ गया है। लागू कानूनी ढांचा वही है जो 2G और 3G के लिए सोचा गया था। पैमाने के इस बदलाव के साथ कोई नियामक अनुकूलन नहीं आया।

कानून पहुंच की रक्षा करता है, उत्पत्ति की नहीं

यूरोपीय कानून सावधानी से तय करता है कि लोकेशन डेटा तक कौन, किन शर्तों पर और किस नियंत्रण में पहुंच सकता है। निर्देश 2002/58/EC संचार की गोपनीयता का सिद्धांत स्थापित करता है, और न्यायालय ने La Quadrature du Net (संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020) में माना कि इस निर्देश का अनुच्छेद 15(1), चार्टर के अनुच्छेद 7, 8, 11 और 52(1) के आलोक में पढ़ा जाए तो, निवारक उद्देश्य से ट्रैफिक और लोकेशन डेटा के सामान्य और अविभेदित प्रतिधारण को रोकता है। फिर भी न्यायालय ने सीमित अपवाद स्वीकार किए, जब कोई सदस्य राज्य राष्ट्रीय सुरक्षा के लिए ऐसे गंभीर खतरे का सामना कर रहा हो जो वास्तविक और वर्तमान या पूर्वानुमेय हो, बशर्ते प्रभावी नियंत्रण हो।

ये वास्तविक सुरक्षाएं हैं और इन्हें कमतर आंकना अनुचित होगा। पर ये सभी घटना के बाद हस्तक्षेप करती हैं। ये मान लेती हैं कि आंकड़ा मौजूद है, संचित है, और फिर उसके उपयोग की शर्तें तय करती हैं।

पर यदि लोकेशन नेटवर्क के संचालन का अनिवार्य उपोत्पाद है, तो हस्तक्षेप का उपयुक्त बिंदु गोपनीयता नहीं है। वह स्थायित्व है।

संचार पहुंचाने के लिए आवश्यक और तुरंत बाद मिटा दी गई क्षणिक स्थिति निगरानी का उपकरण नहीं है। महीनों तक सहेजा गया स्थितियों का इतिहास है, चाहे उसके इर्द-गिर्द पहुंच की कोई भी गारंटियां क्यों न हों।

दोनों के बीच का अंतर कानूनी नहीं, संरचनात्मक है। और यूरोपीय समय-सारणी इस प्रश्न को सैद्धांतिक नहीं, तात्कालिक बना देती है। सह-विधायकों के बीच सहमति न बनने पर आयोग ने 2025 में ePrivacy विनियमन का प्रस्ताव वापस ले लिया। तब से वह आपराधिक प्रयोजनों के लिए डेटा प्रतिधारण पर एक अलग दस्तावेज पर काम कर रहा है, जिसकी घोषणा 2026 के लिए की गई है और जिसका उद्देश्य 2006 के निर्देश के रद्द होने के बाद बिखर चुकी राष्ट्रीय व्यवस्थाओं में सामंजस्य लाना है। दूसरे शब्दों में, जो पाठ एक दशक तक लोकेशन मेटाडेटा की व्यवस्था तय करेगा, वह इसी समय लिखा जा रहा है, उस तर्क के आधार पर जो किलोमीटर भर की सेल के दौर में गढ़ा गया था।

वह मिसाल जो 5G ने स्वयं बनाई

इस मामले का सबसे रोचक पहलू यह है कि सही उत्तर तकनीकी मानक में पहले से मौजूद है, बस वह किसी और विषय पर लागू है।

4G तक ग्राहक का स्थायी पहचानकर्ता, IMSI, जुड़ते समय रेडियो इंटरफेस पर बिना एन्क्रिप्शन के जाता था। इसी ने IMSI कैचर को संभव बनाया, वे नकली बेस स्टेशन जो इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के संदर्भ विवरण के अनुसार वैध टावरों से अधिक शक्ति पर प्रसारण करते हैं ताकि उपकरणों को खींचकर उनका पहचानकर्ता पकड़ सकें।

2019 में प्रकाशित 3GPP विनिर्देशों के Release 15 से 5G एक सुरुचिपूर्ण उत्तर देता है। स्थायी पहचानकर्ता, जिसे अब SUPI कहा जाता है, रेडियो इंटरफेस पर SUCI से बदला जा सकता है, यानी एक छिपाया गया पहचानकर्ता जो ग्राहक-विशिष्ट भाग को गृह ऑपरेटर की सार्वजनिक कुंजी से दीर्घवृत्तीय वक्र क्रिप्टोग्राफी द्वारा एन्क्रिप्ट करके प्राप्त होता है। केवल गृह नेटवर्क, जिसके पास संगत निजी कुंजी है, इसे डिक्रिप्ट कर सकता है। हर गणना में परिणाम अलग होता है, जिससे एक सत्र से दूसरे सत्र का सहसंबंध नहीं बन पाता।

अपनाया गया तर्क रेखांकित करने योग्य है, क्योंकि विधायक को ठीक इसी से मार्गदर्शन लेना चाहिए: स्थिति को एन्क्रिप्ट नहीं किया जाता, जो तकनीकी रूप से असंभव होता, बल्कि पहचान को एन्क्रिप्ट किया जाता है। जिस स्थिति से कोई पहचान न जोड़ी जा सके, उसका व्यक्तिगत निगरानी के लिए मूल्य बहुत सीमित है।

खामी: एक वैकल्पिक सुरक्षा

फिर भी एक बड़ी शर्त है, और हमारे मत में यही पूरे मामले में हस्तक्षेप का सबसे ठोस बिंदु है।

राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान द्वारा मार्च 2026 में प्रकाशित श्वेतपत्र NIST CSWP 36A इसे बिना लाग-लपेट कहता है। Release 15 या उससे बाद के अनुरूप उपकरण और नेटवर्क कार्य SUCI का समर्थन करने के लिए बाध्य हैं, पर उसे चालू करना ऑपरेटर की मर्जी पर बना रहता है। तीन शर्तें एक साथ पूरी होनी चाहिए: उपकरण निर्माता उसका समर्थन करे, ऑपरेटर उसे अपने नेटवर्क पर चालू करे, और सिम कार्ड में गणना के लिए आवश्यक तत्व मौजूद हों।

इसमें एक विन्यास-संबंधी जाल भी जुड़ता है। मानक में एक शून्य सुरक्षा योजना का प्रावधान है, जिसमें SUCI का प्रारूप औपचारिक रूप से प्रयुक्त होता है पर वास्तविक एन्क्रिप्शन के बिना, यानी पहचानकर्ता खुले रूप में जाता है। NIST लिखता है कि ऑपरेटर को अपना नेटवर्क शून्य से भिन्न सुरक्षा योजना के साथ विन्यस्त करना आवश्यक है, और याद दिलाता है कि संघीय संचार आयोग की सलाहकार संस्था CSRIC की एक रिपोर्ट ने 2021 में ही सिफारिश की थी कि शून्य योजना केवल उन आपात कॉलों तक सीमित रखी जाए जो नेटवर्क के लिए अनजान उपकरण से की गई हों।

इस कथन को ज्यों का त्यों रहने देना उचित है। मोबाइल उपकरणों की ट्रैकिंग के विरुद्ध उपलब्ध सर्वोत्तम सुरक्षा 2019 से तकनीकी मानक में मौजूद है। वह ऑपरेटर के विवेक पर छोड़े गए एक विन्यास-विकल्प पर टिकी है। एक अमेरिकी संघीय एजेंसी 2026 में यह याद दिलाने के लिए दस्तावेज प्रकाशित करना उपयोगी समझती है कि उसे चालू किया जाना चाहिए। और कोई यूरोपीय कानूनी दस्तावेज उसे अनिवार्य नहीं करता।

यह जोड़ना होगा कि SUCI से विषय समाप्त नहीं होता। 5G SUCI-catchers: still catching them all? शीर्षक से प्रस्तुत कार्य ऐसे लिंकेबिलिटी हमलों का दस्तावेजीकरण करता है जो एन्क्रिप्शन के बावजूद सत्रों को फिर से जोड़ने देते हैं, और यदि हमलावर उपकरण को पुरानी पीढ़ी पर लौटने को बाध्य कर दे तो सुरक्षा पूरी तरह ढह जाती है। इसलिए कोई कानूनी बाध्यता सब कुछ हल नहीं करेगी। फिर भी वह एक ऐसा अंतर मिटा देगी जिसका कोई बचाव-योग्य औचित्य नहीं: मानक जो अनुमति देता है और वाणिज्यिक नेटवर्क जो करते हैं, उनके बीच का अंतर।

तीन सुसंगत हस्तक्षेप

यदि इस विचार को गंभीरता से लिया जाए कि लोकेशन को बाद में सुरक्षित करने के बजाय डिजाइन से ही न्यूनतम किया जाना चाहिए, तो तार्किक रूप से तीन उपाय सामने आते हैं।

पहचानकर्ता के प्रभावी छिपाव को अनिवार्य बनाना। SUCI को चालू करना अनिवार्य करना और वाणिज्यिक नेटवर्कों पर शून्य सुरक्षा योजनाओं पर रोक लगाना, आपात कॉलों के अवशिष्ट मामले को छोड़कर। बात किसी नई तकनीक को निर्धारित करने या तैनाती के वित्तपोषण की नहीं है, बल्कि सात साल पहले मानकीकृत और उपकरणों में पहले से मौजूद एक सुविधा को चालू करने की मांग की है।
प्रतिधारण को अपवाद मानना, चूक-व्यवस्था नहीं। संचार पहुंचाने के लिए आवश्यक स्थिति उस कार्य के पूरा होते ही मिटा दी जानी चाहिए। इतिहास बनाने के लिए विशिष्ट औचित्य अपेक्षित होना चाहिए। यही अंतर है उस नेटवर्क में जो जानता है कि आप कहां हैं और उस नेटवर्क में जो याद रखता है कि आप कहां थे।
कुंजी की अभिरक्षा को प्रासंगिक संबंध-कारक बनाना। यदि आंकड़ों को पठनीय बनाने वाली कुंजियां कहीं और हों तो संघ में सर्वर होने का बहुत अर्थ नहीं। कानूनी रूप से सार्थक कसौटी डिक्रिप्शन के साधनों पर वास्तविक नियंत्रण होनी चाहिए, यह प्रश्न हमने Data Act और CLOUD Act के टकराव के संदर्भ में विस्तार से देखा है।

वह दृष्टिकोण जिसका Arpokrat अनुसरण करता है

यह तर्क केवल दूरसंचार कानून का नहीं है। यही तर्क हम अपनी संरचनात्मक पसंदों पर लागू करते हैं, और वह एक वाक्य में समा जाता है: जो उत्पन्न ही नहीं हुआ, उसे सुरक्षा की जरूरत नहीं।

इसीलिए ArpokratOS GPS, ब्लूटूथ और NFC को किसी मेनू में बंद करने के बजाय कर्नेल स्तर पर हटा देता है। एक स्विच एक नीति है: कोई विशेषाधिकार-प्राप्त घटक उसे दरकिनार कर सकता है, कोई अपडेट उसे फिर चालू कर सकता है, कोई समझौता किया गया तंत्र उसे अनदेखा कर सकता है। कोड-पथ हटा देने से प्रश्न ही समाप्त हो जाता है। यह उसी बदलाव का उपकरण-स्तर पर अनुवाद है जिसकी हम कानून के स्तर पर मांग करते हैं: पहुंच पर नहीं, उत्पत्ति पर हस्तक्षेप।

तुरंत यह भी कहना होगा कि यह क्या नहीं करता। कोई ऑपरेटिंग सिस्टम किसी उपकरण को नेटवर्क की ज्यामिति से बाहर नहीं निकालता। जब तक सिम कार्ड सक्रिय है, ऑपरेटर जुड़ी हुई सेल जानता है, और पूरे ट्रैफिक को Tor से भेजने से भी कुछ नहीं बदलता, क्योंकि वह सामग्री और गंतव्य की रक्षा करता है, रेडियो परत की नहीं। ठीक इसीलिए यह विषय कानूनी है। जोखिमों की एक श्रेणी ऐसी है जिसे कोई व्यक्तिगत विन्यास कम नहीं करता, और जिसके लिए एकमात्र उपलब्ध चर ऑपरेटर पर लागू नियम है।

यही चिंता हमारे बाकी काम को भी संचालित करती है। जो आंकड़ा मौजूद ही नहीं, उसे न जब्त किया जा सकता है, न बेचा, न बाहर निकाला, न दस साल बाद उस मशीन से डिक्रिप्ट किया जिसे आज कोई नहीं रखता; इस प्रश्न को हमने अभी काटकर बाद में तोड़े जाने वाले एन्क्रिप्शन के कोण से देखा है।

निष्कर्ष

मोबाइल निगरानी पर सार्वजनिक बहस लगभग पूरी तरह पहुंच पर केंद्रित है: आंकड़े कौन देख सकता है, किस आधार पर, किस अनुमति से। यह बहस वैध है, और 2014 से न्यायालय द्वारा दिए गए निर्णयों के ठोस परिणाम हुए हैं। पर वह श्रृंखला में बहुत देर से हस्तक्षेप करती है।

उससे पहले का, और अधिक निर्णायक प्रश्न यह है कि इतिहास होना ही चाहिए या नहीं। आज किसी वैध कारण से बनाया गया भंडार कल किसी और कारण के लिए उपलब्ध रहता है, और उसके इर्द-गिर्द की गारंटियां बाद के राजनीतिक निर्णयों पर निर्भर करती हैं, जिन पर संग्रह के समय किसी का वश नहीं होता। यह संस्थाओं की स्थिरता पर लगाया गया दांव है, ऐसी अवधि के लिए जिसे कोई तय नहीं करता।

5G ने इस सूचना का विभेदन कई गुना बढ़ा दिया और कोई नियामक अनुकूलन नहीं हुआ। साथ ही उसने SUCI की व्यवस्था से यह भी दिखा दिया कि व्यवहार्य रास्ता नेटवर्क के किसी भौतिक गुण को एन्क्रिप्ट करने की कोशिश नहीं, बल्कि स्थिति को पहचान से अलग करना है। तकनीकी मानक ने उत्तर तब दे दिया था जब कानून ने प्रश्न पूछने में सात साल और लगाए।

डेटा प्रतिधारण पर यूरोपीय पाठ अभी लिखा जा रहा है। वह मेटाडेटा से जुड़ा होगा, यानी लोकेशन से, यानी उससे जो 5G आज ऐसी सूक्ष्मता से उत्पन्न करता है जिसे उसके लेखकों ने नहीं जाना। वह एक ऐसे इतिहास तक पहुंच व्यवस्थित करने भर से संतुष्ट रहेगा जिसे दिया हुआ मान लिया गया है, या उस इतिहास की आवश्यकता पर ही प्रश्न उठाने का साहस करेगा, यह संभवतः आने वाले वर्षों में यूरोप का सबसे महत्वपूर्ण निजता-प्रश्न है। और यह वह प्रश्न है जिसे तकनीकी क्षेत्र ने, एक बार सही, पहले ही उचित दिशा में तय कर दिया है।

स्रोत

यूरोपीय संघ का न्यायालय, Digital Rights Ireland, संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014
यूरोपीय संघ का न्यायालय, Tele2 Sverige और Watson, संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016
यूरोपीय संघ का न्यायालय, La Quadrature du Net एवं अन्य, संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020
संयुक्त राज्य अमेरिका का सर्वोच्च न्यायालय, Carpenter v. United States, 585 U.S. 296, 2018
राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, मार्च 2026
एरिक्सन, 5G positioning: Locating devices anywhere
Merlin Chlosta एवं अन्य, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

स्थायी लोकेशन ट्रैकिंग: आपका फ़ोन तब भी आपका पीछा करता है जब आप उसे रोक चुके होने का भरोसा करते हैं

Sun, 02 Aug 2026 00:00:00 +0000

2024 में मैरीलैंड विश्वविद्यालय के दो शोधकर्ताओं ने बिना किसी विशेष अधिकार और बिना किसी ख़ास हार्डवेयर के, ऐपल की वाई-फ़ाई पोज़िशनिंग सेवा से बार-बार जानकारी माँगी और एक साल में दुनिया भर के दो अरब से ज़्यादा वाई-फ़ाई एक्सेस पॉइंट की सटीक जगह दोबारा खड़ी कर दी। उनका शोधपत्र Surveilling the Masses with Wi-Fi-Based Positioning Systems दिखाता है कि यह नक़्शा क्या कर सकता है: यूक्रेन में आते-जाते साज़ो-सामान पर नज़र रखना, माउई की आग के बाद आबादी की आवाजाही देखना, किसी व्यक्ति को उसके घर के इंटरनेट राउटर के ज़रिए ट्रैक करना।

इनमें से किसी भी डिवाइस पर GPS चालू नहीं था। लोकेशन कहीं और से आ रही थी।

मोबाइल निजता के मामले में यही सबसे आम अंधा कोना है: यह विश्वास कि लोकेशन का एक स्विच होता है और उसे बंद कर देने पर फ़ोन को पता ही नहीं रहता कि वह कहाँ है। यह विश्वास सात अलग-अलग स्तरों पर ग़लत है।

लोकेशन कोई सुविधा नहीं है जिसे आपका फ़ोन चालू करता है। यह इस बात का गुण है कि फ़ोन है क्या।

GPS, यानी सबसे कम परेशान करने वाला रास्ता

जिस अकेले तंत्र का नाम सब जानते हैं, वही असल में आपको सबसे कम चिंतित करना चाहिए।

GNSS, वह सामान्य शब्द जिसमें अमेरिकी GPS, गैलीलियो, ग्लोनास और बेइदोऊ आते हैं, सुनकर काम करता है। उपग्रह लगातार समय-चिह्नित संकेत भेजते हैं, रिसीवर उनमें से कई पकड़ता है और प्रसार-समय के अंतर से अपनी स्थिति निकाल लेता है। खुली जगह में सामान्य परिशुद्धता तीन से पाँच मीटर, और शहर में अक्सर कई दसियों मीटर, क्योंकि इमारतों की दीवारें संकेतों को परावर्तित करती हैं।

निर्णायक बात यह है कि यह गणना निष्क्रिय है। फ़ोन उपग्रहों की ओर कुछ भी नहीं भेजता, कोई उपग्रह संचालक यह नहीं जानता कि आप हैं। अगर मामला सिर्फ़ GNSS का होता, तो GPS बंद कर देना काफ़ी था।

हालाँकि एक बारीकी है। पहली बार स्थिति निकालने में तेज़ी लाने के लिए फ़ोन A-GPS का इस्तेमाल करते हैं: वे SUPL प्रोटोकॉल से एक सर्वर से उपग्रहों का पंचांग डेटा उतारते हैं। सही डेटा पाने के लिए फ़ोन उस सर्वर को उस नेटवर्क सेल की पहचान भेजता है जिससे वह जुड़ा है। शुद्ध GNSS आपको नहीं पकड़वाता, पर उस पर चढ़ाया गया तेज़ी लाने वाला हिस्सा पकड़वा देता है।

मोबाइल नेटवर्क: ऑपरेटर बनावट के कारण क्या जानता है

कोई कॉल आप तक पहुँच सके, इसके लिए नेटवर्क को पता होना चाहिए कि आप किस इलाक़े में हैं। यह चालू किया जाने वाला विकल्प नहीं, बल्कि सेवा के होने की शर्त है। आपका फ़ोन लगातार निकटतम टावर को अपनी मौजूदगी बताता है, और यह पंजीकरण ऑपरेटर के पास निशान छोड़ता है। कोई ऐप इंस्टॉल किया हो या न हो, कोई अनुमति दी हो या न हो: एक चालू सिम कार्ड काफ़ी है।

परिशुद्धता तरीक़े पर निर्भर करती है:

अकेली सेल पहचान: घनी शहरी बसावट में 200 मीटर से लेकर ग्रामीण इलाक़ों में 30 किलोमीटर से भी ज़्यादा, जहाँ एक टावर बहुत बड़ा दायरा समेटता है।
समृद्ध Cell ID, जिसमें एंटीना का सेक्टर (ज़्यादातर साइटें 120 डिग्री के तीन सेक्टरों में बँटी होती हैं) और संकेत की शक्ति जुड़ जाती है: 100 मीटर से कुछ किलोमीटर तक।
टाइमिंग एडवांस, जो फ़ोन और टावर के बीच आने-जाने की देरी नापता है: GSM में लगभग 550 मीटर, LTE में क़रीब 78 मीटर।
तीन या अधिक टावरों पर आधारित बहु-पार्श्वीकरण: शहरी LTE में 50 से 300 मीटर।

5G दो जुड़ते हुए कारणों से पैमाना ही बदल देता है। पहले घनत्व: 5G सेल कहीं छोटे दायरे समेटते हैं, इसलिए महज़ जुड़ा होना भी बारीक सूचना है। फिर मानकीकरण: Release 16 से 3GPP में अपने ही पोज़िशनिंग संकेत शामिल हैं। व्यावसायिक लक्ष्य 80 % उपकरणों के लिए भीतर 3 मीटर से कम और बाहर 10 मीटर से कम रखे गए हैं, और Release 18 कुछ औद्योगिक उपयोगों में सेंटीमीटर तक उतरता है।

इस तरह जो ढाँचा आपको जोड़ता है, वही GPS जैसी गुणवत्ता वाली पोज़िशनिंग प्रणाली बन जाता है, बिना आपके कुछ भी चालू किए। यह डेटा राष्ट्रीय नियमों के अनुसार रखा जाता है और अलग-अलग प्रक्रियाओं से अधिकारियों को उपलब्ध होता है। यह वही बुनियादी बहस है जो होस्ट किए गए डेटा पर लागू क्षेत्राधिकार के सिलसिले में उठती है: तकनीकी सुरक्षा और क़ानूनी सुरक्षा एक-दूसरे को नहीं ढकतीं।

वाई-फ़ाई: हार्डवेयर पतों से बना दुनिया का नक़्शा

हर वाई-फ़ाई एक्सेस पॉइंट लगातार एक अनूठी हार्डवेयर पहचान प्रसारित करता है, जिसे BSSID कहते हैं। ये पहचानें स्थिर हैं और भौगोलिक रूप से टिकाऊ भी: घर का राउटर सालों तक एक ही जगह पड़ा रहता है।

ऐपल, गूगल और कुछ विशेषज्ञ कंपनियाँ ऐसे डेटाबेस रखती हैं जो हर BSSID को निर्देशांकों से जोड़ते हैं। इन्हें उनके अपने ही उपयोगकर्ताओं के फ़ोन बनाते हैं, जो दिखने वाले एक्सेस पॉइंट की सूची GNSS स्थिति के साथ भेजते रहते हैं। फिर क्रिया उलट जाती है: जो फ़ोन चार जानी-पहचानी बिंदुएँ देख रहा है, उसे अब एक भी उपग्रह की ज़रूरत नहीं। घनी शहरी बसावट में परिशुद्धता आम तौर पर कुछ दसियों मीटर तक पहुँचती है, और भीतरी जगहों में उससे भी नीचे चली जाती है।

दो गुण इस तंत्र को निष्प्रभावी करना कठिन बना देते हैं। पहला, फ़ोन तब भी स्कैन करता है जब वाई-फ़ाई बंद दिखता है: एंड्रॉयड 4.3 से सिस्टम लोकेशन सुधारने के लिए एक आवधिक स्कैन चालू रखता है, जो त्वरित पैनल के स्विच से स्वतंत्र है। यह व्यवहार लोकेशन सेवाओं में गहरे दबे एक अलग सेटिंग पर टिका है, जिसे लगभग किसी उपयोगकर्ता ने कभी खोला ही नहीं।

दूसरा, इस डेटाबेस से बाहर से सवाल पूछे जा सकते हैं। राय और लेविन ने यही दरार भुनाई: पोज़िशनिंग इंटरफ़ेस सिर्फ़ माँगी गई स्थिति नहीं, आस-पास के एक्सेस पॉइंट की स्थिति भी लौटाते हैं, जिससे उन जगहों के पास कभी शारीरिक रूप से गए बिना पूरा नक़्शा समेटा जा सकता है।

ब्लूटूथ और BLE: दूसरों के फ़ोन से आपकी लोकेशन

ब्लूटूथ लो एनर्जी निकटता की एक परत जोड़ता है, जिसकी पहुँच कुछ मीटर से कुछ दसियों मीटर तक है, यानी मोबाइल नेटवर्क से कहीं बारीक। दो उपयोग साथ-साथ चलते हैं। व्यावसायिक बीकन, जो दुकानों, हवाई अड्डों या मॉल में लगाए जाते हैं, एक पहचान भेजते हैं जिसे फ़ोन में मौजूद ऐप पहचान लेते हैं, और इससे पता चलता है कि आप किस शेल्फ़ के आगे कितनी देर रुके। और सहयोगी लोकेशन नेटवर्क, जिनका आदर्श ऐपल का Find My है, जिसे बाद में गूगल और सैमसंग ने भी अपनाया।

यह दूसरा तंत्र एक अनकही मान्यता को उलट देता है। डार्मश्टाट तकनीकी विश्वविद्यालय के शोधकर्ताओं द्वारा PETS 2021 की कार्यवाहियों में प्रकाशित मानक विश्लेषण Who Can Find My Devices? ने ऐपल का प्रोटोकॉल रिवर्स इंजीनियरिंग से खोल दिया। ऑफ़लाइन पड़ा उपकरण एक BLE संकेत भेजता है, पास का कोई भी ऐपल उपकरण उसे पकड़ता है, उसमें अपनी स्थिति जोड़ता है और उसे एन्क्रिप्ट करके ऐपल के सर्वरों तक पहुँचा देता है, न उसके अपने मालिक को पता चलता है, न उस उपकरण के मालिक को जिसकी लोकेशन पकड़ी जा रही है।

नतीजा संरचनात्मक है: बिना सिम कार्ड, बिना वाई-फ़ाई, बिना किसी भी नेटवर्क संपर्क वाला उपकरण भी खोजा जा सकता है, बशर्ते जेब में फ़ोन लिए कोई अजनबी पास से गुज़र जाए। आपका अलगाव अब आपकी सेटिंग्स पर नहीं, राहगीरों की सेटिंग्स पर निर्भर है।

जड़त्वीय सेंसर: लोकेशन अनुमति के बिना लोकेशन

फ़ोन में एक्सेलेरोमीटर, जाइरोस्कोप, मैग्नेटोमीटर और अक्सर बैरोमीटर होता है। ये सेंसर लोकेशन से अलग अनुमति-श्रेणी में आते हैं: कोई ऐप इन्हें पढ़ सकता है, चाहे उसने कभी पूछा ही न हो कि आप कहाँ हैं।

प्रिंसटन के शोधकर्ताओं ने यह PinMe से दिखाया। उनका ऐप मोटी स्थिति के लिए IP पते और समय-क्षेत्र से शुरू करता है, फिर सेंसर पढ़ता है: एक्सेलेरोमीटर से गति बढ़ने और ब्रेक लगने का ढर्रा, जाइरोस्कोप से मोड़ों का क्रम, मैग्नेटोमीटर से दिशा, बैरोमीटर से ऊँचाई का उतार-चढ़ाव। एक न्यूरल नेटवर्क यात्रा का साधन पहचानता है, पैदल, कार, रेल या विमान, और मार्ग को सार्वजनिक मानचित्र, ऊँचाई तथा मौसम के आँकड़ों पर बिठा दिया जाता है। नतीजा: लोकेशन अनुमति के बिना, GPS जैसी परिशुद्धता वाला रास्ता। इस तरीक़े की सीमाएँ भी हैं, जिन्हें लेखक दर्ज करते हैं, क्योंकि यह सड़कों से रहित इलाक़ों में विफल होता है और एक-जैसी चौकोर बसावट में कमज़ोर पड़ जाता है, जहाँ कई मार्ग एक ही हस्ताक्षर बनाते हैं। फिर भी यह इस बात का प्रमाण बना रहता है कि नकारी गई अनुमति बंद दरवाज़ा नहीं है।

बैरोमीटर वह आयाम भी देता है जिसे GNSS ठीक से नहीं सँभालता, यानी ऊर्ध्वाधर। आपातकालीन कॉल पर अमेरिकी अपेक्षाएँ भीतर से की गई 80 % कॉलों के लिए मंज़िल-स्तर की तीन मीटर ऊपर-नीचे की परिशुद्धता तय करती हैं। किसी के किस मंज़िल पर होने का पता होना, यह जानने से अलग क़िस्म की बात है कि वह किस मोहल्ले में है।

डेटा का बाज़ार: सबसे मामूली रास्ता

पिछले तंत्र बताते हैं कि स्थिति की गणना कैसे होती है। बाक़ी यह है कि वह जाती कहाँ है, और रोज़मर्रा का ज़्यादातर ख़तरा वहीं तय होता है।

हज़ारों ऐप विज्ञापन SDK शामिल करते हैं, यानी तीसरे पक्ष के दिए सॉफ़्टवेयर हिस्से, जिन्हें डेवलपर अपनी मेहनत से कमाई करने या अपने पाठक-दर्शक नापने के लिए जोड़ता है। ये हिस्से मेज़बान ऐप की अनुमतियाँ विरासत में पा जाते हैं: मौसम का जो ऐप जायज़ तौर पर आपकी स्थिति माँगता है, वही उसे उन कंपनियों तक पहुँचा देता है जिनका नाम आपने कभी पढ़ा तक नहीं। इसके ऊपर विज्ञापन नीलामी की धाराएँ हैं, जहाँ हर बैनर दिखने पर आपकी मोटी स्थिति दर्जनों संभावित ख़रीदारों तक भेजी जाती है, उन तक भी जो कुछ नहीं ख़रीदते और सिर्फ़ सुनते रहते हैं।

यही कच्चा माल एक पूरे उद्योग को पालता है। इलेक्ट्रॉनिक फ़्रंटियर फ़ाउंडेशन ने Fog Data Science का मामला दर्ज किया, जो 25 करोड़ से ज़्यादा उपकरणों पर अरबों डेटा बिंदुओं का दावा करती थी और उन्हें अमेरिकी स्थानीय पुलिस को बेचती थी। ब्रायन क्रेब्स ने Locate X का वर्णन किया, एक ऐसा उत्पाद जिससे नक़्शे पर बहुभुज खींचकर उस इलाक़े में आए और वहाँ से गए उपकरणों का इतिहास देखा जा सकता है।

इस रास्ते में किसी तकनीकी करतब की ज़रूरत नहीं, बस कोई पैसा देने को तैयार हो। क़ीमत मामूली है।

IMSI कैचर: सक्रिय लोकेशन

अब तक देखे गए तंत्र सामान्य कामकाज का ही फ़ायदा उठाते हैं। एक सक्रिय लोकेशन भी होती है, जिसे नेटवर्क में दख़ल देने वाला कोई तीसरा पक्ष अंजाम देता है।

IMSI कैचर, या सेल सिम्युलेटर, ऐसा उपकरण है जो ख़ुद को वैध टावर बताकर पेश करता है। पहुँच के भीतर आने वाले फ़ोन उससे जुड़ जाते हैं और अपनी ग्राहक पहचान तथा एक सीमित दायरे में अपनी मौजूदगी उजागर कर देते हैं।

5G को यह दरवाज़ा बंद करना था, खुले रूप में जाने वाली स्थायी पहचान की जगह एन्क्रिप्टेड पहचान SUCI लाकर। बंदी अधूरी है। 5G SUCI-catchers: still catching them all? शीर्षक से प्रस्तुत काम ऐसे लिंकेज हमले दर्ज करता है जो एन्क्रिप्शन के बावजूद सत्रों को फिर से जोड़ लेने देते हैं। इससे भी अहम, सुरक्षा पूरी तरह ढह जाती है अगर हमलावर उपकरण को पिछली पीढ़ी पर, ख़ासकर 2G पर, उतरने को मजबूर कर दे, जिसमें प्रमाणीकरण एकतरफ़ा है। 5G वाला फ़ोन 1990 के दशक के नेटवर्क के लिए सोचे गए हमले के आगे इसलिए कमज़ोर रहता है क्योंकि वह आज भी वहाँ उतरने को राज़ी है।

प्रतिउपाय और उनकी असली कारगरता

नीचे दिया हर उपाय कुछ न कुछ करता है। कोई भी सब कुछ नहीं करता, और वे जो करते हैं तथा उनसे जो उम्मीद बाँधी जाती है, उसके बीच का फ़ासला ही ग़लत फ़ैसले पैदा करता है।

हवाई जहाज़ मोड

हवाई जहाज़ मोड सेलुलर मॉडेम, वाई-फ़ाई और ब्लूटूथ का प्रसारण काट देता है। यह सचमुच होता है, और इतनी कम मेहनत के बदले यही सबसे अच्छा नतीजा है।

जो यह नहीं करता: यह जड़त्वीय सेंसर नहीं रोकता, पहले से सहेजी गई स्थितियाँ नहीं मिटाता, जो दोबारा जुड़ते ही निकल जाएँगी, और ज़्यादातर उपकरणों पर इसे छोड़े बिना ही वाई-फ़ाई या ब्लूटूथ अलग से चालू करने देता है। आख़िर में, यह बिजली काटना नहीं बल्कि एक सॉफ़्टवेयर अवस्था है: इसकी भरोसेमंदी उस सिस्टम की सलामती पर टिकी है जो इसे लागू करता है।

एक कम आँका जाने वाला ब्योरा: नेटवर्क से कटना और फिर जुड़ना, ये दोनों ऑपरेटर के यहाँ समय-चिह्नित घटनाएँ हैं। जो फ़ोन रात नौ बजे एक सेल में ग़ायब होकर ग्यारह बजे दूसरी सेल में उभरता है, उसने चुप्पी नहीं, सूचना पैदा की है।

MAC पते का यादृच्छिकीकरण

आज मोबाइल सिस्टम स्कैन के दौरान यादृच्छिक MAC पते भेजते हैं, ताकि एक जगह से दूसरी जगह तक पीछा न किया जा सके। मंशा अच्छी है, नतीजा अधूरा। मानक शोध, जिनमें Why MAC Address Randomization is not Enough शामिल है, दिखाते हैं कि खोज-फ़्रेमों की सामग्री ही अक्सर उपकरण को दोबारा पहचानने के लिए काफ़ी होती है: सूचना तत्वों की संख्या, उनके मान और उनका क्रम मिलकर एक छाप बना देते हैं। इसके ऊपर क्रम-संख्याएँ हैं, जो बढ़ती जाती हैं और इसलिए आपस में जोड़ी जा सकती हैं, और हर मॉडल का अपना समय-हस्ताक्षर। कुछ अध्ययन बताते हैं कि आधे उपकरणों का कम से कम बीस मिनट तक सही पीछा किया जा सका।

अंत में एक वैचारिक सीमा: यादृच्छिकीकरण सिर्फ़ खोज के चरण से जुड़ा है। जैसे ही आप किसी नेटवर्क से जुड़ते हैं, इस्तेमाल होने वाला पता उस नेटवर्क के लिए स्थिर रहता है, बनावट से ही, ताकि कनेक्शन काम करे। जिस कैफ़े में आप हर सुबह जाते हैं, वह आपको पहचानता है।

स्कैन सचमुच बंद करना

यही सबसे फ़ायदेमंद और सबसे उपेक्षित सेटिंग है। एंड्रॉयड में वाई-फ़ाई खोज और ब्लूटूथ खोज दो अलग विकल्प हैं, जो लोकेशन सेवाओं में बैठे हैं और त्वरित पैनल के स्विच से स्वतंत्र हैं। जब तक ये चालू हैं, पैनल से वाई-फ़ाई बंद करना काफ़ी नहीं: स्कैन चलता रहता है।

इन्हें बंद करने से संग्रह की एक पूरी परत हट जाती है, और क़ीमत सिर्फ़ इतनी कि पहली बार स्थिति निकलने में थोड़ी देर लगेगी। ज़्यादातर पाठकों के लिए, लगाई गई मेहनत और मिले नतीजे का यही सबसे अच्छा अनुपात है।

ऐप की अनुमतियाँ

जिन ऐप को साफ़ तौर पर इसकी ज़रूरत नहीं, उनसे लोकेशन अनुमति वापस लेना अब भी उपयोगी है, और नए सिस्टम तीन दर्जे देते हैं: एक बार की अनुमति, सिर्फ़ इस्तेमाल के दौरान की अनुमति, और अनुमानित लोकेशन, जो सिर्फ़ एक किलोमीटर जितना इलाक़ा भेजती है।

लेकिन यह न उस SDK से बचाता है जो आपकी स्थिति तक पहुँचने का जायज़ कारण रखने वाले ऐप के भीतर बैठा है, न जड़त्वीय सेंसरों से, न नेटवर्क परतों से, जो किसी अनुमति से गुज़रती ही नहीं।

VPN किससे नहीं बचाता

एक बात साफ़ करनी ज़रूरी है, क्योंकि इसका उल्टा विश्वास बहुत फैला हुआ है: VPN आपकी लोकेशन नहीं छिपाता। वह आपका सार्वजनिक IP पता छिपाता है, इसलिए IP आधारित लोकेशन को भटका देता है, जो वैसे भी इस सूची का सबसे मोटा तंत्र है।

VPN न GNSS रिसीवर को छूता है, न वाई-फ़ाई स्कैन को, न ब्लूटूथ को, न सेंसरों को। आपका ऑपरेटर जो जानता है, उसमें वह कुछ नहीं बदलता, क्योंकि एन्क्रिप्टेड सुरंग उसी के टावरों से गुज़रती है और सेल से जुड़ाव उसे दिखता रहता है। यह उस ऐप को भी नहीं रोकता जिसके पास लोकेशन अनुमति है और जो सुरंग के भीतर सटीक निर्देशांक भेज सकता है। VPN किसी अविश्वसनीय नेटवर्क पर आपके संचार की सामग्री और मंज़िल की रक्षा करता है, और यह अपने आप में बहुत है। लोकेशन उसके दायरे में नहीं आती।

भौतिक सीमाएँ

फ़ैराडे पाउच शब्दशः काम करता है: वह भेजना और पाना, दोनों रोक देता है। जहाँ अब भी संभव हो, वहाँ बैटरी निकालना भी। अलग समर्पित उपकरण रखना, या फ़ोन को कहीं और छोड़ देना, सबसे मज़बूत उपाय बना हुआ है।

इन हलों में एक साझा कमी है जिसका सामना करना ज़रूरी है: ये एक असंगति पैदा करते हैं। जो फ़ोन हर मंगलवार शाम दो घंटे चुप हो जाता है, वह कुछ कह रहा होता है। जो प्रतिद्वंद्वी क्षणिक स्थितियों की जगह ढर्रों का विश्लेषण करता है, उसके सामने अनुपस्थिति भी आँकड़ा है।

तीन प्रतिद्वंद्वी, तीन रणनीतियाँ

यही इस लेख का सबसे अहम भेद है, और वही जो सबसे कम पढ़ने को मिलता है।

किसी विज्ञापनदाता या डेटा ब्रोकर के सामने लड़ाई जीती जा सकती है। अनुमतियों में अनुशासन, स्कैन बंद करना, बिना मालिकाना लोकेशन सेवाओं वाला सिस्टम, विज्ञापन पहचान रीसेट करना: यह सब मिलकर इकट्ठा होने वाली मात्रा बहुत घटा देता है। यह प्रतिद्वंद्वी सस्ती मात्रा चाहता है, आपका ख़ास मामला नहीं।

अपने ऑपरेटर के सामने कोई भी सेटिंग काफ़ी नहीं। सेलुलर लोकेशन सेवा की शर्त ही है। असली चर सिर्फ़ क़ानूनी हैं, यानी क़ानून क्या रखने और देने की इजाज़त देता है, और भौतिक: कौन-सा उपकरण, कौन-सा सिम कार्ड, किसके नाम पर, कहाँ चालू।

किसी लक्षित राजकीय प्रतिद्वंद्वी के सामने तर्क फिर बदल जाता है, क्योंकि वह ऑपरेटर के डेटा तक क़ानूनी पहुँच, सेल सिम्युलेटर से सक्रिय लोकेशन, प्लेटफ़ॉर्मों से माँग, और ज़रूरत पड़ने पर उपकरण में ही सेंध, इन सबको जोड़ देता है। सॉफ़्टवेयर प्रतिउपाय सतह घटाते हैं, पर यथार्थवादी लक्ष्य ग़ायब हो जाना नहीं है: यह ठीक-ठीक जानना है कि क्या खुला रह जाता है।

ArpokratOS का रुख़

ArpokratOS इस परिदृश्य का उत्तर ऊपर बताए भेद से निकले एक चुनाव से देता है: जिसे निष्प्रभावी करना है, उसे सिस्टम के स्तर पर किया जाता है, किसी मेन्यू में नहीं।

GNSS के मामले में हार्डवेयर ड्राइवर ही हटा दिया गया है। उपकरण ऐसे बरतता है मानो वह चिप है ही नहीं, ऐप्लिकेशनों के लिए भी और ख़ुद सिस्टम के लिए भी। सेटिंग्स के किसी स्विच से इसका फ़र्क़ बनावटी नहीं है। स्विच एक नीति है: उसे लागू करने वाली परत को पर्याप्त विशेषाधिकार वाला कोई घटक चकमा दे सकता है, कोई अपडेट उसे फिर चालू कर सकता है, या सेंध लगा चुका सिस्टम उसे अनदेखा कर सकता है। कोड का रास्ता ही हटा देने पर सवाल ख़त्म हो जाता है, क्योंकि चालू करने को कुछ बचा ही नहीं।

ब्लूटूथ को इसी तर्क से Core स्तर पर सँभाला जाता है। सेटिंग्स में बंद किया गया ब्लूटूथ कई उपकरणों पर व्यवहार में सॉफ़्टवेयर स्टैक ज़िंदा छोड़ देता है, ताकि निकटता सेवाएँ और सहयोगी लोकेशन नेटवर्क चलते रहें। सिस्टम स्तर पर अनुपस्थित होने पर वह न दुकान के बीकन से बात कर सकता है, न Find My जैसे नेटवर्क में हिस्सा ले सकता है, न बिना किसी अंतःक्रिया वाली हमले की सतह बन सकता है।

यह क्या नहीं करता, यह साफ़ कहना ज़रूरी है। ArpokratOS किसी फ़ोन को अनदेखा नहीं बना देता। जब तक सिम कार्ड चालू है, ऑपरेटर को पता है कि आप किस सेल से जुड़े हैं, और कोई भी ऑपरेटिंग सिस्टम इसे नहीं बदलता, चाहे सारा ट्रैफ़िक Tor से क्यों न जाए। रूटिंग सामग्री और मंज़िल की रक्षा करती है, रेडियो की ज्यामिति की नहीं। जो अदृश्यता का वादा करे, वह कहानी बेच रहा है।

ऐसी बनावट जो देती है, वह कहीं विनम्र है: ऐप्लिकेशन और निकटता की परतें हटाना, जिनसे असल संग्रह का बहुत बड़ा हिस्सा गुज़रता है, और जो बचता है उसके लिए एक स्पष्ट ख़तरा-मॉडल। यही तर्क डेस्कटॉप सिस्टम चुनने पर भी लागू होता है, जिसे हमने ऑपरेटिंग सिस्टमों की तुलना में विस्तार से रखा है: काम का सवाल यह नहीं कि कोई औज़ार बचाता है या नहीं, बल्कि यह कि वह किससे बचाता है और किस क़ीमत पर।

निष्कर्ष

यह लेख ग़ायब होने का तरीक़ा नहीं देता। वह तरीक़ा है ही नहीं, और इसके उलट दावा करने वाले लेख मुख्यतः झूठा भरोसा पैदा करते हैं, जो सुरक्षा न होने से भी ज़्यादा ख़तरनाक है क्योंकि वह जोखिम उठवाता है।

मक़सद एक दो-टूक सवाल की जगह, कि मैं ट्रैक हो सकता हूँ या नहीं, एक काम का सवाल रखना था: किसके द्वारा, कितनी परिशुद्धता से, उनके लिए कितनी लागत पर, और क्या इससे मुझे फ़र्क़ पड़ता है। जवाब उस पत्रकार के लिए अलग है जो किसी स्रोत की रक्षा कर रहा है, उस अधिकारी के लिए अलग जो संवेदनशील क्षेत्राधिकार में यात्रा पर है, उस वकील के लिए अलग जिसकी मुलाक़ातें रणनीति खोल देती हैं, और उस आम व्यक्ति के लिए अलग जिसे बस यह खटकता है कि कोई विज्ञापनदाता उसकी आदतें जानता है।

ध्यान असल में इन तंत्रों की अलग-अलग क्षमता पर नहीं, बल्कि इस बात पर जाना चाहिए कि ये आपस में ओवरलैप करते हैं। पचास मीटर तक सही एक स्थिति ज़्यादा दिलचस्प नहीं। पर पचास मीटर तक सही स्थिति, हर पंद्रह मिनट पर, दो साल तक, एक घर खींच देती है, एक कार्यस्थल, एक आस्था, एक स्वास्थ्य-स्थिति, एक रिश्ता, एक स्रोत। लोकेशन का आँकड़ा वही मेटाडेटा है जो बाक़ी सारे आँकड़ों को पढ़ने लायक़ बना देता है, और इसीलिए उसकी क़ीमत इतनी है।

स्रोत

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: टेलीकॉम कंपनियों का नया 'सुपर-कुकी' जो आपकी गोपनीयता के लिए खतरा है

Mon, 01 Jun 2026 00:00:00 +0000

वेब ब्राउज़र पर थर्ड-पार्टी कुकीज़ के निर्धारित अंत ने लक्षित विज्ञापन उद्योग में एक वास्तविक हथियारों की दौड़ शुरू कर दी है। जबकि Google अपने स्वयं के मानकों (जैसे Privacy Sandbox) को लागू करने का प्रयास कर रहा है, एक अन्य अप्रत्याशित खिलाड़ी ने हिस्सेदारी लेने का फैसला किया है: आपका इंटरनेट सेवा प्रदाता (ISP)।

इस प्रकार Utiq (जिसे पहले TrustPid प्रोजेक्ट के रूप में जाना जाता था) का जन्म हुआ, जो यूरोपीय दूरसंचार दिग्गजों द्वारा स्थापित एक संयुक्त उद्यम है। आम जनता को “पारदर्शी और सम्मानजनक” समाधान के रूप में बेचा जाने वाला Utiq वास्तव में वही है जिससे साइबर सुरक्षा विशेषज्ञ सबसे ज्यादा डरते हैं: नेटवर्क स्तर पर काम करने वाला एक “सुपरकुकी”।

Utiq क्या है और यह कैसे काम करता है?

परंपरागत रूप से, विज्ञापन ट्रैकिंग (कुकीज़) को आपके वेब ब्राउज़र (Chrome, Firefox, Safari) द्वारा प्रबंधित किया जाता है। आप एक्सटेंशन (uBlock Origin) या गोपनीयता-उन्मुख ब्राउज़र (Brave) का उपयोग करके इसे ब्लॉक कर सकते थे।

Utiq समस्या को एक कदम पीछे ले जाता है: आपके नेटवर्क कनेक्शन के स्तर पर।

यहां बताया गया है कि जाल कैसे बंद होता है:

नेटवर्क इंटरसेप्शन: जब आप अपने मोबाइल कनेक्शन (4G/5G) या फाइबर बॉक्स के माध्यम से इंटरनेट ब्राउज़ करते हैं, तो Utiq आपकी पहचान करने के लिए आपके IP पते और आपके दूरसंचार सदस्यता डेटा का उपयोग करता है।
सहमति (झूठा विकल्प): एक भागीदार साइट पर पहुंचने पर, एक पॉपअप आपको Utiq स्वीकार करने के लिए कहता है। कुकी बैनर से जुड़ी थकान (Consent Fatigue) के कारण, लाखों उपयोगकर्ता बिना पढ़े “स्वीकार करें” पर क्लिक करते हैं।
“Network Signal”: सहमति दिए जाने के बाद, Utiq सीधे आपके टेलीकॉम ऑपरेटर से संपर्क करता है। ऑपरेटर एक अद्वितीय और छद्म पहचान टोकन (नेटवर्क सिग्नल) उत्पन्न करता है जिसे वह विज्ञापनदाताओं को भेजता है।

अब आपको साइट-दर-साइट ट्रैक किया जा सकता है, आपके कंप्यूटर पर संग्रहीत फ़ाइल द्वारा नहीं, बल्कि उसी बुनियादी ढांचे द्वारा जो आपको इंटरनेट प्रदान करता है।

Utiq गोपनीयता के लिए एक बुरा सपना क्यों है (OPSEC)

यह पहल डिजिटल संप्रभुता और आपके डेटा की गोपनीयता के लिए गंभीर समस्याएं पैदा करती है:

स्रोत पर ट्रैकिंग: क्लासिक कुकीज़ के विपरीत, आप Utiq से छुटकारा पाने के लिए अपना “इतिहास मिटाएं” या “कैश साफ़ करें” नहीं कर सकते। पहचान टोकन आपके ISP द्वारा उत्पन्न किया जाता है।
प्रोफाइल का केंद्रीकरण: टेलीकॉम ऑपरेटर पहले से ही आपका नाम, भौतिक पता, बैंकिंग विवरण और वास्तविक समय में स्थान जानते हैं। Utiq के माध्यम से आपके वेब ब्राउज़िंग इतिहास को इससे जोड़कर, वे आश्चर्यजनक सटीकता का व्यवहारिक प्रोफाइलिंग बनाते हैं।
छद्मीकरण की खामी: Utiq यह कहकर अपना बचाव करता है कि वह सादे पाठ में आपका नाम साझा नहीं करता है, यह दावा करते हुए कि वह “एन्क्रिप्टेड” टोकन का उपयोग करता है। हालांकि, साइबर सुरक्षा की दुनिया में यह साबित हो चुका है कि छद्मीकरण प्रतिवर्ती (reversible) है। अन्य डेटाबेस के साथ इन टोकन को क्रॉस-रेफरेंस करने से व्यक्तियों को आसानी से फिर से पहचाना जा सकता है।

कौन से ऑपरेटर Utiq का उपयोग करते हैं?

Utiq की स्थापना चार सबसे बड़े यूरोपीय ऑपरेटरों के गठबंधन द्वारा की गई थी। यदि आप उनमें से किसी एक (या उनकी कम लागत वाली सहायक कंपनियों) के ग्राहक हैं, तो आपका कनेक्शन संभावित रूप से इस ट्रैकिंग के साथ “संगत” है।

यहाँ संस्थापक और उनकी संबंधित गोपनीयता नीतियों के लिंक दिए गए हैं:

OPSEC टिप: यद्यपि Utiq पहुंच रद्द करने के लिए एक केंद्रीकृत सहमति प्रबंधन पोर्टल (consenthub.utiq.com) प्रदान करता है, सबसे अच्छा बचाव तकनीकी रहता है।

Utiq का मुकाबला करने के लिए जीरो-ट्रस्ट (Zero-Trust) दृष्टिकोण

डिजिटल संप्रभुता का दर्शन, जो Arpokrat जैसे पारिस्थितिक तंत्र द्वारा संचालित है, एक सरल सिद्धांत पर निर्भर करता है: कभी भी नेटवर्क बुनियादी ढांचे पर भरोसा न करें।

Utiq जैसे सिस्टम को तकनीकी रूप से बेअसर करने के लिए, अपने स्वयं के इंटरनेट सेवा प्रदाता से अपना ट्रैफ़िक छिपाना ही समाधान है:

संप्रभु VPN का उपयोग करना: जैसे ही ट्रैफ़िक आपके उपकरण से बाहर निकलता है, उसे एन्क्रिप्ट करके, आपका ISP केवल VPN सर्वर की ओर निर्देशित अपठनीय डेटा प्रवाह देखता है। वह अब Utiq टोकन इंजेक्ट या पढ़ नहीं सकता है।
Tor नेटवर्क (Orbot): अनियन राउटिंग किसी भी एंड-टू-एंड पहचान को रोकता है।
DNS एन्क्रिप्शन (DoH/DoT): आपके ऑपरेटर को यह जानने से रोकता है कि आप किन वेबसाइटों पर जाने का अनुरोध करते हैं।

संक्षेप में, Utiq इस बात का प्रमाण है कि इंटरनेट सेवा प्रदाता अब केवल “पाइप” होने से संतुष्ट नहीं हैं; वे डेटा ब्रोकर बनना चाहते हैं। पहले से कहीं अधिक, आपके ट्रैफ़िक को एन्क्रिप्ट करना अब कोई सुरक्षा विकल्प नहीं है, बल्कि आपकी डिजिटल चुप्पी को बनाए रखने के लिए एक नितांत आवश्यकता है।