Chrome में yt-dlp डाउनलोड करते समय 'suspicious download' चेतावनी दिखाई दे रही है

• ऐसी रिपोर्टें सामने आई हैं कि Chrome browser yt-dlp executable फ़ाइल डाउनलोड करते समय block या warning message दिखा रहा है
• चेतावनी संदेश “suspicious download” के रूप में दिखाई देता है, और फ़ाइल पाने के लिए उपयोगकर्ता को चेतावनी को अनदेखा करके मैन्युअली अनुमति देनी पड़ती है
• yt-dlp एक open source tool है, जिसका व्यापक रूप से उपयोग YouTube सहित विभिन्न platforms से वीडियो डाउनलोड करने के लिए किया जाता है
• यह चेतावनी तब आती है जब Chrome का security detection system executable फ़ाइल को संभावित जोखिम के रूप में वर्गीकृत करता है
• कुछ उपयोगकर्ताओं का मानना है कि यह Chrome की security policy के जरूरत से ज़्यादा सख्ती से लागू होने का परिणाम है, और ऐसी automatic security filtering वैध open source tools के distribution और accessibility को प्रभावित कर सकती है

[ndrgrd]

मुझे लगता है कि ऐसी चेतावनियों को code signing system में बदला जाना चाहिए।
जैसे किसी दावे को सुनते समय उसके आधार और स्रोत की जाँच करनी चाहिए, वैसे ही users को मूल रूप से सभी apps पर संदेह करना चाहिए। ऐसा न करने से होने वाला नुकसान उनकी अपनी ज़िम्मेदारी है।

[GN⁺]

Hacker News की राय

• इस फीचर को चलाने वाली heuristic और Windows Defender की whitelist policy बहुत खराब है
  ढांचा ऐसा है कि किसी खास binary को पर्याप्त लोकप्रियता मिलने पर ही warning हटती है, इसलिए अगर यूज़र warning को ignore न करें तो यह कभी नहीं हटती — यानी एकदम मुर्गी पहले या अंडा पहले वाली समस्या
  ऐसी व्यवस्था indie developers या छोटे open source projects के लिए खास तौर पर नुकसानदेह है

  • मुझे यह बस नकली सुरक्षा(bullshit security) लगती है
    आखिरकार यह developers को OS providers के infrastructure से बांधकर रखने का तरीका है। Apple भी यही करता है
  • मेरी website भी एक बार company firewall में block हो गई थी
    ऐसे मामलों में cyber security कंपनियों के यहाँ profile बनाकर whitelist होने का इंतज़ार करना पड़ता है
  • मैं भी Linux में ऐसा ही कुछ देख रहा हूँ
  • हाल की npm axios hacking incident को देखें तो ऐसी policy उल्टा समझदारी भरा कदम भी लग सकती है
  • Microsoft इस समस्या के समाधान के लिए signing certificate खरीदने की तरफ धकेलता है
    इससे जुड़ी जानकारी Stack Overflow discussion में है

• GitHub से latest .exe डाउनलोड करते समय Firefox “यह फ़ाइल आम तौर पर डाउनलोड नहीं की जाती” जैसी warning दिखाता है
  virus scan सब ठीक है, इसलिए यह सिर्फ़ heuristic false positive लगता है
  इसे Chrome के monopoly abuse जैसी खबर मानने की ज़रूरत नहीं

  • पता नहीं ऐसे warning dialogs सच में असरदार भी हैं या नहीं
    ये इतने बार आते हैं कि अब मैं कोई warning पढ़ता ही नहीं
    खासकर self-signed certificate इस्तेमाल करने पर browser जिस तरह access रोकता है, वह UX बहुत खराब है। जैसे मैं कोई खतरनाक काम कर रहा हूँ
  • क्या Firefox Google की Safe Browsing database इस्तेमाल नहीं करता?
  • Chrome में .tar.gz फ़ाइल लेते समय भी यही warning आती है, खासकर yt-dlp वाली पर। दूसरी .tar.gz फ़ाइलों पर नहीं

• yt-dlp की binaries PyInstaller से build की जाती हैं, इसलिए antivirus में false positive आ सकता है

  • Google, yt-dlp के fork होने से पहले से ही hostile attitude दिखाता रहा है
    extension store और Android policies में भी ऐसे tools को बाहर रखने की कोशिश होती है, हालांकि enforcement कभी-कभी ढीली रहती है
    Google को डर है कि यूज़र अपने वीडियो कंटेंट पर खुद नियंत्रण रखें
  • लेकिन browser को इससे मतलब रखने की ज़रूरत ही क्या है, समझ नहीं आता

• जब Bing में “Google” खोजने पर Google.com की नकल करने वाले page पर भेज दिया जाता है, तो बड़े tech companies पर भरोसा करना मुश्किल है
  यह मामला शायद सिर्फ़ संयोग हो, लेकिन यक़ीन नहीं है

  • Google ने पहले Ad Nauseam extension को malware के रूप में mark किया था। वह साफ़ तौर पर power abuse था
    यह मामला अभी उतना साफ़ नहीं है
  • “अच्छे संकट को कभी बेकार मत जाने दो” वाली बात याद आती है

• मैंने भी yt-dlp download page पर यही चीज़ reproduce की
  “खतरनाक डाउनलोड ब्लॉक किया गया — yt-dlp_win_x86.zip आम तौर पर डाउनलोड नहीं किया जाता और खतरनाक हो सकता है” जैसा संदेश आता है

  • लेकिन यह explanation कितनी उपयोगी है, इस पर शक है
    हर नया software, यहाँ तक कि Chrome खुद भी, शुरुआत में “आम तौर पर डाउनलोड नहीं किया गया” ही होता है

• इसलिए मैं Linux distro के package manager से yt-dlp install करता हूँ। Termux में भी यह संभव है

  • लेकिन yt-dlp को बार-बार update करना पड़ता है, इसलिए distro version बहुत धीमा पड़ जाता है
    मैंने Telegram/MQTT/HomeAssistant wrapper बनाया है ताकि मेरी माँ Jellyfin server पर audiobook सुन सकें
    yt-dlp version अक्सर टूट जाता है, इसलिए हमेशा latest HEAD इस्तेमाल करने के लिए virtual environment auto-update script बना रखी है
    मेरा wrapper code

• यह मज़ेदार है कि इतनी बड़ी company इस छोटे से tool को भी चैन से नहीं छोड़ सकती
  Google अब बुराई के साम्राज्य जैसा लगने लगा है। GCP की pricing महंगी है, और Android Play Store stats भी दिन में सिर्फ़ एक बार update होते हैं
  data company होकर भी यह स्तर निराशाजनक है

  • लेकिन yt-dlp सिर्फ़ एक download tool नहीं, बल्कि दूसरे tools बनाने के लिए आधारभूत tool है
    पत्रकार और सरकारी संस्थाएँ भी इसे research या evidence collection के लिए इस्तेमाल करती हैं
    अगर Google सच में इसे हटाना चाहता, तो अब तक इससे कहीं ज़्यादा सख्ती से रोक चुका होता। शायद इसे पूरी तरह मिटाने का इरादा नहीं है

• Google का browser, Google server से files लेने वाले tool को “संदिग्ध” कहे, यह विडंबनापूर्ण है

  • उसी तर्क से Chrome भी “Google server से files लेने वाला tool” है
    यह व्यवहार चौंकाने वाला नहीं, लेकिन इससे अनैतिक भटकाव और monopoly abuse की आलोचना न करने का कोई कारण नहीं बनता
    RIAA के वकीलों को नैतिक आदर्श बताना तो उल्टा मेरी बात को और मजबूत करता है

• yt-dlp latest release page पर टेस्ट किया, तो warning सिर्फ़ Windows exe पर आती है; macOS और Linux versions सामान्य हैं
  इससे यह automated system की गलती ज़्यादा लगती है, anti-competitive intent कम

• antitrust regulation की कमी ऐसे conflict of interest को संभव बनाती है

  • लेकिन Firefox भी ऐसी ही warning दिखाता है