अमेरिकी सरकार द्वारा TP-Link बिक्री प्रतिबंध प्रस्ताव का विश्लेषण

• अमेरिकी सरकार TP-Link Systems के वायरलेस राउटर और नेटवर्क उपकरणों की बिक्री पर प्रतिबंध लगाने के विकल्प पर विचार कर रही है, और इसका मुख्य कारण चीन से संभावित संबंधों को लेकर चिंता बताया जा रहा है
• Commerce Department का मानना है कि TP-Link के उत्पाद अमेरिका में संवेदनशील डेटा को प्रोसेस करते हैं और उनके चीनी सरकार के प्रभाव क्षेत्र में होने की संभावना हो सकती है
• TP-Link ने चीनी इकाई से पूर्ण अलगाव, वियतनाम में मैन्युफैक्चरिंग, और कैलिफ़ोर्निया मुख्यालय का हवाला देते हुए सुरक्षा जोखिम से इनकार किया और कहा कि उसके मार्केट शेयर को बढ़ा-चढ़ाकर बताया गया है
• Check Point Research और Microsoft ने ऐसे मामलों की रिपोर्ट दी है जिनमें TP-Link राउटरों का चीनी हैकिंग समूहों द्वारा दुरुपयोग किया गया, और Camaro Dragon जैसे राज्य-समर्थित हैकर अभियानों का उल्लेख किया गया
• उपभोक्ताओं के लिए, सुरक्षा चिंताओं से अलग कम कीमत और उच्च प्रदर्शन वाले उत्पादों तक पहुंच सीमित हो सकती है, इसलिए सुरक्षा और तकनीकी पहुंच के बीच संतुलन एक प्रमुख मुद्दे के रूप में उभर रहा है

---

अमेरिकी सरकार का TP-Link बिक्री प्रतिबंध प्रस्ताव

• अमेरिकी सरकार TP-Link Systems के राउटर और नेटवर्क उपकरणों की बिक्री पर रोक की तैयारी कर रही है, और रिपोर्टों के अनुसार यह कदम ऐसे ब्रांड के खिलाफ है जिसकी घरेलू और छोटे व्यवसाय बाजार में लगभग 50% हिस्सेदारी है

  • विशेषज्ञों का आकलन है कि यह कदम तकनीकी खतरे से अधिक चीन से संबंधों को लेकर चिंता पर आधारित है
  • पूरे उद्योग में चीनी निर्मित कंपोनेंट्स का उपयोग होता है, इसलिए सुरक्षा कमजोरियां केवल TP-Link तक सीमित नहीं हैं

• Washington Post ने रिपोर्ट किया कि 6 से अधिक संघीय विभाग इस प्रतिबंध प्रस्ताव का समर्थन कर रहे हैं, और Commerce Department इस निष्कर्ष पर पहुंचा है कि TP-Link के उत्पाद चीनी सरकार के प्रभाव क्षेत्र में आते हैं

TP-Link का जवाब और कॉर्पोरेट संरचना

• TP-Link का कहना है कि वह चीन की TP-Link Technologies से पूरी तरह अलग है, और वह अमेरिकी मुख्यालय (कैलिफ़ोर्निया), सिंगापुर शाखा, और वियतनाम मैन्युफैक्चरिंग सुविधाएं संचालित करता है
  • चिपसेट को छोड़कर अधिकांश research, design, और manufacturing वह स्वयं करता है
  • चीन में मौजूद कुछ engineering assets को स्वतंत्र रूप से संचालित किया जाता है और वे चीनी सरकार की निगरानी में नहीं हैं
• प्रवक्ता Ricca Silverio ने कहा, “TP-Link एक अमेरिकी कंपनी के रूप में उच्च गुणवत्ता और सुरक्षित उत्पादों की आपूर्ति के लिए प्रतिबद्ध है”

सुरक्षा चिंताएं और हैकिंग के मामले

• House Select Committee on the Strategic Competition Between the United States and the Chinese Communist Party ने अगस्त 2024 में जांच की मांग की थी, यह कहते हुए कि TP-Link उपकरण अमेरिकी सैन्य ठिकानों और military exchanges में बेचे जा रहे हैं
  • पत्र में TP-Link की vulnerabilities और चीनी कानूनों के अनुपालन की बाध्यता पर चिंता जताई गई, और चेतावनी दी गई कि चीनी सरकार ने SOHO राउटर का उपयोग कर cyber attacks किए हैं
• Check Point Research(2023) ने रिपोर्ट किया कि चीनी हैकिंग समूह Camaro Dragon ने TP-Link राउटरों के लिए malicious firmware का उपयोग कर यूरोपीय राजनयिक संस्थानों पर हमले किए
  • यह malware केवल TP-Link उपकरणों में पाया गया, लेकिन यह भी कहा गया कि दूसरे निर्माताओं के उपकरण भी जोखिम में हो सकते हैं
• Microsoft(2024) ने कहा कि 2021 के बाद से चीनी हैकर समूह TP-Link SOHO राउटरों का दुरुपयोग कर password spraying attacks चला रहे हैं

उपभोक्ता राउटर सुरक्षा की वास्तविकता

• अधिकांश consumer routers में डिफ़ॉल्ट सेटिंग्स शुरू से ही कमजोर होती हैं, और यदि डिफ़ॉल्ट अकाउंट या पासवर्ड नहीं बदले जाएं तो वे कुछ ही मिनटों में IoT botnet attacks का लक्ष्य बन सकते हैं
  • नए उत्पादों में भी कई बार लॉन्च के समय firmware पुराना होता है
• हाल के वर्षों में प्रमुख निर्माताओं ने बुनियादी सुरक्षा प्रक्रियाएं (पासवर्ड बदलना, firmware update) अनिवार्य करने की दिशा में बदलाव किया है
  • Eero, Orbi, ZenWifi जैसे mesh routers ऑनलाइन रजिस्ट्रेशन के जरिए auto-update सपोर्ट करते हैं
  • Belkin, Linksys जैसे ब्रांड mobile app आधारित setup को बढ़ावा देते हैं, लेकिन कई मामलों में उपयोगकर्ताओं को अब भी अपडेट मैन्युअली करना पड़ता है

ओपन सोर्स firmware और विकल्प

• OpenWrt, DD-WRT जैसे open source firmware कई तरह के राउटरों पर इस्तेमाल किए जा सकते हैं और फीचर विस्तार तथा लंबी उपयोग-आयु देते हैं
  • TP-Link के कई राउटर भी OpenWrt compatible हैं
  • यह hardware स्तर की खामियों को ठीक नहीं कर सकते, लेकिन hardcoded accounts और authentication bypass vulnerabilities जैसी vendor-विशिष्ट सुरक्षा समस्याओं को कम कर सकते हैं
• यदि राउटर 4~5 साल से अधिक पुराना है, तो performance और security दोनों कारणों से बदलने की सलाह दी जाती है

ISP-प्रबंधित उपकरणों पर सावधानियां

• TP-Link और प्रतिस्पर्धी कंपनियों के कई राउटर ISP के माध्यम से किराये पर दिए जाते हैं या प्रबंधित किए जाते हैं, और उनमें remote updates तथा authentication profiles शामिल होते हैं
  • ऐसे मामलों में उपयोगकर्ताओं को firmware को मनमाने ढंग से बदलना या संशोधित नहीं करना चाहिए, और पहले ISP से परामर्श करना चाहिए

पाठकों की राय और बहस

• कुछ पाठकों ने चीनी उत्पादों को लेकर अत्यधिक डर फैलाने की आलोचना की और कहा कि अन्य निर्माताओं में भी वही कमजोरियां हैं
• वहीं अन्य राय में चीनी सरकार से संभावित संबंध के आधार पर TP-Link उत्पादों के सुरक्षा जोखिम पर जोर दिया गया
• कई टिप्पणियों में app-आधारित configuration की असुविधा, privacy exposure की चिंता, और अमेरिका में वैकल्पिक उत्पादों की कमी पर चर्चा हुई
• कुछ उपयोगकर्ताओं ने TP-Link की कम कीमत और उच्च प्रदर्शन की खूबियों को स्वीकार करते हुए भी दीर्घकालिक सुरक्षा जोखिम के कारण उन्हें बदलने की बात कही

निष्कर्षात्मक संदर्भ

• TP-Link पर प्रस्तावित प्रतिबंध राष्ट्रीय सुरक्षा और तकनीकी पहुंच के बीच टकराव को दिखाने वाला मामला है
• सुरक्षा खतरे की वास्तविकता और दायरे पर स्पष्ट जानकारी सार्वजनिक करने की मांग की जा रही है,
  और उपभोक्ताओं, ISP, और सरकार के बीच जिम्मेदारियों के बंटवारे का सवाल आगे की चर्चा का केंद्र बन रहा है

[GN⁺]

Hacker News की राय

• मुझे समझ नहीं आता कि लोग क्यों कहते हैं कि TP-Link firmware updates नहीं देता
  मेरे घर, माता-पिता के घर, और गर्लफ्रेंड के माता-पिता के घर तक, कुल 4 तरह के TP-Link राउटर इस्तेमाल हो रहे हैं, और रिलीज़ के कई साल बाद भी उन्हें लगातार updates मिलते रहते हैं। पिछले महीने भी कुछ models को update मिला था
  price-to-performance अच्छा है, और बुनियादी security features भी हैं, इसलिए मुझे लगता है कि घर के इस्तेमाल के लिए यह काफ़ी है
  यह परफेक्ट नहीं है, लेकिन इस price range में और क्या उम्मीद करेंगे

  • सहमत। TP-Link advanced security या futuristic features का प्रतीक नहीं है, लेकिन बुनियादी काम भरोसेमंद तरीके से करता है
    आजकल महंगे products पर भी भरोसा करना मुश्किल है, और TP-Link price के हिसाब से शानदार choice है
    competitors की तुलना में कहीं ज़्यादा समय तक support और updates मिलना भी बड़ा फ़ायदा है
  • मेरा m4R राउटर 15 साल से भी ज़्यादा पुराना है, और उसे पिछले महीने भी firmware update मिला
  • मैं भी तीन घरों में कई TP-Link devices चला रहा हूँ, और सभी को नियमित updates मिलते हैं
  • मुझे पता ही नहीं था कि TP-Link के लिए ऐसी कोई ‘नफ़रत’ भी है। consumer networking gear में यह काफ़ी भरोसेमंद brand लगता है
    पहले इसकी छवि ‘सस्ता चीनी brand’ जैसी थी, लेकिन अब यह Anker की तरह एक मज़बूत mid-tier brand जैसा लगता है
    निजी तौर पर मुझे यह D-Link की जगह लेते हुए दिखता है
  • यह ‘नफ़रत’ Huawei वाले समय की तरह चीनी सरकारी backdoor के शक से आती है
    लेकिन अब तक कोई ठोस सबूत नहीं मिला है। कई देशों के security experts और hackers शायद इन devices का पूरा विश्लेषण कर चुके होंगे; अगर कुछ होता, तो अब तक सामने आ गया होता
    मेरा मानना है कि अगर backdoor है, तो वह आख़िरकार पकड़ा ही जाएगा

• अमेरिकी सरकार का Intel में सीधे हिस्सेदारी लेना ठीक है, लेकिन Chinese Communist Party का किसी कंपनी में ज़रा-सा भी दखल गलत है, यह मुझे double standard लगता है
  अगर security असली समस्या है, तो carriers को लगातार firmware support की लागत उठाने जैसे व्यावहारिक समाधान हो सकते हैं
  इस तरह की राजनीतिक प्रतिक्रिया आख़िरकार 15 साल बाद अमेरिका के लिए ही बूमरैंग बनेगी

  • यह वही रवैया है: “अमेरिका करे तो ठीक, चीन करे तो नहीं।” आख़िरकार यह पाखंडी खेल ही है
  • सिर्फ shares खरीदना और controlling stake रखना अलग बातें हैं
    चीन का corporate control model पश्चिम से बिल्कुल अलग है, इसलिए सीधी तुलना false equivalence है
  • “अमेरिका ठीक, चीन नहीं” वाली बात पर मैं बस “हाँ” कहना चाहता हूँ
  • चीन भी लंबे समय से अमेरिकी products पर पाबंदी लगाता रहा है। दोनों तरफ़ की यह बचकानी लड़ाई है
  • यह मानना भोला होगा कि प्रतिद्वंद्वी देश निष्पक्ष होंगे। आख़िरकार दोनों पक्ष propaganda ही कर रहे हैं

• इस मामले का असली सबक यह है कि सफल होने के बाद security investment कम नहीं करनी चाहिए
  अगर मैं TP-Link की जगह होता, तो अपने ही लाखों राउटर hack होने की ख़बर सुनकर ग़ुस्सा आता
  तुरंत software quality सुधारने और vulnerability review process मज़बूत करने में लग जाना चाहिए था
  लेकिन हक़ीक़त में लगता है कि उन्हें सिर्फ margins की चिंता है

  • असली सबक शायद यह है: “अमेरिकी राष्ट्रपति को रिश्वत देना मत भूलो”
  • मुझे AirPort याद आता है। उसका परफेक्ट और simple software था, और mesh features भी उसने जल्दी दे दिए थे
    आज के products में अब भी online registration जैसी झंझटें भरी रहती हैं
  • रोज़ एक ही समय पर traffic जाम देखकर मुझे लगता था कि अगर यह software होता, तो इसे शर्मनाक bug माना जाता
    लेकिन असल दुनिया में कई industries ऐसी चीज़ों को बस ‘normal’ मान लेती हैं; शायद यही इंसानी मनोविज्ञान है
  • अगर security सच में मुद्दा है, तो Fortinet पर भी ban लगना चाहिए था। आख़िरकार अमेरिकी कंपनियों के लिए नरमी दिखती है
  • Microsoft और Cisco भी security को लेकर लापरवाही करते हैं, फिर सिर्फ TP-Link को ही क्यों निशाना बनाया जा रहा है, समझ नहीं आता

• TP-Link के products मज़बूत हैं, और चाहें तो ज़्यादातर में OpenWRT से firmware replace भी किया जा सकता है
  मैंने माता-पिता के घर mesh Wi‑Fi लगाया था, और पूरा process बहुत smooth था
  बस cloud account registration की ज़रूरत थोड़ी खटकी

  • लेकिन सिर्फ OpenWRT काफ़ी नहीं है
    ज़्यादातर Wi‑Fi chipsets closed firmware blobs इस्तेमाल करते हैं, और अपने CPU पर अलग OS चलाते हैं
    यानी OpenWRT को नीचे क्या हो रहा है, इसकी जानकारी नहीं होती। यह पूरा समाधान नहीं है
  • मैं एक café चलाता हूँ, और Omada system इस्तेमाल कर रहा हूँ
    इसमें कई networks अलग करना, guest Wi‑Fi को अपने-आप बंद करना, और bandwidth priority सेट करना जैसी खूबियाँ हैं
    यह Meraki से काफ़ी सस्ता है और performance भी संतोषजनक है
    मेरे environment में security risk कम है, इसलिए यह पूरी तरह व्यावहारिक choice थी
  • आख़िरकार OpenWRT इस्तेमाल करने पर भी hardware level control बना रहता है
    जैसे Linux चलाने पर भी Intel ME या SGX जैसी firmware layers मौजूद रहती हैं
  • मैंने पहले TP-Link का फ़ोन खरीदा था, लेकिन support बंद हो गया, जिससे निराशा हुई
    हाल में OpenWRT install करने के लिए एक राउटर खरीदा, लेकिन revision बदल गई थी और specs घटा दिए गए थे, इसलिए install नहीं हो सका
    फिर भी price के हिसाब से quality ठीक है
  • मैं भी माता-पिता के घर mesh network लगाने की सोच रहा हूँ
    stable और आसान remote management वाले gear की recommendation चाहूँगा

• consumer routers के लिए असली ख़तरा चीन नहीं, बल्कि कमज़ोर firmware है
  अनगिनत networks किसी nation-state नहीं, बल्कि criminal attackers की वजह से टूटते हैं
  अगर सच में security चाहिए, तो software construction standards बनाने होंगे
  लेकिन हक़ीक़त में यह सब राजनीतिक दबाव और trade negotiation का कार्ड भर लगता है

  • Cisco में भी हर साल hardcoded password vulnerabilities निकलती हैं
    हालिया security advisory ही देख लें, पूरी industry YOLO style development कर रही लगती है
  • काश इस मौके पर Cyber Resilience Act (CRA) जैसे क़ानून से कंपनियों की security responsibility लागू कराई जाती

• TP-Link EOL नहीं हुए products को लगातार updates देता है
  अमेरिकी products भी end-of-life होने पर उसी तरह vulnerable हो जाते हैं
  यह पूरा विवाद security से ज़्यादा अमेरिकी market share छीनने की lobbying जैसा लगता है
  ऊपर से Checkpoint ने जिस malware का ज़िक्र किया, वह firmware-independent है, इसलिए दूसरे hardware पर भी चल सकता है

• अगर DJI के बाद TP-Link पर भी ban लग गया, तो अच्छे price-to-performance वाले चीनी products के बिना अमेरिकी बाज़ार कैसा दिखेगा, यह सोचता हूँ
  ऐसे माहौल में बड़े होने वाले अमेरिका के अगली पीढ़ी के engineers को तकनीक तक पहुँच की कमी झेलनी पड़ेगी

  • अमेरिका में अब भी बहुत से चीनी products allowed हैं
    ban की वजह nationality नहीं, बल्कि वास्तविक security risk है
    TP-Link ने backdoor install करने और security patches छोड़ देने की घोषणा करके भरोसा खोया
    एक साल पहले से कई tech communities में यह मुद्दा उठ रहा था
  • Huawei को भी नहीं भूलना चाहिए
  • आख़िरकार यह अमेरिकी EV industry जैसा बन सकता है
    technology ठीक-ठाक हो, लेकिन prices ऊँची हों और innovation कम हो, ऐसा market बन सकता है

• मैं Firewalla Gold के पीछे TP-Link Deco लगाकर इस्तेमाल कर रहा हूँ
  अब तक का यह मेरा सबसे simple और stable home network रहा है
  मुझे TP-Link से ख़ास लगाव नहीं, लेकिन price के हिसाब से fit-for-purpose यह सबसे अच्छा था
  अगर इस पर ban लगा, तो अमेरिका में A/S, updates, और market disruption को लेकर चिंता होगी

  • शायद सरकार इसे अमेरिका के business unit की forced sale से हल करेगी
    TikTok-Oracle मामले की तरह

• मुझे तो अमेरिका ही बड़ा ख़तरा लगता है
  आजकल अमेरिका माफ़िया-स्टाइल देश-चालन जैसा दिखता है। अगर वे अपना backdoor नहीं डाल पाते, तो कंपनियों को बर्बाद कर देते हैं

  • सच कहें तो ज़्यादातर देश ऐसे ही हैं। बस अमेरिका का राजनीतिक प्रभाव बड़ा है
    UK का Online Safety Act और Australia के encryption-ban bills इसके उदाहरण हैं
  • आख़िरकार नाम अलग हैं, लेकिन यह सब साम्राज्य जैसा व्यवहार ही है