हवा में अदृश्य: ऐसा साइनर जिसे कोई स्कैन करके नहीं ढूँढ़ सकता

रेडियो की दिक्कत

Bluetooth डेस्क पर काम आसान बनाता है। साथ ही यह फोन को बोलने वाली चीज़ भी बना देता है। जो डिवाइस "Wallet" जैसे नाम और स्थायी एड्रेस के साथ सिग्नल भेजता है, उसे ढूँढ़ा जा सकता है, पहचाना जा सकता है, एक दिन से अगले दिन तक उसका पीछा किया जा सकता है, और हमले के लायक मानकर अलग से चुना जा सकता है। Bluetooth डिवाइस स्कैन करने के लिए एक फोन और एक मुफ्त ऐप काफी है। डेस्कटॉप पर बैठा मैलवेयर (malware) भी यह कर सकता है।

हमें सुविधा चाहिए थी, पर बिना बीकन के। डिज़ाइन के तीन हिस्से हैं: फोन हवा में होता भी है तो कब, जब होता है तब क्या कहता है, और उसकी बात का मतलब कौन निकाल सकता है।

ऐप न खुला हो तो हवा में कुछ नहीं

फोन सिर्फ तभी सिग्नल भेजता है जब AirNox Vault खुला हो, अनलॉक हो और स्क्रीन पर सामने हो। फोन लॉक कीजिए, वह चुप हो जाता है। किसी दूसरे ऐप पर जाइए, वह चुप हो जाता है। उसे दराज़ में उल्टा रख दीजिए, कुछ भी ट्रांसमिट नहीं होता। कोई बैकग्राउंड सर्विस नहीं है जो चैनल को चालू रखे।

जब यह सिग्नल भेजता है, तब भी कम ट्रांसमिट पावर पर। इसकी पहुँच डेस्क तक है। यह इस बारे में सोच-समझकर लिया गया फैसला है कि इसे कौन सुन सकता है, एन्क्रिप्शन का विकल्प नहीं।

बोलता है तो क्या कहता है

तीन बातें इसके सिग्नल को किसी अजनबी के लिए बेकार बना देती हैं।

इसमें डिवाइस का कोई नाम नहीं होता। हवा में कुछ भी AirNox, वॉलेट या कुछ और नहीं कहता।

यह एक रैंडम Bluetooth एड्रेस इस्तेमाल करता है, जिसे सिस्टम हर बार नए सिरे से बनाता है। कोई स्थायी एड्रेस नहीं है जिसे लिखकर कल फिर से ढूँढ़ा जा सके।

और यह जो सर्विस आइडेंटिफायर घोषित करता है, वह तय नहीं होता, बल्कि हिसाब लगाकर निकाला जाता है। यह उस पेयरिंग (pairing) से बनता है जो फोन आपके डेस्कटॉप के साथ साझा करता है, और मौजूदा टाइम विंडो से, इसलिए यह हर कुछ मिनट में बदल जाता है, और इसकी मौजूदा वैल्यू का हिसाब सिर्फ वही डेस्कटॉप लगा सकता है जिसके पास वह पेयरिंग है। बाकी सबके लिए यह एक रैंडम-सा दिखने वाला नंबर है, जो थोड़ी देर में एक दूसरा रैंडम-सा दिखने वाला नंबर बन चुका होगा।

स्कैनर को क्या दिखता है

बगल के कमरे में रखे स्कैनर को एक बेनाम रैंडम एड्रेस दिखता है, जिसका आइडेंटिफायर रैंडम लगता है। कुछ मिनट बाद उसे एक अलग एड्रेस और एक अलग आइडेंटिफायर दिखता है। दोनों को आपस में कोई चीज़ नहीं जोड़ती। कुछ भी इस डिवाइस को Bluetooth इस्तेमाल करने वाली बाकी बेनाम चीज़ों से अलग करके वॉलेट के रूप में नहीं दिखाता। अगली बार के लिए याद रखने को कुछ नहीं है।

डेस्कटॉप के मैलवेयर को क्या दिखता है

जिस डेस्कटॉप को हम संक्रमित मानकर चलते हैं, उसे भी इससे बेहतर नज़ारा नहीं मिलता। उस पर बैठे मैलवेयर के पास खोजने को कोई नाम नहीं, याद रखने को कोई स्थायी एड्रेस नहीं, और जब तक आप ऐप को सामने न लाएँ, ढूँढ़ने को कुछ नहीं। वॉलेट सॉफ्टवेयर फोन को पहचानना जानता है, क्योंकि वह पेयरिंग के वक्त मौजूद था। जो मैलवेयर उस सॉफ्टवेयर का कॉन्फिगरेशन चुरा ले, उसे भी तब तक इंतज़ार करना पड़ता है जब तक आप पहुँच के भीतर ऐप न खोलें, और फिर उसके सामने सेशन होता है, जिसके बारे में अगला लेख बताता है।

फोन ढूँढ़ भी लिया, तो कुछ हाथ नहीं आता

मान लीजिए किसी हमलावर ने आपके इस्तेमाल के दौरान फोन को देख ही लिया। सिर्फ ढूँढ़ लेने से उसे कुछ नहीं मिलता। हर रिक्वेस्ट फिर भी फोन की स्क्रीन पर आती है, साइन होने वाली बाइट्स से डिकोड होकर, जहाँ आप उसे पढ़ते हैं और Accept (स्वीकार) दबाते हैं या नहीं दबाते। रेडियो पर एन्क्रिप्टेड ट्रैफिक चलता है, एक ऐसे सेशन के भीतर जो पेयरिंग के समय ऑथेंटिकेट हुआ था। उसे सुन सकने जितना पास होना, उसमें शामिल हो पाना नहीं है।

अदृश्यता पहली परत है। इसका काम यह पक्का करना है कि ज़्यादातर समय हमला करने को कुछ हो ही नहीं, और जब हो, तो वह कोई खास चीज़ न लगे।