डेटा लॉगिंग की स्थिति: खतरे के स्तर और सुरक्षा प्रथाओं का मूल्यांकन
15/5/2018 - 13 मिनट का पठन
अपडेट किया गया: 26/9/2021
Psiphon Inc. सेंसरशिप वाले शासन के तहत रहने वाले लोगों के लिए इंटरनेट खोलने के अभियान का वर्षों से नेतृत्व कर रहा है। ऑनलाइन किसी भी सामग्री प्रतिबंध का सामना न करने के बावजूद, पश्चिमी देशों के उपयोगकर्ता ऑनलाइन अपनी व्यक्तिगत गोपनीयता की सुरक्षा के लिए Psiphon जैसे VPN का रुख कर रहे हैं। फिर भी मार्च 2017 में, Pew Research Center ने एक चौंकाने वाला आँकड़ा जारी किया कि लगभग 70% अमेरिकी इंटरनेट उपयोगकर्ता इस बात को लेकर आश्वस्त नहीं हैं कि VPN किस उद्देश्य की पूर्ति करता है।1
यदि Psiphon खातों की लगातार बढ़ती संख्या दुनिया भर में VPN उपयोगकर्ताओं की बढ़ती संख्या का कोई संकेत है, तो स्वतंत्र उपयोगकर्ताओं की एक बड़ी संख्या ऐसे बाजार में प्रवेश कर रही है जिसमें उनके पास उत्पादों का आलोचनात्मक मूल्यांकन करने के लिए कोई पैमाना नहीं है। यह समूह अब साइबर सुरक्षा के अपरिचित क्षेत्र में जोखिमों को समझने का बोझ उठाता है। इसलिए, वे गलत सूचना के प्रति अत्यधिक संवेदनशील हैं। ऐसा ही एक शब्द जो उपयोगकर्ताओं को अत्यधिक सतर्क कर देता है, वह है VPN वेबसाइटों और फ़ोरम पर डेटा लॉगिंग शब्द की व्यापकता, और व्यक्तिगत जोखिमों तथा स्वयं को कुशलतापूर्वक सुरक्षित रखने के तरीकों की गलत व्याख्या।
Techopedia के अनुसार, “डेटा लॉगिंग विशिष्ट रुझानों का विश्लेषण करने या किसी सिस्टम, नेटवर्क या IT परिवेश की डेटा-आधारित घटनाओं/कार्रवाइयों को रिकॉर्ड करने के लिए एक निश्चित समयावधि में डेटा एकत्र करने और संग्रहीत करने की प्रक्रिया है। यह उन सभी इंटरैक्शन की ट्रैकिंग को सक्षम बनाता है जिनके माध्यम से किसी स्टोरेज डिवाइस या एप्लिकेशन पर डेटा, फ़ाइलों या एप्लिकेशन को संग्रहीत, एक्सेस या संशोधित किया जाता है।”2 कई VPN ज़ीरो-लॉगिंग नीति को एक विशिष्ट उत्पाद सुविधा के रूप में प्रचारित करते हैं, जिससे यह संकेत मिलता है कि आम नागरिकों का इंटरनेट ट्रैफ़िक अन्यथा लगातार लॉग किए जाने और संभवतः व्यावसायिक व कानूनी उद्देश्यों के लिए शोषण किए जाने के जोखिम में है।
यह अप्रैल 2017 में कुछ FCC सुरक्षा प्रावधानों को निरस्त किए जाने के बाद एक ज्वलंत मुद्दा बन गया है, जिसके तहत अमेरिकी इंटरनेट सेवा प्रदाताओं (ISPs) को उपयोगकर्ता डेटा साझा करने से पहले अनुमति प्राप्त करने की आवश्यकता होती (यदि यह दिसंबर 2017 में इच्छित रूप से लागू हुआ होता)। अपनी सरकार द्वारा ISPs को हमारे व्यक्तिगत इंटरनेट इतिहास का लॉग रखने और फिर बिना सहमति के उन्हें बेचने या प्रकट करने की वकालत करने का विचार अधिकांश इंटरनेट उपयोगकर्ताओं के लिए चिंताजनक है।
इंटरनेट स्वतंत्रता के एक प्रबल समर्थक के रूप में, Psiphon प्रतिदिन यह सुनिश्चित करने का प्रयास करता है कि हमारे उपयोगकर्ताओं को बिना किसी दुष्प्रभाव के एक सेंसर-मुक्त इंटरनेट तक निष्पक्ष और खुली पहुँच प्राप्त हो। उपयोगकर्ता डेटा और ब्राउज़िंग इतिहास के अनधिकृत उपयोग की बढ़ती वैधता एक परेशान करने वाला नैरेटिव बनाती है जो दर्शाता है कि मुनाफ़ा अक्सर नैतिकता पर भारी पड़ता है। लेकिन Psiphon ने ट्रैफ़िक और डेटा लॉगिंग प्रथाओं के परिदृश्य को समझने के लिए गहराई से पड़ताल की।
US, EU और कनाडा में डेटा लॉगिंग नीतियों का एक संक्षिप्त तुलनात्मक विश्लेषण
सामान्य तौर पर, पश्चिमी देशों ने संग्रहीत डेटा सुरक्षा के दायरे के माध्यम से सुरक्षा और नियमों को परिभाषित किया है। ये कानून सुरक्षा के उन मानकों से संबंधित प्रावधान निर्धारित करते हैं जिनका उपयोगकर्ता डेटा एकत्र और संग्रहीत करते समय कंपनियों को पालन करना होता है। वे सूचना प्रकटीकरण से संबंधित वैधता के मुद्दों को भी रेखांकित करते हैं। हालाँकि, इस शोधपत्र में संदर्भित सभी कानून एकत्र किए जाने वाले डेटा के प्रकार और उन स्थितियों, जिनमें इसे एकत्र किया जाता है, साथ ही उस अवधि को, जब तक ऐसा डेटा रखा जाता है, एकत्र करने वाले संगठन के विवेक पर छोड़ते हैं। हालाँकि कई मामलों में इन संगठनों को एक केंद्रीय शासी निकाय के समक्ष अपनी नीतियों के पीछे के तर्क को सही ठहराना पड़ता है, लेकिन ऐसा कानून एक दोधारी तलवार साबित होता है, क्योंकि यह कई मामलों में मौन रूप से डेटा प्रतिधारण का समर्थन करता है।
उदाहरण के लिए, वर्तमान में US में डेटा लॉगिंग से संबंधित कोई व्यापक नियम नहीं हैं। ISPs उपयोगकर्ता डेटा एकत्र और संग्रहीत करने के लिए स्वतंत्र हैं, बशर्ते कि सेवा की शर्तों या उपयोगकर्ता लाइसेंसिंग समझौते में उपयोगकर्ता को यह जानकारी दी गई हो कि वे ऐसी प्रथाओं के अधीन हैं। हालाँकि, कंपनियाँ Stored Communications Act द्वारा शासित होती हैं, जो इलेक्ट्रॉनिक संचार सहित उपयोगकर्ता डेटा को "प्रेषिती या अभीष्ट प्राप्तकर्ता के अलावा किसी अन्य व्यक्ति" को प्रकट करने पर रोक लगाता है।3 यद्यपि अमेरिकी सरकार सभी कंपनियों पर उपयोगकर्ता डेटा की सुरक्षा का दायित्व डालती है, वे स्पष्ट रूप से लॉगिंग प्रथाओं या डेटा भंडारण की उचित अवधि को सीमित नहीं करते हैं।
ISP लॉगिंग का बड़ा सवाल कोई नया नहीं है, और न ही यह कोई अलग-थलग मुद्दा है। वास्तव में, डेटा लॉगिंग का सवाल उन्हीं कानूनी सवालों से जुड़ा है जो हाल ही में US में नेट न्यूट्रैलिटी की बहस में फिर से उभरे हैं।
यूरोपीय संघ ने अप्रैल 2016 में जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR) नामक एक ब्लॉक-व्यापी कानून पारित किया, जो 2012 के मूल डेटा प्रोटेक्शन डायरेक्टिव पर आधारित है और डेटा सुरक्षा दिशानिर्देशों, उपयोगकर्ता अधिकारों और विषयों के कानूनी वर्गीकरण को रेखांकित करता है। हालाँकि, व्यक्तिगत सदस्य देश डेटा प्रतिधारण की उपयुक्त अवधि निर्धारित करने के लिए बाध्य हैं और वे किसी ब्लॉक-व्यापी अनिवार्य समयसीमा के अधीन नहीं हैं।
एकत्रित किए गए डेटा के प्रतिधारण की उचित अवधि निर्धारित करने के लिए स्वतंत्र कंपनियाँ ज़िम्मेदार हैं, जबकि “जनहित में वैज्ञानिक, सांख्यिकीय या ऐतिहासिक उपयोग के लिए संग्रह” हेतु प्रतिधारण की अतिरिक्त अवधियाँ निर्धारित की जा सकती हैं।4 हालाँकि, GDPR के प्रावधानों के तहत, एक आम नागरिक के पास “विस्मृत किए जाने का अधिकार” होता है और वह अपने व्यक्तिगत डेटा को सर्वर से हटाने का अनुरोध कर सकता है।
अंत में, कनाडा के संघीय ढांचे ने अपने डेटा लॉगिंग नियमों के संबंध में एक बहु-स्तरीय क्षेत्राधिकार संगठन तैयार किया है। इसने पर्सनल इंफॉर्मेशन प्रोटेक्शन एंड इलेक्ट्रॉनिक डॉक्यूमेंट्स एक्ट (PIPEDA) लागू किया है, जो व्यावसायिक गतिविधि के लिए जानकारी के संग्रह के संबंध में राष्ट्रव्यापी निर्देशों और विनियमों को रेखांकित करता है, और व्यक्तिगत रूप से पहचान योग्य जानकारी के लिए एक राष्ट्रीय मानक परिभाषा निर्धारित करता है, जिसमें शामिल हैं:
• आयु, नाम, ID संख्याएँ, आय, जातीय मूल और रक्त समूह;
• राय, मूल्यांकन, टिप्पणियाँ, सामाजिक स्थिति या अनुशासनात्मक कार्रवाइयाँ, आदि।
• कर्मचारी फ़ाइलें, क्रेडिट रिकॉर्ड, ऋण रिकॉर्ड, मेडिकल रिकॉर्ड, किसी उपभोक्ता और व्यापारी के बीच विवाद का अस्तित्व, इरादे (उदाहरण के लिए, सामान या सेवाएँ प्राप्त करना, या नौकरी बदलना)।5
EU डायरेक्टिव के समान ही, आतंकवाद के वित्तपोषण जैसे आपराधिक कृत्यों के संदिग्ध व्यक्तियों से संबंधित जानकारी को Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) को प्रकट करने की अनुमति देने के प्रावधान शामिल हैं। हालाँकि, PIPEDA जानकारी को सुरक्षित करने और जानकारी के भंडारण की कानूनी अवधि को सीमित करने की प्रक्रियाओं को स्पष्ट रूप से रेखांकित नहीं करता है। यद्यपि पैराग्राफ 4.5.3 में कहा गया है कि "वह जानकारी जो पहचाने गए उद्देश्यों को पूरा करने के लिए अब आवश्यक नहीं है, उसे नष्ट कर दिया जाना चाहिए," व्यक्तिगत कंपनियों को अपनी प्रक्रियाओं को लागू करने की स्वतंत्रता है।
इस क्रम में आगे, डेटा सुरक्षा सुनिश्चित करने के लिए अपने स्वयं के कानून बनाने में सक्षम प्रांत PIPEDA प्रावधानों का स्थान ले सकते हैं।
तो, क्या भय फैलाने वाले VPN सही हैं?
VPN वर्तमान लॉगिंग व्यवस्थाओं में तीन मूलभूत कमियों के कारण संभावित ग्राहकों को सफलतापूर्वक सचेत करते हैं:
1. आपका व्यक्तिगत रूप से पहचान योग्य डेटा पर्याप्त रूप से सुरक्षित नहीं हो सकता है
2. ISPs और ऑनलाइन कंपनियाँ व्यावसायिक लाभ के लिए आपके व्यक्तिगत डेटा का उपयोग कर सकती हैं
3. ISPs और ऑनलाइन कंपनियों के पास मौजूद व्यक्तिगत जानकारी के डेटाबेस कानून प्रवर्तन और सरकारी एजेंसियों के लिए उपलब्ध हैं
मूल्यांकन किए गए तीनों देशों ने व्यक्तिगत रूप से पहचान योग्य उपयोगकर्ता डेटा के कानूनी संग्रह और प्रतिधारण की अनुमति दी है। यद्यपि ISPs और ऑनलाइन कंपनियाँ ऐसी जानकारी को सुरक्षित रखने के लिए कानूनी रूप से बाध्य हैं, इसके मूल में, इसने एक कमज़ोर विश्वास-आधारित प्रणाली का निर्माण किया है जिसमें वस्तुतः हर क्षेत्राधिकार में स्पष्ट निगरानी का अभाव है। यह कहना आसान है कि जो लोग आपत्तिजनक या अवैध गतिविधियों के लिए इंटरनेट का उपयोग नहीं कर रहे हैं उन्हें चिंता करने की आवश्यकता नहीं है, लेकिन Psiphon में हमारा मानना है कि सभी इंटरनेट उपयोगकर्ताओं को अपने ऑनलाइन व्यवहार की परवाह किए बिना गोपनीयता की उचित अपेक्षा का अधिकार है।
इस प्रकार, यह माना जा सकता है कि ISPs को उपयोगकर्ता डेटा लॉग करने का अधिकार है। यह उन व्यक्तिगत इंटरनेट उपयोगकर्ताओं के लिए परेशानी का सबब हो सकता है जो मेडिकल रिकॉर्ड या बैंकिंग जानकारी जैसी निजी जानकारी के अनधिकृत उपयोग, या ऐसे डेटाबेस में दुर्भावनापूर्ण घुसपैठ से डरते हैं। इसके अतिरिक्त, यदि किसी ISP को उपयोगकर्ता रिकॉर्ड का अनुरोध करने वाला National Security Letter या वारंट प्राप्त होता है, तो वे कानून प्रवर्तन को ऐसी जानकारी प्रदान करने के लिए कानून द्वारा बाध्य होंगे।
मौजूदा कानूनों के तहत, ऑनलाइन कंपनियों को व्यावसायिक उद्देश्यों के लिए व्यक्तिगत रूप से पहचान योग्य डेटा बेचने या ऐसी जानकारी का खुलासा करने की स्वतंत्रता नहीं है। हालाँकि, वे ग्राहक सांख्यिकी जैसी विभिन्न आंतरिक प्रक्रियाओं के लिए इस डेटा को बनाए रखने और उपयोग करने के अपने अधिकारों के दायरे में हैं। संयुक्त राज्य अमेरिका में नेट न्यूट्रैलिटी के संभावित आसन्न क्षरण के साथ, व्यक्तिगत रूप से पहचान योग्य डेटा के भंडारों का बिना सहमति के शोषण किया जा सकता है या उन्हें जारी किया जा सकता है। फिर भी, VPN उपयोगकर्ताओं के बीच चिंता का एक प्रमुख कारण सेवा प्रदाता के सर्वोत्तम इरादों के बावजूद ऐसे डेटा के दुर्भावनापूर्ण रूप से लीक होने का जोखिम है।
इंटरनेट उपयोगकर्ताओं पर हमेशा उन कंपनियों की प्रथाओं के बारे में स्वयं को शिक्षित करने का बोझ रहेगा जिनके साथ वे जुड़ते हैं। एक प्राथमिक चिंता यह है कि कुछ अंतिम उपयोगकर्ता उपयोग की शर्तों के अर्थ या परिणामों को समझने में असमर्थ हो सकते हैं और वे अपने उपयोग को इस बात के अस्पष्ट और अक्सर भ्रामक सामाजिक और तकनीकी मानकों पर आधारित कर सकते हैं कि VPN भरोसेमंद और विश्वसनीय है या नहीं। उस बाज़ार अनुसंधान की तो बात ही छोड़ दें जो यह सुनिश्चित करने के लिए किया जाना चाहिए कि VPN संभावित उपयोगकर्ताओं के समक्ष प्रस्तुत की जाने वाली गोपनीयता नीतियों का वास्तव में पालन कर रहे हैं, विशेष रूप से यदि VPN सेवा के लिए ऐसे उपयोगकर्ता खाते बनाने की आवश्यकता होती है जो व्यक्तिगत रूप से पहचान योग्य जानकारी के इर्द-गिर्द बने हों।
इसके अलावा, एक बार जब कोई सुविज्ञ निर्णय ले लिया जाता है, तो विशिष्ट भौगोलिक स्थानों में और विशिष्ट साइटों पर उपयोगकर्ता पा सकते हैं कि वे एक अनएन्क्रिप्टेड या मानक https कनेक्शन का उपयोग करने में सहज महसूस करते हैं। लेकिन जहाँ अभी भी भ्रम या चिंता है, वहाँ व्यक्तिगत रूप से पहचान योग्य डेटा को ऑनलाइन एकत्र होने से बचाने के लिए Psiphon जैसे नो-लॉग VPN का उपयोग किया जा सकता है।
क्या कोई VPN मुझे डेटा लॉगिंग से बचा सकता है?
कई इंटरनेट उपयोगकर्ता ऑनलाइन अपनी पहचान छिपाने और ऑनलाइन वाणिज्यिक सेवाओं की डेटा लॉगिंग प्रथाओं से बचने के लिए VPN का रुख करते हैं। हालाँकि, यह स्पष्ट किया जाना चाहिए कि कोई भी VPN ऑनलाइन पूर्ण गुमनामी की पेशकश नहीं कर सकता है। लेकिन जो Psiphon की तरह स्वतंत्र रूप से सुलभ इंटरनेट के लिए प्रतिबद्ध हैं, वे अपनी सेवाओं में मज़बूत सुरक्षा उपाय शामिल करते हैं जो उनके उपयोगकर्ताओं की गोपनीयता की रक्षा करते हैं। एक VPN प्रॉक्सी का उपयोग करके, इंटरनेट ट्रैफ़िक को विशिष्ट उपयोगकर्ताओं के साथ संबद्ध नहीं किया जा सकता है, लेकिन उपयोगकर्ता अभी भी इंटरनेट सेवाओं के उपयोग से जुड़े रहते हैं और उसमें भाग लेते हैं।
उपयोगकर्ता का विश्वास हासिल करने और व्यक्तिगत गोपनीयता बढ़ाने के प्रयास में, व्यावसायिक रूप से उपलब्ध VPN अक्सर नो-लॉगिंग नीतियों को उजागर करते हैं। वे उपयोग के सभी रिकॉर्ड को नष्ट करने का दावा करते हैं, जिससे यह असंभव हो जाता है। हालाँकि, कई VPN सेवा समझौते ऐसी नीतियों की विस्तृत व्याख्या प्रदान नहीं करते हैं। खाता बनाने या एन्क्रिप्टेड सत्र शुरू करने के लिए, किसी VPN को कुछ विस्तृत उपयोगकर्ता जानकारी की आवश्यकता हो सकती है। एक बार फिर, सेवा की शर्तों को ध्यान से पढ़ने और VPN पर भरोसा करने या न करने का निर्णय लेने का बोझ व्यक्तिगत उपयोगकर्ता पर पड़ता है।
इंटरनेट की संरचना के अनुसार ऑनलाइन संचार होने के लिए कुछ जानकारी का आदान-प्रदान होना आवश्यक है। एक कार्यशील IP पते के बिना कोई भी डेटा भेजा या प्राप्त नहीं किया जा सकता है, जिसमें VPN उपयोगकर्ता का वैध IP पता भी शामिल है। हालाँकि, चूँकि इस शोधपत्र में मूल्यांकित किसी भी कानून में यह अनिवार्य नहीं किया गया है कि VPN उपयोगकर्ता डेटा को एक निर्दिष्ट समय के लिए संग्रहीत करें, इसलिए Psiphon और अन्य VPN सेवाओं के मूल मूल्य उन्हें किसी एन्क्रिप्टेड सत्र की समाप्ति पर अपने नेटवर्क से ऐसी जानकारी को मिटाने के लिए प्रेरित कर सकते हैं।
पारंपरिक VPN सेवाओं से Psiphon को क्या अलग बनाता है? बहुत सीधी सी बात है, हमारा जन्म इंटरनेट स्वतंत्रता से हुआ है और हम मुख्य रूप से उसी के लिए अस्तित्व में हैं। डिज़ाइन के अनुसार, Psiphon प्लेटफ़ॉर्म अंतिम उपयोगकर्ताओं के ब्राउज़िंग सत्र के संबंध में व्यक्तिगत रूप से पहचान योग्य कोई भी जानकारी संग्रहीत नहीं करता है। चूँकि Psiphon का उपयोग करने के लिए किसी खाते की आवश्यकता नहीं होती है, इसलिए यह सॉफ़्टवेयर किसी भी व्यक्तिगत उपयोगकर्ता से संबंधित जानकारी बनाने या संग्रहीत करने में वस्तुतः असमर्थ है। इसलिए उपयोग का कोई रिकॉर्ड नहीं होता है, जो निगरानी से बचने वाले या अनधिकृत पक्षों को व्यक्तिगत रूप से पहचान योग्य जानकारी के प्रकटीकरण से डरने वाले लोगों को आश्वस्त करता है कि Psiphon नेटवर्क का उपयोग किसी विशिष्ट उपयोगकर्ता या भू-स्थान से संबद्ध नहीं किया जा सकता है।
यह सुनिश्चित करने के लिए कि हमारा नेटवर्क कुशल बना रहे और मांग के बदलते स्तर के अनुसार विस्तार कर सके, हम आंतरिक डेटा मूल्यांकन करते हैं, जिसमें देश स्तर पर एकत्रित ट्रैफ़िक की मात्रा और उपयोगकर्ता स्थान की जानकारी शामिल है।6 यह सेवा द्वारा रखी जाने वाली सबसे विस्तृत जानकारी है। लेकिन अगर, उदाहरण के लिए, कोई दुर्भावनापूर्ण बाहरी व्यक्ति इस सांख्यिकीय जानकारी में सेंध लगा भी लेता है, तो व्यक्तिगत रूप से पहचान योग्य कोई भी जानकारी जोखिम में नहीं होगी।
--
द्वारा: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. पैराग्राफ 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 हालाँकि, शहर-स्तरीय डेटा केवल तभी स्वचालित रूप से एकत्र किया जाएगा जब किसी देश के भीतर उपयोग उस सीमा को पार कर जाए जिस पर शहर के भीतर सक्रिय कनेक्शनों की संख्या के मूल्यांकन के माध्यम से व्यक्तिगत उपयोगकर्ताओं की पहचान करना सांख्यिकीय रूप से असंभव हो।