के तपाईँ अझै पनि Sign in with Google प्रयोग गर्नु हुन्छ ? सावधान ! नभुल्नुस् यी गम्भीर जोखिम

काठमाडौँ । सन् २००० को दशकको अन्त्यतिर र २०१० को सुरुवाति समयमा कुनै पनि नयाँ वेबसाइट वा सेवामा Sign in with Google को विकल्प देख्दा धेरैलाई ठुलो राहत महसुस हुन्थ्यो । नयाँ युजरनेम र पासवर्ड बनाउने झन्झट नहुने, उमेर वा ठेगाना जस्ता विवरणहरू बारम्बार भरिरहनु नपर्ने र केवल एक क्लिकमै लगइन गर्न सकिने यो सुविधा निकै लोकप्रिय बन्यो ।

तर, प्रविधिको विकाससँगै यो सजिलो बाटो अहिले प्रयोगकर्ताका लागि गम्भीर सुरक्षा र गोपनीयताको खतरा बनेको छ । आजको डिजिटल युगमा आफ्ना सबै डिजिटल अण्डाहरू गुगलको एउटै बास्केटमा राख्नु कति घातक हुन सक्छ भन्नेबारे एउटा गम्भीर बहस सुरु भएको छ ।

महत्त्वपूर्ण वेबसाइट र एपहरूमा गुगलमार्फत लगइन गर्ने बानीले प्रयोगकर्तालाई कुनै पनि बेला डिजिटल सडकमा पुर्‍याउन सक्छ । गुगलका सेवाहरू जस्तै क्रोम, म्याप्स, फोटोज, ड्राइभ, क्यालेन्डर र जिमेलमा हामी यसै पनि निकै निर्भर छौँ ।

तर जब हामी च्याटजीपीटी, क्लाउड, ट्राभल प्लानिङ, फुड डेलिभरी, राइड शेयरिङ र स्मार्ट होम सिस्टम जस्ता तेस्रो पक्षका (Third-party) अन्य एपहरूमा पनि गुगलबाटै लगइन गर्छौँ, तब हामीले एउटै साँचो ले सबै ढोका खोल्ने जोखिम मोलिरहेका हुन्छौँ ।

यदि कुनै कारणले तपाईंले आफ्नो गुगल लगइन बिर्सनुभयो वा दुई वर्षसम्म निष्क्रिय रहेका कारण गुगलले तपाईंको अकाउन्ट हटाइदियो वा कुनै फिशिङ अट्याक वा ह्याकिङका कारण अकाउन्टमा पहुँच गुमाउनुभयो भने के होला ?

अझ खराब त के भने यदि गुगलले आफ्नो प्रतिबन्ध सम्बन्धी नीति (Ban Policy) अन्तर्गत तपाईंको अकाउन्ट ब्लक गरिदियो भने तपाईंको पुरा डिजिटल जीवन नै ठप्प हुन सक्छ । यस्तो अवस्थामा तपाईँको सञ्चार र व्यक्तिगत डेटा मात्र हराउँदैन, बरु बिजुलीको बिल तिर्ने एप, फोन लाइन वा घरको सुरक्षा प्रणालीसम्मको पहुँच सधैँका लागि बन्द हुन सक्छ ।

धेरैलाई लाग्न सक्छ कि उनीहरूले टु-फ्याक्टर अथेन्टिकेसन अन गरेका छन् र उनीहरू सुरक्षित छन् । तर आधुनिक Adversary-in-the-Middle (AiTM) अट्याकले यसलाई सजिलै बाइपास गर्न सक्छ । यसमा ह्याकरहरूले रिभर्स प्रोक्सीको प्रयोग गरेर दुरुस्तै गुगलको लगइन स्क्रिन जस्तै देखिने नक्कली पेज बनाउँछन् ।

जब तपाईं त्यहाँ Continue with Google मा क्लिक गर्नुहुन्छ, त्यसले वास्तविक गुगल सर्भरसँग संवाद गरिरहेको हुन्छ । तपाईंले आफ्नो फोनमा Yes, this is me थिच्दा वा कोड हाल्दा ह्याकरले तपाईंको ब्राउजरमा पठाइएको सेसन टोकन (Session Token) चोर्छन् ।

यो टोकन चोरी भएपछि ह्याकरले तपाईंको पासवर्ड बिना नै तपाईंको अकाउन्टमा लगइन गर्न सक्छन् । यसले परम्परागत सेक्युरिटी कोडहरूलाई अर्थहीन बनाइदिएको छ ।

गुगलले केवल तपाईंको नाम र ईमेल मात्र सङ्कलन गर्दैन । सन् २०२६ को आधिकारिक गोपनीयता नीतिअनुसार तपाईंले कुन एप कति बेला र कहाँ प्रयोग गर्नुहुन्छ भन्ने सबै विवरण गुगलसँग हुन्छ । यसबाट गुगलको एआई जेमनाईले तपाईँको जीवनको एक विशिष्ट बिहेभियरल मोडेल तयार पार्न सक्छ ।

उदाहरणका लागि तपाईंले हरेक सोमबार मानसिक स्वास्थ्यसम्बन्धी एप चलाउनुहुन्छ वा सप्ताहान्तमा मात्र व्यायाम गर्नुहुन्छ भन्ने कुरा तपाईंले नभने पनि गुगललाई थाहा हुन्छ । यद्यपि गुगलले व्यक्तिगत डेटा एआई मोडेलको तालिमका लागि प्रयोग नगर्ने दाबी गर्छ । तर थर्ड-पार्टी एपहरूको प्रयोगसम्बन्धी एग्रिगेटेड र एनोनिमाइज्ड लगहरू भने उसले प्रयोग गरिरहेको हुन्छ ।

यसको अर्थ तपाईँले जति धेरै सेवाहरू गुगलसँग जोड्नुहुन्छ, त्यति नै धेरै डेटा तपाईंले गुगलको व्यक्तिगत प्रोफाइल निर्माणका लागि दिइरहनु भएको हुन्छ । यस विषयमा गरिएको एउटा सर्वेक्षणमा ३,२५८ जनाले भाग लिएका थिए । जसमध्ये ३८ प्रतिशत प्रयोगकर्ता अझै पनि सकेसम्म सबैतिर Sign in with Google नै प्रयोग गर्छन् ।

४२ प्रतिशत प्रयोगकर्ता कहिलेकाहीँ गुगल प्रयोग गर्छन् भने कतिपय ठाउँमा छुट्टै लगइन राख्छन् । ८ प्रतिशत प्रयोगकर्ताले पहिले गुगल प्रयोग गरे पनि अहिले सबै सेवालाई छुट्टै (Standalone) लगइनमा सारिसकेका छन् । १२ प्रतिशत प्रयोगकर्ताले भने कहिल्यै पनि गुगल लगइन प्रयोग नगरेको बताएका छन् ।

सुरक्षित रहन अब के गर्ने ?

विज्ञहरूका अनुसार डिजिटल सुरक्षाका लागि अल्छी बाटो छोड्नु नै उत्तम हुन्छ । Sign in with Google को सुविधाले केही सेकेन्ड त बचाउला, तर यसले निम्त्याउने दीर्घकालीन जोखिम निकै ठुलो छ । आफ्नो महत्त्वपूर्ण डिजिटल पहिचानलाई एउटै कम्पनीको हातमा सुम्पिनु भन्दा थोरै समय खर्चेर हरेक महत्त्वपूर्ण सेवाका लागि छुट्टै युजरनेम र पासवर्ड प्रयोग गर्नुहोस् । यसले तपाईंको पहुँचलाई विकेन्द्रीकृत गर्छ ।

धेरै पासवर्ड सम्झन गाह्रो हुने भएकाले बिटवार्डन (Bitwarden), वनपासवर्ड (1Password), किपास (KeePass) वा प्रोटोन पास (Proton Pass) जस्ता राम्रा पासवर्ड म्यानेजरहरू प्रयोग गर्नुहोस् । यी मध्ये कतिपय निःशुल्क छन् भने कतिपयका लागि सशुल्क सदस्यता लिनुपर्ने हुन्छ ।

यसैगरी व्यक्तिगत पासवर्ड र युनिभर्सल लगइनको बिचको समाधानको रूपमा पासकीलाई पनि प्रयोग गर्न सकिन्छ । यद्यपि यसमा पनि एउटै गेटकिपरमाथि निर्भर रहँदा उत्पन्न हुनसक्ने जोखिम भने केही हदसम्म रहीरहन्छ ।

जहाँ सम्भव छ, त्यहाँ अनिवार्य रूपमा टु-फ्याक्टर अथेन्टिकेसन सक्रिय गर्नुहोस् ।

पछिल्लो अध्यावधिक: बैशाख १७, २०८३ १०:३४

टिप्पणीहरू