अमेरिकी वीज़ा आवेदन वेबसाइट मेरे नेटवर्क पोर्ट स्कैन क्यों कर रही है?

• अमेरिकी वीज़ा आवेदन वेबसाइट उपयोगकर्ता के नेटवर्क पो्ट स्कैन करने की कोशिश करती है
• कुछ उपयोगकर्ताओं ने वेबसाइट एक्सेस करते समय अप्रत्याशित नेटवर्क ट्रैफिक देखा
• ऐसे पोर्ट स्कैन व्यवहार के उद्देश्य को लेकर विवाद और सुरक्षा चिंताएँ उठीं
• कुछ लोगों का अनुमान है कि यह सुरक्षा सत्यापन की प्रक्रिया हो सकती है
• गोपनीयता और अत्यधिक नेटवर्क एक्सेस को लेकर चिंताएँ बढ़ रही हैं

---

अमेरिकी वीज़ा आवेदन साइट के नेटवर्क पोर्ट स्कैन पर विवाद

अमेरिकी वीज़ा आवेदन वेबसाइट पर जाने वाले कई उपयोगकर्ताओं ने पाया कि संबंधित साइट उनके नेटवर्क पर पोर्ट स्कैन करने की कोशिश कर रही थी। इसके कारण उपयोगकर्ताओं ने लॉग आदि के जरिए यह पुष्टि की कि ब्राउज़र के माध्यम से साइट तक पहुँचते समय सामान्य से अलग नेटवर्क ट्रैफिक उत्पन्न हो रहा था.

मुख्य सवाल

• यह स्पष्ट मार्गदर्शन नहीं है कि ऐसे पोर्ट स्कैन प्रयास सुरक्षा मजबूत करने के लिए सत्यापन प्रक्रिया हैं या उनका कोई अन्य उद्देश्य है
• सुरक्षा विशेषज्ञों ने कहा कि यह तरीका संभवतः malicious bot, proxy server, या VPN उपयोगकर्ताओं को फ़िल्टर करने के लिए प्रारंभिक जाँच हो सकता है
• लेकिन संवेदनशील व्यक्तिगत जानकारी दर्ज कराने वाली सार्वजनिक वेबसाइट का पूर्व सहमति के बिना नेटवर्क पोर्ट तक पहुँचना क्या गोपनीयता सिद्धांतों के खिलाफ है, इस पर विवाद बढ़ रहा है

कम्युनिटी की प्रतिक्रिया और चिंताएँ

• सामान्य उपयोगकर्ताओं ने अनचाहे नेटवर्क एक्सेस को लेकर असहजता जताई
• चूँकि पोर्ट स्कैन malicious गतिविधि जैसी लग सकती है, इसलिए साइट की विश्वसनीयता पर सवाल उठे
• कुछ लोगों ने कहा कि यह व्यवहार अमेरिकी सरकार की आधिकारिक साइट पर हुआ, जिससे विवाद और बढ़ गया

सुरक्षा और गोपनीयता के मुद्दे

• उपयोगकर्ता की अनुमति के बिना किया जाने वाला नेटवर्क पोर्ट निरीक्षण अत्यधिक अधिकार-हस्तक्षेप माना जा सकता है
• इस तरीके से वास्तव में सुरक्षा में मदद मिलती है या नहीं, इस पर तकनीकी प्रभावशीलता की चर्चा ज़रूरी है
• संबंधित गाइडलाइन की कमी और उपयोगकर्ता सहमति प्रक्रिया के अपर्याप्त होने की समस्या भी उठाई गई

निष्कर्ष और संकेत

यह मामला दिखाता है कि जब सार्वजनिक संस्थानों की वेबसाइटें सुरक्षा के उद्देश्य से नए तकनीकी तरीके अपनाती हैं, तब गोपनीयता और तकनीकी सुरक्षा के बीच संतुलन खोजने की ज़रूरत होती है। साथ ही, उपयोगकर्ताओं के लिए स्पष्ट सूचना और पारदर्शिता सुनिश्चित करना आगे एक महत्वपूर्ण चुनौती के रूप में उभरता है

[GN⁺]

Hacker News टिप्पणियाँ

• वीज़ा आवेदन प्रक्रिया में तरह-तरह के घोटाले होते हैं। कुछ साइटें बस दोगुनी फीस लेती हैं, तो कुछ आवेदक को यह कहकर धोखा देती हैं कि उसका आवेदन अस्वीकार हो गया है, और फिर उसके नाम से नकली दस्तावेज़ बना देती हैं। इसलिए लगता है कि वीज़ा सिस्टम यह जांचने की कोशिश कर रहा है कि उपयोगकर्ता सचमुच एक वास्तविक व्यक्ति है या फिर कोई ऐसा ठग जो relay server या C2 channel का इस्तेमाल कर रहा है
  • इतनी भयानक वेबसाइट के हिसाब से यह बचाव काफ़ी स्मार्ट तरीका है। मेरी पार्टनर तुर्की की नागरिक है और उसने हाल ही में वीज़ा आवेदन किया, लेकिन 30 मिनट से ज़्यादा सावधानी से सब भरने के बाद session समाप्त हो गया और सब कुछ मिट गया। अगर आपने अकाउंट नहीं बनाया हो या मौजूदा application ID नोट न की हो, तो फिर कोई बचाव नहीं है। उस प्रक्रिया में .gov नहीं बल्कि कुछ संदिग्ध साइटों पर redirect भी किया गया, और शुरू में मुझे लगा कि यह scam है, लेकिन असल में ऐसा नहीं था। समझ आता है कि ऐसी दुःस्वप्न जैसी प्रक्रिया को थोड़ा आसान बनाने वाली paid services क्यों बनती हैं। संबंधित दस्तावेज़ जमा कराने का काम ज़्यादातर VFS Global संभालती है, लेकिन इस कंपनी की भी अपनी समस्याएँ हैं, इसलिए यह नाममात्र की एजेंसी है और वास्तव में ज़्यादा मददगार नहीं। हाल ही में EU ने तुर्की नागरिकों के लिए Schengen वीज़ा आवेदन प्रक्रिया सरल की, क्योंकि आधिकारिक visa agencies ही ‘अच्छे time slot’ ब्लैक मार्केट में बेचकर घोटाला कर रही थीं। अमेरिका और EU दोनों में लंबी waiting time के कारण scholarship जैसे कीमती अवसर छूट जाना आम है। ऊपर से character conversion या encoding जैसी छोटी लेकिन जटिल समस्याएँ भी ढेर हैं, इसलिए अगर कोई सच में मददगार AI agent आ जाए तो इस बाज़ार में अवसर हो सकता है
  • भारत का वीज़ा सिस्टम भी ऐसा ही है। आधिकारिक .gov.in साइट ढूँढना मुश्किल है और वीज़ा लगभग 10 डॉलर में आसानी से मिल जाता है। SEO में आगे रहने वाली scam साइटें वही चीज़ 80 डॉलर में बेचती हैं, जबकि असल में वे सिर्फ़ आवेदन को आधिकारिक साइट पर relay करती हैं और बीच का पैसा रख लेती हैं। अच्छा होता अगर भारत सरकार ऐसे ठगों को रोकती, लेकिन लगता नहीं कि यह अभी प्राथमिकता है
  • मैं networking का विशेषज्ञ नहीं हूँ, लेकिन जानना चाहता हूँ कि port scan से किसी को ठग कैसे पहचाना जा सकता है
  • मुझे कल्पना करना भी मुश्किल लग रहा है कि यह वास्तव में कैसे काम करेगा। अगर ऐसा ‘scan’ client-side JavaScript से चलता है, तो सिर्फ़ किसी proxy server को file भेजने से यह नहीं लगता कि proxy के बारे में कुछ detect किया जा सकता है
• यह फ़ीचर F5 script से आता है, और F5 anti-bot security solutions बेचने वाली कंपनी है। (/TSPD path से obfuscated script लोड होती है, और यह F5 की खास पहचान है)
  https://www.f5.com/
  • TS शायद TrafficShield का संक्षेप है, जिसे F5 ने पहले acquire किया था, और PD शायद Proactive Defense का संक्षेप है
• मुझे हाल ही में पता चला कि uBlock Origin में Block Outsider Intrusion into LAN नाम की एक default list होती है। यह सच में उपयोगी जानकारी है
  • github feature request देखकर मुझे जिज्ञासा हुई कि ऐसी सुविधा की ज़रूरत ही क्यों है। समझ नहीं आता कि browser स्थानीय नेटवर्क तक पहुँच देता क्यों है या देना क्यों चाहिए। mDNS traffic जैसी चीज़ों से जुड़े sockets तक पहुँचते समय मैंने इस तरह के कुछ requests देखे हैं, इसलिए इसकी संभावना समझ आती है
    https://github.com/uBlockOrigin/uAssets/issues/4318
  • यह बात ही चौंकाने वाली है कि इस तरह की पहुँच की अनुमति है। सोचकर हैरानी होती है कि यह विचार कैसे स्वीकार किया गया कि मैं जिन भी websites पर जाऊँ, वे सब मेरे local network तक पहुँच सकें
  • uBlock Origin से js functionality धीरे-धीरे हट रही है, तो जानना चाहता हूँ कि क्या lite version में भी यह सुविधा मिलती है
  • यह option चालू करने के बाद मेरी security काफी बेहतर हुई। सबको धन्यवाद
  • मुझे भी नहीं पता था कि यह फ़ीचर है, लेकिन मेरे laptop और mobile browser में यह पहले से enabled था
• समझ नहीं आता कि browser ऐसी चीज़ें कैसे allow करता है, और microphone access की तरह user consent क्यों नहीं माँगता। किसी भी random website का मेरे LAN में port scan करना इतना ख़तरनाक है कि इसे ‘feature’ नहीं बल्कि security vulnerability माना जाना चाहिए
  • Chrome में ऐसी पहुँच allowed नहीं है। local network services को बाहरी साइटों से access चाहिए हो तो opt-in ज़रूरी है(
    https://github.com/WICG/private-network-access
    ), और इसे user-consent आधारित बनाने पर काम चल रहा है(
    https://github.com/WICG/local-network-access
    )। PNA वास्तव में deploy हुआ या नहीं, इस पर बहस है, लेकिन मैंने ख़ुद कई साल पहले stable Chrome में यह अनुभव किया था, इसलिए इसकी सटीक मौजूदा स्थिति नहीं जानता। Firefox ऐसी पहुँच support नहीं करता। मेरा अनुमान है कि कारण development resources की कमी है
• मैं uMatrix इस्तेमाल करता हूँ, जिसमें default रूप से request की गई site और उसके parent domain के अलावा बाकी सभी connections block रहते हैं। उदाहरण के लिए mail.yahoo.com पर जाते समय yimg.com जैसी चीज़ें manually allow करनी पड़ती हैं, इसलिए इस तरह के port scan/profiling काम नहीं करते। शुरुआत में यह बहुत असुविधाजनक था, लेकिन कुछ महीनों तक whitelist बढ़ाने के बाद इसमें मेरी देखी जाने वाली 90% sites शामिल हो गईं। मेरे सिस्टम पर ceac.state.gov/genniv/ captcha.com, Google Analytics, Tag Manager, 127.0.0.1, और burp (मेरे network में मौजूद नहीं एक local hostname) से जुड़ने की कोशिश करता है। दिलचस्प बात यह है कि browser console में localhost या burp की कोशिशें ठीक से दिखाई नहीं देतीं। 127.0.0.1 allow करने के बाद tcpdump से देखने पर port 8888 पर connect करने की कोशिश वाला traffic मिला (वह port खुला नहीं है)
  • जानना चाहता हूँ कि क्या uMatrix Facebook tracking pixel या उसके हाल के विकल्प Conversions API Gateway को भी block करता है। Conversions API Gateway को container के रूप में अपने domain के नीचे host किया जा सकता है, और फिर server side पर user data Facebook को भेजा जाता है। सिर्फ़ JS डालने से सारा data आगे जा सकता है
  • uMatrix अब archive हो चुका है (support बंद), और अब recommendation यह है कि uBlockOrigin को advanced settings के साथ इस्तेमाल किया जाए (इस architecture ने uMatrix की functionality समाहित कर ली है)। अगर और कड़ा block करना हो, तो hard mode सेट करके shortcut के साथ relax blocking mode में switch करने की सलाह भी है। filter lists, खासकर yokoffing/filterlists और regional/language-specific lists, भी ज़रूर इस्तेमाल करनी चाहिए
    https://github.com/gorhill/uBlock/wiki/Blocking-mode:-hard-mode
  • लगता है कि यह जाँचना मकसद है कि Burp Suite webapp से जुड़ा हुआ है या नहीं
  • यह कैसे 127.0.0.1 वाले requests को network tab से छिपा देता है, यह जानने की जिज्ञासा है
  • burp दरअसल वही Burp Suite है जिसका ज़िक्र
    https://portswigger.net/burp/documentation/desktop/tools/proxy
    में भी है। शायद साइट analysis को कठिन बनाना चाहती है
• कुछ extensions “सभी sites के data तक पहुँच” जैसी permission माँगते हैं। अगर वह किसी जानी-मानी कंपनी या भरोसेमंद developer का न हो, तो ऐसी permission देना समझ से बाहर है। खासकर Hacks and Hops नाम का extension
  https://g666gle.me/
  जैसे अस्तित्वहीन domain को homepage बताता है। ऐसा extension चाहे कितना भी आकर्षक लगे, मैं कभी install नहीं करूँगा
  • इस तरह का विरोधाभास HN जैसे forums में लगभग आम बात है। जिसने यह extension install किया, उसे देखकर लगता है जैसे वह पूरी तरह पागल हो। ‘privacy install’ की जा सकती है, इस भ्रम में डूबकर बहुत से लोग उल्टा VPN-छुपे rootkit और random extensions डाउनलोड कर लेते हैं। अगर आपने कोई scam extension install किया है, तो न्यूनतम उपाय शायद यही है कि PC को जला दो, फिर गाड़ी से कुचल दो, सारे accounts नए बनाओ, और एकदम नए device से passwords फिर से सेट करो
• इस तरह के port scan, device fingerprinting, और anti-anonymity SAAS बहुत-सी sites पर होते हैं। Ebay और Facebook भी यह सब करते हैं। लेकिन इस मामले में प्राथमिक मकसद ad blocking को ही रोकना लगता है। 1MB का obfuscated fingerprinting code, port scan, और WebGL तक इस्तेमाल हुआ। खास बात यह है कि Burp Suite path खोजने की कोशिश भी दिखती है
  • जानना चाहता हूँ कि ऐसे हमलों के खिलाफ़ अपने network की security कैसे कड़ी की जाए
  • मैंने भी एक नए card registration website पर यही port scan तरीका देखा था
• इस बार का “port scan” बस 127.0.0.1:8888 पर local connection की कोशिश जैसा था। इसका सटीक उद्देश्य नहीं पता, लेकिन सरकारी websites पर यह तरीका कभी-कभी document electronic signing के लिए native software से बात करने में इस्तेमाल होता है। जानना चाहूँगा कि क्या दूसरे IP पर connection की कोशिशें भी हैं
  • card reader, debugging server, या developer की गलती से भी ऐसा हो सकता है। मेरे अनुभव में development environment से बाहरी host की जगह localhost वाला baked-in URL production में चला गया था। यह भी संभव है कि वे 8888 port को local development server के लिए इस्तेमाल करते हों, इसलिए यह इतना चौंकाने वाला नहीं
  • यह ज़्यादा संभव है कि अगर user के device (local) पर web server चल रहा हो, तो data collection या tracking के लिए यह connection attempt हो। पहले Facebook/Meta के Android apps में भी इसी तरह की tracking सामने आई थी (Messenger/Instagram के ज़रिए web server tracking)। नीचे देखें
    https://news.ycombinator.com/item?id=44169115
    https://news.ycombinator.com/item?id=44175940
• ऐसी स्थितियों में यह भी संभव है कि वेबसाइट का card reader जैसी local ports से जुड़ने की कोशिश करना सामान्य हो। कुछ या ज़्यादातर EU देशों में ID card और vehicle registration card के chip के ज़रिए authentication और सरकारी कामों तक पहुँच मिलती है। पहले यह सिर्फ़ Java + Internet Explorer से supported था, लेकिन IE बंद होने और Chromium पर जाने के बाद अब इसका तरीका क्या है, यह मुझे नहीं पता, इसलिए मैंने हाल में इसका इस्तेमाल नहीं किया
  • अब browser और smart card driver के बीच link देने के लिए local service install करनी पड़ती है। पहले यह काम Java applet करता था, अब bridge service करती है। card-specific driver और bridge service साथ में install होते हैं
  • एक बार मुझसे iPhone/Android app से passport के NFC chip को पढ़ने को कहा गया था। शायद यही IE/Java का आधुनिक विकल्प है
• यह जानकर थोड़ा शर्मिंदगी हुई कि मुझे ऐसी प्रथाओं का पता ही नहीं था। fingerprinting के अलावा क्या इसके और भी दुरुपयोग हो सकते हैं, यह जानना चाहता हूँ
  • वास्तव में Facebook ने Android पर ऐसा तरीका इस्तेमाल किया था। Meta के Android apps localhost पर server चलाते थे और browser protections से blocked tracking data को local server के रास्ते अदला-बदली करते थे। तकनीकी रूप से यह fingerprinting ही है, लेकिन शायद इसका सबसे चरम उपयोग कहा जा सकता है
    https://news.ycombinator.com/item?id=44169115
  • कमजोर URL वाले routers भी हो सकते हैं। router authentication bypass खोजने पर उदाहरण मिल जाते हैं
  • macOS Safari console में site visit के दौरान ऐसा
    https://files.catbox.moe/g1bejn.png
    देखा गया। जिज्ञासा है कि port 8888 आम तौर पर किस service में इस्तेमाल होता है
  • ज़्यादातर इसका इस्तेमाल tracking के लिए होता है, लेकिन अगर user localhost पर कोई sensitive service चला रहा हो, तो data exfiltration के लिए भी इसका दुरुपयोग हो सकता है
    https://www.digitalsamba.com/blog/metas-localhost-spyware-how-webrtc-was-abused-and-how-to-stay-safe