संबंधित गाइड
ख़तरनाक VPN ऐप कैसे पहचानें
अपडेट किया गया
आपके डिवाइस से निकलने वाला हर बाइट VPN ऐप से होकर गुज़रता है, और वह जो चाहे देख सकता है। दो तरह के ऐप पर ख़ास शक करना चाहिए: सरकारी नियामकों की छत्रछाया वाले ऐप, जो “नियमों के पालन” के नाम पर असली नाम से रजिस्ट्रेशन माँगते हैं और रिकॉर्ड ऊपर सौंपते हैं; और अनजान स्रोत के फ़्री एक्सेलरेटर, जो आपके डेटा, आपके डिवाइस या उसमें छिपाकर डाली गई किसी चीज़ से कमाते हैं। दोनों में एक बात समान है: ये ठीक-ठाक चलते हैं। दिक़्क़त उस हिस्से में है जो आपको दिखता नहीं। नीचे दस संकेत हैं जिन्हें आप ख़ुद जाँच सकते हैं, पहले से इंस्टॉल कर लिया हो तो क्या करें, और तीन मिनट की ख़ुद-जाँच।
VPN ऐप आम ऐप से ज़्यादा जोखिम वाला क्यों है
VPN सिस्टम के स्तर पर काम करता है: डिवाइस के हर प्रोग्राम का ट्रैफ़िक उस तक पहुँचता है, उनका भी जो आपकी जानकारी के बिना बैकग्राउंड में चल रहे हैं। आम ऐप सिर्फ़ वही लीक कर सकता है जो उसने ख़ुद इकट्ठा किया; VPN उस डिवाइस पर आपका किया सब कुछ लीक कर सकता है। इसे चुनने का पैमाना कहीं ऊँचा होना चाहिए।
“कुछ हुआ तो नहीं” सुरक्षा का सबूत नहीं है। लॉगिंग, रिपोर्टिंग और इंजेक्शन सर्वर पर या बैकग्राउंड में होते हैं, जहाँ यूज़र को कुछ महसूस नहीं होता; नतीजे अक्सर महीनों बाद आते हैं और किसी ख़ास ऐप तक जोड़े नहीं जा सकते।
दस संकेत
- अनजान स्रोत: इंस्टॉलर किसी चैट ग्रुप, फ़ाइल-शेयरिंग लिंक या QR कोड से आता है, न कोई आधिकारिक साइट, न स्टोर पेज। असली क्लाइंट ऐप स्टोर, डेवलपर की साइट, या ऐसे रिलीज़ पेज से आता है जिसका सिग्नेचर जाँचा जा सके।
- रूट सर्टिफ़िकेट इंस्टॉल करने को कहता है: “इस सर्टिफ़िकेट पर भरोसा करें”, “यह प्रोफ़ाइल इंस्टॉल करें”, किसी CA पर भरोसा। रूट सर्टिफ़िकेट इंस्टॉल होने पर वह आपका सारा HTTPS ट्रैफ़िक खोल सकता है, बैंकिंग और ईमेल समेत। आम VPN को इसकी कभी ज़रूरत नहीं होती।
- ज़रूरत से ज़्यादा अनुमतियाँ: ऐसा VPN जो कॉन्टैक्ट, SMS, कॉल लॉग, सटीक लोकेशन या फ़ोटो लाइब्रेरी माँगे। VPN को बस टनल बनाने की अनुमति चाहिए।
- पहचान जाँच: रजिस्ट्रेशन में पहचान पत्र, चेहरा स्कैन या चीनी फ़ोन नंबर ज़रूरी। ठीक इसी तरह “नियमों का पालन करने वाला” VPN आपकी पहचान को आपके ट्रैफ़िक रिकॉर्ड से जोड़ता है; असली सर्विस को बस एक ईमेल पता चाहिए।
- अपना निजी प्रोटोकॉल और बंद क्लाइंट: सिर्फ़ अपने ऐप से चलता है, किसी स्टैंडर्ड प्रोटोकॉल (AnyConnect, OpenVPN, WireGuard, Hiddify) का सपोर्ट नहीं, इसलिए आप किसी ओपन-सोर्स क्लाइंट से जाँच नहीं सकते कि वह असल में क्या भेजता है।
- फ़्री, और कमाई का कोई दिखता ज़रिया नहीं: न पेड प्लान, न विज्ञापन, न कारोबारी ग्राहक, फिर भी सालों से चल रहा है। मेनलैंड से बाहर जाने वाली बैंडविड्थ के पैसे लगते हैं; जो सर्विस कुछ नहीं लेती, वह कहीं और से वसूलती है।
- न कंपनी, न सपोर्ट, न इतिहास: चलाने वाली कोई संस्था नहीं मिलती, संपर्क के लिए कोई नहीं, डोमेन एक साल से कम पुराना, बार-बार नाम बदलना।
- बैकग्राउंड में असामान्य ट्रैफ़िक: डिवाइस ख़ाली पड़ा हो तब भी अपलोड चलता रहता है, बैटरी और डेटा तेज़ी से ख़त्म होते हैं। हो सकता है वह आपके डिवाइस को किसी और का एग्ज़िट बना रहा हो, या आपका डेटा सिंक कर रहा हो।
- प्रचार जो “आधिकारिक”, “रजिस्टर्ड” और “क़ानूनी व नियमों के अनुरूप” पर ज़ोर दे और इशारा करे कि बाक़ी सब ग़ैरक़ानूनी है: नियामकों की छत्रछाया वाले ऐप का यही पुराना तरीक़ा है, और उनका “नियमों का पालन” लॉगिंग और रिपोर्टिंग ही है।
- स्टोर में रेटिंग एक जैसी शानदार, रिव्यू एक-से पढ़ते हुए, और डाउनलोड की गिनती रिव्यू की गिनती से बेमेल: ख़रीदे हुए।
कैसे जाँचें
- प्रोटोकॉल जाँचें: क्या साइट बताती है कि वह कौन-से प्रोटोकॉल इस्तेमाल करती है और थर्ड-पार्टी क्लाइंट चलते हैं या नहीं? जो सर्विस OpenVPN, AnyConnect, Hiddify या Tailscale से चल सके, उसमें आप भेजा गया ट्रैफ़िक कैप्चर करके देख सकते हैं।
- अनुमतियाँ जाँचें: इंस्टॉल के बाद सिस्टम सेटिंग खोलें, VPN अनुमति छोड़कर बाक़ी सब वापस लें, और देखें कि वह अब भी चलता है या नहीं। न चले तो अनइंस्टॉल करें।
- सर्टिफ़िकेट जाँचें: iOS में सेटिंग्ज़ → सामान्य → VPN और डिवाइस प्रबंधन (Settings → General → VPN & Device Management); Android में सेटिंग → सुरक्षा → एन्क्रिप्शन और क्रेडेंशियल → भरोसेमंद क्रेडेंशियल → उपयोगकर्ता (Settings → Security → Encryption & credentials → Trusted credentials → User); Windows में सर्टिफ़िकेट मैनेजर → Trusted Root Certification Authorities। उसका इंस्टॉल किया कुछ भी मिले: उसे हटाएँ और ऐप अनइंस्टॉल करें।
- लीक जाँचें: कनेक्ट रहते हुए DNS लीक टेस्ट और IPv6 टेस्ट पेज खोलें, और पक्का करें कि DNS और पते उसके सर्वर से जा रहे हैं; फिर कोई HTTPS साइट खोलकर पक्का करें कि सर्टिफ़िकेट जारी करने वाला उस साइट का असली CA ही है।
- चलाने वाले को जाँचें: क्या साइट किसी कंपनी या टीम का नाम बताती है, कितने समय से चल रहा है, सपोर्ट कहाँ है; रिफ़ंड पॉलिसी है या नहीं; प्राइवेसी पॉलिसी साफ़-साफ़ बताती है या नहीं कि क्या लॉग होता है?
अगर पहले ही इंस्टॉल कर लिया है
- उसे अनइंस्टॉल करें, फिर ऊपर बताई जगहें जाँचकर उसका इंस्टॉल किया कोई भी सर्टिफ़िकेट या प्रोफ़ाइल हटाएँ।
- पासवर्ड बदलें: बैंकिंग, ईमेल, रोज़ के अकाउंट, ख़ासकर वे जिनमें उसे चलाते समय लॉग इन किया था।
- जिन अकाउंट में टू-फ़ैक्टर ऑथेंटिकेशन है, उनकी लॉग इन हिस्ट्री देखें और अनजान डिवाइस हटाएँ।
- अगर वह राउटर पर लगा था, तो फ़ैक्टरी रीसेट करें और आधिकारिक या जाँचा जा सकने वाला फ़र्मवेयर दोबारा फ़्लैश करें।
हम ख़ुद को जाँचने लायक़ कैसे रखते हैं
LeoTun का हर क्लाइंट आधिकारिक कंपनियों और जाने-माने ओपन-सोर्स संगठनों का है, Cisco, OpenVPN, Hiddify, Tailscale, बिना बदलाव के मिरर किया हुआ, और आप हमारे डाउनलोड की जगह कभी भी आधिकारिक या ओपन-सोर्स बिल्ड इस्तेमाल कर सकते हैं। हर प्रोटोकॉल स्टैंडर्ड है और पैकेट कैप्चर से जाँचा जा सकता है।
रजिस्ट्रेशन के लिए बस ईमेल पता चाहिए, न फ़ोन नंबर, न पहचान पत्र। हम क्या लॉग करते हैं, यह “हमारे बारे में” पेज पर है: ईमेल, प्लान, एक्सपायरी, और हर कनेक्शन की अवधि और डेटा मात्रा, बिलिंग के लिए; कोई कंटेंट नहीं, कोई विज्ञापन इंजेक्शन नहीं, डेटा की बिक्री नहीं।
न सर्टिफ़िकेट, न कॉन्टैक्ट, न लोकेशन। अगर हमारा होने का दावा करने वाला कोई क्लाइंट कभी रूट सर्टिफ़िकेट इंस्टॉल करने को कहे, तो वह हमारा नहीं है।
FAQ
क्या हर फ़्री चीज़ असुरक्षित है?
ओपन-सोर्स क्लाइंट, जैसे OpenVPN, Hiddify, Tailscale, फ़्री भी हैं और भरोसेमंद भी। जोखिम फ़्री सर्विस में है, फ़्री सॉफ़्टवेयर में नहीं; पूछें कि सर्विस का ख़र्च कहाँ से चलता है।
क्या ऐप स्टोर में होना सुरक्षित होने की गारंटी है?
स्टोर में होने का मतलब बस इतना है कि वह स्टोर की ऑटोमैटिक जाँच से निकल गया; सर्वर पर लॉगिंग के बारे में इससे कुछ पता नहीं चलता। दस संकेतों में से अनुमतियाँ, पहचान की माँग, प्रोटोकॉल और चलाने वाला ख़ुद जाँचें; स्टोर यह आपके लिए नहीं करता।
कैसे पता करूँ कि कोई VPN मेरा कंटेंट लॉग करता है या नहीं?
क्लाइंट की तरफ़ से यह पता नहीं चल सकता। आप बस यह आँक सकते हैं कि वह कितनी जाँच की गुंजाइश देता है: स्टैंडर्ड प्रोटोकॉल, ओपन-सोर्स क्लाइंट, साफ़ प्राइवेसी पॉलिसी, पहचाना जा सकने वाला संचालक। इन चारों में से कुछ न हो, तो मानकर चलें कि वह लॉग करता है।
क्या राउटर फ़र्मवेयर में भी यही जोखिम हो सकता है?
हाँ, अनजान स्रोत का फ़र्मवेयर पूरे घर का नेटवर्क अपने क़ब्ज़े में ले सकता है। सिर्फ़ आधिकारिक OpenWrt या ऐसा फ़र्मवेयर फ़्लैश करें जिसका सोर्स आप जाँच सकें; हमारा फ़र्मवेयर OpenWrt से बना है, जिसमें सिर्फ़ लाइन के कंपोनेंट और स्प्लिट-रूटिंग नियम जोड़े गए हैं।