क्या Privnote सुरक्षित है? क्या privnote.com असली है?

क्या Privnote सुरक्षित है? ऐसे नोट के लिए हां, जिसे कोई गलत व्यक्ति एक बार पढ़ ले तो आपको फ़र्क न पड़े। पासवर्ड, API key या कारोबार के लिए अहम किसी भी चीज़ के लिए नहीं। क्या privnote.com असली है? हां: यह असली सेवा है और सालों से चल रही है। खतरा इसके आसपास की मिलती-जुलती नकली साइटों से है।

एक बार खुलने वाला तरीका ठीक काम करता है। नीचे दिए तीन जोखिम उसके आसपास की हर चीज़ से जुड़े हैं, और पहले जोखिम की वजह से असली लोगों का असली पैसा डूबा है।

2 अक्टूबर 2026 को अपडेट किया गया: Privnote के लाइव पेज के सोर्स से उसकी एन्क्रिप्शन लाइब्रेरी के बारे में जो हम जांच पाए, वह जोड़ा; Krebs on Security की बताई 2024 की क्लोन साइटों के नेटवर्क की जानकारी जोड़ी; और LinkPilot के एन्क्रिप्शन के बारे में पहले लिखी एक बात ठीक की। जहां इस पोस्ट में लिखा है कि “हमने जांचा”, वहां जांच की तारीख 2 अक्टूबर 2026 है।

यह पोस्ट सुरक्षा पर हमारा फ़ैसला है। अगर आप पहले से जानते हैं कि आपको कुछ और चाहिए, तो Privnote के सबसे अच्छे विकल्प वाली तुलना सात टूल को एन्क्रिप्शन, लिंक वापस लेने, ऑडिट लॉग और कीमत पर परखती है, और LinkPilot बनाम Privnote हमारे अपने प्रोडक्ट की सीधी तुलना है। अगर आपको आज ही पासवर्ड भेजना है, तो पासवर्ड सुरक्षित तरीके से शेयर करने की गाइड सही तरीका बताती है, मुफ़्त अपने आप मिटने वाला नोट टूल बिना अकाउंट के काम करता है, और LinkPilot की कीमतें पेज पर लिखा है कि Free और Pro में क्या-क्या मिलता है।

Privnote में क्या अच्छा है?

जो अच्छा है, उसे मानना चाहिए। मुख्य प्रोडक्ट सच में आसान है: अकाउंट की ज़रूरत नहीं, नोट पेस्ट करें, लिंक पाएं, और नोट पढ़े जाने के बाद मिट जाता है। Privnote के अपने पेज के मुताबिक नोट “आपके ब्राउज़र में एन्क्रिप्ट होता है और फिर Privnote में स्टोर किया जाता है”। नोट को एन्क्रिप्ट करने के लिए “मैनुअल पासवर्ड” का विकल्प है, 1 घंटे, 24 घंटे, 7 दिन या 30 दिन की एक्सपायरी चुनी जा सकती है, नोट मिटने पर ईमेल सूचना मिलती है, और यह समझदारी भरी सलाह भी है कि पासवर्ड लिंक से “किसी अलग तरीके” से भेजें।^[1] एक-दूसरे पर भरोसा करने वाले लोगों के बीच “यह रहा Wi-Fi का पासवर्ड, पढ़कर मिटा देना” जैसे काम के लिए यह ठीक है।

3 जोखिम क्या हैं?

1. क्लोन साइटों से फ़िशिंग, जो आपका नोट पढ़ लेती हैं

Privnote के जाने-माने नाम की वजह से मिलते-जुलते डोमेन बन गए हैं, और जिन साइटों के बारे में सबसे ज़्यादा दर्ज जानकारी है, वे चोरी के लिए ही बनाई गई थीं।

जून 2020 में Brian Krebs ने बताया कि privnotes.com (आखिर में s के साथ) Privnote की नकल करती थी, नोट को सच में एन्क्रिप्ट नहीं करती थी, और एक स्क्रिप्ट चलाती थी जो नोट में bitcoin पते पहचानकर उनकी जगह धोखेबाज़ों के अपने पते डाल देती थी। यह सिर्फ़ तब होता था जब भेजने वाले और प्राप्तकर्ता ने अलग-अलग IP पते से नोट खोला हो, इसलिए अपना नोट जांचने वाले भेजने वाले को यह बदलाव कभी नहीं दिखता था।^[2] अप्रैल 2024 में उन्होंने क्लोन साइटों का पूरा नेटवर्क सामने रखा, जिसमें privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com और privnate[.]com शामिल थीं। ये साइटें “कमोबेश वैसे ही काम करती हैं जैसा बताया गया है, लेकिन क्रिप्टो वॉलेट वाला नोट बनाए जाने पर चुपचाप उसमें अपने क्रिप्टोकरेंसी पेमेंट पते डाल देती हैं”। इनमें से एक साइट से जुड़े चार पतों पर चार दिन में लगभग $18,000 आए, और संचालक लगभग हर पांच दिन में नए पते बदल देते थे।^[3]

खतरा असली साइट से नहीं है। खतरा यह है कि सर्च रिज़ल्ट या विज्ञापन पर एक क्लिक आपको ऐसी भरोसेमंद दिखने वाली नकली साइट पर ले जा सकता है जिसका पूरा मकसद ही आपका सीक्रेट पढ़ना है। अगर आप Privnote इस्तेमाल करते हैं, तो डोमेन खुद टाइप करें। किसी संदिग्ध URL में कुछ भी पेस्ट करने से पहले हमारा मुफ़्त लिंक ट्रस्ट स्कोर टूल जैसी लिंक की साख जांचने वाली सेवा उसे परख सकती है।

2. ऐसा एन्क्रिप्शन जिसे आप जांच नहीं सकते

Privnote का कहना है कि नोट एन्क्रिप्ट होते हैं, इसलिए सर्वर उन्हें पढ़ नहीं सकता। 2020 में कंपनी ने Krebs से कहा था कि असली Privnote एन्क्रिप्शन इस्तेमाल करता है “ताकि Privnote खुद भी अंदर की सामग्री न पढ़ सके”।^[2] यह सच हो सकता है। लेकिन कोड बंद सोर्स है, इसलिए कंपनी के बाहर कोई इसकी पुष्टि नहीं कर सकता, और बाहर से जो दिखता है, वह भरोसा नहीं जगाता।

2 अक्टूबर 2026 को हम ठीक-ठीक क्या जांच पाए और क्या नहीं:

• जांचा गया: privnote.com का लाइव पेज अपने स्टैटिक एसेट से gibberish-aes.js नाम की JavaScript फ़ाइल लोड करता है।^[1]
• जांचा गया: GitHub पर मूल Gibberish-AES प्रोजेक्ट 16 अक्टूबर 2018 को आर्काइव (सिर्फ़ पढ़ने लायक) कर दिया गया था। उसकी अपनी README कहती है कि वह “सिर्फ़ CBC AES एन्क्रिप्शन मोड सपोर्ट करती है”, उसे OpenSSL के MD5 पर आधारित कुंजी बनाने के तरीके के साथ काम करने के लिए बनाया गया है, और उसमें बंद किए जाने का एक नोट है जो इसकी जगह libsodium या Stanford की JavaScript Crypto Library इस्तेमाल करने की सलाह देता है, क्योंकि Gibberish-AES “काफ़ी पुरानी है और पुराना, बिना ऑथेंटिकेशन वाला सिफ़र मोड, CBC, इस्तेमाल करती है”।^[4]
• नहीं जांचा गया: हमने Privnote के मिनिफ़ाई किए गए ऐप्लिकेशन कोड को रिवर्स-इंजीनियर नहीं किया, इसलिए हम पुष्टि नहीं कर सकते कि आज नया नोट इसी लाइब्रेरी से एन्क्रिप्ट होता है या यह पुराने नोट के लिए बचा हुआ पुराना कोड है। इस नतीजे को “पेज के साथ आने वाली इकलौती क्रिप्टो लाइब्रेरी” समझें, इस बात का सबूत नहीं कि असल में क्या चलता है।

इसकी तुलना उन टूल से करें जिनका सोर्स आप पढ़ सकते हैं: PrivateBin के दस्तावेज़ों में लिखा है कि वह Galois Counter Mode (ऑथेंटिकेशन वाला मोड) में 256-बिट AES ब्राउज़र में चलाता है और कुंजी URL में # के बाद वाले हिस्से में रहती है,^[5] और Yopass Apache-2.0 लाइसेंस के तहत OpenPGP से ब्राउज़र में एन्क्रिप्ट करता है।^[6] गोपनीयता वाले टूल के लिए “हम पर भरोसा करें” की स्थिति “खुद जांच लें” से काफ़ी कमज़ोर है।

3. गलती सुधारने का कोई तरीका नहीं

नोट गलत व्यक्ति को भेज दिया? उसे वापस लेने के लिए कोई डैशबोर्ड नहीं है। क्लाइंट को साबित करना है कि लॉगिन की जानकारी कभी खोली नहीं गई? कोई ऑडिट ट्रेल नहीं है: नोट मिटने का ईमेल बताता है कि नोट पढ़ा गया, यह नहीं कि किसने और कहां से पढ़ा। जानना है कि उसे सही प्राप्तकर्ता ने पढ़ा या लिंक खोलने वाले किसी ईमेल सिक्योरिटी गेटवे ने? आप यह पता नहीं कर सकते।

आम नोट के लिए इनमें से कुछ भी मायने नहीं रखता। काम में ये सब मायने रखते हैं।

इसकी जगह क्या इस्तेमाल करें?

सातों टूल की पूरी तुलना, कीमतों की टेबल और हर कंपनी के कीमत पेज के हवाले के साथ, Privnote के सबसे अच्छे विकल्प में है। Privnote के मुकाबले हमारे अपने प्रोडक्ट की फ़ीचर-दर-फ़ीचर तुलना के लिए LinkPilot बनाम Privnote देखें। उसमें यह ईमानदार चेतावनी भी है कि LinkPilot सिर्फ़ होस्टेड सेवा है और उसका सोर्स बंद है। बिना अकाउंट के यह तरीका आज़माने के लिए पासवर्ड या कुंजी के लिए वन-टाइम सीक्रेट लिंक जनरेटर और मैसेज के लिए अपने आप मिटने वाला नोट टूल इस्तेमाल करें।

सुधारों का इतिहास: इस पोस्ट के पहले वर्ज़न में लिखा था कि LinkPilot ब्राउज़र में एन्क्रिप्ट करने का दावा नहीं करता। 29 सितंबर 2026 से वह टेक्स्ट और अटैचमेंट को ब्राउज़र में एन्क्रिप्ट करता है, और कुंजी URL में # के बाद वाले हिस्से में रहती है। उस तारीख से पहले बने सीक्रेट एक्सपायर होने तक बिना एन्क्रिप्शन के सादे टेक्स्ट में स्टोर रहे। LinkPilot ठीक-ठीक क्या दावा करता है, यहां देखें।

एक बार खुलने वाले नोट का कोई भी टूल सुरक्षित तरीके से कैसे इस्तेमाल करें?

1. डोमेन खुद टाइप करें। सीक्रेट वाले टूल तक कभी विज्ञापन या सर्च रिज़ल्ट से न पहुंचें। क्लोन साइट वाला हमला एक लाइन में यही है।
2. पासफ़्रेज़ जोड़ें और उसे लिंक से अलग किसी दूसरे माध्यम से भेजें।
3. जितनी कम एक्सपायरी से काम चल जाए, उतनी ही रखें, ताकि बिना खुले नोट अपने आप मिट जाएं।
4. कुछ भी गड़बड़ लगे तो सीक्रेट बदल दें। अगर प्राप्तकर्ता के पढ़ने से पहले ही नोट मिट चुका दिखे, या उसके खोलने से पहले नोट मिटने का ईमेल आ जाए, तो यह शुरुआती चेतावनी है कि किसी और ने उसे खोला है।
5. पासवर्ड खुद कभी ईमेल या चैट में न डालें, सिर्फ़ लिंक भेजें। हमारी पासवर्ड सुरक्षित तरीके से शेयर करने की गाइड उन पांच तरीकों की तुलना करती है जिनसे टीमें लॉगिन की जानकारी शेयर करती हैं, और बताती है कि यह नियम क्यों ज़रूरी है।

एक बार खुलने वाला तरीका सच में अच्छा विचार है, इसीलिए इतने सारे टूल इसे अपनाते हैं। सुरक्षा का सवाल उस तरीके के आसपास की हर चीज़ का है: उसे कौन चलाता है, क्या आप उसे जांच सकते हैं, और कुछ गलत होने पर आप क्या कर सकते हैं। Privnote को, और हर विकल्प को, जिसमें हमारा अपना टूल भी शामिल है, इन्हीं तीन सवालों पर परखें।

संदर्भ

[1] Privnote. Home page and page source (2 अक्टूबर 2026 को जांचा गया)। https://privnote.com/

[2] Krebs, B. (14 June 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/

[3] Krebs, B. (4 April 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/

[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (रिपॉज़िटरी 16 अक्टूबर 2018 को आर्काइव की गई)। GitHub. https://github.com/mdp/gibberish-aes

[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin

[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass