"यदि आप जानते होते कि मैं ईमेल के बारे में क्या जानता हूं, तो आप भी इसका उपयोग नहीं करते," सुरक्षित ईमेल सेवा लवाबिट के मालिक ने हाल ही में इसे बंद करते हुए कहा। "ऐसा कोई तरीका नहीं है जिससे एन्क्रिप्टेड ईमेल किया जा सके जहां सामग्री सुरक्षित हो," फिल ज़िमरमैन ने कहा जब उन्होंने अचानक साइलेंट सर्कल की सुरक्षित ईमेल सेवा बंद कर दी। वास्तविकता यह है कि ईमेल मौलिक रूप से असुरक्षित है और इसे कभी भी सरकारी निगरानी से उसी तरह नहीं बचाया जा सकता जिस तरह कुछ अन्य संचार को बचाया जा सकता है।
ज़रूर, आप एक अलग एन्क्रिप्टेड और "सुरक्षित" ईमेल सेवा का उपयोग कर रहे होंगे जो अभी तक बंद नहीं हुई है। लेकिन वे उसी अमेरिकी सरकारी दबाव के प्रति संवेदनशील हैं जिसका सामना लवाबिट ने किया था - इसलिए साइलेंट सर्कल ने सरकार द्वारा संपर्क किए जाने से पहले ही बंद कर दिया। कुछ कम सिद्धांत वाली सेवाएं बंद होने के बजाय सरकारों के साथ सहयोग करना चुनेंगी। हम नहीं जानते कि लवाबिट को वास्तव में किन मांगों का सामना करना पड़ा, क्योंकि उन्हें PRISM और अन्य NSA निगरानी कार्यक्रमों को सक्षम करने वाली गुप्त अमेरिकी निगरानी अदालत के बैकडोर आदेशों के परिणामस्वरूप उन्होंने जो कुछ भी अनुभव किया, उसका खुलासा करने से मना किया गया है।
अब, आइए देखें कि ईमेल सुरक्षित संचार के लिए एक खराब विकल्प क्यों है, और यह सरकारी जासूसी के लिए एक आसान लक्ष्य क्यों है।
मेटाडेटा को एन्क्रिप्ट नहीं किया जा सकता और XKEYSCORE इसे इंटरसेप्ट कर सकता है
एक ईमेल वास्तव में डेटा का एक टुकड़ा नहीं है। यह डेटा के कई टुकड़े हैं: संदेश बॉडी, विषय पंक्ति, फ्रॉम फ़ील्ड, टू/सीसी/बीसीसी फ़ील्ड, और अन्य मेटाडेटा जिसमें वह स्थान शामिल है जहां से आप ईमेल भेज रहे हैं।
यहां तक कि अगर आप सर्वोत्तम संभव ईमेल एन्क्रिप्शन तकनीक का उपयोग करते हैं, तो आप केवल ईमेल के संदेश बॉडी को एन्क्रिप्ट कर सकते हैं। आपके द्वारा उपयोग किए जा रहे कनेक्शन की निगरानी करने वाला कोई भी व्यक्ति ईमेल का विषय, आप किसके साथ संचार कर रहे हैं, और आप कहां से ईमेल कर रहे हैं, देख सकता है। XKEYSCORE प्रोग्राम के तहत जो अनिवार्य रूप से अमेरिकी सरकार को बड़े बैकबोन राउटर और गेटवे पर इसे इंटरसेप्ट करके इंटरनेट पर बहने वाले अधिकांश ट्रैफिक को कैप्चर करने की अनुमति देता है, सरकार इस बात की काफी तस्वीर बना सकती है कि आप किसके साथ संचार कर रहे हैं, आप कब उनके साथ संचार कर रहे हैं, आप प्रत्येक कहां से संचार कर रहे हैं, और आपके ईमेल की विषय पंक्तियां क्या हैं, जिससे उन्हें अंदाजा हो जाता है कि आप किस बारे में बात कर रहे हैं। वे इस तथ्य को संदिग्ध पा सकते हैं कि आप अपने ईमेल की सामग्री को एन्क्रिप्ट कर रहे हैं और आपको हर चीज की अधिक गहन निगरानी के लिए लक्षित कर सकते हैं।
अमेरिकी सरकार ने 2011 तक थोक में अमेरिकी ईमेल रिकॉर्ड एकत्र किए। NSA के अनुसार, इस कार्यक्रम को बंद कर दिया गया क्योंकि यह प्रभावी नहीं था - लेकिन वे अभी भी XKEYSCORE के तहत मेटाडेटा इकट्ठा कर रहे हैं, इसलिए वे संभवतः उन सभी ईमेल मेटाडेटा को इंटरसेप्ट कर रहे हैं जिन पर वे अपना हाथ रख सकते हैं। वे आपसे बहुत सारी जानकारी प्राप्त करेंगे भले ही आप अपने ईमेल एन्क्रिप्ट करें।
अधिक जानकारी के लिए, ईमेल के "हेडर", या मेटाडेटा से आप क्या सीख सकते हैं, इसके बारे में पढ़ें।
कई "सुरक्षित" ईमेल प्रदाताओं के पास सुविधा के लिए एन्क्रिप्शन कुंजियां हैं
ईमेल को एन्क्रिप्ट और डिक्रिप्ट करना जटिल है। सिद्धांत रूप में, आप अपने स्थानीय कंप्यूटर पर PGP या GPG जैसी किसी चीज़ का उपयोग करके ईमेल डिक्रिप्ट करेंगे। व्यवहार में, सेटअप जटिल और भ्रमित करने वाला हो सकता है, यहां तक कि अधिक तकनीक-प्रेमी उपयोगकर्ताओं के लिए भी। यह ब्राउज़र या हल्के मोबाइल क्लाइंट के माध्यम से एन्क्रिप्टेड ईमेल तक पहुंचना भी असंभव बना देता है।
व्यवहार में, कई सुरक्षित ईमेल प्रदाताओं ने इसे अपने अंत में एन्क्रिप्शन कुंजी रखकर निपटाया है, जब आप उन्हें एक्सेस करते हैं तो ईमेल डिक्रिप्ट करते हैं। इसी तरह साइलेंट सर्कल की सुरक्षित ईमेल सेवा काम करती थी - उनके पास एन्क्रिप्शन कुंजियां थीं ताकि वे आसानी से ईमेल डिक्रिप्ट कर सकें और एक अच्छा उपयोगकर्ता अनुभव प्रदान कर सकें। व्यवहार में, इसका मतलब है कि सरकार सभी एन्क्रिप्शन कुंजियों की मांग कर सकती है - या केवल उन्हीं जिनकी उन्हें आवश्यकता है - और उन सभी ईमेल को डिक्रिप्ट कर सकती है जिन्हें वे चाहते हैं। यदि प्रदाता के पास कुंजियां हैं, तो वे उन्हें सौंप सकते हैं। ईमेल बॉडी को सुरक्षित रूप से एन्क्रिप्ट और डिक्रिप्ट करने का एकमात्र तरीका जटिल डेस्कटॉप सॉफ़्टवेयर के साथ है। इस सारे प्रयास के बाद भी मेटाडेटा उजागर रहता है।
सरकार बैकडोर की मांग कर सकती है: हशमेल देखें
कनाडा स्थित हशमेल सबसे लोकप्रिय और व्यापक रूप से ज्ञात एन्क्रिप्टेड ईमेल सेवाओं में से एक है। 2007 में, कनाडाई अदालतों ने हशमेल को अपने एक उपयोगकर्ता के ईमेल सौंपने के लिए मजबूर किया। ईमेल तब कनाडा और अमेरिका के बीच पारस्परिक कानूनी सहायता संधि के तहत अमेरिकी अदालतों को पारित किए गए।
सैद्धांतिक रूप से हशमेल ऐसा नहीं कर सकता था। वे अपने सर्वर पर उपयोगकर्ताओं की एन्क्रिप्शन कुंजी नहीं रखते थे। उन्होंने उपयोगकर्ताओं को अधिकतम गोपनीयता के लिए अपने कंप्यूटर पर PGP या इसी तरह के सॉफ़्टवेयर का उपयोग करके ईमेल डिक्रिप्ट करने की सिफारिश की। हालांकि, कई लोगों ने सोचा कि यह बहुत असुविधाजनक था, इसलिए हशमेल ने एक वेब पेज पर स्थित एक डाउनलोड करने योग्य जावा एपलेट भी पेश किया जो आपको अपना ईमेल एक्सेस करने की अनुमति देता था। जब आप वेब पेज एक्सेस करते थे, तो जावा एपलेट का नवीनतम संस्करण आपके कंप्यूटर पर डाउनलोड होता था, आप अपनी एन्क्रिप्शन कुंजी दर्ज करते थे, और एपलेट आपके ईमेल को स्थानीय रूप से डाउनलोड और डिक्रिप्ट करता था बिना हशमेल को आपकी एन्क्रिप्शन कुंजी तक पहुंच प्राप्त किए।
हशमेल को एक अंतर्निहित बैकडोर के साथ जावा एपलेट का एक संस्करण संबंधित उपयोगकर्ता को परोसने के लिए मजबूर किया गया था। संशोधित जावा एपलेट ने उपयोगकर्ता की एन्क्रिप्शन कुंजी को दर्ज करने के बाद हशमेल को भेज दिया और हशमेल को उपयोगकर्ता के ईमेल तक पहुंच प्राप्त हुई, जिसे उन्होंने अदालतों को सौंप दिया।
यदि आप सुरक्षित ईमेल का उपयोग करते हैं, तो प्रदाता को किसी भी तरह से आपकी कुंजी प्राप्त करने के लिए मजबूर किया जा सकता है। यहां तक कि अगर वे आपकी कुंजी तक पहुंच प्राप्त नहीं कर सके, तो प्रदाता आपके एन्क्रिप्टेड ईमेल को स्वयं सौंप सकता है, जो सरकार को दिखाएगा कि आप किसके साथ संचार कर रहे हैं, कब, और किस बारे में (ईमेल विषय पंक्ति के माध्यम से)।
ईमेल संदेश एक सर्वर पर संग्रहीत होते हैं, इंस्टेंट मैसेज नहीं
यहां तक कि अगर सरकार एन्क्रिप्शन कुंजी प्राप्त या इंटरसेप्ट नहीं कर सकती, तो वे आपके ईमेल को वैसे भी डिक्रिप्ट करने में सक्षम हो सकते हैं। आपके एन्क्रिप्टेड ईमेल संदेश एक सर्वर पर संग्रहीत होते हैं - बस इसी तरह ईमेल काम करता है। यदि सरकार इस डेटा की मांग करती, तो होस्टिंग प्रदाता को इसे एन्क्रिप्टेड रूप में सौंपना पड़ता। सरकार तब एन्क्रिप्शन को तोड़ने की कोशिश कर सकती है - नया हार्डवेयर नियमित रूप से वर्तमान एन्क्रिप्शन तंत्र को बहुत कमजोर बना देता है, और अमेरिकी सरकार भविष्य में उन्हें तोड़ने की उम्मीद में ऐसी एन्क्रिप्टेड संचार को संग्रहीत कर सकती है।
इसके विपरीत, इंस्टेंट मैसेज-शैली संचार को संग्रहीत करना कठिन होता है। एक एन्क्रिप्टेड संदेश सीधे प्राप्तकर्ता को भेजा जा सकता है और उस सर्वर पर संग्रहीत नहीं किया जाता जहां इसे भविष्य में एक्सेस किया जा सके। सरकार को एक निगरानी उपकरण स्थापित करना होगा और सभी संचारों को वास्तविक समय में कैप्चर करना होगा। यदि वे ऐसा करने में विफल रहे और उनके पास सभी एन्क्रिप्टेड डेटा नहीं थे, तो वे वर्षों बाद इसे प्राप्त नहीं कर पाएंगे - लेकिन वे अक्सर ईमेल के साथ ऐसा कर सकते हैं।
अन्य प्रकार के संचार को सुरक्षित किया जा सकता है
ईमेल को एन्क्रिप्शन को ध्यान में रखकर डिज़ाइन नहीं किया गया था। इसे बाद में जोड़ा गया है, और यह दिखाता है। सबसे सावधान सुरक्षित ईमेल सेवा उपयोगकर्ता भी यह नहीं छिपा सकते कि वे किसके साथ संचार कर रहे हैं और कब। यदि आप वास्तव में सरकारी निगरानी से बचना चाहते हैं, तो आप ईमेल पर भरोसा करने के बजाय विभिन्न सुरक्षित मैसेजिंग सेवाओं का उपयोग करने से बेहतर हैं।
यही कारण है कि साइलेंट सर्कल अभी भी एक सुरक्षित मैसेजिंग सेवा प्रदान करता है जिसकी सुरक्षा पर उन्हें भरोसा है। यह एकमात्र विकल्प भी नहीं है - क्रिप्टोकैट एक और है। क्रिप्टोकैट में हाल ही में एक प्रचारित भेद्यता थी और अन्य सेवाओं की अपनी समस्याएं हो सकती हैं जिनके बारे में हम भविष्य में सुनेंगे, लेकिन ये सेवाएं सही रास्ते पर हैं - वे मूल रूप से असुरक्षित डिजाइन द्वारा नहीं हैं जिस तरह ईमेल है।
बेशक, एन्क्रिप्टेड ईमेल आवश्यक रूप से बेकार नहीं है। उदाहरण के लिए, यदि आप महत्वपूर्ण व्यावसायिक संचार को जासूसी से सुरक्षित करना चाहते हैं, तो यह उपयोगी हो सकता है। लेकिन एन्क्रिप्टेड ईमेल सरकार को ज्यादा धीमा नहीं करने वाला है - यह आदर्श संचार उपकरण नहीं है जब आप NSA की सुनवाई के बिना बात करने की कोशिश कर रहे हों।
क्या आप लवाबिट और साइलेंट सर्कल के बंद होने के पीछे के सिद्धांतों से सहमत हैं? क्या आप अपनी बातचीत को विशाल सरकारी डेटाबेस में संग्रहीत किए बिना संवाद करने के लिए एक सुरक्षित मैसेजिंग सेवा का उपयोग करते हैं? एक टिप्पणी छोड़ें और हमें बताएं कि आप किस ईमेल विकल्प को पसंद करते हैं।
