- Google का Web Environment Integrity प्रस्ताव browser environment को “भरोसेमंद” बनाने के नाम पर है, लेकिन असल में इसे ad blocker को निष्क्रिय करने की कोशिश माना जा रहा है
- यह संरचनात्मक रूप से उस Palladium जैसा है जिसे Microsoft ने कभी Vista में शामिल करने की कोशिश की थी लेकिन बाद में छोड़ दिया; authentication और integrity तकनीक का DRM लागू करने और प्रतिस्पर्धी applications को रोकने में दुरुपयोग हो सकता है
- यह Android के Play Integrity API(SafetyNet) से प्रेरित है, लेकिन rooted/custom ROM users इसे पहले से ही आसानी से bypass कर रहे हैं, इसलिए इसकी प्रभावशीलता पर सवाल है
- लागू होने पर Chase जैसे banks Secure Boot अनिवार्य करने या ad blockers पर रोक को payment की शर्त बना सकते हैं, जिससे 2000s की शुरुआत के बंद web की ओर लौटने की आशंका है
- Palladium को रोकने की मिसाल की तरह regulation और pressure के जरिए Google की इस कोशिश को भी रोका जा सकता है
Web Environment Integrity की असलियत और मंशा
- Google का Web Environment Integrity प्रस्ताव browser environment “भरोसेमंद” है या नहीं, यह जांचने के नाम पर है, लेकिन वास्तविक उद्देश्य ad blockers हटाना माना जा रहा है
- लेख की भूमिका में लेखक स्पष्ट करता है कि वह Microsoft से जुड़ा है, लेकिन Windows या Edge team से नहीं; और यह संबंधित technology की पूरी समझ नहीं, बल्कि अपनी समझ पर आधारित निजी राय है
Microsoft Palladium से समानता
- Web Environment Integrity बहुत हद तक उस Palladium जैसा है जिसे Microsoft Vista में शामिल करना चाहता था
- Palladium authentication और integrity जोड़कर Windows security मजबूत करने की कोशिश था
- साथ ही, पूरे PC पर DRM लागू करने और Firefox जैसे “untrusted” competing apps को block करने में इसका दुरुपयोग हो सकता था
- Vista के लंबे और कठिन development process के अंत में Palladium को छोड़ने के बाद ही Vista release हो सका
- Palladium का नाम बदलकर “Next-Generation Secure Computing Base” रखा गया था, लेकिन आम तौर पर इसे Palladium ही कहा जाता है
- BitLocker, UEFI Secure Boot(Windows 8), TPM requirement(Windows 11) जैसी कुछ सुविधाएं वास्तव में लागू हुईं, लेकिन उन्हें disable या bypass किया जा सकता है
Play Integrity API का आधार और bypass की हकीकत
- Google ने Android के Play Integrity API(SafetyNet) से प्रेरणा ली
- इस API का इस्तेमाल अक्सर rooted devices को Netflix, Google Pay, banking apps जैसे कुछ apps इस्तेमाल करने से रोकने के लिए किया जाता है
- Root करने के बाद LineageOS जैसे custom ROM इस्तेमाल करने वाले users malicious apps से root को छिपाकर checks pass कर लेते हैं
- unofficial LineageOS build वाले OnePlus 11 पर भी Google Pay रोजमर्रा में इस्तेमाल किया जाता है
- Pixel 7 जैसे Google के अपने Pixel devices पर भी bypass आसान है, इसलिए सवाल उठता है कि क्या Google को पता नहीं कि Play Integrity कितनी आम तरह से टूट जाती है
- जब तक केवल officially signed Chrome binaries को ही अनुमति न दी जाए, Chromium को modify करके checks fake करने से रोकने का कोई तरीका नहीं है
Banks और fintech में लागू होने पर चिंताएं
- आज के web में भी Chase Bank जैसे उदाहरण मौजूद हैं
- Chase दावा करता है कि केवल Windows या Mac “जरूरी” हैं, और user agent बदले बिना BSD और Linux-on-ARM access को block करता है
- यह बात media में इसलिए नहीं आती क्योंकि Chase Linux-on-x86 और Chrome OS को allow करता है, जिनकी हिस्सेदारी अलग-अलग 2–3% से अधिक है
- वास्तव में Fedora laptop से बिना किसी modification के Chase.com पर login किया जा सकता है
- अगर Chase में Web Environment Integrity लागू हो गया तो
- वह ग्राहकों पर 2000s की शुरुआत के सबसे खराब web को थोप सकता है, और विरोध से बचने के लिए सिर्फ Chromebook और आम Linux distributions को exception दे सकता है
- आगे चलकर credit card और mortgage payments के लिए Secure Boot मौजूद होना और ad blockers हटाना अनिवार्य कर सकता है
- यह केवल Chase पर नहीं, सभी banks पर लागू होता है; और customer service व bill payment के लिए अपना app मांगने वाले fintechs के लिए स्थिति और गंभीर है (जैसे X1 credit card)
Regulation और response की दिशा
- अगर Web Environment Integrity लागू होता है, तो सभी governments को Google, Apple, Microsoft और adtech को हर संभव तरीके से regulate करना चाहिए
- जब तक कोई browser साफ तौर पर malware न हो, तब तक किसी भी browser को certify करने के लिए unbundling requirements जोड़ना जरूरी है
- Windows 8 के समय UEFI Secure Boot Linux को बाहर नहीं कर सका
- Microsoft पर Linux distributions को sign करने का दबाव डाला गया, और desktop Linux के खत्म होने पर antitrust concerns ने भूमिका निभाई
- उसी तरीके से Google को Vivaldi, Tor Browser जैसे छोटे browsers को allow करने के लिए मजबूर किया जा सकता है
Outlook और निष्कर्ष
- बेहतर होगा कि Web Environment Integrity API भी Palladium की तरह किसी छोड़ी हुई Chromium branch में खत्म हो जाए
- अनुमान है कि Palladium से प्रतिस्पर्धा कर रहा reset से पहले का Windows Longhorn source भी किसी भूले-बिसरे Azure DevOps server पर उपेक्षित पड़ा हुआ मौजूद है
- यह लड़ाई ऐसी नहीं है जिसे जीता न जा सके
- भरपूर संसाधनों वाली Microsoft और PC industry, यहां तक कि NSA और MPAA के खिलाफ भी Palladium को रोकने में सफलता की मिसाल मौजूद है
- अगर मजबूती से मुकाबला किया जाए तो Google की anti-user Web Integrity कोशिश को भी रोका जा सकता है
1 टिप्पणियां
Hacker News की राय
यह कहना कि हमने Palladium के खिलाफ लड़ाई जीत ली थी, असल में Pyrrhic victory ही थी। Microsoft ने उस आइडिया को XBox और Azure Sphere में लागू किया, और अब Pluton integration के जरिए secure workstations के लिए भविष्य की Windows hardware requirements के रूप में वह फिर लौट रहा है
https://www.microsoft.com/en-us/security/blog/2020/11/17/mee...
जो लोग मुख्य रूप से UNIX side में दिलचस्पी रखते हैं, उन्हें शायद यह बात ठीक से महसूस नहीं हो रही कि उनके अगले PC में Pluton CPU आ सकता है
https://www.thurrott.com/hardware/260917/here-come-the-first...
यहाँ समस्या यह है कि ज़्यादातर लोग परवाह ही नहीं करते। कल रात ड्रिंक्स पर मैंने अपनी girlfriend को यह स्थिति समझाई; वह किसी दूसरे field की advanced scholar है और उसका math और logic background भी मजबूत है, फिर भी उसकी राय “अगर मेरी इस्तेमाल की चीज़ें चलती रहें तो समस्या क्या है?” से आगे नहीं गई
चूँकि यह hypothetical risk है, इसलिए उसकी प्रतिक्रिया समझ आती है, लेकिन इसके side effects कुल मिलाकर negative हैं और open web का स्वभाव खतरे में पड़ रहा है। लोग हमेशा जंगल के बीच सुरक्षित रास्ता ही देखते हैं, दो कदम पीछे से निकलकर उन्हें खा जाने वाले monster को नहीं देखते
यह stamp लेना mandatory नहीं होगा और computer भी सामान्य रूप से चलता रहेगा, लेकिन कुछ websites block हो जाएँगी। शुरुआत में banking sites, फिर streaming sites, फिर food-ordering services बंद होंगी, और आखिर में ज़्यादातर major services भुगतान करने तक दीवार के पीछे चली जाएँगी
यह infrastructure बनाना और maintain करना पड़ेगा और यह free नहीं होगा, इसलिए चाहे FAANG हो या attestation service चलाने वाली party, वे service users से charge करेंगी और वह cost likely end users पर पास कर दी जाएगी
“open” वाला हिस्सा सचमुच इसलिए अहम है क्योंकि इसका मतलब है कि क्षमता रखने वाला कोई भी व्यक्ति contribute कर सकता है। मजबूत math और logic background वाले scholar को समझना चाहिए कि जब कोई church जैसी power यह तय करने का judge बनने लगती है कि कौन काम कर सकता है, तो सिर्फ industry ही नहीं, science itself क्या खो सकता है
इसी वजह से regulators और कई institutions होते हैं, और उन्हें लगातार informed रहकर ध्यान देना चाहिए। उन्हें सिर्फ public outrage फूटने के बाद ही हरकत में नहीं आना चाहिए
समस्या regulatory capture है, और यह कि ऐसी agencies उन लोगों के हितों की रक्षा करने के अपने मिशन में fail हो रही हैं जो उन्हें fund करते हैं। यह technology की समस्या नहीं, बल्कि democracy और governance की नींव की समस्या है; इसलिए अगर परवाह नहीं करनी है तो vote देना भी छोड़ दीजिए और मान लीजिए कि आप corporate oligarchy में रहते हैं
national level पर भी बात ऐसी हो जाती है कि Ukraine या Taiwan की मदद क्यों करें, carbon footprint क्यों घटाएँ। lead pipes भी काम करती थीं, asbestos भी काम करता था, smoking भी ठीक लगती थी, लेकिन आखिर में ऐसा नहीं निकला
second-order effects के लिए experience और education चाहिए, और जब नतीजे तुरंत नहीं दिखते तो लोग cause-and-effect को ठीक से नहीं समझ पाते
बेशक, उस रात couch पर सोना पड़ने की संभावना काफी ज्यादा होगी
पश्चिमी दुनिया की डिजिटल तकनीक का कुछ विज्ञापन कंपनियों के पूरी तरह कब्ज़े में आ जाना पागलपन है। सामाजिक और आर्थिक लक्ष्यों के साथ हितों का टकराव बहुत बड़ा है, और समाधान सरल और स्वाभाविक है
यह तथ्य कि इतने गंभीर मुद्दे को वह सर्वोच्च प्राथमिकता और क्षमता नहीं मिल रही जिसका यह हकदार है, कैपिटल पर सींग लगाए व्यक्ति के हमले से ज़्यादा अमेरिकी राजनीतिक व्यवस्था की हालत दिखाता है
उस पैमाने पर अर्थपूर्ण प्रतिस्पर्धी सिर्फ दूसरी विज्ञापन कंपनियां हैं, और कोई भी किसी भी मनमाने digital device को उतनी प्रभावी तरह monetise नहीं कर सकता
इसलिए उन्हें राजनीतिक रूप से सक्रिय और प्रभावी होना ही पड़ता है, और अच्छा है कि मूल लेख ने यह बात उठाई। यह कुछ वैसा ही है जैसे निर्वाचित अधिकारियों के नतीजों की बात करते समय लोगों को वोट डालने की याद दिलाना
विज्ञापन व्यवसाय के अलावा कौन-सा व्यवसाय सुरक्षित रूप से कह सकता है कि “हम कोई भी digital technology बना लें, फर्क नहीं पड़ता; बस वह लोकप्रिय हो जाए तो हम पहाड़ जितना पैसा कमा सकते हैं।” मुझे यह प्रभुत्वशाली tech company के motto जैसा लगता है। कई home assistant के विफल होने के उदाहरण साफ हैं। वे लोकप्रिय तो थे, लेकिन tech companies user experience में विज्ञापन घुसाने का तरीका नहीं खोज पाईं, इसलिए पैसा नहीं कमा सकीं
उदाहरण के लिए, AI अमेरिका की पश्चिमी digital narrative पर प्रभुत्व रखने की क्षमता से आगे निकल जाए और हर देश का अपना digital narrative हो जाए, या फिर अमेरिका बनाम चीन की tech-economic war का विजेता वह भूमिका ले ले। कोई तीसरा विकल्प हो तो अच्छा होगा, लेकिन फिलहाल बाकी धारणाएं पुरानी लगती हैं
मैं भारत में बड़ा हुआ, और आबादी के बड़े हिस्से के पास latest hardware तक पहुंच नहीं है। अगर websites ऐसे बदलाव लागू करना शुरू करेंगी, तो बहुत से लोग इंटरनेट से कट जाएंगे
इनमें से ज्यादातर लोग वंचित समुदायों से आते हैं। भारत का जाति के आधार पर लोगों से भेदभाव करने का इतिहास रहा है, और यह बदलाव उन समुदायों के लिए उपलब्ध online resources को और सीमित करके अब तक की प्रगति को पलट सकता है। यह बेतुकी बात है
भारत के इंटरनेट users की भारी बहुमत mobile इस्तेमाल करती है, और Xiaomi तथा अन्य चीनी OEM बाजार का नेतृत्व करते हैं। ये ऐसे phones बेच रहे हैं जो 1–2 साल में खराब हो जाते हैं और जिनके OTA updates भी बहुत खराब होते हैं। कुछ लोग downgrade करते हैं या custom ROM इस्तेमाल करते हैं, लेकिन अधिकतर लोग हर 2–3 साल में, बल्कि कभी-कभी हर साल नया phone खरीदते हैं। सबसे गरीब लोग भी कभी-कभी किस्तों पर iPhone खरीद लेते हैं। ऊपर से महंगा device खरीदने की जरूरत भी नहीं; पिछले कुछ वर्षों में आया कोई भी GMS-certified phone यह सब लेकर आता है
असली computers ज्यादातर prebuilt desktops या laptops हैं, और 2013 के बाद से उनमें Secure Boot आया है। अनिवार्य TPM के बिना आखिरी Windows release का support 2025 में खत्म हो जाएगा, और Microsoft लोगों पर upgrade करने का दबाव डालेगा
ये पुराने devices हैं। पिछले 4 साल में आया laptop हो तो शायद नए बंद web तक पहुंच सकेगा, इसलिए replacement मुश्किल नहीं होगा
बल्कि मैं चाहता हूं कि यह “इंटरनेट का अंत” बहुत जल्दी आए। तभी लोग ध्यान देंगे। किसी दिन लोगों को जागना चाहिए और देखना चाहिए कि महंगे devices पर भी web access बंद है। अगर यह धीरे-धीरे उबलते पानी की तरह हुआ तो इसे रोकने में फिर देर हो जाएगी
यह महत्वपूर्ण है कि SafetyNet/Play Integrity को “धोखा” दे पाना पुराने devices के साथ compatibility की वजह से है। Play Integrity का सबसे मजबूत स्तर, MEETS_STRONG_INTEGRITY, bootloader unlocked devices पर forge नहीं किया जा सकता
अभी यह बड़ा मुद्दा इसलिए नहीं है क्योंकि अभी बहुत से apps इसकी मांग नहीं करते, और ऐसे पुराने devices अभी भी बहुत हैं जिनके पास hardware नहीं है या Android version पुराना है, इसलिए वे पास नहीं कर पाते
कुछ साल बाद ऐसे devices की संख्या काफी कम हो जाएगी जिनका bootloader unlock नहीं है लेकिन जो MEETS_STRONG_INTEGRITY के compatible नहीं हैं, और apps इसकी मांग करना शुरू कर देंगे। तब यह उन अधिकतर users के लिए bootloader unlocking का अंत बन सकता है जो अभी भी bootloader unlock करते हैं
इस मुद्दे में FSF की बात करनी हो तो Stallman की Right to Read वाली कहानी छोड़ी नहीं जा सकती
https://www.gnu.org/philosophy/right-to-read.html
यह 26 साल पहले लिखा गया था, लेकिन यह देखने के लिए दोबारा पढ़ने लायक है कि इसमें कितनी बातें सही निकलीं
जिन “समस्याओं” को यह हल करना चाहता है, उनमें से एक यह है कि advertiser को यह “जानना” है कि विज्ञापन देखने वाला robot नहीं बल्कि इंसान है
लेकिन यह बहुत एकतरफा है। अगर ऐसा है, तो users को भी यह जानने का अधिकार होना चाहिए कि उन्हें यह विज्ञापन दिखाने की जिम्मेदारी robot की नहीं बल्कि इंसान की है। बेशक वास्तविकता ऐसी नहीं है। यह तरीका दुश्मन, यानी user, को घुटने टेकने पर मजबूर करेगा और सिर्फ advertisers को automation और integrity verification तक पहुंच देगा
DIY forum पर power tools के ads देखने या Stack Overflow पर developer tools के ads देखने से बहुत लोगों को खास आपत्ति नहीं होगी। समस्या साफ-साफ scams, microtransactions से भरे mobile games, online casinos, और ऐसी चीजों से बमबारी होने में है जिनसे consumer के रूप में मुझे कोई फायदा नहीं। शायद Google को consumers, यानी advertiser integrity, को verify करने पर थोड़ा और ध्यान देना चाहिए
यह आसानी से छोड़ा जाएगा, ऐसा नहीं लगता। Google का projects छोड़ने का इतिहास जरूर है, लेकिन यह बात search ads sales से सीधे जुड़े मामलों पर अच्छी तरह लागू नहीं होती
मुझे लगा था कि world leaders इस बात का अधिक खुलकर विरोध करेंगे कि उनके नागरिकों और उनकी अपनी आज़ादी को authoritarian गंध से भरी एक अमेरिकी company अकेले सीमित कर रही है
पक्का नहीं कि ad blockers Google के लिए इतनी बड़ी समस्या हैं या नहीं। खासकर mobile पर ये बहुत ज़्यादा इस्तेमाल नहीं होते, और दुनिया साफ़ तौर पर mobile की ओर बढ़ रही है।
क्या किसी को पता है कि ad blockers का वित्तीय असर कितना अनुमानित है?
लगता है ad fraud कहीं ज़्यादा बड़ी समस्या होगी। कुछ लोग कह सकते हैं कि ad fraud Google की समस्या नहीं है, लेकिन फिर भी इससे Google को नुकसान होता है।
या कोई तीसरी वजह भी हो सकती है जो अभी मेरे दिमाग में नहीं आ रही। ad blocking बहुत niche लगती है। क्या यह बस user tracking monopoly को और मज़बूत बनाने की कोशिश नहीं है?
ऊपर से, सच कहूँ तो अगर मकसद ad fraud रोकना भी हो, तब भी मुझे फ़र्क नहीं पड़ता। वह मेरी समस्या नहीं है, और शुरुआत में यह Google द्वारा बनाई गई समस्या है—Google को और पैसा कमाने में मदद करने के लिए मैं कीमत क्यों चुकाऊँ? अगर वे सच में ad fraud रोकना चाहते हैं, तो advertising business छोड़ दें। समस्या हल।
दूसरे browsers पहले ही tracking prevention और third-party cookie controls में आगे रहे हैं, और इसका Google के business model पर असर पड़ा है। इसलिए Google ने Chrome बनाया, लोगों की पसंद बनाने के लिए उसमें investment किया, अपनी websites पर उसे push किया, और Chrome Sync व Passwords के साथ walled garden बनाया।
फिर Gmail में login करने पर Chrome में भी login हो जाए, इसका इस्तेमाल privacy घटाने के लिए करने लगा। भले ही कोई website Google ads न इस्तेमाल करे, वह visit की गई sites को track करता है और ads सुधारने में उसका इस्तेमाल करता है।
Android पर अपने ही browser तक सीमित रहने वाला password manager सिर्फ Google का है, और इसकी एक वजह है।
data में हेरफेर Google ने खुद किया है, इसलिए दोष भी खुद को देना चाहिए।