ट्रांसपोर्ट पर कभी भरोसा नहीं किया जाता

माध्यम, पहचान का सबूत नहीं

Bluetooth पेयरिंग (pairing) सिर्फ यह साबित करती है कि दो डिवाइसों ने पेयरिंग की रस्म निभाई। NFC की नज़दीकी सिर्फ यह साबित करती है कि कोई चीज़ किसी रीडर से कुछ सेंटीमीटर के भीतर थी। QR कोड सिर्फ यह साबित करता है कि किसी कैमरे ने एक पैटर्न देखा। इनमें से कुछ भी यह साबित नहीं करता कि दूसरी तरफ कौन है, और इनमें से हर माध्यम पर खुलेआम हमले हो चुके हैं: चोरी-छिपे सुनना, कीज़ की मज़बूती घटाना, और दो आम फोन की मदद से एक टैप को पूरे शहर के पार रिले करना।

इसलिए हम तीनों को दुश्मन मानते हैं। कोई भी सुन सकता है। कोई भी कुछ इंजेक्ट कर सकता है। कोई भी रिले कर सकता है। माध्यम जो भी दावा करे, उसे किसी भी बात का सबूत नहीं माना जाता।

एक बार पेयर करें

भरोसा एक ही बार बनता है, जब आप डेस्कटॉप और फोन को पेयर करते हैं। डेस्कटॉप एक QR कोड दिखाता है और फोन उसे स्कैन करता है। फिर दोनों स्क्रीन पर एक छोटा कोड दिखता है, और आप दोनों को मिलाते हैं। अगर वे मेल खाते हैं, तो दोनों डिवाइस ऐसी कीज़ पर सहमत हो चुके हैं जिन्हें किसी माध्यम ने कभी नहीं देखा, और उसके बाद से हर डिवाइस दूसरे की पहचान जानता है। अगर मेल नहीं खाते, तो बीच में कोई बैठा था, और आप वहीं रुक जाते हैं।

यह मिलान ही अकेला पल है जब कोई इंसान चैनल की जाँच करता है, और असली मायने इसी पल के हैं। उसके बाद की हर चीज़ उसी भरोसे पर टिकी है जो आपने अपनी आँखों से बनाया।

सेशन

पेयर होने के बाद डेस्कटॉप और फोन के बीच हर मैसेज एक ऐसे सेशन के अंदर जाता है जिसका मालिक वॉलेट है। यह एंड-टू-एंड एन्क्रिप्टेड (end-to-end) है, इसलिए जिस माध्यम की बातें सुनी जा रही हों, उससे शोर के सिवा कुछ लीक नहीं होता। यह दोनों तरफ से ऑथेंटिकेटेड (mutual authentication) है, इसलिए हर पक्ष जानता है कि मैसेज उसी डिवाइस से आया है जिससे वह पेयर हुआ था, न कि उसका रूप धरने वाली किसी चीज़ से। यह उस माध्यम से बंधा है जिस पर यह चलता है, इसलिए एक रास्ते पर पकड़ा गया मैसेज दूसरे रास्ते पर दोहराया नहीं जा सकता।

सेशन एक अच्छी तरह परखे गए, आधुनिक हैंडशेक डिज़ाइन पर बना है, उसी तरह का जो बड़े पैमाने पर इस्तेमाल होने वाले सिक्योर टनल में होता है। हम क्रिप्टोग्राफी में जुगाड़ नहीं करते।

क्या खारिज होता है

रास्ते में बदला गया मैसेज ऑथेंटिकेशन में फेल होता है और खारिज हो जाता है। दोहराया गया मैसेज क्रम से बाहर पहुँचता है और खारिज हो जाता है। जो मैसेज गलत क्रम में पहुँचे, वह खारिज हो जाता है। पेयर किए गए डिवाइस के बजाय किसी और डिवाइस से आया मैसेज हैंडशेक से आगे बढ़ ही नहीं पाता। हर मामले में फोन साइन करने के लिए कुछ नहीं दिखाता, क्योंकि कुछ भी वैध पहुँचा ही नहीं।

इसीलिए Bluetooth LE और NFC की सुविधा के बदले सुरक्षा में कोई कीमत नहीं चुकानी पड़ती। माध्यम जितना चाहे उतना कमज़ोर हो सकता है। नीचे का रेडियो सुरक्षित है या नहीं, इस सवाल का जवाब हमें कभी देना ही नहीं पड़ता।

हर माध्यम पर, वही सेशन

सेशन को नहीं पता कि वह रोशनी पर सवार है, रेडियो पर या टैप पर। आप QR पर पेयर कर सकते हैं, फिर रोज़ के काम के लिए Bluetooth LE और टर्मिनल पर NFC इस्तेमाल कर सकते हैं, और यह सब दोबारा पेयर किए बिना। माध्यम बदलने से यह नहीं बदलता कि भरोसा किस पर है, क्योंकि माध्यम पर तो शुरू से ही भरोसा नहीं था।

क्या यह अब भी एयर गैप है?

शुद्धतावादी कहते हैं कि एयर गैप (air gap) का मतलब सिर्फ रोशनी है। हम इस शब्द पर बहस नहीं करेंगे। अगर आपको सख्त वर्शन चाहिए, तो सिर्फ QR कोड इस्तेमाल कीजिए; यह हमेशा मौजूद है। जिस खूबी की हमें परवाह है, वह इस शब्द के नीचे है: जिस डिवाइस के पास कीज़ हैं, उसके पास इंटरनेट तक कोई रास्ता नहीं है, और पार जाने वाली चीज़ें सिर्फ दो हैं, एक रिक्वेस्ट जिसे फोन खुद डिकोड करता है, और एक सिग्नेचर जिसे बनाना उसने खुद चुना। Bluetooth LE पर चलने वाला सेशन इस खूबी को बनाए रखता है। वह इसमें बस यह जोड़ता है कि आप इसका इस्तेमाल करते रहते हैं।