ڈیٹا لاگنگ کی صورتحال: خطرے کے درجات اور سیکیورٹی طریقہ کار کا جائزہ
15/5/2018 - 14 منٹ کا مطالعہ
اپ ڈیٹ شدہ: 26/9/2021
Psiphon Inc. برسوں سے سنسرشپ والی حکومتوں کے ماتحت رہنے والوں کے لیے انٹرنیٹ کو کھولنے کی مہم کی قیادت کر رہی ہے۔ آن لائن کسی بھی مواد پر پابندیوں کا سامنا نہ ہونے کے باوجود، مغربی ممالک کے صارفین آن لائن اپنی ذاتی رازداری کے تحفظ کے لیے Psiphon جیسے VPNs کا رخ کر رہے ہیں۔ تاہم مارچ 2017 میں، Pew Research Center نے ایک چونکا دینے والا اعداد و شمار جاری کیا کہ تقریباً 70% امریکی انٹرنیٹ صارفین کو یقین نہیں ہے کہ ایک VPN کس مقصد کے لیے کام آتا ہے۔1
اگر Psiphon اکاؤنٹس کی مسلسل بڑھتی ہوئی تعداد دنیا بھر میں VPN صارفین کی بڑھتی ہوئی تعداد کا کوئی اشارہ ہے، تو آزاد صارفین کا ایک بڑا ریلا ایسی مارکیٹ میں داخل ہو رہا ہے جس میں ان کے پاس مصنوعات کا تنقیدی جائزہ لینے کے لیے کوئی پیمانہ موجود نہیں ہے۔ یہ گروہ اب سائبر سیکیورٹی کے ناآشنا شعبے میں خطرات کو سمجھنے کا بوجھ اٹھاتا ہے۔ اس حیثیت سے، وہ غلط معلومات کا انتہائی آسانی سے شکار ہو سکتے ہیں۔ ایک ایسی اصطلاح جو صارفین کو ہائی الرٹ پر رکھتی ہے وہ VPN ویب سائٹس اور فورمز پر ڈیٹا لاگنگ کی اصطلاح کی کثرت ہے، اور انفرادی خطرات اور اپنے آپ کو مؤثر طریقے سے محفوظ رکھنے کے طریقوں کی غلط پیش کش ہے۔
Techopedia کے مطابق، ”ڈیٹا لاگنگ مخصوص رجحانات کا تجزیہ کرنے یا کسی سسٹم، نیٹ ورک یا IT ماحول کے ڈیٹا پر مبنی واقعات/اقدامات کو ریکارڈ کرنے کے لیے ایک مخصوص مدت کے دوران ڈیٹا اکٹھا کرنے اور محفوظ کرنے کا عمل ہے۔ یہ ان تمام تعاملات کو ٹریک کرنے کے قابل بناتا ہے جن کے ذریعے ڈیٹا، فائلیں یا ایپلیکیشنز کسی اسٹوریج ڈیوائس یا ایپلیکیشن پر محفوظ کی جاتی ہیں، ان تک رسائی حاصل کی جاتی ہے یا ان میں ترمیم کی جاتی ہے۔“2 بہت سے VPNs زیرو لاگنگ پالیسی کو بظاہر ایک منفرد پروڈکٹ فیچر کے طور پر مارکیٹ کرتے ہیں، اس طرح یہ اشارہ دیتے ہیں کہ عام شہریوں کے انٹرنیٹ ٹریفک کو بصورت دیگر مسلسل لاگ کیے جانے اور ممکنہ طور پر تجارتی اور قانونی مقاصد کے لیے استعمال کیے جانے کا خطرہ رہتا ہے۔
یہ اپریل 2017 میں بعض FCC تحفظات کی منسوخی کے بعد ایک انتہائی اہم اور متنازع مسئلہ بن گیا ہے جن کے تحت امریکی انٹرنیٹ سروس فراہم کنندگان (ISPs) کے لیے صارف کا ڈیٹا شیئر کرنے سے پہلے اجازت حاصل کرنا لازمی ہوتا (اگر یہ ارادے کے مطابق دسمبر 2017 میں کبھی نافذ العمل ہوتا)۔ ان کی حکومت کا ISPs کی اس بات کی وکالت کرنا کہ وہ ہماری ذاتی انٹرنیٹ ہسٹری کے لاگز بنائیں اور پھر رضامندی کے بغیر انہیں فروخت کریں یا افشا کریں، زیادہ تر انٹرنیٹ صارفین کے لیے تشویشناک ہے۔
انٹرنیٹ کی آزادی کے ایک پرزور حامی کے طور پر، Psiphon روزانہ اس بات کو یقینی بنانے کی کوشش کرتی ہے کہ ہمارے صارفین بغیر کسی عواقب کے غیر سینسر شدہ انٹرنیٹ تک منصفانہ اور کھلی رسائی حاصل کریں۔ صارف کے ڈیٹا اور براؤزنگ ہسٹری کے غیر مجاز استعمال کی بڑھتی ہوئی قانونی حیثیت ایک پریشان کن بیانیہ تشکیل دیتی ہے جو یہ ظاہر کرتا ہے کہ اکثر منافع اخلاقیات پر حاوی ہو جاتا ہے۔ لیکن Psiphon نے ٹریفک اور ڈیٹا لاگنگ کے طریقوں کے منظر نامے کو سمجھنے کے لیے گہرائی سے جائزہ لیا۔
امریکہ، EU، اور کینیڈا میں ڈیٹا لاگنگ پالیسیوں کا ایک مختصر تقابلی جائزہ
عام طور پر، مغربی ممالک نے محفوظ کردہ ڈیٹا کی سیکیورٹی کے دائرہ کار کے ذریعے تحفظات اور ضوابط کی وضاحت کی ہے۔ یہ قوانین سیکیورٹی کے ایسے معیارات سے متعلق دفعات وضع کرتے ہیں جن کے لیے کمپنیوں کو صارف کا ڈیٹا اکٹھا اور محفوظ کرتے وقت پابند کیا جاتا ہے۔ وہ معلومات کے افشا سے متعلق قانونی حیثیت کے مسائل کا خاکہ بھی پیش کرتے ہیں۔ تاہم، اس مقالے میں حوالہ دیے گئے تمام قوانین ڈیٹا کی نوعیت اور ان حالات جن میں اسے اکٹھا کیا جاتا ہے، نیز اس دورانیے جس تک ایسا ڈیٹا برقرار رکھا جاتا ہے، سے متعلق فیصلوں کو اکٹھا کرنے والی تنظیم کی صوابدید پر چھوڑتے ہیں۔ اگرچہ بہت سے معاملات میں ان تنظیموں کو ایک مرکزی گورننگ باڈی کے سامنے اپنی پالیسیوں کے پیچھے منطق کا جواز پیش کرنا پڑتا ہے، لیکن اس طرح کی قانون سازی ایک دو دھاری تلوار بن جاتی ہے، کیونکہ یہ بہت سے معاملات میں ڈیٹا کو برقرار رکھنے کی ضمنی طور پر حمایت کرتی ہے۔
مثال کے طور پر، امریکہ میں اس وقت ڈیٹا لاگنگ سے متعلق کوئی جامع ضوابط موجود نہیں ہیں۔ ISPs صارف کا ڈیٹا اکٹھا اور محفوظ کرنے کے لیے آزاد ہیں، بشرطیکہ صارف کو سروس کی شرائط یا صارف کے لائسنس کے معاہدے میں آگاہ کر دیا جائے کہ وہ اس طرح کے طریقوں کے تابع ہیں۔ تاہم، کمپنیاں Stored Communications Act کے تحت کام کرتی ہیں، جو صارف کے ڈیٹا، بشمول الیکٹرانک مواصلات، کو ”مکتوب الیہ یا مطلوبہ وصول کنندہ کے علاوہ کسی بھی شخص کو“ افشا کرنے سے روکتا ہے۔3 اگرچہ امریکی حکومت تمام فرموں پر صارف کے ڈیٹا کے تحفظ کا بوجھ ڈالتی ہے، لیکن وہ لاگنگ کے طریقوں یا ڈیٹا کو محفوظ رکھنے کے مناسب دورانیے کو واضح طور پر محدود نہیں کرتی ہے۔
ISP لاگنگ کا بڑا سوال کوئی نیا سوال نہیں ہے، اور یہ کوئی تنہا مسئلہ بھی نہیں ہے۔ درحقیقت، ڈیٹا لاگنگ کا سوال انہی قانونی سوالات میں جڑا ہوا ہے جو حال ہی میں امریکہ میں نیٹ غیر جانبداری کی بحث میں دوبارہ ابھرے ہیں۔
یورپی یونین نے اپریل 2016 میں جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کے عنوان سے بلاک گیر قانون سازی منظور کی جو 2012 کی اصل ڈیٹا پروٹیکشن ڈائریکٹو پر مبنی ہے اور ڈیٹا سیکیورٹی کے رہنما اصولوں، صارف کے حقوق اور موضوعات کی قانونی درجہ بندیوں کا خاکہ پیش کرتی ہے۔ تاہم، انفرادی رکن ممالک ڈیٹا کو برقرار رکھنے کے مناسب دورانیے کا تعین کرنے کے پابند ہیں اور ان پر پورے بلاک کے لیے لازمی ٹائم فریم لاگو نہیں ہوتا ہے۔
آزاد فرمیں اکٹھے کیے گئے ڈیٹا کے لیے برقرار رکھنے کے مناسب دورانیے کا تعین کرنے کی ذمہ دار ہیں، جبکہ ”عوامی مفاد میں سائنسی، شماریاتی یا تاریخی استعمال کے لیے محفوظ کرنے“ کی غرض سے برقرار رکھنے کی اضافی مدت مقرر کی جا سکتی ہے۔4 تاہم، GDPR کی دفعات کے تحت، ایک عام شہری کو ”بھول دیے جانے کا حق“ حاصل ہے اور وہ اپنے ذاتی ڈیٹا کو سرور سے ہٹانے کی درخواست کر سکتا ہے۔
آخر میں، کینیڈا کے وفاقی ڈھانچے نے اپنے ڈیٹا لاگنگ کے ضوابط کے حوالے سے ایک کثیر سطحی دائرہ اختیار کی تنظیم بنائی ہے۔ اس نے پرسنل انفارمیشن پروٹیکشن اینڈ الیکٹرانک ڈاکومنٹس ایکٹ (PIPEDA) نافذ کیا ہے، جو تجارتی سرگرمیوں کے لیے معلومات جمع کرنے سے متعلق ملک گیر ہدایات اور ضوابط کا خاکہ پیش کرتا ہے، اور ذاتی طور پر قابل شناخت معلومات کے لیے ایک قومی معیاری تعریف طے کرتا ہے، جس میں شامل ہیں:
• عمر، نام، شناختی نمبرز، آمدنی، نسلی پس منظر، اور بلڈ گروپ؛
• آراء، جائزے، تبصرے، سماجی حیثیت، یا تادیبی کارروائیاں، وغیرہ۔
• ملازمین کی فائلیں، کریڈٹ ریکارڈز، قرض کے ریکارڈز، طبی ریکارڈز، صارف اور تاجر کے درمیان تنازع کا وجود، ارادے (مثال کے طور پر، اشیاء یا خدمات حاصل کرنا، یا ملازمتیں تبدیل کرنا)۔5
EU ڈائریکٹو کی طرح، ایسے افراد سے متعلق Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) کو معلومات کے افشا کی اجازت دینے کی دفعات شامل ہیں جن پر دہشت گردی کی مالی معاونت جیسے مجرمانہ کارروائیوں کا شبہ ہے۔ تاہم، PIPEDA معلومات کو محفوظ بنانے اور معلومات کے ذخیرہ کرنے کی قانونی مدت کو محدود کرنے کے عمل کی واضح طور پر وضاحت نہیں کرتا ہے۔ اگرچہ پیراگراف 4.5.3 میں کہا گیا ہے کہ ”وہ معلومات جو شناخت شدہ مقاصد کو پورا کرنے کے لیے مزید درکار نہیں ہیں، انہیں ضائع کر دیا جانا چاہیے،“ انفرادی فرمیں اپنے خود کے طریقہ کار کو نافذ کرنے کے لیے آزاد ہیں۔
اس سلسلے میں مزید نیچے، وہ صوبے جو ڈیٹا کے تحفظ کو یقینی بنانے کے لیے اپنے قوانین بنانے کی صلاحیت رکھتے ہیں، وہ PIPEDA کی دفعات کی جگہ لے سکتے ہیں۔
تو، کیا خطرے کی گھنٹی بجانے والے VPNs درست ہیں؟
موجودہ لاگنگ کے نظام میں تین بنیادی خامیوں کی وجہ سے VPNs ممکنہ صارفین کو کامیابی کے ساتھ خبردار کرتے ہیں:
1. آپ کا ذاتی طور پر قابل شناخت ڈیٹا مناسب طور پر محفوظ نہیں ہو سکتا ہے
2. ISPs اور آن لائن کمپنیاں تجارتی فائدے کے لیے آپ کا ذاتی ڈیٹا استعمال کر سکتی ہیں
3. ISPs اور آن لائن کمپنیوں کے پاس موجود ذاتی معلومات کے ڈیٹا بیسز قانون نافذ کرنے والے اور سرکاری اداروں کے اختیار میں ہیں
تینوں جانچی گئی ریاستوں نے ذاتی طور پر شناخت کے قابل صارف کے ڈیٹا کو قانونی طور پر اکٹھا کرنے اور برقرار رکھنے کی اجازت دی ہے۔ اگرچہ ISPs اور آن لائن کمپنیاں قانونی طور پر ایسی معلومات کو محفوظ رکھنے کی پابند ہیں، لیکن بنیادی طور پر، اس نے ایک کمزور اعتماد پر مبنی نظام تشکیل دیا ہے جس میں تقریباً ہر دائرہ اختیار میں واضح نگرانی کا فقدان ہے۔ یہ کہنا آسان ہے کہ جو لوگ غیر قانونی یا سمجھوتہ والی سرگرمیوں کے لیے انٹرنیٹ استعمال نہیں کر رہے ہیں انہیں پریشان ہونے کی ضرورت نہیں ہے، لیکن Psiphon میں ہم سمجھتے ہیں کہ تمام انٹرنیٹ صارفین آن لائن رویوں سے قطع نظر، پرائیویسی کی معقول توقع رکھتے ہیں۔
اس طرح، یہ فرض کیا جا سکتا ہے کہ ISPs کو صارف کے ڈیٹا کو لاگ کرنے کا حق حاصل ہے۔ یہ ان انفرادی انٹرنیٹ صارفین کے لیے پریشان کن ہو سکتا ہے جو نجی معلومات جیسے میڈیکل ریکارڈز یا بینکنگ کی معلومات کے غیر مجاز استعمال، یا ایسے ڈیٹا بیسز میں بدنیتی پر مبنی مداخلت سے خوفزدہ ہیں۔ مزید برآں، اگر کسی ISP کو صارف کے ریکارڈ کی درخواست کرنے والا National Security Letter یا وارنٹ موصول ہوتا ہے، تو وہ قانون کے تحت قانون نافذ کرنے والے اداروں کو ایسی معلومات فراہم کرنے کے پابند ہوں گے۔
موجودہ قوانین کے نافذ العمل ہونے کے ساتھ، آن لائن کمپنیاں تجارتی مقاصد کے لیے ذاتی طور پر شناخت کے قابل ڈیٹا فروخت کرنے یا ایسی معلومات افشا کرنے کے لیے آزاد نہیں ہیں۔ تاہم، وہ اپنے مکمل حقوق کے دائرے میں رہ کر مختلف قسم کے اندرونی عمل جیسے کسٹمر کے اعداد و شمار کے لیے اس ڈیٹا کو برقرار رکھنے اور استعمال کرنے کی مجاز ہیں۔ ریاستہائے متحدہ میں نیٹ غیر جانبداری کے ممکنہ طور پر جلد خاتمے کے ساتھ، ذاتی طور پر شناخت کے قابل ڈیٹا کے ذخائر کا استحصال کیا جا سکتا ہے یا رضامندی کے بغیر جاری کیا جا سکتا ہے۔ پھر بھی، سروس فراہم کنندہ کے بہترین ارادوں کے باوجود، VPN صارفین کے درمیان تشویش کی ایک اہم وجہ اس طرح کے ڈیٹا کے بدنیتی پر مبنی طریقے سے افشا ہونے کا خطرہ ہے۔
انٹرنیٹ صارفین ہمیشہ ان کمپنیوں کے طریقوں کے بارے میں خود کو آگاہ کرنے کا بوجھ اٹھائیں گے جن کے ساتھ وہ منسلک ہوتے ہیں۔ ایک بنیادی تشویش یہ ہے کہ ہو سکتا ہے کچھ آخری صارفین استعمال کی شرائط کے معنی یا نتائج کو سمجھنے سے قاصر ہوں اور وہ اپنے استعمال کی بنیاد مبہم اور اکثر گمراہ کن سماجی اور تکنیکی معیارات پر رکھیں کہ آیا VPN قابل اعتماد اور معتبر ہے یا نہیں۔ اس مارکیٹ ریسرچ کا ذکر تو چھوڑ ہی دیں جو یہ یقینی بنانے کے لیے کی جانی چاہیے کہ VPNs واقعی ان پرائیویسی پالیسیوں کی پابندی کر رہے ہیں جو وہ ممکنہ صارفین کے سامنے پیش کرتے ہیں، خاص طور پر اگر VPN سروس کے لیے صارف اکاؤنٹس بنانے کی ضرورت ہو جو ذاتی طور پر شناخت کے قابل معلومات کے گرد بنائے گئے ہوں۔
مزید برآں، ایک بار باخبر فیصلہ ہو جانے کے بعد، مخصوص جغرافیائی مقامات پر اور مخصوص سائٹس پر صارفین کو محسوس ہو سکتا ہے کہ وہ غیر مرموز یا معیاری https کنکشن استعمال کرنے میں پرسکون ہیں۔ لیکن جہاں اب بھی الجھن یا تشویش ہے، وہاں Psiphon جیسا نو-لاگ VPN استعمال کیا جا سکتا ہے تاکہ ذاتی طور پر شناخت کے قابل ڈیٹا کو آن لائن اکٹھا ہونے سے محفوظ رکھا جا سکے۔
کیا کوئی VPN مجھے ڈیٹا لاگنگ سے بچا سکتا ہے؟
بہت سے انٹرنیٹ صارفین آن لائن خود کو گمنام رکھنے اور آن لائن تجارتی سروسز کے ڈیٹا لاگنگ کے طریقوں سے بچنے کے لیے VPNs کا رخ کرتے ہیں۔ تاہم، یہ بتانا ضروری ہے کہ کوئی بھی VPN آن لائن مکمل گمنامی فراہم نہیں کر سکتا۔ لیکن وہ جو آزادانہ طور پر قابل رسائی انٹرنیٹ کے لیے پرعزم ہیں، جیسے Psiphon، وہ اپنی سروسز میں سیکیورٹی کے سخت اقدامات شامل کرتے ہیں جو ان کے صارفین کی پرائیویسی کا تحفظ کرتے ہیں۔ VPN پراکسی کا استعمال کر کے، انٹرنیٹ ٹریفک کو مخصوص صارفین سے منسوب نہیں کیا جا سکتا، لیکن صارفین پھر بھی انٹرنیٹ سروسز کے استعمال سے منسلک رہتے ہیں اور اس میں حصہ لیتے ہیں۔
صارف کا اعتماد حاصل کرنے اور انفرادی رازداری کو بڑھانے کی کوشش میں، تجارتی طور پر دستیاب VPNs اکثر نو-لاگنگ پالیسیوں کو نمایاں کرتے ہیں۔ وہ استعمال کے تمام ریکارڈز کو ضائع کرنے کا دعویٰ کرتے ہیں، اور اس طرح اسے ناممکن بناتے ہیں۔ تاہم، بہت سے VPN سروس معاہدے ایسی پالیسیوں کی تفصیلی وضاحتیں فراہم نہیں کرتے ہیں۔ اکاؤنٹ بنانے یا انکرپٹڈ سیشن کھولنے کے لیے، کسی VPN کو صارف کی کچھ تفصیلی معلومات درکار ہو سکتی ہیں۔ ایک بار پھر، بوجھ انفرادی صارف پر پڑتا ہے کہ وہ سروس کی شرائط کو احتیاط سے پڑھے اور فیصلہ کرے کہ آیا VPN پر بھروسہ کیا جائے یا نہیں۔
انٹرنیٹ کا ڈھانچہ اس بات کا تقاضا کرتا ہے کہ آن لائن مواصلت کے لیے کچھ معلومات کا تبادلہ لازمی ہو۔ فعال IP ایڈریس کے بغیر کوئی ڈیٹا بھیجا یا وصول نہیں کیا جا سکتا، جس میں VPN صارف کا جائز IP ایڈریس بھی شامل ہے۔ تاہم، چونکہ اس مقالے میں جائزہ لیے گئے کسی بھی قانون میں یہ لازم قرار نہیں دیا گیا ہے کہ VPNs صارف کے ڈیٹا کو ایک مخصوص مدت کے لیے محفوظ رکھیں، اس لیے Psiphon اور دیگر VPN سروسز کی بنیادی اقدار ان کو انکرپٹڈ سیشن کے اختتام پر اپنے نیٹ ورکس سے اس طرح کی معلومات کو مٹانے کی ترغیب دے سکتی ہیں۔
Psiphon کو روایتی VPN سروسز سے کیا چیز مختلف بناتی ہے؟ سیدھی سی بات ہے، ہم انٹرنیٹ کی آزادی سے پیدا ہوئے ہیں اور بنیادی طور پر اسی کے لیے وجود رکھتے ہیں۔ ساخت کے اعتبار سے، Psiphon پلیٹ فارم آخری صارفین کے براؤزنگ سیشن کے حوالے سے ذاتی طور پر شناخت کے قابل کوئی معلومات محفوظ نہیں کرتا ہے۔ چونکہ Psiphon کے استعمال کے لیے اکاؤنٹ کی ضرورت نہیں ہوتی، اس لیے یہ سافٹ ویئر عملی طور پر کسی بھی انفرادی صارف سے متعلق معلومات بنانے یا محفوظ کرنے سے قاصر ہے۔ لہذا استعمال کا کوئی ریکارڈ موجود نہیں ہے، جو نگرانی سے بچنے والوں یا غیر مجاز فریقین کو ذاتی طور پر شناخت کے قابل معلومات کے افشا ہونے سے ڈرنے والوں کو یقین دہانی کراتا ہے کہ Psiphon نیٹ ورک کے استعمال کو کسی مخصوص صارف یا جغرافیائی محل وقوع سے منسوب نہیں کیا جا سکتا۔
اس بات کو یقینی بنانے کے لیے کہ ہمارا نیٹ ورک موثر رہے اور طلب کی بدلتی ہوئی سطح کے مطابق وسعت اختیار کرے، ہم داخلی ڈیٹا کے جائزے میں حصہ لیتے ہیں، جس میں ملک کی سطح پر مجموعی طور پر جمع کی گئی ٹریفک کا حجم اور صارف کے مقام کی معلومات شامل ہیں۔6 یہ سروس کے ذریعے برقرار رکھی جانے والی سب سے تفصیلی معلومات ہے۔ لیکن اگر، مثال کے طور پر، کوئی بدنیتی پر مبنی بیرونی عنصر اس شماریاتی معلومات میں نقب لگا بھی لے، تب بھی ذاتی طور پر شناخت کے قابل کوئی معلومات خطرے میں نہیں پڑے گی۔
--
تحریر: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 ایضاً۔ پیراگراف 26۔
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 تاہم، شہر کی سطح پر ڈیٹا خود بخود صرف اس وقت یکجا کیا جائے گا جب کسی ملک کے اندر استعمال اس حد سے تجاوز کر جائے جہاں شہر کے اندر فعال کنکشنز کی تعداد کے جائزے کے ذریعے انفرادی صارفین کی شناخت شماریاتی طور پر ناممکن ہو جائے۔