💦 👰🏾 🎌 कैसे प्रमुख पीसी कंपनियां हैकर्स की मदद करती हैं 😠 😒 🌀

अग्रणी सॉफ़्टवेयर निर्माता (Microsoft, Oracle, SAP SE, इत्यादि) संबंधित कार्यक्रमों के साथ ऑपरेटिंग सिस्टम का सुरक्षित अपडेट सुनिश्चित करने और कंप्यूटर को हैकर्स से बचाने के लिए बहुत प्रयास करते हैं।

लेकिन जैसा कि यह निकला, पीसी हार्डवेयर निर्माता इतने सावधान नहीं हैं। कंपनी की जोड़ी सुरक्षा एचपी, डेल, एसर, लेनोवो और Asus: सॉफ्टवेयर के क्षेत्र में एक अध्ययन अद्यतन करता है शीर्ष पांच पीसी निर्माताओं का आयोजन किया। परिणामों से पता चला कि सूचीबद्ध कंपनियां अपने उत्पादों की उचित सुरक्षा सुनिश्चित नहीं करती हैं। मिली कमजोरियां हैकर्स को अपडेट प्रक्रिया को पकड़ने और दुर्भावनापूर्ण कोड स्थापित करने की अनुमति देती हैं।

डुओ लैब के शोधकर्ताओं ने पाया कि सभी पांच निर्माता जिन्हें ओईएम (ओरिजिनल इक्विपमेंट ओईएम) के रूप में जाना जाता है, पहले से स्थापित अपडैटर्स के साथ कंप्यूटरों की आपूर्ति करते थे जिनमें कम से कम एक उच्च-जोखिम भेद्यता थी। यह हैकर को दुर्भावनापूर्ण कोड को दूरस्थ रूप से चलाने और सिस्टम पर पूर्ण नियंत्रण प्राप्त करने की क्षमता प्रदान करता है। शोधकर्ताओं के अनुसार, ये अवैध प्रवेश के लिए सबसे अनुकूल परिस्थितियां हैं, जिन्हें हैकर्स से विशेष कौशल की आवश्यकता नहीं होती है। भेद्यता अनुसंधान के बारे में अधिक जानकारी मूल रिपोर्ट (पीडीएफ प्रारूप) में मिल सकती है ।

ओईएम व्यक्तिगत कंप्यूटरों में विभिन्न सुरक्षा खामियां थीं (HTTP प्रोटोकॉल के माध्यम से अपडेट डिलीवरी, अपडेट फ़ाइलों की पुष्टि और हस्ताक्षर की कमी)। समस्याएँ हमलावरों को अपडेट फ़ाइलों को हमला करने और अवरोधन करने की अनुमति देती हैं, उन्हें मैलवेयर से बदल देती हैं।

डुओ सुरक्षा रिपोर्ट से:

यह कई के प्रभाव को नकारने के लिए सॉफ्टवेयर के एक नगण्य भाग को हिट करने के लिए पर्याप्त है, यदि सभी नहीं, सुरक्षा उपाय। एक व्यक्तिगत फ़ायरवॉल और सुरक्षित फ़ाइल ब्राउज़िंग केवल शक्तिहीन हैं, जबकि ओईएम पूर्व-स्थापित सॉफ़्टवेयर के साथ उन्हें नुकसान पहुंचाते हैं।

कई निर्माताओं के घोषणापत्र में डिजिटल हस्ताक्षर नहीं होते हैं - अपडेटर फ़ाइलों को सर्वर से खींचा जाना चाहिए और इंस्टॉल किया जाना चाहिए। यदि वे असुरक्षित रूप से प्रसारित होते हैं, तो हमलावर अहस्ताक्षरित घोषणापत्रों को रोक सकते हैं। तब वे या तो प्रकट से महत्वपूर्ण अद्यतन फ़ाइलों को हटा देते हैं (पूरी तरह से उन्नयन के उपयोगकर्ता से वंचित), या सूची में दुर्भावनापूर्ण फ़ाइलों को जोड़ते हैं। उत्तरार्द्ध तब होता है जब निर्माता अपडेट फ़ाइलों पर हस्ताक्षर नहीं करते हैं, जिससे हमलावरों को अपने स्वयं के, अहस्ताक्षरित फ़ाइलों को सम्मिलित करने की अनुमति मिलती है। कुछ मैनिफ़ेस्ट में अपडेट को पूरा करने के लिए आवश्यक अंतर्निहित कमांड होते हैं। लेकिन एक हैकर केवल अपनी हानिकारक फ़ाइलों को स्थापित करने और चलाने के लिए एक अंतर्निहित कमांड जोड़ सकता है।

डुओ सुरक्षा शोधकर्ता डैरेन केम्प का मानना है:

कमांड-एंड-एरर एरर का दुरुपयोग करने के कई तरीके हैं। और प्रशासक जो कुछ भी नहीं कर सकता है वह उपयोगकर्ता द्वारा (प्रकट में अंतर्निहित आदेशों के माध्यम से) किया जा सकता है।

पांच निर्माताओं की समीक्षा केवल संदर्भ के लिए है। अपनी रिपोर्ट में, वैज्ञानिक ध्यान दें कि सामान्य रूप से अध्ययनों के आधार पर, सभी निर्माताओं की पीसी सुरक्षा की विश्वसनीयता संदेह में है। सच है, वे Apple के अधिक समर्थक हैं, यह मानते हुए कि उनका अपडेटर अधिक बंद हो सकता है। चूँकि कंपनी सुरक्षा मुद्दों के प्रति बहुत संवेदनशील है और अपनी मशीनों पर एक्सट्रॉलस ब्लोटवेयर (कार्यात्मक रूप से निरर्थक और संसाधन-गहन सॉफ़्टवेयर) स्थापित नहीं करती है।

जैसा कि केम्प कहते हैं:

यह उन मामलों में से एक है जहां "बगीचे के चारों ओर पत्थर की दीवार" एप्पल काम करती है। आपको (केवल) Apple सॉफ्टवेयर मिलता है ... वे बाकी सब को नियंत्रित करते हैं।

पीसी निर्माता कंप्यूटर पर अपडेट टूल स्थापित करते हैं, जैसे: ड्राइवरों को अपडेट करना और खरीद पर मशीन पर पहले से इंस्टॉल किए गए कार्यात्मक अतिरेक और संसाधन-गहन सॉफ़्टवेयर को अपडेट करना। जब उपयोगकर्ता किसी साइट से दूसरी साइट पर नेविगेट करता है तो ब्राउज़र को विज्ञापन भेजने वाले विज्ञापन के लिए तृतीय-पक्ष सॉफ़्टवेयर के मासिक परीक्षण से ब्लोटवेयर कुछ भी प्रतिनिधित्व कर सकता है। कुछ मामलों में, अपडेट डाउनलोड करने के लिए ओईएम साइटों पर अपडेट भेजे जाते हैं। लेकिन वे अपडेट प्राप्त करने के लिए कंप्यूटर को तृतीय-पक्ष सॉफ़्टवेयर विक्रेता पृष्ठों पर भी भेजते हैं।

वैज्ञानिकों ने उल्लेखित पांच निर्माताओं में 12 कमजोरियों की खोज की है। प्रत्येक कंपनी के पास अपने updaters में कम से कम एक उच्च-जोखिम भेद्यता है, जो दूरस्थ रूप से निष्पादित कोड की क्षमता प्रदान करती है।

उत्पादक	भेद्यता विवरण	जोखिम की डिग्री	निर्माता की स्थिति	सीवीई (सामान्य भेद्यता और प्रभाव)
हिमाचल प्रदेश	HPSA सेवा (HP एक्टिवेटर) ने चैनल को भेद्यता नाम दिया है	उच्च	नवीनतम संस्करण में फिक्स्ड	परिभाषित नहीं है
	अपडेटर एचपीएसएफ डीएलएल प्रीलोड हमला	केंद्रीय	नवीनतम संस्करण में फिक्स्ड	परिभाषित नहीं है
	एचपी समर्थन फ्रेमवर्क मनमाना कोड निष्पादन	उच्च	भेद्यता 13 अप्रैल, 2016 तय की गई। एचपी ने सीवीई प्रदान नहीं किया, न ही इसे सार्वजनिक रूप से उपभोक्ताओं को सूचित किया	परिभाषित नहीं है
	HP.com पर खुला पुनर्निर्देशन	कम	फिक्स्ड 31 मार्च 2016
	गाइड HTTP / स्थानीय HTTP सर्वर संचालकों में मूल की जाँच करें	कम	पत्रों के बावजूद, अभी भी तय नहीं है
	HPDIA Downloads		,
	HPDIA Downloads		,
Asus	Asus LiveUpdate		. 125	CVE-2016-3966
	Asus Giftbox		. 125	CVE-2016-3967
Acer			. 45	CVE-2016-3964
			. 45	CVE-2016-3965
Lenovo	LiveAgent		2016 .	CVE-2016-3944

पांच OEM निर्माताओं में से, डेल updaters सबसे सुरक्षित थे। हालाँकि कंपनी अपने मैनिफेस्टों पर हस्ताक्षर नहीं करती है, लेकिन यह उन्हें सुरक्षित HTTPS प्रोटोकॉल के माध्यम से अद्यतन फ़ाइलों के साथ भेजती है। सच है, डेल फाउंडेशन सर्विसेज के लिए वैज्ञानिकों ने एक और कंपनी अपडेट प्रोग्राम के नवीनतम संस्करण में समस्याएं पाईं। लेकिन, जाहिरा तौर पर, डेल विशेषज्ञों ने कमजोरियों की पहले ही खोज कर ली है और उन्हें पहले ही तय कर लिया है।

हेवलेट-पैकर्ड ने भी पर्याप्त अंक बनाए। कंपनी अपडेट को HTTPS के साथ-साथ सत्यापित अपडेट में स्थानांतरित करती है। लेकिन उसने अपने घोषणापत्र पर हस्ताक्षर नहीं किए। और फ़ाइलों को डाउनलोड करने के लिए कार्यक्रम के एक घटक के मामले में, यह सत्यापन की गारंटी देने में सक्षम नहीं है। एक हमलावर कंप्यूटर को एक अहस्ताक्षरित दुर्भावनापूर्ण फ़ाइल डाउनलोड कर सकता है और उपयोगकर्ता को इसे चलाने के लिए पेश कर सकता है। HP को पुनर्निर्देशित करने की समस्या को देखते हुए, एक हैकर उपयोगकर्ता के कंप्यूटर को दुर्भावनापूर्ण URL पर पुनर्निर्देशित करने में सक्षम है। इसके अलावा, पटाखा आसानी से दुर्भावनापूर्ण कोड डाउनलोड करता है और उपयोगकर्ता को इसे लॉन्च करने के लिए प्रेरित करता है।

वैज्ञानिकों ने दो लेनोवो अपडेट की जांच की - लेनोवो सॉल्यूशंस सेंटर और अपडेटएजेंट। पहला सबसे अच्छा माना जाता था। लेकिन दूसरा सबसे खराब में से एक निकला। प्रकट और अद्यतन दोनों फाइलें स्पष्ट पाठ में प्रेषित की गईं और अपडेट करने वालों ने फाइलों के हस्ताक्षर की पुष्टि नहीं की।

एसर ने इसे सही करने की कोशिश की। लेकिन उन्होंने यह निर्दिष्ट नहीं किया कि अद्यतनकर्ता को हस्ताक्षर सत्यापित करना चाहिए। उन्होंने अपने घोषणापत्र पर भी हस्ताक्षर नहीं किया, जिससे पटाखा को मैनिफ़ेस्ट में दुर्भावनापूर्ण फ़ाइलों को जोड़ने की अनुमति मिली।

लेकिन आसुस में, हालात और भी खराब थे। इसका अपडेटर इतना खराब था कि वैज्ञानिकों ने इसे "एक सेवा के रूप में रिमोट कोड निष्पादन" भी कहा। वास्तव में, यह दुर्भावनापूर्ण कोड दर्ज करने की अंतर्निहित क्षमता है, जैसे कि हैकर्स के लिए विशेष रूप से। Asus HTTPS के बजाय HTTP के माध्यम से हस्ताक्षरित अपडेट फाइलें और मैनिफ़ेस्ट भेजता है। यद्यपि मैनिफ़ेस्ट एन्क्रिप्ट किया गया है, MD5 हैश एल्गोरिथ्म का खुलासा किया गया है ("आसुस लाइव अपडेट" शब्द शामिल हैं)।

शोधकर्ताओं के अनुसार, HTTPS और हस्ताक्षर के उपयोग से पीसी कंपनियों की सुरक्षा में काफी सुधार होगा। समस्याओं के मामले में समय पर और प्रभावी संचार भी एक विशेष भूमिका निभाता है। लेनोवो, एचपी, और डेल के पास अपने सॉफ्टवेयर से संबंधित सुरक्षा मुद्दों की रिपोर्ट करने के लिए प्रत्यक्ष चैनल हैं। जबकि एसर और आसुस के पास ऐसे चैनल नहीं हैं।

निर्माताओं ने शोध परिणामों पर अलग तरह से प्रतिक्रिया दी। एचपी पहले से ही सबसे गंभीर कमजोरियों को तय कर चुका है। लेनोवो क्षतिग्रस्त सिस्टम से केवल कमजोर सॉफ्टवेयर को हटाकर चला गया। एसर और आसुस ने अभी तक कोई जवाब नहीं दिया है जब वे समस्याओं को ठीक करने जा रहे हैं।

डुओ लैब्स में सुरक्षा अनुसंधान के निदेशक स्टीव मंज़िक के अनुसार:

Asus ने कहा कि वे एक महीने के भीतर सब कुछ ठीक कर देंगे। लेकिन फिर उन्होंने अनिश्चित काल के लिए तारीख में देरी कर दी ...

कैसे प्रमुख पीसी कंपनियां हैकर्स की मदद करती हैं

More articles: