Adobe, Creative Cloud की इंस्टॉल स्थिति पहचानने के लिए hosts फ़ाइल में बदलाव करता है

• Windows/macOS पर Adobe CC इंस्टॉल करने पर सिस्टम की hosts फ़ाइल अपने-आप बदल दी जाती है
• Adobe वेबसाइट पर जाने पर JavaScript Adobe के एक खास सर्वर से इमेज रिक्वेस्ट करता है, और hosts फ़ाइल में एंट्री मौजूद है या नहीं, इससे CC इंस्टॉल होने की स्थिति का पता लगाया जाता है
• पहले localhost कनेक्शन तरीके का इस्तेमाल होता था, लेकिन Chrome द्वारा local network access ब्लॉक किए जाने के बाद इसे बायपास करने के लिए hosts फ़ाइल संशोधन अपनाया गया
• Reddit उपयोगकर्ता thenickdude ने इस व्यवहार का पता लगाया, और OSnews ने इसका हवाला देते हुए commercial software के malware-स्तर के व्यवहार की संभावना पर सवाल उठाया
• उपयोगकर्ताओं ने system integrity में दखल और अत्यधिक permissions के उपयोग की आलोचना की, और कंपनियों की system files तक पहुँच सीमित करने की मांग उठी

---

Adobe Creative Cloud के hosts फ़ाइल संशोधन का व्यवहार

• Windows और macOS पर Adobe Creative Cloud इंस्टॉल करने पर सिस्टम की hosts फ़ाइल अपने-आप बदल जाती है
  • यह पुष्टि हुई है कि Adobe hosts फ़ाइल में कई एंट्रियाँ जोड़ता है
  • इन बदलावों का उपयोग वेबसाइट विज़िट के समय Creative Cloud की इंस्टॉल स्थिति पहचानने के लिए किया जाता है
• जब उपयोगकर्ता adobe.com/home पर जाता है, तो JavaScript के जरिए https://detect-ccd.creativecloud.adobe.com/cc.png इमेज की रिक्वेस्ट की जाती है
  • अगर hosts फ़ाइल में संबंधित DNS एंट्री मौजूद हो, तो ब्राउज़र Adobe सर्वर से कनेक्ट होकर इंस्टॉल स्थिति की पुष्टि कर सकता है
  • एंट्री न होने पर इमेज लोड विफल हो जाती है, जिससे यह पता चलता है कि इंस्टॉल नहीं है
• पहले http://localhost:/cc.png तरीके से Creative Cloud ऐप से सीधे कनेक्ट किया जाता था,
  लेकिन Chrome की local network access blocking policy के बाद यह सुविधा काम करना बंद कर गई,
  और इसे बायपास करने के लिए hosts फ़ाइल संशोधन वाला तरीका अपनाया गया
• इस व्यवहार को Reddit उपयोगकर्ता thenickdude ने खोजा, और OSnews ने इसका हवाला देते हुए रिपोर्ट किया
  • लेख में यह सवाल उठाया गया कि “किस बिंदु पर commercial software का व्यवहार malware-स्तर का माना जा सकता है?”

उपयोगकर्ताओं की प्रतिक्रिया और चर्चा

• कई उपयोगकर्ताओं ने तीसरे पक्ष के software द्वारा system files में बदलाव को अनुचित बताया
  • कुछ ने कहा, “ऐसा व्यवहार गैरकानूनी होना चाहिए”
  • बड़ी संख्या में यह राय सामने आई कि “Adobe को system-level files में बदलाव करने का अधिकार नहीं है”
• एक उपयोगकर्ता ने Sony/BMG rootkit incident का ज़िक्र करते हुए कहा कि
  hosts फ़ाइल में बदलाव rootkit-स्तर का तो नहीं है, लेकिन यह किसी भी हालत में स्वीकार्य नहीं होना चाहिए
  • उसने चेतावनी दी कि अगर commercial software बिना quality control के सिस्टम में बदलाव करे, तो इससे operating system को नुकसान या data loss हो सकता है
• एक अन्य उपयोगकर्ता ने कहा कि Chris Titus के Windows cleanup tool में hosts फ़ाइल से Adobe-संबंधित लगभग 900 एंट्रियों को ब्लॉक करने की सुविधा शामिल है
  • Creative Cloud उपयोगकर्ताओं के लिए ऐसा ब्लॉक कुछ फीचर्स तोड़ सकता है,
    लेकिन इससे यह भी दिखता है कि Adobe-संबंधित network requests बहुत अधिक हैं
• कुछ लोगों ने सवाल उठाया कि “क्या ब्राउज़र उपयोगकर्ता की अनुमति के बिना system files में बदलाव कर सकता है?”
  • इसके जवाब में कुछ ने कहा कि “शायद terms of service में कहीं इसकी अनुमति दी गई होगी”
• एक अन्य उपयोगकर्ता ने container-आधारित installation environment का सुझाव दिया,
  और कहा कि ऐसे मुद्दों को रोकने के लिए Windows को भी isolated installation structure अपनाना चाहिए

[heal9179]

ये तो खुलकर malware बन गया है;
अब तक subscription मॉडल से पैसे बटोरते रहे, कमाल है..

[xguru]

Adobe ने कुछ समय पहले subscription cancellation में रुकावट डालने के आरोप में अमेरिकी न्याय विभाग को 200 अरब वॉन का settlement दिया था (सिविल जुर्माना 100 अरब + ग्राहक मुआवज़ा 100 अरब)
Adobe, subscription cancellation में रुकावट डालने के आरोप में अमेरिकी न्याय विभाग के साथ 150 million dollar (लगभग 224.9 अरब वॉन) का settlement

अब क्या इसे मजबूरी में ढलान पर जा रहे SaaS का प्रतीक कहना चाहिए..

अभी एडिटिंग टूल बनाते समय मैंने Codex से कहा, "ऑब्जेक्ट के हिसाब से layer processing कर दो, और background remove करने का फीचर जोड़ दो," तो वह जल्दी बनता जा रहा था—यह बात उसी सोच से भी ओवरलैप हो गई, इसलिए और भी ऐसा लग रहा है।

[GN⁺]

Hacker News की राय

• मैं 1996 से Adobe यूज़र रहा हूँ। Photoshop 3 से शुरू किया था, और 1999 के बाद से लगभग हर प्रोग्राम इस्तेमाल किया है
  लेकिन हाल ही में Adobe ने ① सभी अकाउंट्स को ‘Creative Cloud Pro’ में बदल दिया, ② फीस दोगुनी कर दी और चाहे आप चाहें या नहीं, उसमें AI फीचर्स की कीमत भी जोड़ दी, और ③ AI के बिना full access tier को हटा दिया। इसलिए इस महीने के अंत में मैं इसे पूरी तरह छोड़ने वाला हूँ
  student pricing भी सिर्फ पहले साल के लिए $19.99 तक सीमित है। मैं architecture department में visualization tools पढ़ाता हूँ, और अब मैं छात्रों को Adobe recommend नहीं कर सकता। इसकी जगह मैं कल FOSS(ओपन सोर्स) alternatives पर lecture देने वाला हूँ। आगे से हर साल 50 से ज़्यादा छात्र Adobe इस्तेमाल नहीं करेंगे

  • आप कौन से alternative tools recommend करते हैं, यह जानने की उत्सुकता है
  • फिर भी अगर industry में Adobe standard है, तो क्या इससे छात्रों को नुकसान नहीं होगा, इस बात की चिंता है

• मेरा मानना है कि application developers को मेरे system settings अपनी मर्ज़ी से बदलने की इजाज़त कभी नहीं होनी चाहिए। OS को भी इसे कठिन बनाना चाहिए
  /usr/local/bin या C:\Program Files\AppName में install करना ठीक है, लेकिन चुपके से /etc/hosts modify करना या /boot जैसी जगहों पर कचरा छोड़ना ठीक नहीं है। ऐसी चीज़ों के लिए ज़रूर user consent होना चाहिए

  • मैं भी पहले सोचता था कि /usr/local/bin install ठीक है, लेकिन अब चाहता हूँ कि सभी apps ${HOME}/.local/bin में install हों। पूरे system को छूने की ज़रूरत नहीं है
  • macOS, iOS, Android में ऐसी पाबंदियाँ हैं, इसलिए अक्सर उनकी आलोचना होती है, लेकिन सच कहूँ तो मुझे लगता है कि ऐसा security model ज़रूरी है। बस XDG जैसे standards को enforce करने का तरीका स्पष्ट नहीं है
  • macOS का System Integrity Protection root को भी कुछ क्षेत्रों में बदलाव करने से रोकता है। इससे system साफ-सुथरा बना रहता है, जो अच्छा है
  • मैंने पहले एक remote desktop program देखा था जो global LD_PRELOAD जोड़कर उसे ऐसी shared library की तरफ़ point करता था जिसे कोई भी इस्तेमाल कर सकता था। यह ख़तरनाक तरीका है
  • इसी वजह से मुझे iOS की isolation structure पसंद है। app को force quit करने पर भी system में उसका कोई निशान नहीं बचता

• किशोरावस्था में मैं hosts file से Adobe servers block करके phone activation bypass किया करता था। अब सोचता हूँ तो लगा कि हिसाब बराबर हो गया

  • मैंने भी ऐसा किया था। हाल ही में मैंने एक खराब 2013 Mac Pro restore किया और उसे CS4-only machine की तरह इस्तेमाल कर रहा हूँ। सारे *adobe* domains block कर दिए हैं, और पहले की तरह इसे बंद न होने देने की कोशिश कर रहा हूँ
  • CS2 torrent सच में legendary था
  • मुझे भी वह दौर याद है। एक बार Adobe ने authentication servers बंद करते समय गलती से CS2 के genuine serials सार्वजनिक कर दिए थे। वे आज भी Internet Archive पर मिल सकते हैं

• अजीब है कि Windows Defender ऐसी चीज़ detect नहीं कर पाता

  • Defender सच में warning दिखाता है
  • क्या इसे file permissions या read-only link से रोका नहीं जा सकता?
  • जानना चाहता हूँ कि क्या Windows में services hosts file overwrite करती हैं
  • दरअसल Windows में admin rights होने पर कोई भी hosts file modify कर सकता है। DNS से पहले के दौर में यह मूल रूप से ऐसी file थी जिसे users खुद edit करते थे
  • ज़्यादातर users को फ़र्क नहीं पड़ता। install के दौरान warning आए भी तो वे बस आगे बढ़ जाते हैं। और HTTPS की वजह से सिर्फ google.com को किसी और IP पर point कर देना संभव नहीं है

• 8~9 साल पहले मैंने पाया था कि Acrobat ने MSAA(Active Accessibility) से जुड़ी COM registry को overwrite कर दिया था, जिससे system DLL की जगह Adobe DLL load हो रही थी। इससे मेरे द्वारा develop किया जा रहा app टूट गया, और manifest में मजबूरन system version force करना पड़ा। Adobe ने कहा कि यह “ज़रूरी कदम” था, लेकिन असल में यह global problem को local problem की तरह हल करने जैसा था

• “commercial software कब malware बन जाता है?” इस सवाल का जवाब दूँ तो, मुझे लगता है ज़्यादातर commercial software पहले से ही malware है

• Adobe सच में एक anti-consumer company लगती है। यह समझना मुश्किल है कि कोई कंपनी users के प्रति इतनी unfriendly कैसे हो सकती है

  • फिर भी consumers Adobe खरीदते रहते हैं

• /etc/hosts file पर immutable flag सेट कर दें तो root समेत कोई भी उसमें लिख नहीं सकता। हाँ, root पहले attribute हटाकर उसे modify कर सकता है, लेकिन डिफ़ॉल्ट रूप से यह मज़बूत सुरक्षा है

• पहले इस्तेमाल की गई एक analogy फिर से लाऊँ तो, Adobe ऐसा है जैसे रात की सफ़ाई करने वाला चुपके से executives के office phone settings बदल दे और एक message छोड़ जाए: “इस office की सफ़ाई Adobe ने की है”
  ऐसा व्यवहार चाहे कितना भी छोटा क्यों न लगे, trust को पूरी तरह तोड़ देता है

  • लेकिन उस analogy में थोड़ी गड़बड़ी है। असल में वह message बाहर का कोई भी व्यक्ति नहीं सुन सकता, सिर्फ Adobe server पर ही उसकी पुष्टि हो सकती है। फिर भी ऐसी संरचना security risk और complexity बढ़ाती है
  • यह शायद उस practice जैसा हो सकता है जिसमें company laptop अपने-आप internal network से connect हो जाता है। लेकिन सिर्फ आम होने से वह सुरक्षित नहीं हो जाता

• मैंने हाल ही में macOS पर Creative Cloud install किया, लेकिन hosts file में कोई भी entry नहीं जोड़ी गई थी