आपके फ़ोन में चलने वाला हर दूसरा ऐप

आपके फ़ोन में चलने वाला हर दूसरा ऐप, छोटे बिजनेस का ऑनलाइन स्टोर — ये सब अक्सर खुली सॉफ्टवेयर लाइब्रेरी पर टिका होता है. अब एक नया खतरा आया है जिससे ये सब एक साथ कमजोर हो सकते हैं.

GitHub और PyPI ने Dependabot नाम के dependency management tool (यानी सॉफ्टवेयर जो बाहरी कोड लाइब्रेरी को ट्रैक और सुरक्षित रखता है) में time-based defenses (यानी समय के आधार पर भरोसा तय करने वाले नियम) जोड़ दिए हैं. ये कदम supply chain attacks (यानी हैकर्स द्वारा डेवलपर्स के इस्तेमाल वाले टूल्स में खराब कोड घुसाने वाले हमले) को रोकने और उनका असर सीमित करने के लिए है. इससे आम भारतीयों और छोटे बिजनेस मालिकों को फायदा हो सकता है क्योंकि उनका डेटा अब थोड़ा ज्यादा सुरक्षित रहेगा. लेकिन ये बदलाव कितना असरदार साबित होगा, यह अभी देखना बाकी है.

GitHub और PyPI ने क्या कदम उठाए

मीडिया सूत्रों के अनुसार GitHub और PyPI ने हाल ही में Dependabot में नया समय आधारित सुरक्षा फीचर जोड़ा है. ये फीचर उन पैकेज को चेक करता है जिनकी पब्लिश तारीख बहुत पुरानी या संदिग्ध है. इसका मतलब है कि अगर कोई लाइब्रेरी अचानक बहुत समय बाद अपडेट होती है तो Dependabot उसे ऑटोमैटिक रूप से फ्लैग कर सकता है.

यह बदलाव supply chain attacks को रोकने के लिए किया गया है. ऐसे हमलों में हैकर्स पहले छोटी ओपन सोर्स लाइब्रेरी को निशाना बनाते हैं. फिर लाखों डेवलपर्स उसी कोड को अपनी ऐप में इस्तेमाल करते हैं. नतीजा यह कि एक छोटा सा बदलाव पूरे सिस्टम को प्रभावित कर देता है. GitHub सैन फ्रांसिस्को में मुख्यालय वाला प्लेटफॉर्म है जो डेवलपर्स को कोड बनाने, स्टोर करने और शेयर करने की सुविधा देता है. यह 2018 से Microsoft की सहायक कंपनी है. PyPI पाइथन भाषा के पैकेज का आधिकारिक रिपॉजिटरी है जहां लाखों डेवलपर्स रोजाना कोड डाउनलोड करते हैं.

अधिकारियों ने बताया कि ये नए नियम पुराने पैकेज को सीमित समय के अंदर ही इस्तेमाल करने की अनुमति देते हैं. इससे हमलावरों को लंबे समय तक छिपे रहने का मौका नहीं मिलता. Dependabot अब ऑटोमैटिक अपडेट के साथ-साथ समय की जांच भी करता है. यही वजह है कि कई भारतीय डेवलपर्स अब थोड़ी राहत महसूस कर रहे हैं.

हालांकि यह पूरी सुरक्षा नहीं है. फिर भी ये पहला ठोस कदम है जो बड़े पैमाने पर supply chain attacks को कम कर सकता है. मीडिया रिपोर्ट्स के मुताबिक पिछले कुछ सालों में ऐसे हमले बढ़े हैं जिससे कंपनियों को करोड़ों का नुकसान हुआ.

असली समस्या क्या है

सप्लाई चेन अटैक की असली समस्या यह है कि हैकर्स सीधे आपके ऐप या वेबसाइट पर नहीं चढ़ते. वे उन छोटी लाइब्रेरी को खराब करते हैं जिन पर हजारों प्रोजेक्ट टिके होते हैं. Dependabot जैसा टूल पहले सिर्फ पुरानी वर्जन चेक करता था लेकिन अब समय के आधार पर भी देखेगा. इसका मतलब है कि आम भारतीय जो डिजिटल पेमेंट, ऑनलाइन शॉपिंग या सरकारी ऐप इस्तेमाल करते हैं उनका डेटा खतरे में पड़ सकता है. छोटे बिजनेस जो ओपन सोर्स सॉफ्टवेयर पर चलते हैं उन्हें अचानक सर्विस रुकने या डेटा चोरी का सामना करना पड़ सकता है. यही वजह है कि ये नई सुरक्षा आम आदमी की रोजमर्रा की डिजिटल जिंदगी को प्रभावित करती है.

आंकड़े क्या कहते हैं

भारत में 2025 तक इंटरनेट यूजर्स जनसंख्या का 70.00% हैं. इसका सीधा मतलब है कि सात में से सात में से पांच लोग ऐसे ऑनलाइन सेवाओं पर निर्भर हैं जो ओपन सोर्स कोड पर चलती हैं. अगर इनमें से एक भी लाइब्रेरी खराब हुई तो लाखों यूजर्स का डेटा एक साथ खतरे में पड़ जाएगा.

यानी लगभग हर व्यक्ति के पास स्मार्टफोन है जो ऐसी ऐप्स चलाता है जो GitHub और PyPI से ली गई लाइब्रेरी पर टिकी होती हैं. नतीजा यह कि supply chain attack का खतरा अब घर-घर तक पहुंच चुका है. यह संख्या बहुत कम है जो बताती है कि हमारा डेटा पहले से ही कम सुरक्षित जगहों पर रखा जाता है. इसलिए अगर कोई supply chain attack हुआ तो रक्षा करना और भी मुश्किल हो जाएगा. 2020 में भारत ने अपने GDP का सिर्फ 0.65% R&D पर खर्च किया था जो दर्शाता है कि सुरक्षा पर अभी भी उतना ध्यान नहीं दिया जा रहा है जितना होना चाहिए.

यह क्यों हुआ — बैकग्राउंड

सप्लाई चेन अटैक नई समस्या नहीं है. 2018 में GitHub Microsoft की कंपनी बनने के बाद से डेवलपर्स की संख्या बहुत बढ़ गई. अब करोड़ों प्रोजेक्ट Dependabot जैसे टूल पर निर्भर हैं. लेकिन जितने ज्यादा लोग कोड शेयर करते हैं उतने ही ज्यादा छेद पैदा होते हैं. एक ठोस उदाहरण लें. कई बार डेवलपर्स एक छोटा सा पैकेज डाउनलोड करते हैं जो सालों से अपडेट नहीं हुआ. हमलावर उसी पुराने पैकेज को बदला हुआ वर्जन पब्लिश कर देते हैं. Dependabot पहले इसे नोटिस नहीं कर पाता था. नया time-based rule इसी गैप को भरने की कोशिश है.

GitHub Git नाम की टेक्नोलॉजी इस्तेमाल करता है जो कोड को वर्जन कंट्रोल में रखती है. इसमें बग ट्रैकिंग, टास्क मैनेजमेंट और continuous integration जैसी सुविधाएं भी हैं. PyPI पाइथन डेवलपर्स का मुख्य बाजार है. दोनों जगहों पर लाखों पैकेज रोजाना डाउनलोड होते हैं. इसलिए एक छोटी सी चूक पूरे देश के डिजिटल इकोसिस्टम को प्रभावित कर सकती है.

भारत पर असर

भारत में छोटे बिजनेस जो ऑनलाइन स्टोर या ऐप चलाते हैं उन्हें अब थोड़ी सुरक्षा मिलेगी. अगर उनका कोड supply chain attack से बच गया तो डेटा चोरी का खतरा कम होगा. आम आदमी का यूपीआई, बैंक ऐप और सोशल मीडिया भी अप्रत्यक्ष रूप से सुरक्षित रहेगा क्योंकि ये सब ओपन सोर्स कंपोनेंट पर चलते हैं.

डेवलपर्स को Dependabot अब पुराने पैकेज को इस्तेमाल करने से पहले सोचना पड़ेगा. इससे उनका समय जरूर लगेगा लेकिन डेटा की सुरक्षा बढ़ेगी. छोटे स्टार्टअप जो बजट में सुरक्षा पर कम खर्च करते हैं उनके लिए यह बदलाव खासतौर पर फायदेमंद है. हालांकि बड़े कॉर्पोरेट पहले से ही अतिरिक्त सुरक्षा लगाते हैं इसलिए उनका फायदा कम होगा.

दूसरा पक्ष

कुछ विशेषज्ञ मानते हैं कि समय आधारित नियम बहुत सख्त हो सकते हैं. कई पुरानी लेकिन पूरी तरह सुरक्षित लाइब्रेरी हैं जिन्हें डेवलपर्स सालों से इस्तेमाल कर रहे हैं. अगर Dependabot उन्हें बार-बार ब्लॉक करेगा तो प्रोजेक्ट पूरा करना मुश्किल हो जाएगा. इससे छोटे डेवलपर्स का काम रुक सकता है. इसके अलावा समय आधारित चेक हमेशा सही नहीं होता. कुछ मामलों में हमलावर नई तारीख वाला पैकेज भी जारी कर सकते हैं. इसलिए ये सुरक्षा पूरी तरह foolproof नहीं है. यही वजह है कि कई डेवलपर्स कह रहे हैं कि इसे सिर्फ एक अतिरिक्त लेयर मानना चाहिए न कि अंतिम सुरक्षा.

आगे क्या

अगले कुछ हफ्तों में GitHub इस नए फीचर को और ज्यादा प्रोजेक्ट पर लागू करेगा. PyPI भी अपने नियमों को अपडेट करता रहेगा. भारतीय डेवलपर्स को सलाह है कि वे अपने प्रोजेक्ट में Dependabot सेटिंग्स चेक करें और समय आधारित अलर्ट को ऑन रखें. सरकार और cybersecurity एजेंसियां भी इन बदलावों पर नजर रख रही हैं. अगर ये नियम अच्छा असर दिखाए तो अन्य प्लेटफॉर्म भी इसी तरह के टूल ला सकते हैं. आम यूजर्स को अपने ऐप अपडेट रखने और संदिग्ध लिंक से बचने की जरूरत है.

मुख्य बातें

1. GitHub और PyPI ने Dependabot में time-based defenses जोड़े हैं जो supply chain attacks को रोकते हैं.
2. भारत में 70.00% लोग 2025 में इंटरनेट इस्तेमाल करते हैं जिससे उनका डेटा इन हमलों के खतरे में है.
3. Dependabot अब पैकेज की पब्लिश तारीख भी चेक करेगा ताकि संदिग्ध अपडेट को रोका जा सके.
4. छोटे बिजनेस और आम भारतीय यूजर्स को इससे डेटा सुरक्षा में थोड़ी राहत मिल सकती है.

निष्कर्ष

GitHub और PyPI द्वारा Dependabot में जोड़े गए समय आधारित सुरक्षा नियम supply chain attacks के बढ़ते खतरे के खिलाफ एक जरूरी कदम है. इससे लाखों डेवलपर्स के कोड और आम लोगों का डिजिटल डेटा थोड़ा ज्यादा सुरक्षित हो सकता है. कम सुरक्षित सर्वर और बढ़ते इंटरनेट यूज के बीच यह बदलाव सही समय पर आया है.

जिस फोन और ऐप पर हम रोज भरोसा करते हैं वही अब थोड़ा मजबूत हुआ है. लेकिन सुरक्षा पूरी तरह तभी होगी जब डेवलपर्स भी सतर्क रहें. अगले महीने जब नया अपडेट आए तो हर भारतीय डेवलपर को अपना Dependabot चेक करना चाहिए ताकि ये नियम असल में काम कर सकें.