स्मार्टफोन के लिए स्पेयर पार्ट्स में बग जासूस के लिए एक और अवसर है

मोबाइल फोन उपयोगकर्ता जो सेवा केंद्रों पर भरोसा करते हैं, जहां वे उपकरणों की मरम्मत करते हैं, साइबर जासूसी के शिकार बन सकते हैं। अब तक यह केवल एक सैद्धांतिक अवसर है, जो सूचना सुरक्षा विशेषज्ञों द्वारा दिखाया गया है, लेकिन इस मामले में, सिद्धांत आसानी से एक अभ्यास बन सकता है, अगर यह अभी तक नहीं हुआ है। मोबाइल उपकरणों के उपयोगकर्ताओं के बारे में, जिन्होंने मरम्मत के बाद अपने फोन में "बग" पाया, कुछ भी नहीं सुना है। शायद एकमात्र कारण यह है कि ऐसे मॉड्यूल अच्छी तरह से छिपे हुए हैं।

हैकर्स के एक समूह द्वारा प्रकाशित एक प्रगति रिपोर्ट कई मोबाइल डिवाइस मालिकों के बीच हल्के (या ऐसा नहीं) व्यामोह का कारण बन सकती है। लेकिन किसी को वायरटैपिंग की संभावना पर आश्चर्यचकित होने की आवश्यकता नहीं है - ऐसा करना मुश्किल नहीं है। इसके अलावा, साइबर जासूसी के शिकार दोनों एंड्रॉइड फोन के उपयोगकर्ता और iOS उपकरणों के मालिक हो सकते हैं।

प्रकाशन के प्रलेखन के अलावा, अध्ययन के लेखकों ने अपने शोध पर 2017 यूसेनिक्स कार्यशाला में आक्रामक प्रौद्योगिकी सम्मेलन में भी रिपोर्ट किया। मुख्य समस्या यह है कि कारखाने छोड़ने वाले फोन अधिक या कम विश्वसनीय हैं। अधिकांश कंपनियाँ अपने उद्यमों में उत्पादन चक्रों को नियंत्रित करती हैं जो खराब नहीं होते हैं, इसलिए बग्स को स्थापित करने के लिए तीसरे पक्ष का हस्तक्षेप असंभव नहीं है, लेकिन संभावना नहीं है। लेकिन फोन या टैबलेट के कारखाने छोड़ने के बाद, डिवाइस को नियंत्रित करना संभव नहीं है।

इस मामले में, उपयोगकर्ता जिसने अपने डिवाइस की स्क्रीन को तोड़ दिया है और मरम्मत कंपनी से संपर्क किया है, मरम्मत सेवाओं के बेईमान कर्मचारियों का शिकार हो सकता है। इस विषय पर डेविड बेन-गुरियन यूनिवर्सिटी ऑफ द नेगेव के शोधकर्ताओं ने इस विषय पर कहा है: “उपभोक्ता उपकरणों के अंदर दुर्भावनापूर्ण सॉफ़्टवेयर स्थापित करने के खतरे को अविश्वास के साथ नहीं लिया जाना चाहिए। जैसा कि इस दस्तावेज़ में दिखाया गया है, इस तरह के हार्डवेयर का उपयोग करने वाले हमले वास्तविक, मापनीय और अधिकांश सत्यापन तकनीकों के लिए अदृश्य हैं। एक प्रेरित हमलावर बड़े पैमाने पर हमले कर सकता है, या किसी विशेष लक्ष्य के लिए अपने प्रयासों को निर्देशित कर सकता है। हार्डवेयर आर्किटेक्ट्स को स्पेयर पार्ट्स की सुरक्षा पर विचार करना चाहिए। ”


एक उदाहरण के रूप में, शोधकर्ताओं ने एक पारंपरिक टच स्क्रीन का उपयोग किया, इसे एक एकीकृत चिप से लैस किया, जिससे स्क्रीन से आने वाले डेटा को एक साझा बस और इसके विपरीत में रोकना संभव हो गया। इस तकनीक को "चिप-इन-द-बीच" कहा जाता है। इस प्रकार के हमले से न केवल इंटरसेप्टिंग की अनुमति मिलती है, बल्कि ऊपर वर्णित डेटा को भी संशोधित किया जा सकता है।

शोधकर्ताओं द्वारा स्थापित चिप विशेष सॉफ़्टवेयर से सुसज्जित है जो आपको उपयोगकर्ता डिवाइस के साथ विस्तृत कार्य करने की अनुमति देता है। उदाहरण के लिए, एक संशोधित टचस्क्रीन डिवाइस अनलॉक पासवर्ड को कैप्चर कर सकती है, एक कैमरा लेंस के सामने हर चीज की तस्वीरें (किसी भी कार्रवाई के थोड़े से संकेत के बिना) ले सकता है और इंटरनेट के साथ पटाखा को तस्वीरें भेज सकता है।

सबसे दिलचस्प बात यह है कि इसके लिए किसी भी अल्ट्रा-कॉम्प्लेक्स चिप्स की आवश्यकता नहीं है - उन्हें एक अच्छे इलेक्ट्रॉनिक्स विशेषज्ञ द्वारा डिज़ाइन किया जा सकता है, और कोई भी अधिक या कम विशिष्ट चीनी कारखाना पहले से ही विकसित मॉड्यूल का उत्पादन करने में सक्षम है। चीनी व्यापारियों को परवाह नहीं है कि वे क्या आदेश देते हैं - कुछ समझ में आएगा।

नतीजतन, फोन पर स्थापित एक नया टचस्क्रीन हमलावर को उपयोगकर्ता को फ़िशिंग पते पेश करने में मदद करेगा, उसे सामाजिक नेटवर्क और अन्य संसाधनों के नकली रूपों में पासवर्ड दर्ज करने के लिए मजबूर करेगा। उपयोगकर्ता क्रियाओं की निगरानी 24/7 की जा सकती है।


अपने स्वयं के आदेशों को फोन पर भेजने के लिए, शोधकर्ताओं ने ATmega328 मॉड्यूल के साथ Arduino का उपयोग किया। उन्होंने STM32L432 माइक्रोकंट्रोलर का भी इस्तेमाल किया। अध्ययन के लेखकों के अनुसार, अन्य माइक्रोकंट्रोलर का भी उपयोग किया जा सकता है। बेशक, उपकरणों का परीक्षण नमूना बिल्कुल भी नहीं है, लेकिन यदि आप चाहें, तो आप यह भी विकसित कर सकते हैं कि फोन में क्या फिट होगा। इसके अलावा, इस "कुछ" का आकार बहुत छोटा हो सकता है, इसलिए उपयोगकर्ता यह नहीं समझेगा कि उसके फोन में कुछ गड़बड़ है।

इसके अलावा, तथ्य यह है कि डेवलपर्स ने एंड्रॉइड डिवाइस के साथ प्रयोग किए थे, इसका मतलब यह नहीं है कि आईओएस या किसी अन्य मोबाइल ऑपरेटिंग सिस्टम के साथ समान कार्य नहीं किए जा सकते हैं। अपने फोन की सुरक्षा का एकमात्र तरीका उपकरणों के लिए भागों को प्रमाणित करना है, हालांकि यह करना मुश्किल है। प्रमाणन को लागू करने के लिए, आपको विभिन्न देशों के मोबाइल उपकरणों के कई निर्माताओं की सहमति प्राप्त करने की आवश्यकता है, कुछ मानकों का विकास करें, विभिन्न देशों में इन मानकों का अनुमोदन प्राप्त करें। यह एक बहुत ही त्वरित प्रक्रिया है, जो, इसके अलावा, इस तरह की परियोजना के आरंभकर्ता के लिए (पैसे के संदर्भ में) कुछ भी नहीं लाएगा। इसलिए यह संभावना नहीं है कि निकट भविष्य में कोई व्यक्ति कुछ समान लागू करने का कार्य करेगा।

सबसे बुरी बात यह है कि हमले का यह तरीका पहले से ही एनएसए जैसे संगठनों द्वारा उपयोग किया जा सकता है - हम अभी इसके बारे में कुछ भी नहीं जानते हैं। सेवा केंद्रों के तकनीशियनों को इस तथ्य के बारे में भी जानकारी नहीं हो सकती है कि फोन में स्पेयर पार्ट्स में निर्मित बग स्थापित हैं। यदि उपकरण ठीक से छोटा है, तो कोई भी कुछ भी नोटिस नहीं करेगा, और हमले बहुत बड़े हो सकते हैं।



बहुत सारी मरम्मत सेवाओं में उपयोगकर्ता उपकरणों का उपयोग होता है, कोई भी उनके काम की निगरानी नहीं करता है। इसलिए, हार्डवेयर हमले की संभावना अवशिष्ट रूप से अधिक है, खासकर जब से यह पता लगाना लगभग असंभव है। कुछ रिपोर्टों के अनुसार, हमारे समय में हर पांचवें स्मार्टफोन में एक टूटी हुई स्क्रीन होती है , जिसे उपयोगकर्ता जितनी जल्दी हो सके और सस्ते में जितना संभव हो सके, बदलने की कोशिश करता है।

न केवल स्पेयर पार्ट्स

स्मार्टफ़ोन एक लंबे समय से पहले दिखाई दिए हैं, और यह विश्वास करने के लिए भोला होगा कि किसी ने अभी तक इस तरह के उपकरणों के मालिकों और उनके डेटा पर छिपकर देखना और जासूसी करना नहीं सीखा है। वर्षों से, एक हमलावर को ब्याज की जानकारी प्राप्त करने के लिए कई अलग-अलग तरीके प्रस्तुत किए गए हैं।

उदाहरण के लिए, 2014 में, स्टैनफोर्ड के वैज्ञानिकों ने गायरोफोन ऐप विकसित किया , जो माइक्रोफ़ोन के रूप में जाइरोस्कोप का उपयोग कर सकता है। इसके अलावा, यह एप्लिकेशन केवल एंड्रॉइड स्मार्टफोन के साथ काम करता है - iPhone पर, gyroscopes 100 हर्ट्ज से नीचे की आवृत्ति में उतार-चढ़ाव के साथ काम करते हैं।

लेकिन एंड्रॉइड डिवाइस में, जीरोस्कोप स्थापित किए जाते हैं जो 80-250 हर्ट्ज की आवृत्ति के साथ कंपन का अनुभव करने में सक्षम होते हैं, अर्थात, मानव कान के लिए उपलब्ध ध्वनि आवृत्तियों की लगभग पूरी श्रृंखला है। सबसे दिलचस्प बात यह है कि जाइरोस्कोप तक पहुंच प्राप्त करने के लिए अनुमति का अनुरोध नहीं किया जाता है।

इसके अलावा, आप वायरलेस वाईफाई नेटवर्क की निष्क्रिय निगरानी का उपयोग करके उपकरणों (न केवल फोन) को ट्रैक कर सकते हैं। इसी समय, ट्रैफ़िक के लिए सुनने वाला सिस्टम कुछ भी नहीं देता है, इसलिए इसका पता लगाना लगभग असंभव है।


लेकिन सबसे अधिक, विशेष सेवाओं को सुनने का अवसर मिला है। उसी एनएसए ने उन संगठनों को मजबूर किया, जिन्हें संयुक्त राज्य अमेरिका में बुकमार्क छोड़ने के लिए पहुंचाया जा सकता था , जिसकी बदौलत कई सुरक्षा मानकों को बदनाम किया गया था , जिन्हें विश्वसनीय माना जाता था और संगठनों और सामान्य उपयोगकर्ताओं के द्रव्यमान द्वारा उपयोग किया जाता था।

2012 में वापस, एजेंसी ने दुनिया भर के 70% मोबाइल नेटवर्क पर डेटा एकत्र किया। इसके अलावा, यहां तक ​​कि जीएसएम एसोसिएशन, दूरसंचार का एक अंतरराष्ट्रीय संगठन, जहां वे नए संचार मानकों पर सिफारिशें विकसित करते हैं, सुनने में सक्षम थे।

एक अन्य एजेंसी ने ब्लैकबेरी सहित मोबाइल उपकरणों के लिए विभिन्न अनुप्रयोगों में बुकमार्क सेट किए, जिन्हें बहुत सुरक्षित माना जाता था। प्रसिद्ध राजनेताओं ने इस निर्माता के स्मार्टफोन का उपयोग किया है, जिसमें अमेरिकी राष्ट्रपति बराक ओबामा और विभिन्न देशों के कई अन्य अधिकारी शामिल हैं।

यह सुनने की समस्याओं की पूरी सूची नहीं है, लेकिन सिर्फ कुछ उदाहरण हैं। सूची वास्तव में बहुत अधिक है, बहुत बड़ी है - और यह केवल मोबाइल उपकरणों से डेटा सुनने और चोरी करने के लिए प्रसिद्ध तरीकों के लिए है। यही है, हम केवल हिमशैल के टिप के बारे में बात कर रहे हैं।