अगर आप Windows इस्तेमाल करते हैं, तो शायद(नई विंडो) कम-से-कम(नई विंडो) इस बात से(नई विंडो) वाकिफ होंगे कि आपका लैपटॉप आप पे जासूसी(नई विंडो) कर रहा है। इस हफ्ते हमें इस बात की ठोस याद दिलाने वाली मिली कि Microsoft का सर्वव्यापी ऑपरेटिंग सिस्टम आपकी निजता(नई विंडो) के लिए कितना घुसपैठिया(नई विंडो) है।
कुख्यात आपराधिक हैकिंग ग्रुप Scattered Spider(नई विंडो) का सदस्य होने के शक में आए 19 साल के Peter Stokes को Finland से United States के सुपुर्द किया गया, और उन पर “Company F, a luxury-jewelry retailer” की हैकिंग का आरोप लगाया गया है।
लेकिन इस मामले को दिलचस्प बनाता है ये कि आखिर उन्हें कैसे पकड़ा गया।
स्पायवेयर की तरह Windows
FBI की आपराधिक शिकायत(नई विंडो) के मुताबिक Stokes ने अपनी ऑनलाइन गतिविधि छिपाने के लिए एक VPN इस्तेमाल किया। आम तौर पर इसे एक समझदारी भरा विकल्प माना जाता है, क्योंकि VPN आपका असली IP पता उन वेबसाइटों से छिपा देता है जिन पे आप जाते हैं, और आपकी ऑनलाइन गतिविधि को आपके ISP से छिपा देता है। लेकिन उन्होंने एक घातक शुरुआती गलती की: उन्होंने Windows इस्तेमाल किया।
अधिकारियों ने Microsoft के रिकॉर्ड की मदद से Stokes की पहचान की, जिनसे उनके कंप्यूटर का संबंध ngrok के संदिग्ध इस्तेमाल से जुड़ा था। ngrok एक वेब डेवलपमेंट टनलिंग टूल है, जिसका इस्तेमाल “Company F के नेटवर्क बचाव को दरकिनार करने और Company F के डेटा सेंटर तक लगातार अनधिकृत एक्सेस सक्षम करने” के लिए किया गया था।
Microsoft Global Device Identifier (GDID) की वजह से Stokes के कंप्यूटर की पहचान कर पाया, जो एक “ऐसा डिवाइस-लेवल पहचानकर्ता है जिसे किसी डिवाइस पे मौजूद Windows ऑपरेटिंग सिस्टम के इंस्टॉलेशन की अनूठी पहचान करने के लिए डिज़ाइन किया गया है।”
दूसरे शब्दों में, Windows के हर इंस्टॉलेशन में एक ऐसा GDID होता है, जिसकी मदद से Microsoft किसी डिवाइस की पहचान कर सकता है (वर्चुअल डिवाइस समेत), और टेलीमेट्री इकट्ठा कर सकता है(नई विंडो)। Windows दोबारा इंस्टॉल करने पे उस डिवाइस के लिए नया GDID बन जाता है, लेकिन पुराना Microsoft के सिस्टम से मिटाया नहीं जाता, इसलिए उससे अब भी डिवाइस की पहचान की जा सकती है।
Microsoft ने फिर ये जानकारी थर्ड पार्टियों को दे दी।
FBI ने Microsoft की दी हुई जानकारी का इस्तेमाल कैसे किया
सिर्फ ये सबूत अपराध को Stokes से कनेक्ट करने के लिए काफी नहीं था, लेकिन GDID पता होने से FBI को उन IP पतों का इतिहास मिला जिन्हें उनके डिवाइस ने समय के साथ एक्सेस किया था। ये साबित करने के लिए कि वो IP पते Peter Stokes के ही थे, जांचकर्ताओं ने इस IP इतिहास को उन खातों के लॉगइन से मिलाया, जिनके Stokes के होने की जानकारी थी, जिनमें Apple, Snapchat, Facebook और उनका Growtopia गेम लॉगइन शामिल था।
शिकायत के मुताबिक, GDID को Stokes के होने की जानकारी वाले खातों से कनेक्ट करने से ये साबित करने में मदद मिली कि ज्वेलर को हैक करने में इस्तेमाल हुआ GDID Stokes के एक डिवाइस का ही था।
इस तरह पहचाने गए IP पतों में से एक New York के उस होटल से जुड़ा था जिसका इंटीरियर, जांचकर्ताओं के मुताबिक, एक Snapchat सेल्फी में दिख रहे इंटीरियर से मेल खाता है, जिसमें Stokes का चेहरा $100 की नोटों की गड्डी से ढका हुआ दिखता है। ये बात उनके मामले में मददगार साबित होने की संभावना नहीं है।
इसका मतलब हम बाकी सबके लिए क्या है?
सबसे पहले ये ज़ोर देना ज़रूरी है कि इस मामले में सिस्टम ने वैसे ही काम किया जैसा उससे उम्मीद थी।
Stokes पर साज़िश, साइबर घुसपैठ और धोखाधड़ी के आरोप लगे हैं, जो 2022 से अब तक 100 से ज़्यादा कॉर्पोरेट हमलों में $100 मिलियन से ज़्यादा की फिरौती की रकम से जुड़े हैं। Microsoft के डाटा का FBI का इस्तेमाल कानूनी ढांचे के भीतर आता है, जिसके लिए कोर्ट के आदेश और समन ज़रूरी होते हैं।
लेकिन GDID उपयोगकर्ता की सहमति और इस बात को लेकर ज़रूरी सवाल खड़े करता है कि आखिर उस हार्डवेयर का मालिक कौन है जिसके लिए आप पैसे देते हैं। आपसे कभी नहीं पूछा जाता कि आप अपने डिवाइस पे मौजूद GDID से सहमत हैं या नहीं, और इसे हटाने का कोई आसान तरीका नहीं है। Windows को पूरी तरह दोबारा इंस्टॉल करना भी सिर्फ आंशिक समाधान है।
Microsoft के बड़े ऑनलाइन दस्तावेज़ीकरण में GlobalDeviceId का ज़िक्र सिर्फ एक बार मिलता है, वो भी एक बेहद गूढ़ तकनीकी दस्तावेज़ में दबा हुआ(नई विंडो), जिसे कभी कोई पढ़ेगा भी नहीं।
हालांकि ये सच है कि macOS, Android और iOS जैसे बाकी सभी प्रमुख व्यावसायिक ऑपरेटिंग सिस्टम भी लगभग निश्चित रूप से अपने निर्माताओं के लिए डिवाइस की अनूठी पहचान कर सकते हैं। दुर्भाग्य की बात ये है कि हममें से ज़्यादातर लोग इस स्थिति को बस स्वीकार कर लेते हैं।
जो लोग ऐसा नहीं करते, उनके लिए इससे बचने का एकमात्र व्यावहारिक तरीका है ओपन सोर्स ऑपरेटिंग सिस्टम इस्तेमाल करना, जैसे Linux।
