स्क्रीनशॉट सुरक्षा: संवेदनशील जानकारी की सुरक्षा कैसे करें

आप जो भी स्क्रीनशॉट शेयर करते हैं, वह संभावित रूप से डेटा एक्सपोज़र का जोखिम है। एक बग रिपोर्ट जिसमें API की दिख रही हो। एक सपोर्ट टिकट जिसमें किसी ग्राहक का ईमेल पता हो। एक Slack मैसेज जिसमें ऐसे इंटरनल URL हों जो आपके इंफ्रास्ट्रक्चर को उजागर कर दें। एक डॉक्यूमेंटेशन स्क्रीनशॉट जिसमें किसी डेवलपर का निजी अकाउंट लॉग इन हो।

स्क्रीनशॉट लेना इतना तेज़ है कि सुरक्षा समीक्षा का चरण अक्सर छूट जाता है। आप कैप्चर करते हैं, शेयर करते हैं, और बाद में एहसास होता है कि जिस डायलॉग बॉक्स को आप असल में कैप्चर करना चाहते थे, उसके पीछे टर्मिनल में डेटाबेस कनेक्शन स्ट्रिंग दिख रही थी।

यह गाइड उन व्यावहारिक सुरक्षा उपायों को कवर करती है जो स्क्रीनशॉट से जुड़े डेटा एक्सपोज़र को रोकते हैं: क्या देखना है, प्रभावी ढंग से रिडैक्ट (छिपाना) कैसे करें, सुरक्षित रूप से कहाँ होस्ट करें, और कौन-से टूल सुरक्षा को आसान बना देते हैं, न कि बाद की सोच।

स्क्रीनशॉट में आम डेटा एक्सपोज़र

सुरक्षा घटना रिपोर्टों और आम पैटर्न के हमारे विश्लेषण के आधार पर, स्क्रीनशॉट में सबसे अधिक बार लीक होने वाले डेटा प्रकार ये हैं:

क्रेडेंशियल और टोकन

• कोड एडिटर, टर्मिनल आउटपुट, या कॉन्फ़िगरेशन पैनल में दिखने वाली API की
• पासवर्ड एम्बेडेड डेटाबेस कनेक्शन स्ट्रिंग
• ब्राउज़र डेवलपर टूल्स में OAuth टोकन
• टर्मिनल सेशन में दिखने वाली SSH की या सर्टिफिकेट सामग्री
• प्रोसेस लिस्टिंग या डीबग आउटपुट में दिखने वाले एनवायरनमेंट वेरिएबल

व्यक्तिगत पहचान योग्य जानकारी (PII)

• यूज़र लिस्ट, इनबॉक्स, या नोटिफ़िकेशन पैनल में ईमेल पते
• एप्लिकेशन UI में पूरे नाम और प्रोफ़ाइल तस्वीरें
• कॉन्टैक्ट फ़ॉर्म या यूज़र प्रोफ़ाइल में फ़ोन नंबर
• शिपिंग या बिलिंग इंटरफ़ेस में भौतिक पते
• सर्वर लॉग या नेटवर्क डायग्नोस्टिक आउटपुट में IP पते

इंटरनल इंफ्रास्ट्रक्चर विवरण

• इंटरनल URL और डोमेन नाम (जो स्टेजिंग एनवायरनमेंट, एडमिन पैनल उजागर कर देते हैं)
• टर्मिनल प्रॉम्प्ट या ब्राउज़र एड्रेस बार में सर्वर होस्टनाम और IP पते
• इंटरनल टूल्स और लाइब्रेरी के वर्ज़न नंबर (लक्षित हमलों के लिए उपयोगी)
• एरर स्टैक ट्रेस जो फ़ाइल पथ और एप्लिकेशन संरचना उजागर करते हैं
• क्वेरी परिणामों में डेटाबेस टेबल नाम और कॉलम नाम

व्यवसाय-संवेदनशील जानकारी

• राजस्व के आंकड़े, प्राइसिंग डेटा, या वित्तीय डैशबोर्ड
• ग्राहक सूचियाँ या डील पाइपलाइन डेटा
• डेवलपमेंट एनवायरनमेंट में दिखने वाले अप्रकाशित प्रोडक्ट फीचर्स
• बैकग्राउंड विंडो में कैप्चर हुआ इंटरनल कम्युनिकेशन (Slack मैसेज, ईमेल थ्रेड)

स्क्रीनशॉट सुरक्षा चेकलिस्ट

कोई भी स्क्रीनशॉट शेयर करने से पहले — किसी बग रिपोर्ट, डॉक्यूमेंटेशन, सपोर्ट टिकट, Slack मैसेज, या सोशल मीडिया पोस्ट में — इन तत्वों के लिए स्कैन करें:

1. ब्राउज़र एड्रेस बार — क्या इसमें इंटरनल URL, स्टेजिंग एनवायरनमेंट, या एडमिन पैनल के पथ दिख रहे हैं?
2. टर्मिनल/कंसोल — क्या इसमें एनवायरनमेंट वेरिएबल, कनेक्शन स्ट्रिंग, या ऑथेंटिकेशन टोकन दिख रहे हैं?
3. बैकग्राउंड विंडो — क्या आपकी लक्षित विंडो के पीछे कोई Slack बातचीत, ईमेल, या इंटरनल डॉक्यूमेंट आंशिक रूप से दिख रहा है?
4. यूज़र डेटा — आपके द्वारा कैप्चर किए गए UI में क्या ईमेल पते, नाम, या अन्य PII दिख रहे हैं?
5. नोटिफ़िकेशन पॉपअप — क्या कैप्चर के दौरान व्यक्तिगत जानकारी वाला कोई सिस्टम नोटिफ़िकेशन दिखा?
6. बुकमार्क बार — क्या आपके ब्राउज़र बुकमार्क इंटरनल टूल्स या निजी URL उजागर करते हैं?
7. टास्कबार — क्या ऐसी खुली एप्लिकेशन दिख रही हैं जो बता दें कि आप किस पर काम कर रहे हैं?

प्रभावी ढंग से रिडैक्ट कैसे करें

ब्लर बनाम ब्लैक बॉक्स

दो आम रिडैक्शन तरीके हैं ब्लर (पिक्सेलेशन) और ठोस-रंग ओवरले (आमतौर पर काले आयत)। दोनों काम करते हैं, पर वे अलग-अलग उद्देश्य पूरे करते हैं:

ब्लर/पिक्सेलेट अधिक सुरक्षित डिफ़ॉल्ट है। यह दर्शाता है कि सामग्री मौजूद है पर उसे जानबूझकर छिपाया गया है। पाठक समझ जाता है कि उस जगह पर कोई ईमेल पता, URL, या क्रेडेंशियल था। यह असल डेटा छिपाते हुए स्क्रीनशॉट का दृश्य संदर्भ बनाए रखता है।

ब्लैक बॉक्स सारी दृश्य जानकारी पूरी तरह हटा देते हैं। इन्हें ऐसे अत्यधिक संवेदनशील डेटा के लिए इस्तेमाल करें जहाँ छिपाई गई सामग्री की लंबाई या फ़ॉर्मैट भी मायने रख सकती हो। उदाहरण के लिए, किसी API की को ब्लर करने पर भी लगभग यह दिख जाता है कि की कितनी लंबी है — जबकि ब्लैक बॉक्स कुछ भी उजागर नहीं करता।

चेतावनी: अर्ध-पारदर्शी ओवरले का इस्तेमाल न करें। कुछ इमेज एडिटर डिफ़ॉल्ट रूप से अर्ध-पारदर्शी आकृतियाँ बनाते हैं। इन्हें ब्राइटनेस और कॉन्ट्रास्ट समायोजित करके उलटा किया जा सकता है। हमेशा पूरी तरह अपारदर्शी रिडैक्शन का इस्तेमाल करें।

Maxisnap के ब्लर टूल का उपयोग

Maxisnap एनोटेशन एडिटर में एक ही कीस्ट्रोक (B) से सुलभ पिक्सेलेशन ब्लर टूल शामिल करता है — जिसे बिल्कुल इसी वर्कफ़्लो के लिए डिज़ाइन किया गया है: शेयर करने से पहले संवेदनशील जानकारी को ब्लर करें। ब्लर टूल चुनें, संवेदनशील क्षेत्र पर ड्रैग करें, और सामग्री पहचान से परे पिक्सेलेट हो जाती है। ब्लर सीधे पिक्सेल पर लागू होता है — यह कोई उलटा किया जा सकने वाला ओवरले नहीं है।

बेस्ट प्रैक्टिस: ब्लर करने के बाद 100% तक ज़ूम इन करें और सत्यापित करें कि ब्लर किया गया क्षेत्र वाकई अपठनीय है। छोटी टेक्स्ट स्ट्रिंग (जैसे 4-अंकीय कोड) कभी-कभी मध्यम पिक्सेलेशन के बाद भी आंशिक रूप से पहचानी जा सकती हैं। इनके लिए कई बार ब्लर करें या ब्लैक आयत का उपयोग करें।

मेटाडेटा और EXIF डेटा

स्क्रीनशॉट में ऐसा मेटाडेटा हो सकता है जो वह जानकारी उजागर कर दे जिसे शेयर करने का आपका इरादा नहीं था:

• निर्माण टाइमस्टैम्प — ठीक-ठीक बता देता है कि स्क्रीनशॉट कब लिया गया
• सॉफ़्टवेयर वर्ज़न — कैप्चर के लिए इस्तेमाल किए गए टूल और वर्ज़न की पहचान करता है
• डिस्प्ले जानकारी — इसमें स्क्रीन रिज़ॉल्यूशन, DPI, और कलर प्रोफ़ाइल डेटा शामिल हो सकता है
• ऑपरेटिंग सिस्टम — फ़ाइल मेटाडेटा में एम्बेडेड

अधिकांश पेशेवर स्क्रीनशॉट के लिए यह मेटाडेटा हानिरहित है। लेकिन जहाँ गुमनामी मायने रखती है (व्हिसलब्लोइंग, सुरक्षा अनुसंधान, प्रतिस्पर्धी खुफ़िया जानकारी), वहाँ मेटाडेटा स्रोत की पहचान कर सकता है। शेयर करने से पहले किसी इमेज एडिटर के "save for web" विकल्प, या ExifTool जैसे टूल का उपयोग करके मेटाडेटा हटा दें।

PNG फ़ाइलों (Maxisnap समेत अधिकांश स्क्रीनशॉट टूल का डिफ़ॉल्ट फ़ॉर्मैट) में JPEG फ़ाइलों की तुलना में कम मेटाडेटा होता है। स्क्रीनशॉट में फ़ोन तस्वीरों की तरह GPS डेटा नहीं होता। लेकिन निर्माण टाइमस्टैम्प और सॉफ़्टवेयर पहचान फिर भी मौजूद रहती है।

सुरक्षित स्क्रीनशॉट होस्टिंग

आप अपने स्क्रीनशॉट कहाँ होस्ट करते हैं, यह उतना ही महत्वपूर्ण है जितना कि उनमें क्या है। सुरक्षा के अनुसार क्रमबद्ध आम होस्टिंग विकल्प:

आपका अपना सर्वर (सबसे सुरक्षित)

अपलोड करें SFTP के जरिए अपने ही सर्वर पर। आप एक्सेस, रिटेंशन, एन्क्रिप्शन, और कौन फ़ाइलें देख सकता है, इस सब को नियंत्रित करते हैं। Maxisnap SFTP, FTP, S3-कम्पैटिबल स्टोरेज, और HTTP POST अपलोड का समर्थन करता है, जो सब आपके नियंत्रण वाले इंफ्रास्ट्रक्चर की ओर इंगित करते हैं।

प्राइवेट क्लाउड स्टोरेज (मध्यम सुरक्षा)

एक्सेस कंट्रोल के साथ S3 बकेट, Google Cloud Storage, या Azure Blob Storage। डिफ़ॉल्ट रूप से सार्वजनिक रूप से सुलभ नहीं, और आप एक्सेस नीतियों को नियंत्रित करते हैं। ऐसी टीमों के लिए अच्छा जो अपना सर्वर चलाए बिना प्रबंधित इंफ्रास्ट्रक्चर चाहती हैं।

स्क्रीनशॉट टूल क्लाउड सेवाएँ (परिवर्तनशील सुरक्षा)

Monosnap, Zight, और इसी तरह के टूल स्क्रीनशॉट को अपने क्लाउड पर होस्ट करते हैं। आपका डेटा किसी और के सर्वर पर, किसी और की सेवा शर्तों के तहत रहता है। डेटा रिटेंशन, एक्सेस, और डिलीशन प्रदाता द्वारा नियंत्रित होते हैं। संवेदनशील स्क्रीनशॉट के लिए यह एक जोखिम है। अपलोड और प्राइवेसी के अंतरों पर अधिक जानकारी के लिए हमारी Maxisnap बनाम Monosnap तुलना देखें।

पब्लिक इमेज होस्ट (सबसे कम सुरक्षित)

Imgur, prnt.sc (Lightshot), और इसी तरह की सार्वजनिक गैलरियाँ। अपलोड आमतौर पर सार्वजनिक रूप से सुलभ होते हैं, URL अनुमान योग्य हो सकते हैं, और डिलीशन पर आपका सीमित नियंत्रण होता है। Lightshot का prnt.sc खास तौर पर समस्याजनक है क्योंकि इसके छोटे URL को स्वचालित स्क्रिप्ट द्वारा अनुमान लगाया जा सकता है। संवेदनशील स्क्रीनशॉट कभी भी पब्लिक होस्ट पर अपलोड न करें।

स्क्रीनशॉट सुरक्षा के लिए टीम नीतियाँ

संगठनों के लिए, स्क्रीनशॉट सुरक्षा एक प्रलेखित नीति होनी चाहिए, न कि किसी व्यक्ति का निर्णय। अनुशंसित टीम नीतियाँ:

अनिवार्य रिडैक्शन जाँच। किसी भी स्क्रीनशॉट को किसी सार्वजनिक इश्यू, नॉलेज बेस लेख, या बाहरी संचार से जोड़ने से पहले, लेखक सत्यापित करता है कि कोई संवेदनशील डेटा दिख नहीं रहा। इसमें 5 सेकंड लगते हैं और यह घटनाओं को रोकता है।

मानकीकृत ब्लर टूल। टीम के हर सदस्य के पास ब्लर/पिक्सेलेट फीचर वाला स्क्रीनशॉट टूल होना चाहिए। बिना ब्लर वाले टूल (जैसे Lightshot) का पेशेवर स्क्रीनशॉट के लिए इस्तेमाल नहीं करना चाहिए।

प्राइवेट अपलोड डेस्टिनेशन। टीम के स्क्रीनशॉट कंपनी-नियंत्रित इंफ्रास्ट्रक्चर पर अपलोड होने चाहिए, न कि सार्वजनिक गैलरियों में। Maxisnap के SFTP और S3 अपलोड विकल्प इसे सरल बना देते हैं।

डॉक्यूमेंटेशन के लिए साफ़ एनवायरनमेंट। डॉक्यूमेंटेशन या मार्केटिंग के लिए स्क्रीनशॉट बनाते समय, कृत्रिम डेटा वाले समर्पित डेमो अकाउंट का उपयोग करें। कोई असली ग्राहक डेटा नहीं, कोई असली क्रेडेंशियल नहीं, कोई इंटरनल URL नहीं। हमारी तकनीकी लेखन गाइड इसे विस्तार से कवर करती है।

ऐसे टूल जो सुरक्षा को आसान बनाते हैं

सबसे अच्छी सुरक्षा प्रथाएँ वही हैं जिनमें अतिरिक्त मेहनत नहीं लगती। ऐसे टूल चुनें जो सुरक्षा को वर्कफ़्लो में ही बना दें, बजाय इसके कि उसे बाद की सोच के रूप में जोड़ें।

Maxisnap स्क्रीनशॉट सुरक्षा को तीन तरीकों से संबोधित करता है:

• बिल्ट-इन ब्लर टूल — सहेजने या शेयर करने से पहले संवेदनशील डेटा को पिक्सेलेट करने के लिए एक कीस्ट्रोक (B)
• सेल्फ-होस्टेड अपलोड — SFTP और S3 अपलोड आपके अपने इंफ्रास्ट्रक्चर पर, न कि किसी थर्ड-पार्टी क्लाउड पर
• प्राइवेसी-सजग टेलीमेट्री — Maxisnap विश्वसनीयता के लिए प्रोडक्ट और क्रैश एनालिटिक्स एकत्र करता है, Settings में ऑप्ट-आउट का विकल्प देता है, और जब तक आप स्पष्ट रूप से स्क्रीनशॉट अपलोड न करें या उन्हें किसी बग रिपोर्ट से न जोड़ें, तब तक स्क्रीनशॉट की सामग्री अपलोड नहीं करता

स्क्रीनशॉट वर्कफ़्लो में सुरक्षा का मतलब चरण जोड़ना नहीं है। यह ऐसे टूल इस्तेमाल करने के बारे में है जो रिडैक्शन और प्राइवेट होस्टिंग को डिफ़ॉल्ट बना दें — न कि एक अतिरिक्त मेहनत। Maxisnap फ़्री डाउनलोड करें और पहले दिन से ही अपने कैप्चर वर्कफ़्लो में सुरक्षा को शामिल करें। व्यक्तिगत उपयोग के लिए मुफ़्त।