VPN एक वैध टूल है: आपके SaaS के लिए क्या बदलता है

मेरे एक क्लाइंट ने अपने सिस्टम के पैनल में VPN से आने वाले सारे एक्सेस ब्लॉक कर दिए. आइडिया अच्छा लगता था: अगर बंदा अपना IP छिपा रहा है, तो शक होना चाहिए. दो हफ्ते बाद, सेल्स टीम ऑफिस के अंदर से ही लॉगिन नहीं कर पा रही थी, क्योंकि कंपनी ने अभी अभी सबके लिए कॉर्पोरेट VPN लगाया था. सपोर्ट सर्कस बन गया. और वह "सुरक्षा ब्लॉक" शुक्रवार रात को आनन फानन में बंद कर दिया गया.

यह कहानी अभी मेरे दिमाग में फिर लौटी, क्योंकि एक यूरोपीय कोर्ट ने तय किया कि VPN वैध तकनीक है. बस इतना सा. VPN इस्तेमाल करना अपराध का संकेत नहीं है, कानून से बचने का रास्ता नहीं है, और परिभाषा से पाइरेसी भी नहीं है. यह एक तटस्थ टूल है, जैसे कार या टेलीफोन. अगर कोई इसका इस्तेमाल करके गलत काम करता है, तो समस्या गलत काम है, टूल नहीं. यह दूर की कानूनी बारीकी लगती है, लेकिन इसका सीधा असर इस पर पड़ता है कि आप अपने प्रोडक्ट में एक्सेस के नियम, जियोब्लॉकिंग और एंटीफ्रॉड कैसे बनाते हैं.

कोर्ट ने क्या तय किया, सीधी भाषा में

मामला कॉपीराइट धारकों का था, जो VPN प्रोवाइडर्स पर जिम्मेदारी डालना चाहते थे. उनका तर्क था कि VPN कंटेंट ब्लॉक को तोड़ने के काम आता है. कोर्ट ने यह नहीं माना. समझ यह बनी कि VPN के व्यापक वैध इस्तेमाल हैं: प्राइवेसी, काम के लिए रिमोट एक्सेस, पब्लिक वाई फाई पर सुरक्षा, कॉर्पोरेट डेटा की सुरक्षा. हर VPN यूजर को अपराधी मानना यानी अल्पसंख्यक के व्यवहार के लिए बहुसंख्यक को सजा देना.

इससे एक व्यावहारिक वजन वाला उदाहरण बनता है. अगर एक अदालत मानती है कि तकनीक वैध है, तो अंदरूनी तौर पर "VPN यानी जोखिम, ब्लॉक करो" वाली नीति टिकाना बहुत मुश्किल हो जाता है. अब आप सिर्फ टेक्निकल दायरे में नहीं हैं. आप उस दायरे में हैं जहाँ किसी वैध यूजर की नीयत पर शक करना कंप्लायंस और कॉन्ट्रैक्ट की समस्या बन सकता है.

VPN ब्लॉक करना सुरक्षा नहीं है. यह सुरक्षा के नाम पर बेची गई रुकावट है.

अगर आप सॉफ्टवेयर बेचते हैं तो यह क्यों मायने रखता है

अगर आपके बिजनेस में लॉगिन, पैनल, क्लाइंट एरिया या API है, तो शायद आपके पास कोई न कोई नियम है जो IP देखता है. शायद जियोब्लॉकिंग ("सिर्फ ब्राजील से एक्सेस"). शायद रिस्क स्कोर जो डेटासेंटर IP को पेनल्टी देता है. शायद "संदिग्ध एक्सेस" वाला अलर्ट जो जियोलोकेशन बदलते ही ईमेल भेज देता है.

ये सारे नियम VPN के साथ फॉल्स पॉजिटिव देते हैं. और यहाँ वह बात है जिसे बहुत लोग नजरअंदाज करते हैं: VPN का सबसे ज्यादा इस्तेमाल वही अच्छा कॉर्पोरेट क्लाइंट करता है. गंभीर सुरक्षा नीति वाली कंपनी सबको VPN के पीछे रखती है. लॉ फर्म, अकाउंटिंग ऑफिस, क्लिनिक, कोई भी जगह जो संवेदनशील डेटा संभालती है. आप ठीक उसी क्लाइंट के लिए रुकावट बना देते हैं जो सबसे ज्यादा पैसा देता है और सबसे कम शिकायत करता है, उस दिन तक जब वह शिकायत करता है और कैंसिल कर देता है.

कुछ असली मामले जो मैंने देखे हैं:

• एक मैनेजमेंट सिस्टम जो हर IP बदलने पर ईमेल से दोबारा पुष्टि माँगता था. रोटेटिंग निकास वाले कॉर्पोरेट VPN पर बैठा यूजर यह दिन में तीन चार बार झेलता था.
• एक चेकआउट जो ब्राजील के बाहर के IP से पेमेंट मना कर देता था. काम के सिलसिले में यात्रा कर रहा क्लाइंट, कंपनी के VPN से मियामी होकर निकलते हुए, अपनी सब्सक्रिप्शन रिन्यू नहीं कर पाया.
• एक एडमिन पैनल जिसमें फिक्स्ड IP की allowlist थी. सब बढ़िया चला, जब तक कंपनी ने VPN प्रोवाइडर नहीं बदला और सोमवार सुबह कोई अंदर नहीं जा पाया.

इनमें से किसी ने भी एक भी धोखेबाज नहीं पकड़ा. सबने पैसा देने वाला क्लाइंट पकड़ा.

तो क्या मैं सब खोल दूँ और भगवान भरोसे रहूँ?

नहीं. इस फैसले का आलसी मतलब यह निकालना कि "VPN वैध है, इसलिए कुछ फिल्टर मत करो", बहुत खराब सलाह है. फ्रॉड होता है, क्रेडेंशियल अटैक होते हैं, और गुमनाम IP का इस्तेमाल गलत लोग आज भी करते हैं.

बात दूसरी है: IP एक कमजोर संकेत है और आप उसे मजबूत संकेत की तरह इस्तेमाल कर रहे हैं. IP सिर्फ यह बताता है कि कनेक्शन कहाँ से आता दिख रहा है. यह नहीं बताता कि व्यक्ति कौन है, डिवाइस जाना पहचाना है या नहीं, व्यवहार पिछले रिकॉर्ड से मेल खाता है या नहीं. जब आप IP से ब्लॉक करते हैं, तो आप घटिया क्वालिटी की जानकारी पर बहुत बड़े असर वाला फैसला ले रहे होते हैं.

व्यवहार में बेहतर यह काम करता है:

• ढंग का ऑथेंटिकेशन. मजबूत पासवर्ड, कम से कम एडमिन अकाउंट्स पर 2FA. यह किसी भी जियोब्लॉक से ज्यादा हल करता है.
• जाना पहचाना डिवाइस. उस ब्राउजर को मार्क कीजिए जिसे यूजर पहले इस्तेमाल कर चुका है और भरोसा करता है. जाने पहचाने डिवाइस के साथ IP बदलना सिर्फ शोर है. ध्यान नया डिवाइस माँगता है.
• व्यवहार, लोकेशन नहीं. एक मिनट में दस लॉगिन कोशिशें संकेत हैं. रात तीन बजे पूरा क्लाइंट बेस डाउनलोड करना संकेत है. लिस्बन में होना संकेत नहीं है.
• ब्लॉक करने की जगह बढ़ाइए. जोखिम के संकेत को बंद दरवाजा बनने की जरूरत नहीं. वह दूसरा फैक्टर बन सकता है, एक पुष्टि बन सकता है, एक अस्थायी लिमिट बन सकता है.

मेरा नियम यह है: IP जाँच का स्तर बढ़ा सकता है, अकेले एक्सेस कभी मना नहीं कर सकता.

सिर्फ सुरक्षा नहीं, प्रोडक्ट का पहलू भी

इसमें एक कमर्शियल एंगल है जो लगभग कोई नहीं देखता. अगर आप कंपनियों को SaaS बेचते हैं, तो VPN पर आपका रुख प्रोडक्ट का हिस्सा है. क्लाइंट की सिक्योरिटी चेकलिस्ट के समय कोई न कोई पूछेगा: "क्या यह हमारे कॉर्पोरेट VPN के साथ चलता है?". अगर जवाब है "इस्तेमाल करने के लिए VPN बंद करना पड़ेगा", तो आप अभी अभी वह सिस्टम बन गए जो क्लाइंट की सुरक्षा नीति को कमजोर करता है. इससे डील अटक जाती है.

उल्टा रास्ता ज्यादा कीमती है. VPN से आने वाले एक्सेस को अच्छे से सपोर्ट करना, SSO देना, क्लाइंट को अपने एक्सेस नियम खुद सेट करने देना: यह B2B बिक्री में फर्क बनाता है. यह खर्च नहीं है, यह बिक्री का तर्क है.

और यूरोपीय फैसला इस बात को अंदरूनी बहस में टिकाने का सहारा देता है, जब टीम का कोई कहे कि "VPN उन लोगों की चीज है जो कुछ छिपाना चाहते हैं". ऐसा नहीं है. एक अदालत ने अभी अभी यही लिखा है.

इस हफ्ते क्या करें

इसके लिए सिस्टम दोबारा बनाने की जरूरत नहीं. एक दोपहर में जाँच हो सकती है:

1. लिस्ट बनाइए कि IP कहाँ कहाँ कुछ तय करता है. लॉगिन, चेकआउट, API, एडमिन पैनल, एंटीफ्रॉड अलर्ट. कागज पर लिखिए. आम तौर पर तीन या चार जगहें होती हैं और किसी को सब याद नहीं रहतीं.
2. देखिए कितने असली ब्लॉक हुए. पिछले नब्बे दिनों का लॉग निकालिए. उनमें से कितने पक्के फ्रॉड थे? अगर जवाब शून्य या उसके आसपास है, तो नियम आपके ही खिलाफ काम कर रहा है.
3. ब्लॉक की जगह वेरिफिकेशन लाइए. जहाँ आज "मना" है, वहाँ "दूसरा फैक्टर माँगो" कीजिए. सुरक्षा उतनी ही, क्लाइंट के मुँह पर दरवाजा बंद किए बिना.
4. VPN चालू करके खुद टेस्ट कीजिए. कोई भी VPN चालू कीजिए, किसी दूसरे देश से निकास लीजिए, और अपना प्रोडक्ट वैसे इस्तेमाल कीजिए जैसे क्लाइंट करता है. पंद्रह मिनट में कुछ न कुछ मिल जाएगा.
5. नीति लिख डालिए. एक पेज. आप क्या मॉनिटर करते हैं, क्या वेरिफिकेशन ट्रिगर करता है, क्या अकेले कभी ब्लॉक नहीं करता. यह टीम के काम आता है और कॉर्पोरेट क्लाइंट को जवाब देने के भी.

कदम 4 सबसे ज्यादा चुभता है और सबसे ज्यादा देता है. मेरी सलाह है कि कॉफी से पहले कीजिए, जब सब्र अभी पूरा बचा हो.

ईमानदार सारांश

IP पर आधारित एक्सेस नियम वह हल है जो काम का लगता है और होता नहीं. मेहनत माँगता है, सपोर्ट टिकट बनाता है, अच्छे क्लाइंट को दूर करता है और खराब क्लाइंट को लगभग कभी नहीं पकड़ता. यूरोपीय फैसले ने बस उसी बात को औपचारिक रूप दिया जो सिस्टम चलाने वाले पहले से जानते थे: VPN काम का टूल है, अपराध का सुराग नहीं.

अगर आपको पक्का नहीं पता कि आज आपके सिस्टम में ऐसे कितने नियम हैं, तो यही अनिश्चितता जवाब है. यह उस तरह की चीज है जिसे मैं नए क्लाइंट के साथ पहली बातचीत में मैप करता हूँ, क्योंकि आम तौर पर कहीं न कहीं एक भूला हुआ ब्लॉक बिक्री खा रहा होता है. अगर अपने केस पर बात करनी हो, देखिए मैं कौन हूँ और कैसे काम करता हूँ.

मेरे एक क्लाइंट ने अपने पैनल में VPN से आने वाला हर एक्सेस ब्लॉक कर दिया. दो हफ्ते बाद, सेल्स टीम ऑफिस के अंदर से ही लॉगिन नहीं कर पा रही थी.

वजह? कंपनी ने अभी अभी सबके लिए कॉर्पोरेट VPN लगाया था.

अब एक यूरोपीय कोर्ट ने वही कहा जो साफ था: VPN वैध तकनीक है. यह अपराध का संकेत नहीं है, यह काम का टूल है.

और यहाँ वह बात है जो लगभग कोई नहीं देखता: VPN का सबसे ज्यादा इस्तेमाल वही अच्छा कॉर्पोरेट क्लाइंट करता है, जो सबसे ज्यादा पैसा देता है और सबसे कम शिकायत करता है. उस दिन तक, जब वह कैंसिल कर देता है.

IP से ब्लॉक करना सुरक्षा नहीं है. यह सुरक्षा के नाम पर बेची गई रुकावट है.

मेरा नियम यह है: IP जाँच का स्तर बढ़ा सकता है, अकेले एक्सेस कभी मना नहीं कर सकता.

आज ही टेस्ट कीजिए: एक VPN चालू कीजिए, किसी दूसरे देश से निकास लीजिए, और अपने ही प्रोडक्ट को वैसे इस्तेमाल कीजिए जैसे क्लाइंट करता है. पंद्रह मिनट में आपको वह चीज मिल जाएगी जो आपकी बिक्री खा रही है.

#SaaS #सूचनासुरक्षा #डिजिटलप्रोडक्ट #बिजनेसटेक #VPN