'StravaLeaks': Le Monde ने fitness app के जरिए फ़्रांसीसी aircraft carrier की लोकेशन को real time में ट्रैक किया

• फ़्रांसीसी नौसेना के एक अधिकारी ने Strava fitness app पर public profile के साथ अपनी workout activity upload की, जिससे भूमध्यसागर में ऑपरेशन पर तैनात aircraft carrier Charles de Gaulle की सटीक लोकेशन real time में उजागर हो गई
• Le Monde ने इस डेटा को satellite images के साथ cross-verify करके साइप्रस के उत्तर-पश्चिम में, तुर्की तट से लगभग 100km दूर aircraft carrier की स्थिति की पुष्टि की
• मध्य पूर्व युद्ध की स्थिति में ईरान-समर्थित बल पहले ही फ़्रांस के 2 सैन्य ठिकानों पर हमला कर चुके हैं, इसलिए इस तरह का location data public होना एक गंभीर security threat है
• 2024 की शरद ऋतु में राष्ट्रपति सुरक्षा कर्मियों के Strava उपयोग की समस्या और जनवरी 2025 में nuclear submarine patrol schedule के उजागर होने जैसी एक ही security flaw बार-बार सामने आई है
• फ़्रांसीसी सैन्य मुख्यालय ने माना कि यह मौजूदा दिशानिर्देशों का उल्लंघन था, लेकिन संरचनात्मक digital security system में सुधार के बिना यही समस्या अगले aircraft carrier में भी दोहराई जा सकती है

---

घटना का सार: Strava के जरिए aircraft carrier की लोकेशन उजागर

• 13 मार्च सुबह 10:35 बजे, फ़्रांसीसी नौसेना अधिकारी "Arthur" (छद्मनाम) ने जहाज़ के डेक पर लगभग 7km को 35 मिनट में दौड़ते हुए smartwatch से रिकॉर्ड किया गया डेटा Strava पर public upload किया
• चूँकि Strava profile "public" पर सेट थी, इसलिए कोई भी उस workout record के ज़रिए aircraft carrier की सटीक लोकेशन लगभग real time में देख सकता था
• Le Monde ने इससे पुष्टि की कि Charles de Gaulle साइप्रस के उत्तर-पश्चिम में, तुर्की तट से लगभग 100km दूर भूमध्यसागर में था
• फ़्रांसीसी naval strike group में aircraft carrier के अलावा कम से कम 3 frigates और 1 support vessel शामिल थे

पृष्ठभूमि: मध्य पूर्व तैनाती और security risk

• 3 मार्च को राष्ट्रपति Macron ने मध्य पूर्व में तैनाती का आदेश दिया; यह फ़ैसला इज़राइल और अमेरिका के ईरान पर हमलों के तुरंत बाद लिया गया
• Charles de Gaulle मूल रूप से NATO exercise के हिस्से के रूप में मई तक Baltic Sea में ऑपरेशन करने वाला था, लेकिन इसे तुरंत मोड़ दिया गया
• 6 मार्च को फ़्रांसीसी अधिकारियों ने Strait of Gibraltar से गुज़रने की आधिकारिक घोषणा की
• मध्य पूर्व क्षेत्र में फ़्रांस के कम से कम 2 सैन्य अड्डों पर ईरान-समर्थित बलों ने हमला किया, और उत्तरी इराक में drone attack में 1 फ़्रांसीसी सैनिक की मौत हुई, 6 घायल हुए
• ऐसी स्थिति में aircraft carrier की precise location data को public website पर upload करना खतरनाक स्तर की लापरवाही है

डेटा cross-verification: satellite image से पुष्टि

• Le Monde ने Arthur के Strava data के ज़रिए Charles de Gaulle की movement path को ट्रैक किया
  • 14 फ़रवरी: फ़्रांस के Cotentin Peninsula तट के पास workout record
  • 26~27 फ़रवरी: aircraft carrier स्वीडन के Malmö में docked था, जबकि Arthur ने डेनमार्क के Copenhagen में land activity record की
  • 13 मार्च: साइप्रस के उत्तर-पश्चिम भूमध्यसागर में activity
• Arthur की दौड़ के लगभग 1 घंटे बाद ली गई satellite image में 262m लंबे aircraft carrier की silhouette स्पष्ट रूप से पहचानी गई
• दौड़ का path चलते हुए जहाज़ पर गोल घेरा बनाते हुए दौड़ने जैसा था, और satellite capture point से लगभग 6km दूर था
  • दो संभावनाएँ हैं: Arthur aircraft carrier पर दौड़ने के बाद जहाज़ आगे बढ़ गया, या वह escort vessels में से किसी एक पर सवार था

अतिरिक्त खुलासा: कई Strava profiles सामने आईं

• Arthur के अलावा कम से कम 1 अन्य public Strava profile ने भी ऑपरेशन पर मौजूद जहाज़ से location data सहित workout records पोस्ट किए
• कुछ public profiles में ship deck photos, अन्य सैनिकों की तस्वीरें, और जहाज़ के अंदर लगे fitness equipment photos भी शामिल थीं

फ़्रांसीसी सैन्य मुख्यालय की प्रतिक्रिया

• फ़्रांसीसी सैन्य मुख्यालय ने कहा कि Strava पर running path को public upload करना "मौजूदा दिशानिर्देशों का पालन नहीं करता"
• यह भी कहा गया कि नाविकों को "नियमित रूप से संबंधित दिशानिर्देश बताए जाते हैं"
• इसने ज़ोर देकर कहा कि "digital hygiene" सभी pre-deployment requirements का हिस्सा है
• जवाब में कहा गया कि "command authority उचित कार्रवाई करेगी"

पहले के StravaLeaks security flaws

• 2024 की शरद ऋतु में, Le Monde की "StravaLeaks" रिपोर्ट ने फ़्रांसीसी, अमेरिकी और रूसी राष्ट्रपतियों के सुरक्षा कर्मियों के Strava उपयोग से पैदा हुई security flaws को उजागर किया
  • इससे सुरक्षा कर्मियों और उनके परिवारों की पहचान, movement tracking, और राष्ट्रपति के route का पहले से अनुमान लगाने की संभावना तक सामने आई
• जनवरी 2025 में फ़्रांसीसी नौसेना की nuclear-powered ballistic missile submarine (SSBN) के crew ने Strava के ज़रिए submarine patrol schedule की जानकारी उजागर कर दी
  • उस समय नौसेना ने जवाब दिया कि यह "कुछ कर्मियों की लापरवाही" थी और इससे Ile Longue operational base की गतिविधियों को प्रभावित करने वाला कोई breach नहीं हुआ

अगला aircraft carrier और बाकी चुनौती

• अगला फ़्रांसीसी aircraft carrier France Libre("मुक्त फ़्रांस") लगभग 2038 में Charles de Gaulle की जगह लेने वाला है
• यह अधिकतम 40 aircraft carry कर सकेगा, और इसमें 3 aircraft catapults तथा drone equipment होगा
• राष्ट्रपति Macron ने कहा कि इसके निर्माण में "देश की सर्वश्रेष्ठ प्रतिभा, सबसे दुर्लभ विशेषज्ञता, और सबसे कठिन बुलावा" लगाया जाएगा
• भविष्य में नाविक अपनी workout activity public accounts पर साझा करते रहेंगे या private में बदलेंगे, यह अभी भी अनसुलझी चुनौती बनी हुई है

[GN⁺]

Hacker News की राय

• लगभग 3 साल पहले, यूक्रेन के 23 नागरिकों की मौत वाली मिसाइल हमले में शामिल एक पूर्व रूसी पनडुब्बी कमांडर की मौत हो गई थी
  ऐसी रिपोर्टें थीं कि उसकी आवाजाही को Strava के ज़रिए ट्रैक किया गया था
  संबंधित लेख: CNN रिपोर्ट, GIJN की Strava-आधारित जांच का उदाहरण
• सेना में इस तरह की लोकेशन जानकारी लीक की समस्या आम है
  सैनिकों को मोबाइल और इंटरनेट इस्तेमाल करने से पूरी तरह रोकना मुश्किल है, और ज़्यादातर मामले भोलेपन और असुविधा से बचने की मानसिकता से पैदा होते हैं
  यूक्रेन में भी अब तक ऐसा हो रहा है
  • 15 साल पहले हमारी ब्रिगेड ट्रेनिंग में थी, और दुश्मन बल (OPFOR) ने Tinder का इस्तेमाल करके मुख्यालय की लोकेशन triangulation से पता लगा ली थी
    Tinder की 1-मील लोकेशन जानकारी का उपयोग कर उन्होंने गोलेबारी का simulation किया, और ब्रिगेडियर इससे बहुत नाराज़ हुआ था
  • पहले एक fitness tracker था जो यूज़रनेम के बिना सिर्फ लोकेशन सार्वजनिक करता था
    इराक के नक्शे पर चौकोर रास्ते दिख रहे थे, जो अमेरिकी सैनिकों के बेस के अंदर जॉगिंग करने के निशान थे
    यह गोपनीय जानकारी नहीं थी, लेकिन यह दिखाता था कि लोकेशन डेटा कितनी आसानी से लीक हो सकता है
  • अगर वरिष्ठ अधिकारी भी Signal जैसे secure communication app का ठीक से इस्तेमाल नहीं करते, तो सिर्फ सैनिकों को दोष देना मुश्किल है
  • भले ही सीधे लोकेशन शेयरिंग को रोका जाए, data broker के ज़रिए जानकारी जुटाने के कारण इंटरनेट एक्सेस खुद ही खतरनाक हो सकता है
  • युद्ध के शुरुआती 2 वर्षों में ऐसे नियम तोड़ने वाले ज़्यादातर सैनिक मारे गए या घायल हुए
    हाल में रूस के रक्षा मंत्रालय ने मोर्चे के पास Telegram या यूक्रेनी संचार नेटवर्क इस्तेमाल करने वाले सैनिकों पर कड़ी सज़ा लगाई है
• यह सवाल है कि क्या aircraft carrier की लोकेशन सच में गुप्त होनी चाहिए
  मुझे लगता है कि satellite से इसे छिपाना मुश्किल है
  • अगर कोई शत्रु देश सैनिकों की online account activity ट्रैक करके rank, unit, specialization वगैरह जोड़ ले, तो वह सिर्फ लोकेशन से कहीं ज़्यादा जान सकता है
    satellite के बिना भी काफ़ी जानकारी मिल सकती है
  • Naval Gazing के लेख के अनुसार, aircraft carrier की लोकेशन गोपनीयता सिर्फ ‘survivability की एक परत’ है
    इसे पूर्ण छिपाव नहीं, बल्कि कई रक्षा उपायों में से एक के रूप में देखना चाहिए
  • aircraft carrier का आकार 17,000㎡ है, और इसकी ऊंचाई 25-मंज़िला इमारत के बराबर होती है
    यह छिपाने लायक संरचना नहीं है; छिपाव का काम पनडुब्बियों का है
  • intelligence satellite real time में नहीं, बल्कि कुछ घंटे पहले की लोकेशन ही बता पाते हैं
    इसके उलट, real-time GPS data missile guidance के लिए कहीं ज़्यादा उपयोगी है
  • अगर Strava अकाउंट किसी खास crew member से जुड़ जाए, तो उस व्यक्ति की ज़मीन पर आवाजाही के रास्ते तक ट्रैक होने का ख़तरा है
• अमेरिका में भी पहले Strava से गुप्त बेस की लोकेशन उजागर हो चुकी है
  (The Guardian लेख)
  यह जानने की जिज्ञासा है कि aircraft carrier satellite internet इस्तेमाल करता है या सिर्फ तट के पास आने पर sync होता है
  अगर पहला मामला है, तो app access को whitelist तरीके से सीमित करना चाहिए
• पूर्व CIA अधिकारी Sarah Adams के पॉडकास्ट Your Phone Isn’t Safe Right Now में इस मुद्दे पर चर्चा हुई थी
  इसमें यात्रा के दौरान digital footprint कम करने के 100 तरीके बताए गए थे, और सबसे बड़े ख़तरे के रूप में fitness app और dating app को चिन्हित किया गया था
• मुझे नहीं लगता कि भूमध्यसागर में कोई भी देश aircraft carrier का पता नहीं लगा सकता
  क्योंकि यह stealth जहाज़ नहीं है
  • भूमध्यसागर में यह संभव हो सकता है, लेकिन खुले महासागर में इसका पता लगाना कहीं मुश्किल है
    क्योंकि satellite के लिए हर समुद्री क्षेत्र की real-time निगरानी करना आसान नहीं है
  • MH370 गुमशुदगी मामले की तरह, एक विशाल विमान को भी ढूंढना मुश्किल था
    समुद्र पर जहाज़ों का पता लगाना कभी भी आसान नहीं होता
  • अगर किसी ने पनडुब्बी को Strava से ढूंढ लिया होता, तो वह कहीं ज़्यादा चौंकाने वाली बात होती
  • public API से लोकेशन निकालना और राष्ट्र-स्तरीय satellite assets का उपयोग करना पूरी तरह अलग बातें हैं
    ज़्यादातर देशों के पास reconnaissance satellite नहीं होते
  • हाल के समय में Planet Labs जैसी private satellite network से भी कुछ हद तक tracking संभव हुई है, लेकिन सीमाएँ अब भी हैं
• जैसे कहा जाता है, “Loose lips sink ships”, वैसे ही लापरवाह मोबाइल फोन इस्तेमाल भी जहाज़ों को जोखिम में डाल सकता है
  • संभवतः जहाज़ के अंदर internet access point के ज़रिए Strava काम कर रहा था
    फ़्रांसीसी नौसेना के IT विभाग को खतरनाक apps को blocking policy से नियंत्रित करना चाहिए
  • निजी मोबाइल में किसका software इंस्टॉल है, यह पता नहीं होता, और सिर्फ internet connection से भी data collection का ख़तरा बड़ा होता है
    यह स्थिति सेना की कमजोर security awareness दिखाती है
• Charles de Gaulle aircraft carrier की cruising speed 27 knots है, जिससे दौड़ने वाले की pace calculation पूरी तरह बिगड़ जाती है
  Strava के आँकड़े काफ़ी विकृत हो सकते हैं
  • आम लोग भी cruise ship deck पर दौड़ते हैं, और उनकी speed व distance data भी अजीब निकलती है
  • लेख में दिख रहे route को देखें तो जहाज़ की दिशा के उलट जाने वाले हिस्से भी हैं
    संभव है कि उस समय aircraft carrier धीमी गति से चल रहा था
  • 7.2km को 4:38 pace में दौड़ा गया, लेकिन route के दोहराव से लगता है कि जहाज़ घूमने वाले मार्ग पर था
    संभव है कि लेबनान के पास पहुंचने में जानबूझकर देर की जा रही हो
  • heart rate आधारित calorie calculation भी इसी तरह की गलती पैदा कर सकती है
    कुछ दवाइयाँ लेने पर एक दिन में खर्च हुई calories असामान्य रूप से ज़्यादा दिखने के मामले होते हैं
• अगर तट से सिर्फ 10m की ऊंचाई भी हो, तो aircraft carrier लगभग 28 मील दूर से नंगी आंखों से दिख सकता है
  संभव है कि भूमध्यसागर के ज़्यादातर तटीय इलाकों से इसे देखा जा सकता था
  • जिज्ञासा है कि क्या कोई ऐसी नीति होती है जिसमें तट के पास Strava इस्तेमाल की अनुमति हो, और संवेदनशील ऑपरेशन के दौरान उसे प्रतिबंधित किया जाता हो
    या फिर यह मामला ऐसे ही ख़तरनाक व्यवहार का उदाहरण हो सकता है
  • सिर्फ दौड़ने के route के आकार से भी मार्ग और गति का अनुमान लगाया जा सकता है
• अलग से एक बात, यह जानना दिलचस्प होगा कि क्या ये exercise apps जहाज़ की movement को compensate करते हैं
  cruise ship पर जॉगिंग करने वाले भी बहुत होते हैं, इसलिए data के वास्तविकता से विकृत होने की संभावना है