आप VPS किराए पर लेते हैं, अपना सॉफ़्टवेयर इंस्टॉल करते हैं और एडमिन अधिकार पा जाते हैं। फिर उसे “मेरा सर्वर” कहना स्वाभाविक है। बिल देखकर भी कुछ ऐसा ही लगता है। बस एक छोटी-सी बात है: असली कंप्यूटर अब भी किसी और का है। आपकी निजता पर इस बात का असर विज्ञापन में लिखे “प्राइवेट” शब्द से कहीं ज़्यादा है।
वर्चुअल प्राइवेट सर्वर, यानी VPS, सॉफ़्टवेयर से बना एक कंप्यूटर है, जो होस्टिंग कंपनी के नियंत्रण वाली असली मशीन पर चलता है। किराए पर मिले अपने हिस्से के अंदर आप काम सँभालते हैं। उस हिस्से को चलाने वाली मशीन कंपनी सँभालती है। नियंत्रण के ये दो अलग स्तर हैं।
आपके पास root है। उनके पास मशीन है।
Root आपके सर्वर के अंदर का एडमिन अकाउंट है। इससे आप प्रोग्राम इंस्टॉल कर सकते हैं, यूज़र सँभाल सकते हैं और सेटिंग बदल सकते हैं। इससे होस्टिंग कंपनी की असली मशीन आपके नियंत्रण में नहीं आ जाती। फ़्लैट आपके कब्ज़े में है। पूरी इमारत आपने नहीं ख़रीदी।
आम VPS व्यवस्था में, होस्टिंग कंपनी की मशीनों और स्टोरेज पर पर्याप्त अधिकार रखने वाला व्यक्ति वर्चुअल डिस्क की कॉपी बना सकता है और उसका बिना एन्क्रिप्शन वाला डेटा देख सकता है। इसके लिए उसे आपके सर्वर में लॉग इन करने की ज़रूरत नहीं। आपका पासवर्ड इस रास्ते में आता ही नहीं। वह उस सिस्टम के बाहर से डेटा तक पहुँच रहा है, जो पासवर्ड की जाँच करता है।
यह कोई गुप्त हैकिंग कला नहीं है। उदाहरण के लिए, libguestfs वर्चुअल मशीन की डिस्क इमेज देखने और बदलने के औज़ार देता है। ये नियमित रखरखाव में काम आते हैं। साथ ही एक असुविधाजनक बात साफ़ करते हैं: नीचे मौजूद स्टोरेज तक पहुँच और आपके नियंत्रण वाला लॉग इन, दो अलग चीज़ें हैं।
“हम नहीं देखेंगे” पर काफ़ी कुछ टिका है
होस्टिंग कंपनी के सख़्त नियम हो सकते हैं, कर्मचारियों की पहुँच सीमित हो सकती है और अच्छी निगरानी भी हो सकती है। इन सबकी अहमियत है। लेकिन “हमारे कर्मचारियों को आपकी फ़ाइलें पढ़ने की अनुमति नहीं है” और “हमारा सिस्टम उन्हें आपकी फ़ाइलें पढ़ने ही नहीं देता”, दो अलग वादे हैं। भरोसा दिलाने वाली गोपनीयता नीति, पढ़ी जा सकने वाली डिस्क को अपठनीय नहीं बना देती।
जोख़िम सिर्फ़ किसी जिज्ञासु कर्मचारी का नहीं है। कंपनी के होस्टिंग प्रबंधन सिस्टम में सेंध लगाने वाला व्यक्ति भी वे अधिकार पा सकता है, जो आपने उसे कभी दिए ही नहीं। आप अपने VPS के अंदर हर अकाउंट सुरक्षित कर लें, फिर भी बाहर मौजूद अकाउंटों की सुरक्षा पर निर्भर रहेंगे।
इसके लिए किसी साज़िश की ज़रूरत नहीं। आप कंपनी के लोगों, प्रक्रियाओं और ढाँचे पर भरोसा कर रहे हैं। अगर किराए पर लेते समय यही समझौता आपके मन में था, तो ठीक है। अगर “प्राइवेट” का मतलब आपने यह समझा था कि कोई और अंदर देख ही नहीं सकता, तो बात कुछ और निकली।
ताला आपका। दूसरी चाबी गोदाम के मैनेजर के पास।
मान लीजिए आपने गोदाम में एक कमरा किराए पर लिया। बढ़िया ताला लगाया, डिब्बे करीने से रखे और यह सोचकर निकल गए कि आपने पूरी सावधानी बरती है। मैनेजर के पास आपके कमरे में घुसने का दूसरा रास्ता है। पूछने पर वह बताता है कि आपकी अनुमति के बिना अंदर जाना कंपनी के नियमों के ख़िलाफ़ है।
बहुत ख़ूब। आपने पूछा था कि दरवाज़ा कौन खोल सकता है। जवाब मिला कि किसे शरीफ़ बने रहना चाहिए।
मैनेजर बिल्कुल ईमानदार हो सकता है। इससे दूसरी चाबी ग़ायब नहीं हो जाती। आप फिर भी जानना चाहेंगे कि उसे कौन इस्तेमाल कर सकता है, किसी और के हाथ लगने से उसे कौन रोकता है और उसके इस्तेमाल की ख़बर आपको मिलेगी भी या नहीं। “हम पर भरोसा कीजिए” एक अनुरोध है। उससे दरवाज़ा बंद नहीं होता।
वेबसाइट चलती रह सकती है। कोई उसकी कॉपी पढ़ता रह सकता है।
जानकारी की कॉपी बनाने के लिए मूल जानकारी मिटानी नहीं पड़ती। वर्चुअलाइज़ेशन सॉफ़्टवेयर चलते हुए सर्वर की डिस्क का स्नैपशॉट, यानी उस समय की कॉपी, बना सकता है। Libvirt के दस्तावेज़ इसे एक सामान्य सुविधा बताते हैं। बाद में उस कॉपी को अलग से देखा जा सकता है। चलती हुई वेबसाइट और हरा-भरा अपटाइम ग्राफ़ यह नहीं बताते कि उसका डेटा किसने देखा है।
इसमें ग्राहकों से हुई बातचीत, बिल, सोर्स कोड, अधूरा काम या कोई डेटाबेस हो सकता है। ट्रेडिंग बॉट के एक्सेस की जानकारी भी हो सकती है। समस्या सिर्फ़ क्रिप्टो या पासवर्ड रखने की जगह तक सीमित नहीं: जिस माहौल में आपका काम चल रहा है, उसमें कोई और भी झाँक सकता है।
सर्वर की उपलब्धता शानदार है। निजता पर अलग से बात करेंगे।
मालिक को अंदर देखने से असल में कौन रोकता है?
VPS को अपना निजी कंप्यूटर मानने से पहले यही सवाल पूछना चाहिए। सुरक्षा इस बात पर टिकी है कि कर्मचारी नियम मानेगा? या कोई तकनीकी रोक है, जिसे कंपनी आसानी से पार नहीं कर सकती? और उस रोक का नियंत्रण किसके पास है?
ऐसी तकनीकें मौजूद हैं जो होस्टिंग कंपनी पर भरोसे की ज़रूरत कम करती हैं। उदाहरण के लिए, confidential virtual machines हार्डवेयर की सुरक्षा सुविधाओं की मदद से चल रहे सॉफ़्टवेयर को होस्टिंग कंपनी के नियंत्रण वाले सिस्टम से अलग रखती हैं। सुरक्षा कितनी होगी, यह कॉन्फ़िगरेशन पर निर्भर करता है — डिस्क और एन्क्रिप्शन की चाबियाँ कैसे सँभाली गई हैं, यह भी मायने रखता है। सिर्फ़ VPS लिखा होने से इनमें से किसी चीज़ का वादा नहीं हो जाता।
कंप्यूटिंग क्षमता किराए पर लेना उपयोगी है। ग़लती यह मानने में है कि एडमिन अधिकार मिलते ही किसी और के कंप्यूटर पर सिर्फ़ आपका नियंत्रण हो गया। मशीन अब भी कंपनी चलाती है। वह अंदर देख सकती है या नहीं, यह जान लेना चाहिए। सिर्फ़ भरोसा कर लेना काफ़ी नहीं।