आधुनिक डिजिटल परिदृश्य में, हमारी बहुत सारी ऑनलाइन गतिविधियाँ दूर स्थित, केंद्रीकृत डेटा केंद्रों में नहीं, बल्कि हमारे बहुत करीब स्थित सर्वरों पर होती हैं। एज कंप्यूटिंग के रूप में जानी जाने वाली यह पद्धति, डेटा को पास में ही प्रोसेस करके वेबसाइटों और अनुप्रयोगों को लगभग तुरंत प्रतिक्रिया देने की अनुमति देती है। इस गति को संभव बनाने के लिए, क्लाउडफ्लेयर (Cloudflare) जैसी कंपनियाँ एक ही भौतिक कंप्यूटर पर एक ही समय में हजारों अलग-अलग ग्राहक प्रोग्राम चलाती हैं। वे ऐसा इसलिए करती हैं क्योंकि वे प्रत्येक ग्राहक को अपना अलग, अलग किया गया कंप्यूटर देने के बजाय एक साझा बड़े सॉफ़्टवेयर वातावरण को साझा करती हैं। यह डिज़ाइन अविश्वसनीय रूप से कुशल है, लेकिन यह एक अनूठी भेद्यता (vulnerability) भी पैदा करता है। यदि एक प्रोग्राम दूसरे के मेमोरी में झाँक सकता है, तो वह पासवर्ड या गुप्त कुंजियों जैसी संवेदनशील जानकारी चुरा सकता है। वर्षों से, सुरक्षा विशेषज्ञ 'स्पेक्ट्रे अटैक' (Spectre attack) नामक एक विशिष्ट प्रकार की चाल के बारे में चिंतित रहे हैं, जहाँ एक प्रोग्राम सूचना को प्रोसेस करने के तरीके में होने वाली सूक्ष्म, अदृश्य देरी का उपयोग करके यह अनुमान लगाता है कि दूसरा प्रोग्राम किस डेटा को धारण किए हुए है।

क्लाउडफ्लेयर और एडिनबर्ग विश्वविद्यालय के शोधकर्ताओं ने हाल ही में प्रदर्शित किया कि यह सैद्धांतिक जोखिम एक बहुत ही वास्तविक, व्यावहारिक खतरा है। उन्होंने दिखाया कि क्लाउडफ्लेयर द्वारा ऐसे तरीकों को रोकने के लिए लागू किए गए सख्त सुरक्षा नियमों के बावजूद, एक दुर्भावनापूर्ण प्रोग्राम इंटरनेट पर घटनाओं के समय (timing) को सुनकर गुप्त जानकारी चुरा सकता है। टीम ने सिद्ध किया कि युक्तियों के एक चतुर संयोजन का उपयोग करके, एक हमलावर सुरक्षा प्रणालियों को बायपास करने के लिए पर्याप्त सटीकता के साथ समय को माप सकता था। वे सफलतापूर्वक एक ही मशीन पर चल रहे पीड़ित प्रोग्राम से एक गुप्त डिजिटल टोकन निकालने में सफल रहे, और उन्होंने इसे पिछले किसी भी प्रयास की तुलना में सैकड़ों गुना तेजी से किया। इस खोज ने कंपनी को अपने सुरक्षा आर्किटेक्चर में आमूलचूल परिवर्तन करने के लिए मजबूर कर दिया, जिससे वे उपयोगकर्ताओं की सुरक्षा के लिए सॉफ़्टवेयर-आधारित चेतावनियों से हटकर हार्डवेयर-प्रवर्तित बाधाओं (hardware-enforced barriers) की ओर बढ़ गए।

यह कहानी इस बात से शुरू होती है कि ये एज कंप्यूटर कैसे बनाए जाते हैं। प्रति सेकंड लाखों अनुरोधों को संभालने के लिए, क्लाउडफ्लेयर एक ही प्रोसेस के भीतर कई अलग-अलग ग्राहक स्क्रिप्ट चलाता है, जो एक एकल कंटेनर है जिसमें सभी सक्रिय प्रोग्राम होते हैं। यह पुराने सिस्टम से अलग है जहाँ प्रत्येक प्रोग्राम अपने स्वयं के अलग बॉक्स में चलता था। जबकि यह साझा दृष्टिकोण सब कुछ तेज़ बनाता है, इसका अर्थ यह भी है कि यदि एक स्क्रिप्ट अपने पड़ोसी की मेमोरी को पढ़ने का रास्ता खोज लेती है, तो वह देख सकती है कि उसका पड़ोसी क्या कर रहा है। इसे रोकने के लिए, क्लाउडफ्लेयर ने कई सुरक्षा उपाय पेश किए थे। उन्होंने उन घड़ियों (clocks) को फ्रीज कर दिया जिन्हें प्रोग्राम पढ़ सकते थे, जिससे वे समय को सटीक रूप से मापने में असमर्थ हो गए। उन्होंने मेमोरी साझा करने या एक साथ कई थ्रेड्स चलाने की क्षमता को भी हटा दिया। इसके अतिरिक्त, उन्होंने 'डायनामिक प्रोसेस आइसोलेशन' नामक एक वॉचडॉग सिस्टम स्थापित किया, जो स्क्रिप्ट के व्यवहार की निगरानी करता है। यदि कोई स्क्रिप्ट संदिग्ध व्यवहार करती है, जैसे कि बार-बार समय मापने की कोशिश करना, तो सिस्टम उसे साझा प्रोसेस से बाहर निकाल देता है और उसे अपने स्वयं के अलग बॉक्स में डाल देता है।

शोधकर्ताओं ने यह परीक्षण करने के लिए कि क्या ये सुरक्षा उपाय वास्तव में पर्याप्त थे, प्रयोग किया। उन्होंने समस्या को 'समय' से हल करते हुए शुरुआत की। चूंकि सिस्टम सामान्य काम के दौरान घड़ियों को फ्रीज कर देता था, इसलिए हमलावरों को बाहर से समय मापने का एक तरीका चाहिए था। उन्होंने वेबसॉकेट (WebSockets) नामक एक फीचर की खोज की, जो एक प्रोग्राम को सर्वर के साथ लंबे समय तक चलने वाला कनेक्शन बनाए रखने की अनुमति देता है। इस कनेक्शन के माध्यम से संदेशों को आगे-पीछे भेजकर, वे एक रिमोट टाइमर बना सकते थे जो मुख्य प्रोग्राम के व्यस्त होने पर भी काम करता रहता। उन्होंने इसे केवल एक लैब में नहीं, बल्कि वास्तविक प्रोडक्शन एनवायरनमेंट में टेस्ट किया, और पाया कि वे लगभग एक मिलीसेकंड के रेजोल्यूशन के साथ समय को माप सकते हैं। हालांकि यह सुनने में धीमा लग सकता है, लेकिन यह हमले को शुरू करने के लिए पर्याप्त था।

अगली चुनौती सिग्नल को व्यस्त इंटरनेट के शोर के बीच इतना तेज़ बनाना था कि उसे सुना जा सके। सूचना का एक एकल गुप्त बिट केवल कुछ नैनोसेकंड की देरी पैदा कर सकता है, जो उनके रिमोट टाइमर के साथ मापने के लिए बहुत छोटा है। टीम ने 'एम्प्लीफिकेशन' (amplification) नामक तकनीक का उपयोग किया। कल्पना कीजिए कि आप एक शोर वाले कमरे में फुसफुसाहट सुनने की कोशिश कर रहे हैं; आप शायद उस व्यक्ति से वही बात बार-बार फुसफुसाने के लिए कहेंगे, या आप एक ऐसा उपकरण उपयोग करेंगे जो ध्वनि को गूँजने (echo) में मदद करे। शोधकर्ताओं ने एक ऐसा गैजेट बनाया जिसने सूक्ष्म देरी को हजारों बार दोहराया, प्रभाव को तब तक जोड़ता रहा जब तक कि कुल देरी कुछ मिलीसेकंड तक नहीं बढ़ गई। इसने "हाँ" और "ना" के बीच के अंतर को उनके रिमोट टाइमर द्वारा पता लगाने योग्य बना दिया, यहाँ तक कि वास्तविक दुनिया के नेटवर्क के जिटर (jitter) और शोर के बावजूद।

एक विश्वसनीय टाइमर और सिग्नल को बढ़ाने के तरीके के साथ, टीम डेटा की वास्तविक चोरी की ओर बढ़ी। उन्हें कंप्यूटर को यह बताए बिना धोखा देने के तरीके की आवश्यकता थी कि यह हो रहा है। उन्होंने 'स्पेक्युलेटिव एक्जीक्यूशन' (speculative execution) नामक एक विधि का उपयोग किया, जहाँ कंप्यूटर अनुमान लगाता है कि उसे आगे क्या करना चाहिए और इससे पहले कि वह सुनिश्चित हो जाए कि वह सही है, उस पर काम करना शुरू कर देता है। यदि अनुमान गलत होता है, तो कंप्यूटर आमतौर पर उस काम को फेंक देता है। हालाँकि, शोधकर्ताओं ने पाया कि वे कंप्यूटर को उसके कैश (cache), जो एक छोटा, तेज़ मेमोरी क्षेत्र है, में उस काम का निशान छोड़ने के लिए मजबूर कर सकते हैं। अपने कोड को सावधानीपूर्वक व्यवस्थित करके, वे कंप्यूटर को यह अनुमान लगाने के लिए मजबूर कर सके कि उसे एक विशिष्ट गुप्त डेटा को पढ़ना चाहिए। भले ही कंप्यूटर बाद में समझ गया कि वह गलत था और रुक गया, लेकिन डेटा को पढ़ने के कार्य ने कैश में एक निशान छोड़ दिया जिसे बाद में एक्सेस करने में अधिक समय लगा। उस स्थान को एक्सेस करने में लगने वाले समय को मापकर, वे बता सकते थे कि क्या गुप्त डेटा पढ़ा गया था।

शोधकर्ताओं ने इन तत्वों को एक पूर्ण 'अटैक चेन' में संयोजित किया। सबसे पहले, उन्होंने क्लाउडफ्लेयर के सिस्टम के एक विशेष फीचर 'ड्यूरेबल ऑब्जेक्ट्स' (Durable Objects) का उपयोग किया ताकि उनकी दुर्भावनापूर्ण स्क्रिप्ट को सामान्य समय सीमाओं को बायपास करते हुए घंटों तक चलते रहने दिया जा सके। इससे उन्हें पीड़ित के साथ एक ही साझा प्रोसेस में रहने की अनुमति मिली। फिर, उन्होंने अपने रिमोट टाइमर और एम्प्लीफिकेशन गैजेट्स का उपयोग करके पीड़ित के डेटा के मेमोरी एड्रेस को लीक किया। एक बार जब उन्हें पता चल गया कि डेटा कहाँ है, तो उन्होंने दूसरे गैजेट का उपयोग करके वास्तविक रहस्य को पढ़ा, जो उनके परीक्षण में प्रमाणीकरण (authentication) के लिए उपयोग किया जाने वाला एक डिजिटल टोकन था। उन्होंने पूरे रहस्य को बिट-दर-बिट पुनर्गठित करने के लिए इस प्रक्रिया को दोहराया।

परिणाम चौंकाने वाले थे। वास्तविक प्रोडक्शन एनवायरनमेंट में, टीम 12 बिट प्रति सेकंड की दर से डेटा चुराने में सक्षम थी। यह पिछले प्रयासों की तुलना में एक बड़ी प्रगति है, जो केवल 120 बिट प्रति घंटा ही प्रबंध पाते थे। हमला सटीक था, जिसने 99 प्रतिशत से अधिक बार गुप्त बिट्स की सही पहचान की। महत्वपूर्ण रूप से, हमला वॉचडॉग सिस्टम से बचने में सफल रहा। शोधकर्ताओं ने पाया कि जिस तरह से उन्होंने रिमोट टाइमर और लंबे समय तक चलने वाले कनेक्शन का उपयोग किया, उसने डिटेक्शन सिस्टम को भ्रमित कर दिया। सिस्टम यह तय करने के लिए कि क्या कोई स्क्रिप्ट दुर्भावनापूर्ण है, कुछ आंतरिक काउंटरों तक पहुँच को देखता था, लेकिन उनके हमले के समय ने उन काउंटरों को सामान्य दिखाया। क्योंकि स्क्रिप्ट अपना काम पूरा करने के दौरान कभी समाप्त नहीं हुई, इसलिए सिस्टम को डेटा चोरी होने से पहले उसे अलग (isolate) करने का मौका ही नहीं मिला।

इस खोज ने केवल सॉफ्टवेयर पर निर्भर रहने के हार्डवेयर-स्तर की चालों को रोकने की मौलिक खामी को उजागर किया। क्लाउडफ्लेयर के पास मौजूद सुरक्षा उपाय, जैसे घड़ियों को फ्रीज करना और व्यवहार की निगरानी करना, एक दृढ़ हमलावर को रोकने के लिए पर्याप्त नहीं थे। इस प्रदर्शन के जवाब में, क्लाउडफेयर ने नए बचाव लागू किए। उन्होंने एक 'सैंडबॉक्स' पेश किया जो यह सीमित करता है कि प्रोग्राम मेमोरी तक कैसे पहुँच सकते हैं, प्रभावी रूप से डेटा के चारों ओर एक बाड़ लगा देता है ताकि यदि कोई प्रोग्राम अपने क्षेत्र से बाहर देखने की कोशिश भी करे, तो वह पड़ोसी के रहस्यों तक नहीं पहुँच सके। उन्होंने अपने पहचान के तरीकों में भी सुधार किया ताकि सामान्य व्यवहार के बजाय हमले के विशिष्ट पैटर्न को देखा जा सके। अंत में, और शायद सबसे महत्वपूर्ण रूप से, उन्होंने एक हार्डवेयर-आधारित आइसोलेशन सिस्टम तैनात किया। यह सिस्टम कंप्यूटर की अपनी भौतिक क्षमताओं का उपयोग करके प्रत्येक ग्राहक के डेटा को एक अलग कमरे में लॉक करता है, यह सुनिश्चित करता है कि यदि कोई प्रोग्राम अंदर घुसने की कोशिश भी करता है, तो हार्डवेयर स्वयं उस प्रयास को रोक देगा।

यह कार्य एक शक्तिशाली अनुस्मारक के रूप में कार्य करता है कि उच्च-गति कंप्यूटिंग की दुनिया में, दक्षता और सुरक्षा अक्सर तनाव में रहते हैं। इन प्रणालियों के कितने तेज़ और लचीले होने की सीमाओं को आगे बढ़ाते हुए, नई कमजोरियाँ अनिवार्य रूप से सामने आती हैं। शोधकर्ताओं ने केवल एक बग नहीं पाया; उन्होंने दिखाया कि साझा प्रणालियों को सॉफ्टवेयर जाँच के साथ सुरक्षित रखने की पूरी रणनीति आधुनिक, परिष्कृत हमलों के विरुद्ध अपर्याप्त थी। समाधान के लिए हार्डवेयर-प्रवर्तित सीमाओं की ओर बदलाव की आवश्यकता थी, जो यह सिद्ध करता है कि कभी-कभी रहस्यों को सुरक्षित रखने का एकमात्र तरीका वे दीवारें बनाना है जिन्हें सॉफ्टवेयर पार नहीं कर सकता। यह अध्ययन पुष्टि करता है कि जबकि एज कंप्यूटिंग अविश्वसनीय गति और सुविधा प्रदान करती है, यह हर सेकंड बहने वाले विशाल संवेदनशील डेटा की सुरक्षा के लिए भौतिक सुरक्षा के उच्च स्तर की मांग करती है।