सुरक्षा सप्ताह 21: एडोब फ्लैश कमजोरियों के सैकड़ों

7 जून को, एडोब ने फ्लैश प्लेयर ( समाचार , कंपनी पोस्ट ) में एक महत्वपूर्ण भेद्यता को बंद कर दिया। भेद्यता CVE-2018-5002 को चीन की कई शोध टीमों द्वारा तुरंत खोजा गया था - हम बफर अतिप्रवाह त्रुटि के परिणामस्वरूप मनमाने कोड के दूरस्थ निष्पादन के बारे में बात कर रहे हैं। यह शून्य-दिन की भेद्यता है: खोज के समय, इसका उपयोग मध्य पूर्व में लक्षित हमलों में पहले से ही किया गया था। प्रभावित उत्पाद के नाम से इस गंभीर समस्या को केवल नियमित समाचार के रूप में माना जाता है: ठीक है, जो फ्लैश में आरसीई द्वारा आश्चर्यचकित हो सकता है?

इस वर्ष, यह दूसरा महत्वपूर्ण शून्य-दिवस भेद्यता है, पहला फरवरी में तत्काल बंद कर दिया गया था। सामान्य रूप से एडोब फ्लैश असुरक्षित सॉफ़्टवेयर का एक अनुकरणीय उदाहरण बन गया है, यह लगातार सबसे अधिक बार हमला किए गए अनुप्रयोगों में सबसे ऊपर है, और इस रेटिंग को वर्षों तक नहीं छोड़ता है। यह उपयोगकर्ताओं के बीच अभी भी आम है, कई वर्षों के प्रयासों के बावजूद इसे निष्पक्ष रूप से अधिक कुशल प्रौद्योगिकियों के साथ बदलने के लिए। तकनीक के बावजूद, फ्लैश इंटरनेट के इतिहास का एक अभिन्न अंग बन गया है। कुछ लिंक और एक चार्ट का उपयोग करते हुए, आइए फ्लैश को सुरक्षा के दृष्टिकोण से देखने की कोशिश करें और न केवल।

एक गौरवशाली अतीत से एक उदास वर्तमान तक

Adobe Flash, SmartSketch ड्राइंग सॉफ़्टवेयर के पूर्वज का प्रारंभिक इतिहास, जानकारी की कमी की स्थिति में होनहार प्रौद्योगिकियों के विकास पर दांव लगाने का एक उपयोगी मामला है। वर्ष 1992-1993 में बस खुद की कल्पना करें। अभी भी कोई वेब नहीं है, इंटरनेट वैज्ञानिकों के लिए एक खिलौना है और मेल और समाचारों में संचार के प्रेमियों के लिए एक बंद क्लब है। इसी समय, होनहार प्रौद्योगिकियां सभी वर्णित हैं: मल्टीमीडिया पीसी के लिए मानक हैं, पहनने योग्य उपकरणों के लिए, पहले टैबलेट अवधारणाएं हैं। यह स्पष्ट नहीं है कि यह विकसित होगा और धन लाएगा, और सबसे महत्वपूर्ण बात यह है कि इन सभी प्रौद्योगिकियों को किस क्रम में शूट किया जाएगा। स्मार्टस्कैच डेवलपर्स ने पहली बार एक टच स्क्रीन ( पेनप्वाइंट ) के साथ पोर्टेबल कंप्यूटर के लिए पहले ओएस में से एक पर गलत शर्त लगाई थी ।

यह प्रणाली वाणिज्यिक रिलीज के लिए नहीं रहती थी, और स्मार्टस्केच को मैक ओएस और विंडोज पर जल्दी से पोर्ट करना पड़ता था, जहां बहुत सारे ड्राइंग प्रोग्राम थे। और दूसरा रणनीतिक निर्णय - एनिमेशन बनाने के लिए परियोजना को फिर से तैयार करना, और यहां तक ​​कि वेब पर प्रकाशन की संभावना सुनिश्चित करने के लिए - सही निकला। 1996 में, एक उत्पाद का नाम FutureSplash एनीमेटर जारी किया गया था। लगभग उसी समय, माइक्रोसॉफ्ट ने महसूस किया कि इंटरनेट भविष्य था, विपणन और विकास के लिए बजट के साथ प्रासंगिक परियोजनाओं को शुरू करना और कुछ ऐसा बनाना जो केवल 10-15 वर्षों में वास्तव में प्रयोग करने योग्य हो जाएगा - सभी प्रकार के वेब टेलीविजन और अन्य इंटरैक्टिव चीजें। इंटरएक्टिव - यह एनीमेशन सहित है, और यहां सॉफ्टवेयर मैप के निर्माता और बाढ़ आ गई है।


उसी 1996 में, इस परियोजना का अधिग्रहण मैक्रोमेडिया (और बदला हुआ फ्लैश) द्वारा किया गया था। नई सहस्राब्दी की शुरुआत तक, मुफ्त क्लाइंट-साइड प्लग-इन सबसे सामान्य ब्राउज़र एक्सटेंशन बन गया है। 2005 में, मैक्रोमेडिया को एडोब को बेच दिया गया था, और तब भी यह केवल जटिल वेब ऑब्जेक्ट बनाने के लिए सॉफ्टवेयर नहीं था, बल्कि एक सॉफ्टवेयर डेवलपमेंट प्लेटफॉर्म था, जिसमें फ्लैश प्लेयर सिर्फ एक डिलीवरी विधि बन गया। कहीं दूर तो एक उज्ज्वल भविष्य की झलक देख सकता है जिसमें कंप्यूटर निर्माता, ऑपरेटिंग सिस्टम के डेवलपर्स और यहां तक ​​कि ब्राउज़र तारों को बिछाने के लिए जिम्मेदार केबल टीवी ऑपरेटरों की भूमिका निभाते हैं। एक ही समय में वास्तविक दादी फ़्लैश प्लेटफ़ॉर्म के माध्यम से बनाई और वितरित की गई सामग्री पर कमाती हैं, और यह पूरी तरह से एडोब द्वारा नियंत्रित है। महान, सही?

शायद सब कुछ ऐसा होगा यदि यह मोबाइल उपकरणों के विकास के लिए नहीं था जिसमें एक अलग बातचीत परिदृश्य (एक माउस के बजाय एक कलम और उंगलियां) और पारंपरिक पीसी की तुलना में बहुत कमजोर हार्डवेयर था। विंडोज मोबाइल में फ्लैश मौजूद था, कहते हैं, लेकिन अनुभव ऐसा था। 2007 में, Apple ने पहला iPhone जारी किया, एक ऐसा स्मार्टफोन जिसमें पूरा वेब देखना कमोबेश सुविधाजनक हो गया है। फ्लैश की अनुपस्थिति को अक्सर डिवाइस के गंभीर दोषों में से एक के रूप में चित्रित किया गया था: इसके बिना, शून्य के अंत में कई संसाधनों से वीडियो और ऑडियो को स्ट्रीम करना, कुछ व्यावसायिक अनुप्रयोगों का उपयोग करना असंभव था, और निश्चित रूप से, आप किसी भी अन्य खेत को नहीं खेल सकते थे। 2010 में, iPad के रिलीज़ के तुरंत बाद, जिसमें फ्लैश भी नहीं था , स्टीव जॉब्स ने एक खुला पत्र लिखा जिसमें बताया गया कि ऐप्पल के मोबाइल उपकरणों पर फ्लैश कभी क्यों नहीं दिखाई देगा।


मैं फ्लैश के खिलाफ नौकरियों के मुख्य तर्कों को संक्षेप में सूचीबद्ध करूंगा। बंद मानक (नौकरियां बताती हैं कि Apple के पास बहुत अधिक स्वामित्व है , लेकिन वेब मानक खुले होने चाहिए)। Apple द्वारा विकसित और हर जगह उपयोग किए जाने वाले WebKit इंजन को एक प्रतिरूप के रूप में दिया गया है (नोकिया स्मार्टफ़ोन का उल्लेख पत्र में किया गया है, और तब भी यह प्रासंगिक था!)।

संसाधन और बैटरी: एक उदाहरण फ्लैश में H.264 कोडेक का अक्षम कार्यान्वयन है, जो हार्डवेयर वीडियो कोडिंग के पूर्ण उपयोग की अनुमति नहीं देता है। इसलिए प्रोसेसर पर बढ़ा हुआ भार और आधे घंटे की बैटरी लाइफ। माउस के नियंत्रण पर तेज और उंगलियों के साथ सामान्य रूप से काम करने में असमर्थता। आईफोन और आईपैड के लिए फ्लैश ऐप्स को ऑप्टिमाइज़ करने के लिए एडोब की प्रेरणा की कमी है। अंत में, सुरक्षा और विश्वसनीयता दोनों का उल्लेख किया गया ("Macintosh कंप्यूटर नंबर एक के पतन का कारण")।

ओह, यहां क्या शुरू हुआ । एडोब निदेशक, निश्चित रूप से, ने जवाब दिया : "पॉपपीज़" माना जाता है कि क्योंकि अक्ष एक वक्र है। बैटरी की खपत के बारे में - यह सब झूठ है। और, ज़ाहिर है, "हम बहु-मंच के लिए हैं"। ऐसा लगता है कि यह सपना कि कार्यक्रम एक बार लिखा गया है और फिर किसी भी चीज पर काम करता है - यहां तक ​​कि एक पीसी पर, यहां तक ​​कि एक कॉफी निर्माता पर भी, कभी भी महसूस नहीं किया गया था। कुशल कोडिंग की समस्याओं को किसी तरह हल किया जाता है, बस बिना एडोब और फ्लैश प्लेटफॉर्म के।

यह अपेक्षाकृत लंबे समय के लिए एक अपेक्षाकृत सरल और सुविधाजनक उपकरण था, जिसमें एक विशाल दर्शकों के लिए काम करने का तंत्र था। और फिर यह इस तरह के एक उपकरण के रूप में बंद हो गया: 25 जुलाई, 2017 एडोब ने फ्लैश विकास और समर्थन से चरणबद्ध की घोषणा की। कारण उन्हीं खुले वेब मानकों का सार्वभौमिक अनुप्रयोग है। तब से, लाखों उपयोगकर्ताओं के कंप्यूटरों पर फ्लैश का एक ज़ोंबी मंच AKA टाइम बम खानों के रूप में इतिहास शुरू हुआ।



कितना बुरा है?

प्रश्न को दो भागों में विभाजित किया जाना चाहिए: व्यक्तिगत रूप से आपके साथ सब कुछ कितना बुरा है और सुरक्षा के दृष्टिकोण से, एडोब फ्लैश के साथ सब कुछ कितना बुरा है? पहला सवाल अपने दम पर जवाब देना आसान है: फ्लैश प्लेयर के संस्करण की जांच के लिए विजेट के साथ एडोब साइट पेज पर जाएं । मेरे मामले में, क्रोम ब्राउज़र ने पहले फ्लैश चलाने की अनुमति मांगी, और फिर दिखाया कि मेरे पास नवीनतम संस्करण है, जिसमें 7 जून की पैच वाली ज़िरोडी है। सब कुछ ठीक लगता है: ब्राउज़र निर्माता (क्रोम) स्वचालित रूप से फ्लैश प्लगइन की प्रासंगिकता का समर्थन करता है। दूसरी ओर, पूरी तरह से इस कार्यक्षमता को बंद करना संभव है: एक नियमित उपयोगकर्ता के लिए, पृष्ठ लोड करते समय फ्लैश लॉन्च करने की पेशकश से विशेष प्रश्न पैदा नहीं होंगे। और कई स्थितियां हैं जहां प्लगइन का नवीनतम संस्करण भी गंभीर रूप से कमजोर है।


फ्लैश प्लेयर सामान्य रूप से कितना खराब है? CVE भेद्यता डेटाबेस एक सिंहावलोकन प्रदान करता है। प्रकाशन के समय फ्लैश प्लेयर के लिए 2005 के बाद से 1047 कमजोरियों के बारे में जानकारी थी। 2015 में और 2016 में डेटाबेस में कमजोरियों की सबसे बड़ी संख्या को जोड़ा गया था, जैसे एडोब ने प्लेटफॉर्म सुरक्षा में क्रांतिकारी वृद्धि की घोषणा की थी । प्रोग्राम एडोब रीडर, जो अक्सर साइबर हमलों के लिए भी उपयोग किया जाता है, 368 कमजोरियों को एक ही सीवीई डेटाबेस में दर्ज किया गया है - लगभग तीन गुना कम। सीवीई डेटाबेस में फ्लैश प्लेयर की कमजोरियों का 86% सुरक्षा स्तर 9-10 के रूप में वर्गीकृत किया गया है, यानी ये महत्वपूर्ण कमजोरियां हैं। 79% को सीधे चिह्नित किया जाता है, जिससे मनमाने कोड को निष्पादित किया जा सके।

असुरक्षित सॉफ्टवेयर की कीमत

मैं यह नहीं कह सकता कि मैं फ़्लैश के बारे में स्टीव जॉब्स के पत्र से सहमत हूं। यह मत भूलो कि यह 2010 में लिखा गया था, जब एचटीएमएल 5 में यूट्यूब पर एक टैम्बॉरिन के साथ नृत्य किए बिना एक वीडियो देखना मुश्किल था (फ्लैश आमतौर पर केवल 2015 में बंद कर दिया गया था)। हारना फ्लैश एक व्यवसायिक कहानी है जो एक ऐसी तकनीक के बारे में है जो लंबे समय से खोना शुरू हुई थी क्योंकि यह लगभग सबसे अधिक बार हमला किया जाने वाला सॉफ्टवेयर था।

और स्वयं की कल्पना करें कि Adobe: 13 से अधिक वर्षों में, प्रौद्योगिकी ने कंपनी को बहुत पैसा दिया है। कई कारणों से, प्रौद्योगिकी को आराम करने का समय है, लेकिन अगले तीन वर्षों तक यह राजस्व उत्पन्न करेगा - क्योंकि उद्योग की संगतता सुनिश्चित करने की इच्छा है। विकास बंद है, निवेश शून्य है, आय है, सौंदर्य है! लेकिन नहीं, कुछ (लंबे समय से अपनाया हुआ) तकनीकी समाधान या सिर्फ एक सुरक्षा निगरानी मुझे एक न्यूनतम उत्पाद के रूप में बनाए रखने पर काफी पैसा और संसाधन खर्च करने के लिए मजबूर करती है जो अब इसके योग्य नहीं है। लेकिन यह आवश्यक है: अन्यथा प्रतिष्ठा को नुकसान, और यहां तक ​​कि कानूनी लागत भी।

विश्लेषण के साथ किसी की यादों को पढ़ना दिलचस्प होगा: यह कैसे हुआ? भविष्य में इससे कैसे बचा जाए, इसके टिप्स के साथ यह भी सलाह दी जाती है। अब तक, हम केवल यह निष्कर्ष निकाल सकते हैं कि उत्पाद विकास शुरू होने से लगभग पहले सुरक्षा में निवेश आवश्यक है। आप निश्चित रूप से, यह सोच सकते हैं कि कुछ अन्य लोग पहले से ही जाम जमा कर रहे होंगे जो मूल रूप से स्थापित किए गए थे, लाभ और बोनस प्राप्त होने के बाद। लेकिन यह एक गंभीर दृष्टिकोण नहीं है। हमारे समय में सिस्टम बनाने वाले सॉफ़्टवेयर के विकास के लिए जिम्मेदारी से कैसे संपर्क करें? 10-15 साल में पता करें?

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।