ज़्यादातर फ़ोन में ड्यूरेस PIN नहीं होता, इसलिए हमने Morse Messenger में इमरजेंसी इरेज़ बनाया

ड्यूरेस PIN (duress PIN), यानी दबाव में डाला जाने वाला PIN, एक दूसरा अनलॉक कोड है। आप इसे अपने सामान्य कोड के साथ सेट करते हैं। अगर कभी कोई आप पर फ़ोन अनलॉक करने का दबाव डाले, तो आप उसकी जगह ड्यूरेस PIN डालते हैं, और फ़ोन खुलने के बजाय खुद को मिटा देता है।

इसके पीछे का विचार सीधा है। एंड-टू-एंड एन्क्रिप्शन आपके संदेशों को रास्ते में बचाता है, और लॉक फ़ोन उन्हें तब बचाता है जब वे उस पर रखे होते हैं। पर जैसे ही कोई आपसे फ़ोन अनलॉक करवा ले, दोनों में से कोई काम नहीं आता। उस पल, मिटाना ही इकलौती बची हुई सुरक्षा है।

और बात सिर्फ़ आपकी नहीं है। आपकी चैट में दूसरे लोगों की बातें भी होती हैं: वह दोस्त जिसने भरोसा करके आपको कुछ बताया, आपका परिवार, आपके साथ काम करने वाले लोग। मिटाना उन्हें भी बचाता है।

कुछ पल जब यह मायने रखता है:

• कोई आपका खुला फ़ोन छीन ले, या आपसे उसे खुलवाए।
• ऐसा पार्टनर जो आपका फ़ोन जाँचता है। कंट्रोल करने वाले रिश्ते में फँसे किसी व्यक्ति के लिए, फ़ोन पर किसी दोस्त या मददगार के साथ की चैट होना खतरनाक हो सकता है।
• पत्रकार, एक्टिविस्ट और हर वह व्यक्ति जिस पर लोग किसी संवेदनशील बात के लिए भरोसा करते हैं। अगर आप सूत्रों के साथ काम करते हैं, तो पत्रकारों के लिए मैसेजिंग पर हमारी गाइड बाकी बातें बताती है।

लगभग पक्का नहीं। Pixel फ़ोन के लिए एक वैकल्पिक Android सिस्टम, GrapheneOS, ने 2024 में इसे जोड़ा। फ़ोन जहाँ भी अपना PIN माँगे, वहाँ इसे डालने पर यह, GrapheneOS के अपने शब्दों में, “डिवाइस को हमेशा के लिए मिटा देगा”।

iPhone, Samsung फ़ोन और Google के अपने सॉफ़्टवेयर वाले Pixel में ऐसा कुछ नहीं है। iPhone पर इसके सबसे करीब एक सेटिंग है, जो 10 बार गलत पासकोड डालने पर उसे मिटा देती है, पर यह तब काम नहीं आती जब कोई आपसे सही पासकोड डलवाए। और पूरा फ़ोन मिटाने पर सब कुछ साथ चला जाता है: आपके फ़ोटो, आपके दूसरे ऐप, सब कुछ।

मैसेजिंग ऐप भी ज़्यादातर यह कमी पूरी नहीं करते। ज़्यादातर ऐप सिर्फ़ ऐप के अंदर से अपना खाता डिलीट करने या चैट साफ़ करने देते हैं, और जिन लोगों से आपने बात की, उनके पास आम तौर पर उनकी कॉपी रह जाती है।

इसलिए हमने इसे Morse में बनाया। इमरजेंसी इरेज़ डिफ़ॉल्ट रूप से बंद रहता है, क्योंकि सब कुछ मिटा देने वाला बटन ऐसा नहीं होना चाहिए जो गलती से दब जाए। इसे चालू करने के लिए:

1. 1आप वाला टैब खोलें, फिर गोपनीयता & सुरक्षा।
2. 2पैनिक बटन पर टैप करें। हमारे अगले अपडेट में इसे नया नाम मिलेगा: इमरजेंसी इरेज़।
3. 3पैनिक बटन दिखाएँ चालू करें। चाहें तो साथ में सहेजे गए फ़ोटो और वीडियो भी मिटाएँ चालू करें।

उसके बाद से ऐप में और Morse की लॉक स्क्रीन पर एक मिटाने वाला बटन दिखता है। दो टैप सब कुछ मिटा देते हैं: वह बटन, फिर सब कुछ मिटाएँ। आपको पहले Morse अनलॉक करने की ज़रूरत नहीं।

Morse iPhone के लिए उपलब्ध है। इमरजेंसी इरेज़ Android ऐप में भी है, जो जल्द आ रहा है।

कुछ ही सेकंड में:

1. 1Morse हमारे सर्वर से आपका खाता डिलीट करने को कहता है, जब तक आपके फ़ोन में कनेक्शन है।
2. 2यह वह कुंजी नष्ट कर देता है जो Morse का डेटाबेस खोलती है। उसमें मौजूद हर संदेश और हर संपर्क एक साथ पढ़ने लायक नहीं रहता।
3. 3यह डेटाबेस फ़ाइलें और वह सब कुछ डिलीट करता है जो कुंजी के दायरे में नहीं आता: आपके खोले हुए फ़ोटो और वीडियो, वॉइस और कैमरा रिकॉर्डिंग, अस्थायी फ़ाइलें, आपकी स्क्रीन पर दिख रहे नोटिफ़िकेशन, ऐप का बैज, और आपका क्लिपबोर्ड, अगर उसमें अब भी Morse में कॉपी की गई कोई चीज़ हो।
4. 4यह जाँचता है कि कुछ बचा तो नहीं, और जो कुछ बच गया हो, उसे फिर से मिटाता है।
5. 5आपके संपर्कों के फ़ोन उनके साथ आपकी वन-टू-वन चैट हटा देते हैं, और आपको अपने संपर्कों से भी।

फिर Morse अपनी वेलकम स्क्रीन पर लौट आता है, जैसे अभी-अभी इंस्टॉल हुआ हो। वापस लाने के लिए भी कुछ नहीं बचता: Morse का डेटा खोलने वाली कुंजियाँ सिर्फ़ आपके फ़ोन के लिए स्टोर होती हैं, इसलिए उसका बैकअप भी किसी दूसरे डिवाइस पर पढ़ा नहीं जा सकता।

फ़ाइलें डिलीट करने के बजाय कुंजी नष्ट क्यों? फ़ोन की फ़्लैश स्टोरेज में फ़ाइल डिलीट करने से वह भरोसेमंद तरीके से हटती नहीं। चिप अपना लिखा हुआ डेटा अलग-अलग जगहों पर फैलाती है ताकि वह बराबर घिसे, इसलिए पुराना डेटा ऐसी जगहों पर रह सकता है जहाँ कोई ऐप नहीं पहुँच सकता। इसलिए Morse डिलीट करने पर निर्भर नहीं रहता। इसका डेटाबेस आपके फ़ोन पर एन्क्रिप्टेड रहता है, एक ऐसी कुंजी से जो फ़ोन की सुरक्षित कुंजी स्टोरेज में रखी होती है। वह कुंजी नष्ट कर दें, और चिप पर जो कुछ बचा है वह बस बेमतलब शोर है। इसे क्रिप्टो-इरेज़ कहते हैं, और दस हज़ार संदेशों में भी इसमें उतना ही समय लगता है जितना दस में।

पर क्या वह कुंजी भी उसी चिप पर रखा कुछ और डेटा ही नहीं है? सवाल वाजिब है, और इसका जवाब है PIN लॉक। Morse का PIN लॉक चालू होने पर, डेटाबेस की कुंजी खुद दो बार लॉक होती है: आपके PIN से, और एक ऐसी कुंजी से जो iPhone पर Secure Enclave या Android पर Android Keystore के पास रहती है, और जिसे कभी फ़ोन से बाहर कॉपी नहीं किया जा सकता। मिटाते समय वह हार्डवेयर कुंजी भी डिलीट हो जाती है। इसलिए अगर डेटाबेस की कुंजी की कोई लॉक की हुई कॉपी चिप पर कहीं रह भी जाए, तो उसे खोल सकने वाली कोई चीज़ अब बची ही नहीं है।

यह लॉक स्क्रीन पर क्यों चल सकता है? क्योंकि कुंजी नष्ट करने के लिए किसी कुंजी की ज़रूरत नहीं होती। मिटाते समय डेटाबेस कभी खोला नहीं जाता, इसलिए Morse यह आपके PIN के बिना कर सकता है। Morse लॉक होने पर मिटाने को बस एक चीज़ चाहिए: हमारे सर्वर पर आपका खाता डिलीट करने की अनुमति। इसके लिए Morse एक डिलीशन टोकन रखता है, जिसे लॉक होने पर भी पढ़ा जा सकता है। यह सिर्फ़ खाता डिलीट करने के काम आता है: इससे कुछ भी पढ़ा या भेजा नहीं जा सकता।

सर्वर पहले क्यों: आपके संपर्कों के फ़ोन को आपके चले जाने का पता सिर्फ़ हमारे सर्वर से चलता है। इसलिए Morse पहले सर्वर से कहता है, जब तक आपका फ़ोन कनेक्टेड है, और बस थोड़ी देर इंतज़ार करता है। धीमा नेटवर्क आपके फ़ोन पर मिटाने को कभी नहीं रोकता: अगर कोई जवाब न आए, तो भी आपका फ़ोन मिटा दिया जाता है।

इन सबसे पहले, Morse बैकग्राउंड में चल रहा अपना हर काम रोक देता है, ताकि मिटाने के बीच कोई नया डेटा न लिखे। फिर खाता जाता है, फिर कुंजी, फिर फ़ाइलें, फिर जाँच।

सहेजे गए फ़ोटो सबसे मुश्किल हिस्सा थे। iPhone “इस ऐप के सहेजे हुए फ़ोटो” की सूची नहीं दे सकता, इसलिए Morse हर फ़ोटो सहेजते समय अपनी खुद की सूची रखता है और उन्हें डिलीट करने के लिए उसी सूची का इस्तेमाल करता है। iOS फ़ोटो डिलीट करने की पुष्टि माँगता है, यह Apple का नियम है, इसलिए Morse पहले आपकी चैट मिटाता है और वह सवाल किसी चीज़ को रोक नहीं पाता। Android 10 और उसके बाद के वर्शन पर, Morse अपने फ़ोल्डरों में सहेजे गए फ़ोटो और वीडियो डिलीट कर देता है।

अगर आप पूरी तस्वीर देखना चाहते हैं कि Morse आपका डेटा कैसे स्टोर करता है और उसे कैसे बचाता है, तो वह हमारे सुरक्षा व्हाइट पेपर (अंग्रेज़ी में) में है।

मिटाना सुनने में आसान लगता है: सब कुछ डिलीट कर दें। ज़्यादातर मेहनत उन जगहों में लगी जहाँ “सब कुछ” छिपा रहता है, और उन चीज़ों में जो रास्ते में आ सकती हैं:

• मिटाने के बीच में कोई संदेश आ सकता है। iPhone पर नोटिफ़िकेशन एक छोटी, अलग प्रोसेस संभालती है, जो किसी भी पल जाग सकती है, और डेटाबेस नष्ट होते समय उसका सहेजा हुआ कोई संदेश बचा रह सकता था। इसलिए कुछ भी डिलीट होने से पहले, मिटाने की प्रक्रिया उस प्रोसेस से लिखना बंद करने को कहती है।
• सफ़ाई का कुछ हिस्सा फ़ोन की अपनी सेवाओं से होकर जाता है: ऐप का बैज हटाना, आपकी स्क्रीन पर दिख रहे नोटिफ़िकेशन, और वे सुझाव जो आपके फ़ोन ने आपकी चैट से सीखे। ये सेवाएँ जवाब देने में धीमी हो सकती हैं। इनमें से किसी को भी मिटाने को रोकने नहीं दिया जाता: हर एक को थोड़ा-सा समय मिलता है, और फिर मिटाना आगे बढ़ जाता है।
• जब तक कोई चीज़ किसी फ़ाइल की ओर इशारा करती है, तब तक वह फ़ाइल गई नहीं होती। वीडियो चलाने के लिए ऐप डिक्रिप्ट की गई फ़ाइलों के अतिरिक्त लिंक बनाता है, इसलिए सिर्फ़ मीडिया फ़ोल्डर डिलीट करने से वे वीडियो फ़ोन पर रह जाते। इसके बजाय, मिटाने की प्रक्रिया पूरे अस्थायी फ़ोल्डर को खाली कर देती है, उसमें जो भी हो।
• Morse के सहेजे गए फ़ोटो मिटाने के लिए iPhone पर आपकी फ़ोटो लाइब्रेरी तक पूरी पहुँच चाहिए, जो Morse वैसे कभी नहीं माँगता। इसीलिए यह एक अलग स्विच है: यह पहुँच आप तभी देते हैं जब आप चाहते हैं कि वे फ़ोटो भी मिटें।

मिटाना उतना ही अच्छा होता है जितनी उसकी सूची। एक मैसेंजर चीज़ों को आपकी सोच से ज़्यादा जगहों पर रखता है: डेटाबेस, फ़ोन की कुंजी स्टोरेज, सेटिंग्स, कैश, अस्थायी फ़ाइलें, ऐप के वे हिस्से जो बैकग्राउंड में चलते हैं। इनमें से हर एक, iPhone और Android दोनों पर, एक ही सूची में है, टेस्ट के साथ।

यह सूची तभी पीछे छूट सकती है जब ऐप बढ़ता है, इसलिए हमने इसे भूलना मुश्किल बना दिया: हमारे कोडबेस का एक नियम कहता है कि डेटा स्टोर करने की कोई भी नई जगह तब तक रिलीज़ नहीं होती, जब तक उसे उसी बदलाव में, एक टेस्ट के साथ, मिटाने की प्रक्रिया में न जोड़ा जाए।

और मिटाने की प्रक्रिया कभी यह मानकर नहीं चलती कि वह सफल रही। काम पूरा होने पर, वह सूची की हर चीज़ जाँचती है, और जो कुछ अब भी बचा हो, उसे फिर से मिटाती है।

हमारी तरफ़, मिटाने से आपका खाता और उससे जुड़ी हर चीज़ डिलीट हो जाती है: आपकी कुंजियाँ, आपको डिलीवर होने का इंतज़ार कर रहे संदेश, आपका पुश रजिस्ट्रेशन, आपकी एन्क्रिप्टेड प्रोफ़ाइल और फ़ोटो, आपके पेंडिंग संपर्क अनुरोध, और ग्रुप में आपकी प्रोफ़ाइल। फिर सर्वर आपके संपर्कों के फ़ोन को बताता है कि आप चले गए हैं।

आपकी App Store सब्सक्रिप्शन का रिकॉर्ड बना रहता है, इस्तेमाल हो चुका चिह्नित करके और आपकी Morse ID से अलग करके, इसलिए उसे किसी नए खाते में नहीं ले जाया जा सकता। आपके संदेश तो शुरू से ही हमारे सर्वर पर पढ़े नहीं जा सकते थे: वह सिर्फ़ एन्क्रिप्टेड संदेश आगे पहुँचाता है।

सबसे बुरे पल में पता चलने से अच्छा है कि सीमाएँ अभी जान लें:

इसे वापस नहीं किया जा सकता। खाता चला जाता है, और आपको नया खाता बनाना होगा।

इमरजेंसी इरेज़ उस पल से पहले के समय के लिए है। ड्यूरेस PIN उसी पल के लिए है: Morse की लॉक स्क्रीन के लिए एक दूसरा PIN, जिसे आप तब डाल सकते हैं जब कोई आपसे ऐप खुलवाए, और जो ऐप खोलने के बजाय सब कुछ मिटा देता है। यह आने वाले किसी अपडेट में आएगा।

तब तक, दो चीज़ें दाँव पर लगी चीज़ों को कम रखती हैं। ज़रूरी चैट के लिए गायब होने वाले संदेश चालू करें, ताकि शुरू से ही आपके फ़ोन पर कम चीज़ें रहें। और Morse में कोई लिंक किया गया डिवाइस नहीं होता, इसलिए आपका फ़ोन हाथ में होने पर कोई चुपचाप एक डिवाइस जोड़कर दूसरे फ़ोन से आपके संदेश पढ़ नहीं सकता।