ભારત સરકાર અને વોટ્સએપ હવે આમનેસામને છે. સરકારનો આગ્રહ છે કે વોટ્સએપ તેના મેસેજીસ ટ્રેસ કરીને વાંધાજનક મેસેજીસનાં મૂળ શોધી આપે, જ્યારે વોટ્સએપ પોતાના યૂઝર્સની પ્રાઇવસીનો મુદ્દો આગળ ધરીને, એન્ક્રિપ્ટેડ મેસેજીસમાં એ શક્ય નથી એમ કહે છે.
હકીકત શું છે? હમણાં બહાર આવેલી આંચકાજનક વિગતો મુજબ, તેના મેસેજીસ એન્ક્રિપ્ટેડ હોય છે અને વચ્ચે કોઈ વાંચી જ શકતું નથી એવો વોટ્સએપનો દાવો જ ખોખલો છે. આખી વાતની જડ સમાન આ એન્ક્રિપ્શન શું છે, તેમાં ક્યાં અને કેવાં છીંડાં છે અને તેનો હેકર્સ કેવો લાભ લઈ શકે છે અને છેવટે આપણે યૂઝર્સે શું ધ્યાન રાખવું એ બધું જ આ લેખમાં સમજીએ.
– સંપાદક
આગળ શું વાંચશો?
- એન્ક્રિપ્શન ખરેખર શું છે?
- તો પછી વાડમાં છીંડું ક્યાં છે?
- આ છીંડેથી ઘૂસીને ઘરફોડિયા શું શું કરી શકે છે?
- “હું તો વોટ્સએપ ફોર વેબ વાપરતો જ નથી’’
- આવા ઘરફોડિયાઓથી બચવા માટે શું કરવું?
વોટ્સએપ બનાવનારી કંપની ઘણા સમયથી એવો દાવો કરતી આવી છે કે વોટ્સએપમાં આપણે જે કંઈ સંદેશા મોકલીએ છીએ કે જે પણ કોલ કરીએ છીએ એ એકદમ સુરક્ષિત છે, પણ એનો દાવો કેટલો સાચો માનવો એ સંશયનો વિષય છે. જો આપણે આ આખો મામલો સમજવો હોય તો સૌ પ્રથમ તો સાયબર વર્લ્ડમાં સુરક્ષાનો અર્થ શું છે એ જરા સમજવું પડશે.
સાયબર વર્લ્ડમાં સુરક્ષા એક બહુ જ પાતળા પડ જેવી હોય છે અને એને કારણે સાયબર વર્લ્ડમાં શાશ્વત રીતે સુરક્ષિત કશું જ નથી. પૂરતો સમય અને કમ્યુટિંગ પાવર ઉપલબ્ધ હોય તો ગમે એવા અભેદ લાગતા સુરક્ષા કવચને ભેદી નાખી શકાય છે એવું ભૂતકાળમાં એક કરતાં વધારે વખત પ્રસ્થાપિત થઈ ચૂક્યું છે.
એન્ક્રિપ્શન ખરેખર શું છે?
વોટ્સએપ જે ‘એન્ક્રિપ્શન પ્રોટોકોલ સ્યૂટ’ને આધારે આપણને સૌને આપણું કમ્પ્યુનિકેશન સુરક્ષિત હોવાનો અહેસાસ આપે છે એને ‘પબ્લિક-કી ક્રિપ્ટોગ્રાફી’ અથવા ‘એસિમેટ્રિક ક્રિપ્ટોગ્રાફી’ કહે છે. આ નામ ભલે ભારેખમ લાગે પણ એમાં પરદા પાછળ બહુ સાદી ગોઠવણ કામ કરે છે. એ કેવી રીતે કામ કરે છે એ સમજવા એક સાદું ઉદાહરણ લઈએ.
ધારો કે કોઈ એક રાજ્યનો રાજા એના પાડોશી મિત્ર રાજાને કોઈ ખાનગી સંદેશો પહોંચાડવા માગે છે અને એ સંદેશો એણે જે રીતે આપવા ધાર્યો છે એ જ રીતે એના મિત્ર સુધી પહોંચે એવું ઈચ્છે છે, તો એણે શું કરવું પડે?
જો એ સંદેશો કોઈ કાગળમાં લખીને સંદેશવાહકના હાથમાં આપી દે તો શક્ય છે કે એ સંદેશવાહકને દુશ્મન રાજ્યનો રાજા વચ્ચે જ આંતરીને, કેદ પકડી લઈને પછી પોતાના સંદેશવાહક દ્વારા સાવ ભળતો જ સંદેશ મોકલી શકે છે. અથવા શક્ય છે કે સંદેશવાહક પોતે જ સંદેશો મોકલનાર રાજાને વફાદાર ન હોય અને રસ્તામાં સંદેશો પોતે વાંચી લે અને પછી દુશ્મન રાજાને એ સંદેશા વિષેની તમામ માહિતી મોકલાવી દે.
આ વાતનો ઉકેલ લાવવા માટે આપણી આ કાલ્પનિક વાર્તાનો રાજા પોતે લખેલા સંદેશાને એક મજબૂત પેટીમાં મૂકીને પછી એ પેટીને એક એવા મજબૂત તાળાથી બંધ કરી દે છે, જેની ફક્ત બે જ ચાવીઓ અસ્તિત્વ ધરાવે છે એવી એને પાકી ખાતરી છે.
હવે મિત્ર રાજાને આ સંદેશો મળે ત્યારે પેટી ખોલીને વાંચી શકવા માટે એણે પોતાની પાસે રહેલી ચાવી જેવી જ એક ચાવી મિત્ર રાજાને પહેલેથી આપી રાખવી પડે છે. મિત્ર રાજા એ ચાવીથી તાળું ખોલીને સંદેશો બહાર કાઢીને વાંચી લઈ શકે છે અને એનો યોગ્ય જવાબ પણ એ જ પદ્ધતિથી આપી શકે છે.
પણ વાર્તામાં જો આટલું જ હોત તો સૌ સારાં વાનાં થયાં એમ કહી વાર્તાને પૂરી થયેલી જાહેર કરવી પડે.
ઉપરની પદ્ધતિમાં કેટલીક વ્યાવહારિક ખામીઓ પણ છે જે આ પદ્ધતિને બહુ અસરકારક રહેવા દેતી નથી. એ ખામીઓ શી છે એના ઊંડાણમાં આપણે નહીં જઈએ પણ સંદેશાની આપલેની આ જ પ્રણાલીનું સુધારેલું સ્વરૂપ જરા ચકાસીએ.
ધારો કે આપણાવાળો રાજા જરા વધારે સ્માર્ટ છે એટલે એ જરા ઈનોવેટિવ રસ્તો અપનાવે છે.
નાનપણમાં ટચકિયાં તાળાં ઉપયોગમાં ન લીધા હોય એવી જનતા ભારતમાં ભાગ્યે જ હશે. એવા તાળાની ખાસિયત એ હોય છે કે એને વાસવા માટે કોઈ ચાવીની જરૂર હોતી નથી, પણ ખોલવા માટે જે તે તાળાની ચાવીની જરૂર પડે છે. આઈડિયા મજેદાર હોવાથી હવે ફક્ત આપણો રાજા જ નહીં, પણ એના બધા જ મિત્ર રાજાઓ પોતપોતાના માટે એવાં ઘણાં બધાં તાળાં બનાવડાવીને પછી પોતપોતાના તાળાની ચાવીઓ પોતાની પાસે જ રાખીને એ તાળાં બધા મિત્રોને એવી નોંધ સાથે મોકલાવી દે છે કે ‘હવે પછી જ્યારે પણ કોઈએ મને સંદેશો મોકલવો હોય ત્યારે પેટીને મારા તાળાથી વાસીને પછી મને મોકલવી.’
આ પદ્ધતિ ઉપયોગમાં લેવાથી થનારા ફાયદામાં પહેલો ફાયદો એ કે એમાં આપણાવાળા રાજાએ બનાવેલા તાળાની ચાવીઓ એમણે કોઈની સાથે વહેંચવી નથી પડતી.
બીજો ફાયદો એ છે કે જો સંદેશો હજુ રસ્તામાં હોય એ દરમિયા કોઈ તાળું તોડીને સંદેશો વાંચીને નવું તાળું મારી દે તો પછી સંદેશાવાળી પેટી એની પાસે આવતાંવેંત જ એમને ખબર પડી જાય છે કે આ તો મારાવાળું તાળું નથી અને પરિણામે એ પેટીમાં રહેલો સંદેશો પણ ભરોસો કરવા લાયક નથી.
ઉપરના પેરેગ્રાફવાળી વાત જો તમને સમજાઈ ગઈ હોય તો તમે તમારા નામની આગળ ‘સાયબર સિક્યુરિટી નિષ્ણાત’ની પદવીનું છોગું ઉમેરીને હરખાઈ શકો છો કેમ કે આ લેખની શરૂ વાતમાં જ ઉછાળવામાં આવેલા બે ભારેખમ નામ (‘પબ્લિક-કી ક્રિપ્ટોગ્રાફી,’ ‘એસિમેટ્રિક ક્રિપ્ટોગ્રાફી’) પાછળ છુપાયેલી ટેકનોલોજી આ વાર્તાને ખૂબ મળતા આવતા સિદ્ધાંતો પર જ કામ કરે છે અને એ સિદ્ધાંતો તમને સમજાઈ ચૂક્યા છે!
એ ટેકનોલોજીમાં પણ એક ખૂબ જ મોટા રેન્ડમ નંબરના બે અદ્વિતીય ટુકડાઓનો ઉપયોગ કરાય છે.
વોટ્સઈ એન્ક્રિપ્શ ટેકનોલોજી વિશેની વિગતવાર છણાવટને આ લેખમાં સ્થાન આપવું મુશ્કેલ છે, પણ એક વાત યાદ રાખી લેવાની છે કે આ ટેકનોલોજીનું કવચ તમને સુરક્ષા પૂરી પાડી શકે એ માટે પાયાની શરત એ છે કે તમારે તમારી પ્રાઈવેટ-કી કોઈ પણ સંજોગોમાં કોઈની પણ સાથે વહેંચવી નહીં. જ્યાં સુધી તમે એ શરતનું પાલન કરો છો ત્યાં સુધી આ એન્ક્રિપ્શન તમને મોટા ભાગના કિસ્સાઓમાં અભેદ સુરક્ષા કવચ પૂરું પાડે છે.
તો પછી વાડમાં છીંડું ક્યાં છે?
વોટ્સએપનું કહેવાતું એન્ક્રિપ્શ ખરેખર કહેવામાં આવે છે એટલું અભેદ છે કે પોલું છે, એ વિશે હમણાં અમુક સાયબર સિક્યોરિટી એક્સર્ટ્સે ઊંડું સંશોધ કર્યું છે. તેમા તારણ મુજબ, વોટ્સએપ એન્ક્રિપ્શમાં ગંભીર છીંડાં છે અને એ માટે ઘણે અંશે વોટ્સએપ પોતે જવાબદાર છે!
કઈ રીતે, એ સમજીએ.
પબ્લિક-કી ક્રિપ્ટોગ્રાફીની ટેક્નોલોજીમાં લક્ષ્મણરેખા એ છે કે પ્રાઈવેટ-કી મૂળ માલિકના કબ્જામાંથી કદાપિ દૂર હટવી જોઈએ નહીં, નહીંતર સીતાહરણ થયું જ સમજો. વોટ્સએપ કંપનીએ આ બાબતમાં ઢીલ મૂકી હોય એવું જણાય છે. પોતાના યૂઝર્સ પીસીમાં શું શું કરે છે એ જાણવાની, તેના પીસી પરના પ્રાઈવેટ ડેટાની લાલચે વોટ્સએપના ડેવલપર્સને એ લક્ષ્મણરેખા ઓળંગવા માટે વિવશ બનાવ્યા.
તમે જાણો છો કે વોટ્સએપનો મોબાઇલ ઉપરાંત, આપણે પીસી પર ઉપયોગ કરી શકીએ છીએ, જેને ‘વોટ્સએપ ફોર વેબ’ કહે છે. એ માટે મોબાઇલથી પીસી પરની વેબસાઇટમાં ક્યુઆર કોડ સ્કેન કરવો પડે છે, એ વાત સાચી, પણ ફરી આગળ કહેલી વાર્તા યાદ કરો.
એક રાજા (એક મોબાઇલ)એ બીજા રાજા (મોબાઇલ)ને મોકલેલો સંદેશો વચ્ચે ત્રીજા કોઈ દેશનો રાજા (પીસીનું બ્રાઉઝર) વાંચી શકે છે!
હવે મુશ્કેલી એ થઈ કે પેલી પ્રાઈવેટ-કી તો મોબાઈલ પર પડી છે અને ડેસ્કટોપ બ્રાઉઝર પર મેસેજ દેખાડવા માટે બ્રાઉઝર પાસે એ કી હોવી જરૂરી થઈ પડી અને પછી… વાડમાં છીંડું પડ્યું.
આ ખામી વિશે કોઈ સાયબર નિષ્ણાતો કશી ખબર નહોતી એવું નથી. ઘણા શાણા નિષ્ણાતો આ વાત જાણતા હોવા છતાં જાહેરમાં આ વિષય પર લખવાનું એટલા માટે ટાળતા આવ્યા હતા કે રખેને એ લખાણ વાંચીને કોઈ વાંદરાને નિસરણી મળી જાય. પણ હમણાં એક સાયબર સિક્યુરિટી ફર્મે આ વિષય પર ઈન્વેસ્ટિગેટિવ જર્નાલિઝમ જેવો એક વિગતવાર લેખ લખીને આખી વાત બહાર લાવી દીધી છે.
‘વોટ્સએપ ફોર વેબ’ને કારણે વોટ્સએપને પોતાને આપણો પીસીના ઉપયોગ સંબંધિત ડેટા મળી શકે છે અને એ ઉપરાંત, બીજા હેકર્સ આ છીંડામાંથી ઘૂસીને, સરેરાશ યૂઝર્સ માટે મોટી મુશ્કેલી ઊભી કરી શકે છે.
આ છીંડેથી ઘૂસીને ઘરફોડિયા શું શું કરી શકે છે?
- વોટ્સએપ ગ્રૂપ ચેટમાં, આગલા કોઈ મેસેજને સિલેક્ટ કરીને, તેના સંદર્ભમાં આપણો મેસેજ મૂકવાની સુવિધા છે. તેને ‘ક્વોટ ફીચર’ કહે છે. હેકર્સ, આ ફીચર દ્વારા એવો દેખાવ ઊભો કરી શકે છે કે જાણે તમારા કે તમારા અન્ય કોઈ ઓળખીતાના જૂના સંદેશા પર જવાબ આપવામાં આવ્યો હોય. એવા સંદેશાનો જવાબ કે જે હકીકતમાં એમણે કે તમે કોઈ દિવસ મોકલ્યો જ ન હતો, પણ આ કારણે ગ્રૂપમાંના બીજા લોકોને તે વિશ્વાસપાત્ર લાગે.
- ગ્રૂપ ચેટમાં જ એવો સંદેશો મોકલી શકે છે કે જે ગ્રૂપના અન્ય સભ્યોને ન દેખાય પણ જેને નિશાન બનાવવાની હોય એવી એક જ વ્યક્તિને દેખાય. નિશાન બનેલી વ્યક્તિ એ સંદેશાનો જવાબ આપે ત્યારે આખા ગ્રૂપને દેખાય.
- ક્વોટ ફીચર દ્વારા જ – જાણે કોઈ આધારભૂત સ્રોત પરથી સંદેશો આવ્યો હોય એવો દેખાવ ઊભો કરીને એ સંદેશામાં કોઈ અજાણ્યા સ્થળે દોરી જતી કડીઓ મૂકીને અત્યંત ખાનગી માહિતી ચોરી જઈ શકે. ઉદાહરણ તરીકે, કોઈ એક ગ્રૂપમાં જાણે એડમિને સંદેશો મૂક્યો હોય એવો ભ્રમ પેદા કરી પછી બધા જ સભ્યોને કોઈ લિંક પર જઈને પોતાની માહિતી એન્ટર કરવાનું કહેવામાં આવે.
- હેકર્સ તમે કદી મોકલ્યા જ ન હોય એવા સંદેશા તમારા નામે કોઈ ગ્રૂપમાં કે અન્ય વ્યક્તિને મોકલી શકે છે.
“હું તો વોટ્સએપ ફોર વેબ વાપરતો જ નથી‘‘
તમે જો મદ્યપાન નથી કરતા અને વાહન નથી ચલાવતા તો શું તમને અકસ્માત થવાની સંભાવના નથી? એ જ રીતે તમે ભલે વોટ્સએપ ફોર વેબનો ઉપયોગ ન કરતા હો, પણ અન્ય ઘણા લોકો આ ક્ષણે વોટ્સએપ ફોર વેબનો ઉપયોગ કરી રહ્યા છે અને એમાંના કોઈ તમારા કોન્ટેક્ટ લિસ્ટમાં કે તમે જે ગ્રૂપમાં છો એમાં હોઈ શકે છે અને એ લોકોને કારણે તમે ભોગ બની શકો છો.
આખી વાતો સાર એ કે…
વોટ્સએપ પર આપણને ગ્રૂપ કે સ્વતંત્ર ચેટમાં જોવા મળતો સંદેશો આપણે માનીએ છીએ કે ફલાણી વ્યક્તિએ મોકલ્યો હશે પણ આપણી માન્યતા ભૂલભરેલી હોઈ શકે છે. વોટ્સએપના મેસેજ સુરક્ષિત હોવા અંગેના બધા જ દાવા – કંપીએ પોતે સુરક્ષાના પાયાના સિદ્ધાંતોનો ભંગ કર્યો હોવાથી સાવ જ પોકળ સાબિત થઈ ચૂક્યા છે.
આવા ઘરફોડિયાઓથી બચવા માટે શું કરવું?
સાયબર વર્લ્ડમાંથી ઉદ્ભવતા કોઈ પણ સંદેશાનો આંધળો ભરોસો કદી ન કરવો. સત્યતા ચકાસણીનાં પગલાં લઈને પછી જ એ સંદેશા ઉપર ખપ પૂરતો ભરોસો કરવો. થોડી સ્વયંશિસ્ત કેળવીનેઅજાણ્યા સ્રોતવાળા સંદેશાઓને આગળ ધકેલવાનું બંધ કરીએ. ગ્રૂપમાં આવેલો સંદેશો ગ્રૂપમાં બધાને જોવા મળ્યો હશે જ એવું ધારી ન લેવું. કોઈ પણ સંદેશામાં મોકલવામાં આવેલી લિંક્સ પર ક્યારેય આંધળો ભરોસો ન કરવો. અન્ય રીતે સત્યતા ચકાસી લેવી.
જો વોટ્સએપને કારણે તમને કોઈ ગંભીર નુક્સાન થયું હોય પોલીસના સાયબરસેલ અથવા આ લેખકનો ઈ-મેઇલ દ્વારા સંપર્ક કરી શકો છો.