- स्पेन में पुलिस Google Pixel डिवाइस इस्तेमाल करने वालों को अपराधियों से जोड़कर प्रोफाइलिंग करती दिख रही है, लेकिन इसकी वजह Pixel में डिफ़ॉल्ट रूप से लगा Titan M2 security chip नहीं बल्कि privacy-केंद्रित OS GrapheneOS है
- GrapheneOS में Google services डिफ़ॉल्ट रूप से शामिल नहीं होतीं, फिर भी Play Store इंस्टॉल किया जा सकता है और ज़्यादातर apps (यहाँ तक कि banking apps भी) सामान्य रूप से चलती हैं, और इंस्टॉलेशन व उपयोग अनुभव में बड़ी असुविधा के बिना यह Android की मुख्य सुविधाओं का पूरा विकल्प बन जाता है
- App sandboxing और permission control बहुत सख्त हैं, जिससे Google भी केवल एक सामान्य app की तरह सीमित रूप से काम करता है, और duress PIN जैसे उन्नत security features भी मिलते हैं
- GrapheneOS इस्तेमाल करने की वजह “कुछ छिपाना” नहीं, बल्कि यूज़र का अपने डेटा और डिवाइस पर खुद नियंत्रण रखना है
- Privacy tools को अपराध से जोड़ने वाली सोच उल्टा privacy के महत्व को साबित करती है, और समस्या software की नहीं बल्कि उसके दुरुपयोग की है
स्पेनिश पुलिस, Pixel + GrapheneOS यूज़र्स को ‘अपराध से जुड़े’ होने के शक में देख रही है
- रिपोर्ट के अनुसार, स्पेन के Catalonia क्षेत्र की पुलिस Google Pixel डिवाइस रखने वालों को अपराधियों से जोड़कर प्रोफाइलिंग कर रही है
- ड्रग तस्करों के Pixel पसंद करने की वजह Titan M2 security chip नहीं, बल्कि privacy-केंद्रित OS GrapheneOS है
- लेखक भी GrapheneOS इस्तेमाल करने वाले एक सामान्य यूज़र के रूप में इस तरह की फ्रेमिंग से असहज हैं
GrapheneOS क्यों इस्तेमाल किया जाए
- GrapheneOS इंस्टॉल करना आसान है और आधुनिक software की functionality में नुकसान के बिना इस्तेमाल किया जा सकता है
- Open source Android fork होने के बावजूद, इसमें Play Store installation और app compatibility बहुत अच्छी है
- ज़्यादातर apps, खासकर banking apps, सामान्य रूप से काम करती हैं
- इसकी मुख्य विशेषताएँ हैं कई तरह के security features, बेहतर app sandboxing, और malicious attack vectors में कमी
- सामान्य Android में Google apps को system-level पर personal data access मिल सकता है
- GrapheneOS में Google apps भी सामान्य apps की तरह sandbox के भीतर चलती हैं, permissions डिफ़ॉल्ट रूप से बंद रहती हैं और उन्हें हाथ से नियंत्रित किया जा सकता है
- User profile separation के ज़रिए app permissions को और सुरक्षित रूप से अलग किया जा सकता है, और notifications को main profile में forward करने की सुविधा भी मिलती है
- App-वार internet block, sensor access block जैसी बारीक permission management संभव है
- किसी खास app को केवल चुनिंदा contacts, photos और files ही दिखाने की अनुमति दी जा सकती है
- Duress PIN (यानी दबाव में password माँगे जाने पर डालने से डेटा पूरी तरह मिटाने वाला फीचर) उपलब्ध है
GrapheneOS और privacy को लेकर गलतफहमियाँ
- "अगर छिपाने के लिए कुछ नहीं है, तो इसे इस्तेमाल करने की ज़रूरत क्या है" जैसे दावे के जवाब में, असली उद्देश्य डिवाइस और डेटा पर ‘यूज़र-नेतृत्व वाला नियंत्रण’ हासिल करना है
- Google की data access को न्यूनतम करना इसका एक बड़ा फायदा है
- GrapheneOS की app isolation capabilities remote infection या malicious attacks रोकने में बहुत प्रभावी हैं
- कुछ security improvements AOSP में भी शामिल की गई हैं, जिससे पूरे Android ecosystem की सुरक्षा बेहतर होती है
- यह तथ्य कि GrapheneOS खुद law enforcement agencies का ध्यान खींचता है, इस बात का प्रमाण है कि इसकी privacy enhancement प्रभावी है
GrapheneOS की privacy और security राजनीतिक विवाद क्यों बनती है
- Signal जैसी encrypted messaging services की तरह, GrapheneOS भी निगरानी को कठिन बनाता है, इसलिए यह शक और दबाव का सामना करता है
- EU में "Chat Control" bill के ज़रिए end-to-end encrypted messages तक को scan करने की माँग बढ़ाने की कोशिशें हैं
- encryption की अनुमति रहेगी, लेकिन device के भीतर pre-scan कराना व्यवहार में backdoor जोड़ने जैसा होगा
- इससे नागरिक निगरानी और malicious hacking का जोखिम बढ़ सकता है
- विडंबना यह है कि 2019 में Catalonia Pegasus spyware कांड का केंद्र था
- सरकार-उपयोग surveillance tools के कारण कई राजनेताओं और कार्यकर्ताओं को hacking का नुकसान उठाना पड़ा
- इसके बावजूद, अब खुद को बचाने की कोशिश करने वाले सामान्य नागरिक और power users ही निगरानी के लक्ष्य बन रहे हैं
Open source tools की तटस्थता
- GrapheneOS और Signal के डेवलपर्स software के उपयोग के उद्देश्य को नियंत्रित नहीं कर सकते, और अधिकांश यूज़र्स का मकसद privacy और security को मजबूत करना होता है
- अपराध रोकथाम के नाम पर privacy tools पर regulation की माँग अपने आप में गंभीर समस्या पैदा कर सकती है
- “माचिस की डिब्बी आगज़नी में, और नकद money laundering में इस्तेमाल हो सकती है” जैसी दलील
— इसलिए privacy tools को ही regulate करना अनुचित है
- Open source की tool neutrality को स्वीकार करना चाहिए
- आखिरकार, GrapheneOS जैसे tools इस्तेमाल करने भर से law enforcement profiling का लक्ष्य बन जाना अनुचित है
- अगर privacy चाहना ही शक की वजह बन जाए, तो वह अपने आप में सामाजिक समस्या है
2 टिप्पणियां
अगर यह कोई छोटी-मोटी समस्या हो, तो कुछ कंपनियां DUO जैसी push authentication apps का इस्तेमाल करती हैं (Okta/Jira login, pull request approval वगैरह), इसलिए लगता है कि ऐसे अनधिकृत OS में इन्हें install और use करने पर कुछ सीमाएं होंगी। बेशक, दो फोन रखने से इसका समाधान हो सकता है...
Hacker News राय
GrapheneOS के आधिकारिक SNS पर कहा गया है कि यूरोप के कुछ सत्तावादी तत्व और मीडिया GrapheneOS और Pixel फोन को अपराधियों के इस्तेमाल के टूल के रूप में तोड़-मरोड़ कर पेश कर रहे हैं
GrapheneOS ने इस बात पर ज़ोर दिया कि वह पुलिस-राज की ओर ले जाने वाली जन-निगरानी व्यवस्था का विरोध करता है
उनका कहना है कि जब सरकारी अधिकारी अपने आधिकारिक पद से गलत जानकारी फैलाकर GrapheneOS को अपराधियों के OS के रूप में पेश करते हैं, और उसके यूज़र समूह को भी अपराधी जैसा मानते हैं, तो इसे राज्य-स्तरीय हमला समझा जा सकता है
GrapheneOS SNS बयान 1 / बयान 2 लिंक साझा किए गए
मैं स्पेन कभी नहीं गया हूँ और बार्सिलोना या कैटलोनिया के मुद्दों के बारे में ज़्यादा नहीं जानता, लेकिन यह स्थिति सोचने लायक है
विडंबना यह है कि कैटलोनिया पहले Pegasus spyware कांड का केंद्र रह चुका है
Pegasus सरकारों को ही बेचा जाने वाला एक उन्नत surveillance tool है, और 2019 में इसका इस्तेमाल यूरोपीय संसद के सदस्यों के फोन hack करने में हुआ था
लेकिन अब उसी क्षेत्र की पुलिस उन नागरिकों पर शक कर रही है जो अवैध निगरानी से बचने के लिए Pixel और GrapheneOS इस्तेमाल करते हैं—यह मुझे गंभीर लगता है
GrapheneOS भी परफेक्ट नहीं है, लेकिन डर फैलाने का यह माहौल बहुत बढ़ा-चढ़ाकर बनाया जा रहा है
मुझे लगता है कि लोग GrapheneOS की privacy protection क्षमता पर लगातार शक करें, इसके लिए एक संगठित प्रचार अभियान चलाया जा रहा है
हैरानी की बात यह है कि पुलिस वगैरह एक तरफ इसे अपराधियों का टूल बताती है, और दूसरी तरफ यह भी कहती है कि privacy और security के मामले में यह प्रभावी ही नहीं है
संदर्भ: संबंधित SNS पोस्ट
सच कहूँ तो इसे “GrapheneOS पर राज्य-स्तरीय हमला” कहना कुछ ज़्यादा है; कोई वास्तविक राज्य ऐसा करता तो बड़े पैमाने पर गिरफ़्तारी, फंडिंग रोकना जैसी भारी कार्रवाइयाँ करता
यहाँ हर पक्ष अपना PR कर रहा है और सबके नज़रिए अलग हैं
“अगर छिपाने को कुछ नहीं है तो privacy की क्या ज़रूरत?”—इस तर्क का जवाब देना ज़रूरी है
यह मैं तय नहीं करता कि मुझे क्या छिपाना चाहिए; यह सत्ता तय करने लगती है
सत्ता कभी भी भ्रष्ट हो सकती है, और इसका उदाहरण आज का अमेरिका भी है
मान लीजिए कोई व्यक्ति gay है, और अभी उसे इसे छिपाने की ज़रूरत नहीं लगती, लेकिन नई सरकार आने पर उसे कभी भी सताया जा सकता है
आखिरकार, अगर जानकारी दर्ज रह गई तो एक समय ऐसा आ सकता है जब वही चीज़ अपराध बना दी जाए
बात हमेशा इतनी दूर जाने की भी नहीं है
जो लोग ऐसा जवाब देते हैं, उनसे बस बैंक जानकारी, password या कोई संवेदनशील फोटो माँगकर देखिए
हर किसी के पास कुछ न कुछ छिपाने लायक होता है; अगर नहीं है, तो वह खुद में चिंताजनक है
मैंने पहले एक अच्छा उदाहरण पढ़ा था
“मुझे छिपाने को कुछ नहीं, इसलिए मुझे privacy नहीं चाहिए” कहना वैसा ही है जैसा “मुझे कुछ कहना नहीं, इसलिए मुझे अभिव्यक्ति की आज़ादी नहीं चाहिए”
दोनों के नतीजे बहुत गंभीर होते हैं
यूरोप में anti-privacy आंदोलन को लेकर बहुत चिंता है
खासकर इसलिए कि आम जनता privacy के सवाल पर ज़्यादा ध्यान नहीं दे रही, इसलिए बड़े बदलाव की आशंका है
सोचता हूँ कि इस तरह का चरम बदलाव शुरू कहाँ से हुआ, और क्या इसके पीछे कोई lobbying है
यह सिर्फ यूरोप तक सीमित नहीं है; अमेरिका में भी हालात ऐसे ही हैं
उदाहरण के लिए, Roman Storm हाल ही में सिर्फ privacy tool बनाने की वजह से मुकदमे का सामना कर रहे हैं
इस मुद्दे को ढंग से केवल Rage के पत्रकार ही कवर कर रहे हैं
बहुत से लोग ChatControl प्रस्ताव के नतीजों को ठीक से नहीं समझते, जिसमें सरकार को सभी messenger में backdoor की अनुमति मिल सकती है
राजनेता कहते हैं कि यह सिर्फ बच्चों की सुरक्षा के लिए है, लेकिन उदाहरण के लिए स्वीडन में
पुलिस और खुफिया एजेंसियाँ नागरिकों के डेटा तक पहुँच सकती हैं, और NSA के साथ डेटा शेयरिंग की वजह से सारे DM अमेरिका में स्टोर हो सकते हैं
दूसरे देशों की खुफिया एजेंसियाँ भी यह जानकारी जान सकती हैं, और जैसे ही मैं विमान से उस देश में पहुँचूँ, मेरी यौन पहचान या राजनीतिक रुझान भी उजागर हो सकते हैं
यह सब मेरे देश के कानून और अधिकार-क्षेत्र के बाहर हो सकता है
राजनेता Ylva Johansson से जुड़ी शंकाएँ भी मौजूद हैं
ChatControl wiki
स्वीडन में अभिव्यक्ति की स्वतंत्रता
स्वीडन भेदभाव-निषेध कानून
Johansson, surveillance policy संबंधी
ऐसी प्रणाली एक बार बना दी जाए, तो भविष्य में सरकार के बिगड़ने पर इसका इस्तेमाल राजनीतिक विरोधियों को हटाने के लिए किया जा सकता है
यह मान लेना कि हमेशा “केंद्र” के लोग ही सत्ता में रहेंगे, बहुत भोली सोच है
जैसे अमेरिका में “Trump कभी राष्ट्रपति नहीं बनेंगे” वाला भरोसा गलत साबित हुआ, वैसे ही ब्रिटेन में Reform और फ्रांस में National Rally के सत्ता में आने की संभावना भी बड़ी है
किसी को भी अनजान बनकर नहीं बैठना चाहिए
lobbying तो पीछे है ही
उससे भी बड़ा मुद्दा यह है कि जो देश कभी मानवाधिकार और privacy की बात करते थे, वे पिछले 10~15 साल में पूरी तरह पलट गए हैं
यह सिर्फ far-right की वजह से नहीं है, बल्कि जनता की आवाज़ दबाने की खुली कोशिश भी है
हंगरी जैसे देशों के मामले में कुछ लोग समझ सकते हैं, लेकिन EU जैसी संस्थाओं का ऐसी नीति लाना बिल्कुल भी सामान्य नहीं है
ज़्यादातर लोग इसे privacy पर हमला कह रहे हैं, लेकिन मुझे लेख में वैसा साफ़ तौर पर नहीं दिखा
असल बात यह है कि पुलिस Pixel फोन उपयोगकर्ताओं की profiling कर रही है
यह अवैध घोषित करने या encryption पर रोक लगाने जैसा मुद्दा नहीं है
मैं खुद privacy को लेकर इतना सजग हूँ कि Pixel फोन पर Mullvad इस्तेमाल करता हूँ
लेकिन इस वक्त की बहस कुछ ऐसी लगती है मानो लोगों ने सिर्फ शीर्षक पढ़कर एक काल्पनिक दुश्मन बना लिया हो
असली चर्चा यह होनी चाहिए कि पुलिस की profiling उचित है या नहीं, और उल्टा यह भी कि क्या सच में GrapheneOS उपयोगकर्ता अपराधी होते हैं
यूरोप encryption और privacy पर हमला कर रहा है, यह सही है, लेकिन इस बार मामला वही नहीं है
पुलिस Pixel फोन उपयोगकर्ताओं की profiling कर रही है—इस मुख्य बिंदु तक पहुँचने के लिए कई लिंक खोलने पड़ते हैं
असल में यह एक पुलिस अधिकारी की चलते-चलते कही गई एक पंक्ति की टिप्पणी है
मुझे लगता है कि मीडिया उसी एक वाक्य से बड़ा मुद्दा बना रहा है
इस विवाद का सार यही है कि GrapheneOS का इस्तेमाल करना = अपराधी होना, इस झूठी धारणा को फैलाया जा रहा है
अपराध की अवधारणा पर भी साथ में चर्चा होनी चाहिए
अगर समाज आम लोगों के निर्दोष व्यवहार को अपराध घोषित न करे, तो इस तरह अलग-अलग तकनीकों को दानवी बनाने की ज़रूरत भी कम हो जाएगी
यह भी चर्चा होनी चाहिए कि पुलिस profiling का वास्तविक प्रभाव क्या होता है
सिर्फ इतना कि पुलिस किसी को “थोड़ा ज़्यादा संदिग्ध” माने, और यह कि उसी आधार पर उसे बार-बार रोककर पूछताछ या तलाशी दी जाए—दोनों अलग बातें हैं
दूसरी स्थिति हर देश के stop-and-search मानदंड जैसे कानूनी आधार से जुड़ी होती है
अगर कोई मानता है कि मशीन या software-आधारित profiling का privacy पर बुरा असर नहीं पड़ता, तो यह हैरान करने वाली बात है
ज़्यादातर पश्चिमी देशों में निगरानी को तभी सही ठहराया जाता है जब अपराध के सबूत हों
अगर फोन का brand या OS ही अपराध-संदेह का आधार बन जाए, तो वह अपने आप में गंभीर privacy उल्लंघन है
privacy-केंद्रित डिवाइस इस्तेमाल करना संदेह का कारण नहीं बनना चाहिए
मैं GrapheneOS इस्तेमाल करता हूँ, और वजह कोई नकारात्मक इरादा नहीं बल्कि यह है कि मैं नहीं चाहता कि Google पूरे Android इकोसिस्टम पर इतनी ज़्यादा पकड़ रखे
विडंबना यह है कि इसके लिए मुझे Google का ही फोन खरीदना पड़ा, लेकिन दूसरे Android फोन भी आखिरकार Google-शैली marketing और data collection के दायरे में आते हैं
Android ने security के नाम पर Android>Data फ़ोल्डर की पहुँच रोकी, यह भी मुझे पसंद नहीं
यह मेरा फोन है, मुझे इसे अपनी इच्छा के अनुसार इस्तेमाल कर पाना चाहिए
GrapheneOS में फ़ोल्डरों तक स्वतंत्र पहुँच मिलती है, यह मुझे अच्छा लगता है
OS शानदार लगता है, लेकिन Google से दूर रहने के लिए Google फोन खरीदना मुझे विरोधाभासी लगता है
यह पूरा विवाद एक अख़बार के “समाज” सेक्शन में एक गुमनाम पुलिसकर्मी की एक पंक्ति की टिप्पणी से शुरू हुआ
असली स्रोत तक पहुँचने के लिए पूरे पाँच स्तर के लिंक पार करने पड़ते हैं
अंत में एक ही वाक्य, वह भी कई बार machine translation से गुज़रा हुआ, इतनी बड़ी बहस का आधार बन गया है
स्पेनिश लेख का अनुवाद / कैटलन मूल
नकद पहले से ही कई देशों में नियंत्रण और संदेह का विषय है
कार्ड इस्तेमाल करना आसान था, इसलिए बदलाव जल्दी हुआ, और स्वीडन जैसे देश लगभग cashless society बन चुके हैं
एक तय राशि से ऊपर नकद लेन-देन लगभग असंभव है, और टैक्स या बस किराया भी नकद में देना मुश्किल होता जा रहा है
कुछ देशों में ऐसे लोग भी हैं जिनके पास बैंक खाता ही नहीं है
यहाँ तक कि कुछ देश नकदी को RFID से track भी करते हैं (जैसे ऑस्ट्रेलिया)
ऊपर से यह सब नेक इरादे जैसा दिखता है, लेकिन व्यवहार में यह निगरानी और नियंत्रण का साधन है
तकनीक नैतिक रूप से तटस्थ होती है
इसका इस्तेमाल अच्छे और बुरे दोनों उद्देश्यों के लिए हो सकता है, और तकनीक खुद कोई नैतिक निर्णय नहीं करती
तकनीक को regulate करने पर बोझ हमेशा कानून मानने वाले उपयोगकर्ताओं पर ज़्यादा पड़ता है
encryption, DRM, यहाँ तक कि चाकू जैसे बुनियादी औज़ारों पर भी यही बात लागू होती है
अंततः डर और नैतिक घबराहट अक्सर तर्क पर हावी हो जाते हैं
मैंने हाल ही में GrapheneOS इंस्टॉल किया है और धीरे-धीरे अपने ऐप्स migrate कर रहा हूँ
मैं बहुत साधारण इंसान हूँ, इसलिए अगर मेरी निगरानी भी हो तो शायद मुझे ज़्यादा फ़र्क न पड़े, लेकिन मैं privacy इसलिए बचाता हूँ कि बेवजह सरकारी संसाधनों की बर्बादी न हो और कंपनियाँ मेरी जानकारी मुझसे न छीन लें
मेरे अनुभव में, पुलिस को अगर आप आम लोगों से थोड़ा भी अलग दिखें, तो वही उनके लिए “काफ़ी सबूत” बन जाता है
अगर आपका मूड थोड़ा rebellious है, तो GrapheneOS उस इच्छा को कुछ हद तक पूरा करता है
उदाहरण के लिए, contacts को sandbox करके messaging app को मेरी पूरी address book लेने से रोका जा सकता है
GrapheneOS का PR मुझे इतना खटकने लगा कि मैंने उसे इस्तेमाल करना बंद कर दिया
हर SNS पर यह बार-बार दिखता है कि वे दूसरे projects की गलतियों की आलोचना करते हैं, और अगर कोई उनके security/privacy मानक से थोड़ा भी अलग हो तो उसे नीचा दिखाने की प्रवृत्ति रखते हैं
वे “अपमान” और “हमला” जैसे शब्दों का भी बिना पर्याप्त आधार के ज़रूरत से ज़्यादा इस्तेमाल करते हैं
हकीकत यह है कि performance, usability और security के मामले में GrapheneOS शायद सबसे बेहतरीन है, लेकिन उनका यह रवैया खलता है
मुझे यह पुराना अहंकार एक ऐसे bug जैसा लगता है जिसे वे ‘ठीक नहीं करेंगे’
मुझे लगता है कि दूसरे projects क्या गलत कर रहे हैं, इसे विस्तार से समझाना अच्छी बात है (हालाँकि GOS टीम की diplomacy कमजोर है, इस पर मैं सहमत हूँ)
पहले Fairphone को support न करने पर “security कारणों” से आगे कोई जवाब नहीं मिलता था, लेकिन हाल में उन्होंने Secure Element जैसे ठोस कारण बताने शुरू किए हैं
इससे मुझे खुद खोजकर तुलना करने में मदद मिलती है
मैंने सच में सामग्री ढूँढकर देखी है, और मुझे लगता है कि जब GOS “अपमान” कहता है तो उसके पीछे आधार होता है
दूसरे projects की “आलोचना” वे तब करते हैं जब, उदाहरण के लिए, /e/OS कमजोर security वाले hardware और पुराने AOSP पर भी खुद को सर्वोत्तम privacy समाधान बताता है
यह कहना कि GOS सभी open source projects को एक साथ सामान्यीकृत करके नीचा दिखाता है, मेरे हिसाब से उल्टा वही अपमान है
GOS “हमला” तब कहता है जब बड़ी मात्रा में निराधार आरोप लगाए जाते हैं
कुछ उपयोगकर्ताओं ने उनसे ऐसे निराधार उदाहरण दिखाने की माँग भी की थी
GOS जिन projects की वास्तव में सिफारिश करता है, उनके पीछे सभी मामलों में तर्कसंगत कारण हैं
“Custom ROM” शब्द के बारे में भी GOS यह नहीं कहता कि उसे उससे नफ़रत है; वह बस इसे एक गलत या अपूर्ण शब्द मानता है
रवैये की समस्या हो सकती है, लेकिन सामग्री पूरी तरह गलत नहीं है
मुझे नहीं लगता कि mobile OS डेवलपर को PR में बहुत अच्छा होना ज़रूरी है
मुझे तो नियमित security updates चाहिए, और उस कसौटी पर वे ठीक काम कर रहे हैं