क्या क्लिपबोर्ड मैनेजर आपके पासवर्ड देख सकते हैं?

तकनीकी रूप से, हाँ। macOS का क्लिपबोर्ड पढ़ने वाला कोई भी ऐप आपके कॉपी किए पासवर्ड को पढ़ सकता है, और क्लिपबोर्ड मैनेजर ठीक ऐसा ही ऐप होता है। व्यवहार में, नियमों का पालन करने वाले क्लिपबोर्ड मैनेजर उन सभी आइटम को छोड़ देते हैं जिन्हें पासवर्ड मैनेजर “concealed” (छिपा हुआ) के रूप में फ़्लैग करता है, और Maccy जैसा लोकल-फ़र्स्ट, ओपन-सोर्स मैनेजर जो कुछ भी कैप्चर करता है उसे कभी आपके Mac से बाहर नहीं भेजता।

मिथक: “क्लिपबोर्ड प्राइवेट होता है”

ऐसा नहीं है। macOS का pasteboard पूरे सिस्टम में साझा एक स्क्रैचपैड है। जब आप Cmd+C दबाते हैं, तो डेटा एक general pasteboard में चला जाता है जिसे दूसरे ऐप पढ़ सकते हैं। ऐसा कोई आइटम-स्तर का एक्सेस कंट्रोल नहीं है जो कहे कि “सिर्फ़ वही ऐप इसे देखे जिसमें मैं पेस्ट कर रहा हूँ।”

यही डिज़ाइन क्लिपबोर्ड मैनेजर को संभव बनाता है। इसका मतलब यह भी है कि सवाल यह नहीं है कि क्लिपबोर्ड मैनेजर आपके पासवर्ड देख सकता है या नहीं। सवाल यह है कि देखने के बाद वह उनका क्या करता है। यह तीन बातों पर निर्भर है: कॉपी को संवेदनशील के रूप में फ़्लैग किया गया है या नहीं, ऐप उस फ़्लैग का सम्मान करता है या नहीं, और ऐप अपनी हिस्ट्री कहाँ स्टोर करता है।

क्लिपबोर्ड मैनेजर आपकी कॉपी की हुई चीज़ें “देखता” कैसे है?

क्लिपबोर्ड मैनेजर आमतौर पर pasteboard में होने वाले बदलावों पर नज़र रखते हैं। जैसे ही change counter बढ़ता है, ऐप नई सामग्री पढ़ता है और अपने नियमों के हिसाब से उसकी एक कॉपी अपनी हिस्ट्री में सेव कर लेता है, ताकि आप उसे बाद में पेस्ट कर सकें।

इस पूरी प्रक्रिया में पासवर्ड और किराने की सूची में कोई फ़र्क़ नहीं किया जाता। टेक्स्ट बस एक स्ट्रिंग है। दोनों के बीच का अंतर वह मेटाडेटा तय करता है जो स्रोत ऐप उसके साथ जोड़ता है।

Concealed और transient pasteboard टाइप

कम्युनिटी की एक अनौपचारिक परिपाटी (जो nspasteboard.org पर दर्ज है) ऐप्स को क्लिपबोर्ड सामग्री पर अतिरिक्त pasteboard टाइप लगाने देती है:

1Password और Bitwarden जैसे प्रमुख पासवर्ड मैनेजर आम तौर पर क्रेडेंशियल कॉपी करते समय concealed फ़्लैग सेट करने के लिए जाने जाते हैं । इस परिपाटी का सम्मान करने वाला क्लिपबोर्ड मैनेजर फ़्लैग देखकर उस आइटम को छोड़ देता है। यह परिपाटी स्वैच्छिक है, इसलिए दोनों पक्षों को सहयोग करना पड़ता है।

क्या Maccy पासवर्ड रिकॉर्ड करता है?

Maccy App डिफ़ॉल्ट रूप से concealed, transient या auto-generated के रूप में चिह्नित क्लिपबोर्ड आइटम को नज़रअंदाज़ करता है। यानी किसी सहयोगी पासवर्ड मैनेजर से कॉपी किया गया पासवर्ड आपकी हिस्ट्री में नहीं दिखना चाहिए।

अगर आप उम्मीद के बजाय भरोसा चाहते हैं, तो कुछ बातें मायने रखती हैं:

• यह लोकल-फ़र्स्ट है। Maccy आपकी हिस्ट्री आपके Mac पर ही रखता है। इसमें न क्लाउड सिंक है, न अकाउंट, और न कोई सर्वर जो आपका क्लिपबोर्ड हासिल करे। अपडेट चेक एक अलग मामला है और क्लिपबोर्ड डेटा से उसका कोई संबंध नहीं ।
• यह ओपन सोर्स है। कोड GitHub पर सार्वजनिक है, इसलिए ऊपर के दावों को आँख मूँदकर मानने के बजाय खुद जाँचा जा सकता है।
• यह कॉन्फ़िगर किया जा सकता है। आप तय कर सकते हैं कि उसे क्या छोड़ना है, जिसकी चर्चा अगले सेक्शन में है।

कमज़ोरी: बिना फ़्लैग वाले पासवर्ड

यह सुरक्षा सिर्फ़ उन्हीं चीज़ों को कवर करती है जिन्हें स्रोत ऐप चिह्नित करता है। अगर आप पासवर्ड किसी सादे टेक्स्ट नोट, स्प्रेडशीट, टर्मिनल, ईमेल या चैट मैसेज से कॉपी करते हैं, तो क्लिपबोर्ड मैनेजर को कुछ नहीं बताता कि वह संवेदनशील है। वह किसी भी दूसरी स्ट्रिंग जैसा दिखता है और सेव हो जाता है।

फ़्लैग वाले तरीक़े की यही ईमानदार सीमा है। यहाँ आपकी आदतें उतनी ही मायने रखती हैं जितना ऐप।

पासवर्ड के लिए Maccy को कैसे लॉक-डाउन करें

Maccy Mac की सेटिंग खोलें और Ignore टैब देखें। लेबल अलग-अलग वर्ज़न में थोड़े बदल सकते हैं, इसलिए अपने इंस्टॉल किए गए बिल्ड से मिलान कर लें ।

1. ख़ास ऐप्लिकेशन को ignore करें। अपना पासवर्ड मैनेजर जोड़ें (और वह हर ऐप जो सीक्रेट संभालता है, जैसे SSH या API कुंजी वाला टूल)। जब ये ऐप सबसे आगे (frontmost) हों, तब की गई कॉपी छोड़ दी जाती है, भले ही ये ऐप concealed फ़्लैग लगाना भूल जाएँ।
2. ignore किए गए pasteboard टाइप की समीक्षा करें। पक्का करें कि concealed और transient टाइप अब भी सूची में हैं। बिना वजह इन्हें न हटाएँ।
3. रेगुलर एक्सप्रेशन फ़िल्टर इस्तेमाल करें। Maccy ऐसे कॉपी किए गए टेक्स्ट को ignore करने की सुविधा देता है जो किसी regex से मेल खाता हो। यह अनुमान लगाने लायक़ सीक्रेट के लिए काम आता है। मिसाल के तौर पर, ^sk-[A-Za-z0-9]{20,}$ कई API कुंजियों जैसी दिखने वाली स्ट्रिंग को छोड़ देगा। किसी भी पैटर्न पर भरोसा करने से पहले उसे अपने फ़ॉर्मैट पर आज़माएँ, क्योंकि ढीला regex उन चीज़ों को भी छिपा सकता है जो आप रखना चाहते थे।
4. संवेदनशील सत्र के बाद हिस्ट्री साफ़ करें। Maccy के मेन्यू में Clear विकल्प है। जब आपने ऐसे स्रोतों से क्रेडेंशियल संभाले हों जो फ़्लैग नहीं लगाते, तब इसका इस्तेमाल करें ।
5. ख़ास काम के लिए हिस्ट्री बंद रखें। अगर आप एक साथ कई सीक्रेट पेस्ट करने वाले हैं, तो कैप्चर रोक देना या संबंधित ऐप को ignore करना बाद में सफ़ाई करने से बेहतर है।

कौन-से क्लिपबोर्ड मैनेजर ज़्यादा जोखिम भरे हैं?

जोखिम श्रेणी से नहीं, आर्किटेक्चर से आता है। उन सवालों की तुलना करें जो मायने रखते हैं:

सिंक की गई क्लिपबोर्ड हिस्ट्री का मतलब है कि आपके पासवर्ड, अगर कैप्चर हुए, तो अब किसी और के सर्वर पर रहते हैं। ट्रांज़िट में एन्क्रिप्शन होने के बावजूद यह हमले की एक अतिरिक्त सतह जोड़ देता है, जो सिर्फ़ लोकल टूल में होती ही नहीं। यह दावा नहीं है कि कोई ख़ास प्रतिद्वंद्वी डेटा का ग़लत इस्तेमाल करता है। बात बस इतनी है कि किसी भी क्लिपबोर्ड मैनेजर में सबसे पहले यह जाँचना चाहिए कि हिस्ट्री आपके डिवाइस से बाहर जाती है या नहीं।

मैलवेयर और दूसरे ऐप्स का क्या?

यह कहीं बड़ा थ्रेट मॉडल है, और इसका क्लिपबोर्ड मैनेजर से कोई लेना-देना नहीं। चूँकि pasteboard को आपके यूज़र के तहत चलने वाली कोई भी प्रोसेस पढ़ सकती है, इसलिए दुर्भावनापूर्ण सॉफ़्टवेयर भी उसे उतनी ही आसानी से पोल कर सकता है। क्लिपबोर्ड-हाइजैक करने वाला मैलवेयर मौजूद है, ख़ासकर क्रिप्टोकरेंसी एड्रेस को निशाना बनाने वाला।

Apple इस मामले में सख़्ती बढ़ा रहा है। हाल के macOS रिलीज़ में ऐसी चेतावनियाँ या नियंत्रण आए हैं जो तब दिखते हैं जब कोई ऐप यूज़र की किसी क्रिया के बिना प्रोग्रामैटिक तरीक़े से pasteboard पढ़ता है, और यह व्यवहार वर्ज़न के अनुसार अलग है । इन प्रॉम्प्ट में आपके क्लिपबोर्ड मैनेजर का नाम आ सकता है, क्योंकि वह pasteboard को लगातार पढ़ता रहता है। इस तरह के ऐप के लिए यह अपेक्षित है, कुछ गड़बड़ होने का संकेत नहीं।

दो और बातें:

• Universal Clipboard। अगर Handoff चालू है, तो कॉपी की गई सामग्री iCloud के एन्क्रिप्टेड ट्रांसपोर्ट से आपके Apple डिवाइसों के बीच जा सकती है। यह Apple की अपनी सुविधा है, किसी भी क्लिपबोर्ड मैनेजर से स्वतंत्र।
• पासवर्ड मैनेजर में ऑटो-क्लियर। कई पासवर्ड मैनेजर थोड़ी देर बाद क्लिपबोर्ड मिटा देते हैं। इससे बाद में क्लिपबोर्ड पढ़ने वाले से बचाव होता है, लेकिन जिस क्लिपबोर्ड मैनेजर ने आइटम पहले ही कैप्चर कर लिया था, उस पर इसका असर नहीं पड़ता। इसीलिए concealed फ़्लैग इतना अहम है।

पासवर्ड संभालने की एक समझदार दिनचर्या

सुरक्षित रहने के लिए क्लिपबोर्ड हिस्ट्री छोड़ना ज़रूरी नहीं। कुछ आदतें ज़्यादातर जोखिम को कवर कर लेती हैं:

1. जब भी संभव हो, कॉपी-पेस्ट के बजाय अपने पासवर्ड मैनेजर का ऑटोफ़िल इस्तेमाल करें। ऑटोफ़िल अक्सर क्लिपबोर्ड को पूरी तरह बायपास कर देता है।
2. अपने पासवर्ड मैनेजर को क्लिपबोर्ड मैनेजर की ignore लिस्ट में जोड़ें।
3. सादी टेक्स्ट फ़ाइलों, चैट या नोट्स से सीक्रेट कॉपी करने से बचें। अगर करना ही पड़े, तो बाद में हिस्ट्री साफ़ करें।
4. ऐसा क्लिपबोर्ड मैनेजर चुनें जो डेटा लोकल रखता हो और जिसका कोड आप खुद पढ़ सकें।
5. macOS को अपडेट रखें, क्योंकि pasteboard की प्राइवेसी सुरक्षाएँ अभी विकसित हो रही हैं।

अक्सर पूछे जाने वाले सवाल (FAQ)

क्या क्लिपबोर्ड मैनेजर मेरे पासवर्ड चुरा सकता है?

भरोसेमंद मैनेजर ऐसा नहीं करेगा, लेकिन क्लिपबोर्ड पढ़ने वाले किसी भी ऐप के पास तकनीकी रूप से यह देखने की क्षमता होती है कि आप क्या कॉपी करते हैं। लोकल-फ़र्स्ट, ओपन-सोर्स टूल, जिसका कोड आप जाँच सकते हैं, सबसे सुरक्षित विकल्प है, क्योंकि डेटा के जाने की कोई जगह ही नहीं है।

क्या Maccy 1Password या Bitwarden के पासवर्ड सेव करता है?

डिफ़ॉल्ट रूप से यह concealed चिह्नित आइटम को छोड़ देता है, जिसे ये पासवर्ड मैनेजर आम तौर पर सेट करते हैं । ज़्यादा निश्चिंत होने के लिए इन्हें Maccy Clipboard की ignored applications सूची में जोड़ दें।

क्या मेरी क्लिपबोर्ड हिस्ट्री एन्क्रिप्टेड है?

यह ऐप और आपके सिस्टम पर निर्भर करता है। FileVault चालू होने पर Mac पर स्टोर डेटा बाक़ी डिस्क के साथ सुरक्षित रहता है। कोई क्लिपबोर्ड मैनेजर अपना अलग एन्क्रिप्शन जोड़ता है या नहीं, यह हर ऐप के लिए अलग से जाँचने वाली बात है ।

क्या दूसरे ऐप Mac पर मेरी कॉपी की हुई चीज़ें पढ़ सकते हैं?

हाँ। pasteboard पूरे सिस्टम में साझा है, हालाँकि हाल के macOS रिलीज़ ने प्रोग्रामैटिक रीड के आसपास नोटिस या नियंत्रण जोड़ना शुरू किया है, और यह व्यवहार आपके वर्ज़न पर निर्भर करता है।

पासवर्ड वाली क्लिपबोर्ड हिस्ट्री कैसे हटाएँ?

अपने क्लिपबोर्ड मैनेजर का clear फ़ंक्शन इस्तेमाल करें और जहाँ सुविधा हो, अलग-अलग एंट्री भी हटाएँ। Maccy में यह मेन्यू का Clear विकल्प है। उसके बाद कोई हानिरहित चीज़ कॉपी कर लें, ताकि लाइव क्लिपबोर्ड में सीक्रेट न बचे।

निचोड़

क्लिपबोर्ड मैनेजर आपके पासवर्ड उसी वजह से देख सकते हैं जिस वजह से हर दूसरा ऐप देख सकता है: macOS का क्लिपबोर्ड साझा है। आपकी सुरक्षा परतों वाले सेटअप से होती है: आपके पासवर्ड मैनेजर का concealed-टाइप फ़्लैग, एक ignore लिस्ट, सिर्फ़ लोकल स्टोरेज, और जोखिम भरे सत्रों के बाद हिस्ट्री साफ़ करने की आदत। जिस टूल की आप जाँच कर सकें और जो कभी बाहर संपर्क नहीं करता, वह सबसे बड़ी अनजानी चीज़ को हटा देता है।

अपना सेटअप जल्दी जाँचना हो, तो अपने पासवर्ड मैनेजर से कोई पासवर्ड कॉपी करें, फिर अपनी क्लिपबोर्ड हिस्ट्री खोलें। अगर वह वहाँ नहीं है, तो फ़्लैग काम कर रहा है। आप किन स्रोतों से संवेदनशील टेक्स्ट कॉपी करते हैं जो शायद वह फ़्लैग सेट न करते हों?