क्रेडेंशियल चोरी हो जाने पर आप क्या बहाल करते हैं?

ध्यान दीजिए कि लगभग हर दूसरी चीज़ के बारे में आपका जवाब कितना आश्वस्त होता है। कोई डिस्क मर जाती है, आप बैकअप से बहाल कर लेते हैं। रैनसमवेयर हमला करता है, आप प्रतिकृति पर स्विच कर लेते हैं। आपदा पुनर्प्राप्ति की पूरी विधा इसीलिए है कि विफलता से बचा जा सके, और डेटा के लिए यह काम करती है — RAID बैकअप नहीं है, इसलिए आप एक बैकअप रखते हैं, और किसी भी सूरत में आप सुरक्षित रहते हैं।

फिर आप क्रेडेंशियल तक पहुँचते हैं, और उस तीस साल पुरानी मशीनरी के पास आपको देने के लिए कुछ नहीं होता। भरोसे की कोई स्वच्छ प्रति नहीं है जिससे बहाल किया जा सके। एक बार कुंजी चली गई तो आप उल्लंघन को वापस नहीं ले सकते — आप उसे रद्द करते हैं, नए सिरे से जारी करते हैं, और भरोसे की पूरी बुनावट को शून्य से फिर खड़ा करते हैं। और जब तक आप यह कर रहे होते हैं, उन क्रेडेंशियल्स के ज़रिए प्रमाणित होने वाली हर चीज़ उनके साथ ठप है: पेरोल, डिप्लॉय, वे डेटाबेस जिन तक आपके अपने ऐप्स पहुँचते हैं, वे एजेंट जिन्हें तैनात करने में आपने एक साल लगाया।<br>कारोबार धीमा नहीं होता — वह रुक जाता है। आप डेटा का बैकअप ले सकते हैं। भरोसे का बैकअप नहीं ले सकते। तो उस सवाल का ईमानदार जवाब, जिससे आपने शुरू किया था, बेचैन करने वाला है: कुछ नहीं। आप बहाल करके इससे बाहर नहीं निकल सकते।

असल में हुआ क्या

2026 इस अंतर को महँगा बना रहा है। Linux हमलों का एक नया परिवार — Copy Fail, DirtyClone, pedit COW — डिस्क पर एक भी फ़ाइल बदले बिना मशीन पर रूट हासिल कर लेता है। ये कर्नेल की मेमोरी में मौजूद किसी भरोसेमंद सिस्टम बाइनरी की प्रति को दूषित करते हैं और उसी को चलाते हैं। डिस्क पर मौजूद फ़ाइल को कभी छुआ नहीं जाता, इसलिए आपका अखंडता मॉनिटर उसका चेकसम लेता है, उसे कल जैसा ही पाता है, और सब ठीक बताता है; आपका एंटीवायरस डिस्क स्कैन करता है और कुछ गलत नहीं पाता, क्योंकि डिस्क पर कुछ भी गलत है ही नहीं। हमलावर के हाथ में रूट शेल है, जबकि आपका हर औज़ार मशीन को साफ़ प्रमाणित कर रहा है — और रीबूट करते ही सबूत मिट जाता है, क्योंकि वह केवल मेमोरी में ही मौजूद था।

आपके औज़ार खराब नहीं हैं। वे डिस्क पर पड़े बाइट्स पर नज़र रखते हैं, जो बीस साल तक निगरानी की सही जगह थी, उस समय जब किसी प्रोग्राम का व्यवहार बदलने का मतलब उसकी फ़ाइल बदलना होता था। औज़ार के नीचे नहीं, उस धारणा के नीचे से ज़मीन खिसक गई। उन्हें रखिए — पर यह साफ़ रखिए कि वे क्या हैं: एक दीवार, जिसका मूल्यांकन इस बात पर होता है कि वह टिकती है या नहीं।

वह सवाल जिसे हम छोड़ देते हैं

तीस साल से हम सुरक्षा को एक ही चीज़ पर परखते आए हैं: क्या आप उन्हें बाहर रख पाए? फ़ायरवॉल, EDR, अखंडता मॉनिटर — यह सब रोकथाम है, और रोकथाम एक जायज़ सवाल है। बस अब यह ऐसा सवाल नहीं रहा जिस पर आप पूरी कंपनी दाँव पर लगा सकें, क्योंकि जब धावा अदृश्य हो सकता है, कोई निशान न छोड़े, और आपके बेहतरीन औज़ारों के सब ठीक बताने के बाद भी बचा रहे, तब "उन्हें बाहर रखना" रणनीति नहीं, उम्मीद बन जाता है।

जो सवाल हम छोड़ देते हैं, वही तय करता है कि वह दिन वास्तव में कितना बुरा होगा: जब वे अंदर आ जाएँ — और वे आएँगे — तो वे क्या ले जा सकते हैं? और वह चाहे कुछ भी हो, पहला नियम वही है जो स्टोरेज ने सिखाया है: आप उसका बैकअप नहीं ले सकते। भरोसा वापस नहीं मिलता।

इसी के लिए, जानबूझकर बनाया गया

तो चाल कभी यह नहीं थी कि आपके क्रेडेंशियल्स का कोई बैकअप ढूँढा जाए। कोई है ही नहीं — पूरा मुद्दा यही है। चाल यह सुनिश्चित करना है कि जब दीवार गिरे, उसके पीछे ऐसा कुछ न हो जिसे उठा ले जाने की कीमत हो।

Clavitor के तरीके से जारी किया गया क्रेडेंशियल कभी उस बॉक्स पर पड़ा नहीं रहता जिस पर हमलावर ने अभी-अभी रूट हासिल किया है। वह उसी एक मशीन से बँधा होता है, इसलिए कहीं और से उठाई गई प्रति बेकार है। वह एक ही काम तक सीमित होता है और उसकी समय-सीमा होती है, इसलिए रूट — अदृश्य, बिना निशान वाला रूट भी — एक काम के लिए एक अल्पकालिक टोकन पाता है, हर चीज़ की कुंजियाँ नहीं। और उसने क्या-क्या छुआ, इसका ब्यौरा बॉक्स से बाहर, वॉल्ट पर रहता है, हैश-श्रृंखला में, जहाँ मशीन का मालिक चुपचाप इतिहास दोबारा नहीं लिख सकता। धावा फिर भी सफल होता है। लूट खाली हाथ लौटती है, और वह एक लॉग जिस तक वे नहीं पहुँच सकते, पहले ही लिख चुका है कि क्या हुआ।

इस सबसे आप अभेद्य नहीं हो जाते, और जो कोई यह बेच रहा है, वह झूठ बोल रहा है। यह उल्लंघन को सहने-योग्य बनाता है — यह उस एक नतीजे को, जिससे आप उबर नहीं सकते, जिस भरोसे को आप बहाल नहीं कर सकते, मेज़ से हटा देता है। अगर आप खुद उस बॉक्स पर किसी फ़ाइल में कोई दीर्घकालिक मास्टर की चिपका दें, तो रूट उसे पढ़ लेगा; उसी चीज़ को खड़ा करने से आपको कोई नहीं बचा सकता जिसे हटाने के लिए यह मौजूद है। बैकअप रैनसमवेयर को भी नहीं रोकता। वह बस यह सुनिश्चित करता है कि रैनसमवेयर आपका अंत न करे।

सबक यह नहीं है कि "एक बेहतर दीवार खरीदिए"

तो शायद सुरक्षा समीक्षा उस सवाल से शुरू नहीं होनी चाहिए जो हम तीस साल से पूछते आए हैं। न कि "क्या यह सुरक्षित है" — हर कोई हाँ कहता है, और अंततः हर कोई गलत साबित होता है। वह पूछिए जो स्टोरेज पहले ही पूछना सीख चुका है: जब यह विफल हो, तो क्या उससे फ़र्क़ पड़ता है? अपने डेटा के लिए आपने इसका जवाब उस दिन दे दिया था जब आपको लगा कि RAID काफ़ी नहीं है और आपने बैकअप रख लिया। आपके क्रेडेंशियल्स को बैकअप नहीं मिलता। इसलिए बचा हुआ एकमात्र जवाब यही है कि वहाँ खोने लायक कुछ न हो।

हमने वे नियम लिखकर रखे हैं जिनका पालन एक क्रेडेंशियल औज़ार को करना चाहिए उस दिन के लिए जब दीवार गिरे।

Clavitor (@clavitorai) AI एजेंट्स के लिए और उनके ख़िलाफ़ बनाया गया क्रेडेंशियल वॉल्ट है। clavitor.ai

स्रोत

[1] Unit 42 (@Unit42_Intel) — Copy Fail (CVE-2026-31431): आपको क्या जानना चाहिए। पेज-कैश में लिखावट /usr/bin/su जैसी किसी विशेषाधिकार प्राप्त बाइनरी की मेमोरी-स्थित प्रति को दूषित कर देती है, बिना डिस्क पर मौजूद फ़ाइल को छुए; लगभग सभी डिस्ट्रिब्यूशन प्रभावित, 2017 से आगे के कर्नेल।

[2] The Hacker News (@TheHackersNews) — कैश की गई बाइनरी को दूषित कर रूट पहुँच देने वाला नया Linux pedit COW एक्सप्लॉइट (CVE-2026-46331)। कैश किए गए /bin/su को दूषित करता है; फ़ाइल-अखंडता जाँच सब ठीक बताती है।

[3] The Hacker News (@TheHackersNews) — Linux कर्नेल की नई DirtyClone ख़ामी स्थानीय उपयोगकर्ताओं को क्लोन किए गए पैकेट्स के ज़रिए रूट दिलाती है (CVE-2026-43503)। बदलाव केवल मेमोरी में रहता है; कोई ऑडिट ट्रेल नहीं, और रीबूट पर मूल बाइनरी बहाल हो जाती है।