एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं," भाग 1

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषयों में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2

प्रोफेसर निकोलाई ज़ेल्डोविच: शुभ दोपहर, मैं आपको iSec पार्टनर्स से हमारे अतिथि से मिलवाना चाहता हूं, जो आपको बताएगा कि वास्तविक दुनिया में कंप्यूटर सिस्टम की सुरक्षा क्या है।

पॉल यांग: शुभ दोपहर, मेरा नाम पॉल यांग है, मैंने 2004 में एमआईटी से स्नातक किया, इंजीनियरिंग और कंप्यूटर विज्ञान में मास्टर डिग्री प्राप्त की और 2010 तक ओरेकल में काम किया। अब मैं iSec पार्टनर्स में तकनीकी निदेशक के रूप में काम करता हूं। इससे पहले, मुझे यह भी पता नहीं था कि ऐसी कंपनियां मौजूद हैं। हमारी कंपनी कंप्यूटर सुरक्षा, पैठ परीक्षण (पंचिंग), नेटवर्क सुरक्षा के क्षेत्र में परामर्श करने में लगी हुई है, हम हैकर कार्यक्रमों का अध्ययन करते हैं, विभिन्न कमजोरियों का पता लगाते हैं और उन्हें खत्म करते हैं।



मैंने आपको इस बारे में बताने का फैसला किया क्योंकि मुझे पता है कि आपकी विशेषज्ञता के कई छात्र कंप्यूटर सिस्टम सुरक्षा के क्षेत्र में अपना करियर बनाना चाहते हैं। आज के व्याख्यान की रूपरेखा इस प्रकार है:

• सुरक्षा त्रुटियां क्या हैं?
• रिश्तों पर भरोसा;
• वास्तविक जीवन में आने वाली त्रुटियों के उदाहरण;
• संचालन अरोरा ने किया
• Stuxnet;
• मुझे सुरक्षा मुद्दों से निपटना पसंद है, मुझे क्या करना चाहिए?

आइए देखें कि शोधकर्ता कमजोरियों के बारे में क्या सोचते हैं। मैं चाहता हूं कि आप पूरी तरह से समझ सकें कि आपके द्वारा खोजे जाने के बाद भेद्यता कहां से आई है। यही है, आपको पता होना चाहिए कि इसका क्या कारण है। यह समझना महत्वपूर्ण है कि कमजोरियां सिस्टम को कैसे प्रभावित करती हैं और वे इसके अन्य घटकों के साथ कैसे बातचीत करते हैं।

तो, आइए सुरक्षा त्रुटियों को देखते हुए शुरू करें। लेकिन इससे पहले कि हम इस बारे में बात करना शुरू करें, हम पहले परिभाषित करते हैं कि सुरक्षा की अवधारणा का क्या मतलब है।

इवान आर्क ने कहा: "एक प्रणाली सुरक्षित है अगर यह बिल्कुल उद्देश्य के रूप में व्यवहार करता है और कुछ नहीं करता है।" सिस्टम अधिक से अधिक जटिल होते जा रहे हैं। यदि हम ऑपरेटिंग सिस्टम के बारे में बात कर रहे हैं, तो वे बता सकते हैं कि वे वास्तव में क्या चाहते हैं। वास्तव में वे क्या अनुमति देते हैं?

इसलिए, सभी प्रकार के हमलों का अध्ययन करना आवश्यक है। यह जानना कि कौन से हमले मौजूद हैं, महत्वपूर्ण सुरक्षा उद्देश्यों को विकसित किया जा सकता है। इसलिए, सुरक्षा के क्षेत्र में पहला कदम एक सुरक्षा मॉडल की परिभाषा और एक खतरे वाले मॉडल की परिभाषा होना चाहिए।

एक उदाहरण के रूप में, टीएसए खतरे के मॉडल को कैसे निर्धारित करता है, इस पर विचार करें। लोगान इंटरनेशनल एयरपोर्ट का सुरक्षा उद्देश्य विमान में प्रवेश करने से प्रतिबंधित वस्तुओं, जैसे शेविंग फोम, को रोकना है। खतरे के मॉडल में दो बिंदु होते हैं:

• हवाई अड्डे में प्रवेश करने के लिए निषिद्ध वस्तुओं के लिए संभावित तरीके क्या हैं?
• हवाई अड्डे के लिए इन चीजों के "प्रवेश बिंदु" कहां हैं?

आप प्रतिबंधित वस्तुओं को पिछली सुरक्षा के साथ कैसे ला सकते हैं? आप उनकी सुरक्षा प्रणाली पर हमला करने की कोशिश कैसे करते हैं? आप उन्हें ले जा सकते हैं जहां कोई चेक नहीं है, वीआईपी-यात्री के विशेषाधिकारों का उपयोग करके, उन्हें अन्य चीजों के बीच छिपाएं या हवाई अड्डे पर निषिद्ध वस्तुओं को वितरित करने के लिए अन्य एयरलाइनों की सेवा का उपयोग करें।

मैं हमेशा इस तथ्य से हैरान था कि अन्य हवाई अड्डों से आने वाले लोगान सामान पर नज़र रखता है। यही है, आप किसी अन्य हवाई अड्डे से निषिद्ध पदार्थ या वस्तु भेज सकते हैं, यह लोगान को उड़ जाएगा, और वहां आप इसे प्राप्त करेंगे। इस प्रकार, कम कठोर सुरक्षा प्रणाली वाले हवाई अड्डे लोगान की उन्नत सुरक्षा प्रणाली के लिए खतरा हैं, और इसके बारे में कुछ भी नहीं किया जा सकता है। इसलिए, खतरे के मॉडल के निर्माण में एक महत्वपूर्ण क्षण यह समझ रहा है कि आप विशेष रूप से क्या विरोध कर रहे हैं। मैं ध्यान देता हूं कि यह कई इंजीनियरों को ठीक से परेशान नहीं करता है।

इंजीनियर सुरक्षा त्रुटियां बनाते हैं और उन्हें स्वयं ढूंढते हैं। इंजीनियरों का उद्देश्य संभव के रूप में कई खामियों को खोजने और सिस्टम को नुकसान होने की संभावना को कम करना है।

इस लक्ष्य को प्राप्त करने का दृष्टिकोण बहुत गहन होना चाहिए - सुरक्षा प्रणाली के सभी मापदंडों को कवर करना आवश्यक है, या कम से कम उन तत्वों को ढूंढना चाहिए जो अपराधियों के लिए आसानी से सुलभ हैं।

लक्ष्य को प्राप्त करने के तरीके हैं स्रोत कोड का अध्ययन करना, एप्लिकेशन को डीबग करने के लिए टूल का उपयोग करना और इंजीनियरिंग। इसके अलावा, उपकरण और कर्मचारियों के लिए धन की आवश्यकता होती है।

आमतौर पर, सॉफ्टवेयर डेवलपर अपनी सुरक्षा के बजाय अपने उत्पाद की कार्यक्षमता और क्षमताओं की परवाह करते हैं। हर कोई अपनी क्षमताओं के कारण सॉफ्टवेयर खरीदता है, न कि इसकी सुरक्षा के कारण। इसलिए, सुरक्षा हमेशा दूसरे स्थान पर बनी रहती है और घुसपैठियों द्वारा उत्पाद क्षतिग्रस्त होने के बाद ही डेवलपर्स इसकी देखभाल करना शुरू करते हैं। आमतौर पर इंजीनियर "मोज़ेक" का केवल एक छोटा सा हिस्सा देखते हैं, वे तकनीकी विवरणों पर ध्यान नहीं देते हैं। क्या आप इस सवाल का जवाब दे सकते हैं कि कोड लिनक्स 2.6.32, विंडोज NT4 और एडोब एक्रोबैट की कितनी लाइनें हैं?

लिस्टिंग कार्यक्रमों के क्रम में सही उत्तर 8 से 12.6 मिलियन लाइनों, 11-12 मिलियन और 15 मिलियन से हैं। वास्तव में, यह आमतौर पर सभी के लिए आश्चर्य की बात है कि एक्रोबैट में लिनक्स और विंडोज की तुलना में प्रोग्राम कोड की अधिक लाइनें हैं। इस प्रकार, यहां तक ​​कि सॉफ्टवेयर जिसे हम सरल मानते हैं, वह वास्तविकता में अत्यंत जटिल है।

लोगों की निम्नलिखित श्रेणियां सुरक्षा मुद्दों में रुचि रखती हैं:

• इंजीनियरों;
• अपराधियों;
• सुरक्षा शोधकर्ताओं;
• पैठ परीक्षकों (pentesters);
• सरकार;
• hacktivists;
• वैज्ञानिक समुदाय के प्रतिनिधि।

मैंने केवल 6 श्रेणियों की पहचान की है, लेकिन उनमें से शायद अधिक। विचार करें कि लोगों की पहली श्रेणी क्या है - अपराधी।



उनका लक्ष्य ऐसे संसाधन हैं जिनके साथ आप अन्य लोगों के पैसे (बॉटनेट, सीसी # एस, "खुशी के पत्र" की स्पैम मेलिंग) पर कब्जा कर सकते हैं और उसी समय जेल में नहीं पहुंच सकते। लक्ष्य प्राप्त करने के लिए, वे नवीनतम हैकर कारनामों का उपयोग करते हैं जो सॉफ्टवेयर कमजोरियों का फायदा उठाते हैं। उन्हें डेटा एक्सेस विशेषाधिकारों की आवश्यकता नहीं है, लेकिन केवल डेवलपर्स द्वारा छोड़ी गई कमजोरियों का उपयोग करके उन्हें चोरी करते हैं। सबसे अधिक बार, क्रेडिट कार्ड और उनसे जुड़ी सभी चीजें हमले की वस्तुएं हैं। इसलिए, अपराधी पैसे की मदद से, हैकर्स से डेटा खरीदने या ब्लैक बॉक्स परीक्षण पद्धति का उपयोग करके अन्य लोगों के पैसे तक पहुंच पाते हैं। आंतरिक कोड संरचना या डेटाबेस तक पहुंच के बिना, कार्यात्मक विनिर्देशों और आवश्यकताओं के अनुसार सॉफ्टवेयर के लिए यह एक परीक्षण विधि है। इस मामले में, स्रोत कोड घटकों में असंतुष्ट है, जो आपको कार्यक्रम की सुरक्षा में अंतराल का पता लगाने की अनुमति देता है।



यह तकनीक आपको क्रेडिट कार्ड के डेटाबेस को भेदने की अनुमति देती है, विभिन्न दुकानों के भुगतान सिस्टम "हैकिंग"।

अगली श्रेणी स्वैच्छिक सुरक्षा शोधकर्ता है, जो एक निश्चित प्रकार का हैकर है।



उनका लक्ष्य जनता को उनके बारे में जागरूक करना है, उनके बारे में समाचार पत्रों में प्रकाशित करना है, और दोस्तों को उनका सम्मान या प्रशंसा करना है। उनके कब्जे को पूरी तरह से आवश्यकता नहीं है, कोई भी आपको शर्म नहीं करेगा यदि आपको एक भेद्यता या इसे दूर करने के तरीके नहीं मिले हैं। वे बड़ी सुरक्षा कंपनियों या विकासशील सॉफ्टवेयर में काम करने वाले इंजीनियरों के साथ शौकिया उपकरणों और आकस्मिक संपर्कों के माध्यम से सुरक्षा प्रणालियों तक पहुंच प्राप्त करते हैं, और वकील अक्सर सूचना के स्रोत के रूप में काम करते हैं।

तीसरी श्रेणी जो सुरक्षा में सबसे अधिक उपयोगी है, वह है प्रवेश परीक्षक (पेंटेस्टर)।



उनके काम का अर्थ ग्राहकों और सॉफ्टवेयर के उपयोगकर्ताओं की सुरक्षा सुनिश्चित करना है। वे उन कमजोरियों का पता लगाते हैं जो अपराधियों द्वारा खोजे जाने से पहले अपराधी उनका फायदा उठाना चाहते हैं, और डेवलपर्स को इन कमजोरियों को खत्म करने में मदद करते हैं।

उनके काम की संपूर्णता प्रणाली के सभी विवरणों और बारीकियों को कवर करने के लिए है, असुरक्षित सार्वजनिक स्थानों और कमजोरियों को खोजने के लिए जो सबसे बड़े हस्तक्षेप के अधीन हैं, निश्चित या हैक नहीं किए गए हैं।

इस तरह का काम करने के लिए, उन्हें डेवलपर्स तक पहुंच, स्रोत कोड तक पहुंच और सभी प्रकार की अनुमतियों की आवश्यकता होती है।

विभिन्न देशों की सरकारें निम्नलिखित हैं। सुरक्षा उन्हें हमलों, जासूसी और ऐसे दुश्मन कार्यों से अपने देश की रक्षा करने के मामले में चिंतित करती है। विश्वसनीय कारनामे जो कमजोरियों का पता लगा सकते हैं और उनका फायदा उठा सकते हैं, वे अपना काम प्रदान करते हैं, और सुरक्षा प्रणालियों तक पहुंच प्राप्त करने के लिए वे पैसे, प्रतिभा और समय का उपयोग करते हैं जो वे पैसे के लिए खरीद सकते हैं।

कलमकारी समूह हैक्टिविस्ट है। ये गुमनाम हैकर हैं, उनकी गतिविधि हैकिंग का एक मिश्रण है और किसी भी जानकारी का स्वतंत्र रूप से आदान-प्रदान करने के अधिकार के उल्लंघन के खिलाफ विरोध करती है। ये सामाजिक रूप से उन्मुख हैकर्स हैं, आमतौर पर हैकिंग सिस्टम अपने संवर्धन के लिए नहीं।



उनका लक्ष्य "कुछ अच्छा" करना है, शब्द की उनकी समझ में, और इसके लिए जेल नहीं जाना है। कभी-कभी मैं उनकी बातों से सहमत होता हूं, कभी-कभी मैं ऐसा नहीं करता।

वे सबसे आधुनिक कारनामों का उपयोग करते हैं और अपनी प्रतिभा और अपने कौशल को लागू करने के लिए "लक्ष्यों" की एक विस्तृत विविधता के लिए सुरक्षा प्रणालियों को भेदते हैं। वे सभी संभावित कमजोरियों का फायदा उठाते हैं, और यदि आप क्रेडिट कार्ड नंबर चुरा सकते हैं, तो वे उन्हें चुरा लेंगे।

अंतिम समूह विज्ञान के प्रतिनिधि हैं। यह गतिविधि का एक दिलचस्प क्षेत्र है जिसमें प्रोफेसर निकोलाई ज़ेल्डोविच काम करता है। यह कार्यक्रमों की दीर्घकालिक क्षमताओं और कार्यात्मक समस्याओं की पड़ताल करता है। विज्ञान के लोग सामान्य खामियों और अन्य सामान्य समस्याओं को देखते हैं, उदाहरण के लिए, फ़ायरवॉल या एन्क्रिप्शन के उपयोग में त्रुटियां, सॉफ़्टवेयर को अधिक सुरक्षित बनाने की कोशिश करना। आमतौर पर उनके पास अपने शोध के लिए पर्याप्त समय और प्रतिभा होती है, और दृष्टिकोण की गहराई से उनके काम की संपूर्णता सुनिश्चित होती है।

वे नई चीजों और ब्लैक बॉक्स के निर्माण के माध्यम से सुरक्षा प्रणालियों तक पहुंच प्राप्त करते हैं। सैद्धांतिक विकास और व्यवहार में उनके कार्यान्वयन के बीच एक अंतर है, लेकिन अधिकांश भाग के लिए वे राष्ट्रीय सरकारों के समान कार्य करते हैं, अर्थात्, वे बहुत महत्वाकांक्षी परियोजनाओं में लगे हुए हैं।

इन सभी लोगों के समूह समान तकनीकों का उपयोग करते हैं और एक ही चीज की तलाश करते हैं: कमजोर प्रणाली। यदि उनके पास पहुंच है, तो वे स्रोत कोड की समीक्षा करते हैं, इंजीनियरों के साथ साक्षात्कार का उपयोग करते हैं, या नियंत्रित वातावरण में परीक्षण करते हैं। यदि कोई एक्सेस नहीं है, तो वे ब्लैक बॉक्स परीक्षण करते हैं, फ़ज़िंग तकनीक में संलग्न होते हैं (उदाहरण के लिए, यादृच्छिक डेटा दर्ज करें और देखें कि सिस्टम इस पर कैसे प्रतिक्रिया करता है), रिवर्स इंजीनियरिंग की तकनीकी प्रतिलिपि बनाएँ (प्रोग्राम कोड की बाइनरी फ़ाइलों का उपयोग करके) और सोशल इंजीनियरिंग करें।

कई जटिल सॉफ़्टवेयर सिस्टम फ़ज़िंग के अधीन हैं, उदाहरण के लिए, एक ही एक्रोबैट रीडर - यह .pdf प्रारूप में विशेष रूप से निर्मित स्वैच्छिक दस्तावेज़ों का उपयोग करके बफर अतिप्रवाह की संभावना की जांच करता है। ऐसा दस्तावेज "एक्रोबेट" में "संचालित" है यह जांचने के लिए कि क्या यह सिस्टम क्रैश का कारण है।

सामाजिक नेटवर्क पर हैकिंग खातों द्वारा सुरक्षा समस्याओं का पता लगाने के लिए सोशल इंजीनियरिंग सबसे आसान और तेज़ तरीका है।

तो, चलो व्याख्यान के विषय में गोता लगाएँ और उन कमजोरियों को देखें जिन्हें हम खोज रहे हैं।



इंजीनियर अक्सर इस बारे में गलती करते हैं कि सिस्टम को कैसे काम करना चाहिए और निर्माण के बाद वे कैसे काम करेंगे। सॉफ्टवेयर में एक भयावह त्रुटि का एक उदाहरण जो लोगों की मौत का कारण बना, थेरैक -25 विकिरण चिकित्सा तंत्र का कार्यक्रम है। डिवाइस की सुरक्षा प्रणाली के गलत संचालन के कारण कम से कम 6 लोगों को विकिरण की भारी खुराक प्राप्त हुई, दो लोग घातक हो गए। मैं इस irradiator के विवरण और संचालन सिद्धांतों का उल्लेख किए बिना, सामान्य रूप से आपको इसके बारे में बताऊंगा।

इस चिकित्सा उपकरण का सॉफ्टवेयर दो प्रकार के विकिरण के उपयोग के लिए प्रदान किया गया है। पहली, एक्स-रे छवि , इलेक्ट्रॉन स्कैटरिंग मोड, जिसमें विकिरण जोखिम न्यूनतम था, इसमें सुरक्षात्मक फ़ोकस स्क्रीन का उपयोग शामिल नहीं था। दूसरे विकिरण उपचार मोड ने एक शक्तिशाली विकिरण मोड प्रदान किया जिसमें प्रभावित क्षेत्र 25 मेव की शक्ति के साथ रेडियोधर्मी विकिरण के निर्देशित बीम के संपर्क में था। इसके लिए, रोगी और एमिटर के बीच एक सुरक्षात्मक फ़ोकसिंग स्क्रीन रखी गई थी।

अगली स्लाइड में दिखाया गया है कि फ़ायरवॉल के संचालन को नियंत्रित करने वाला प्रोग्राम कोड कैसा दिखता है। आप देखते हैं कि एक पंक्ति में एकल-बाइट डेटा बता रहे थे कि जगह में एक सुरक्षात्मक स्क्रीन स्थापित करना है या नहीं। यदि यह मान 1 था, तो स्क्रीन स्थापित किया गया था; यदि यह 0 था, तो स्क्रीन हटा दी गई थी। समस्या यह थी कि प्रोग्राम के अंदर, 0 के बराबर एक पैरामीटर दर्ज करते समय, उदाहरण के लिए, यदि डॉक्टर ने मैन्युअल रूप से विकिरण की शक्ति को 0 पर समायोजित किया है, तो विकिरण 0. से विभाजित किया गया था। चूंकि 0 से विभाजित करना एक अमान्य ऑपरेशन है, बफर बह निकला, प्रोग्राम क्रैश हो गया। विकिरण शक्ति ने स्वचालित रूप से एक सुरक्षात्मक स्क्रीन की अनुपस्थिति में अधिकतम संभव मान लिया।

यहां, डेवलपर्स ने गलत धारणा का उपयोग किया कि विकिरण उपचार मोड में सुरक्षात्मक स्क्रीन का उपयोग करने के लिए पैरामीटर हमेशा गैर-शून्य मान लेगा, बफर ओवरफ्लो कभी नहीं होगा और कार्यक्रम कभी भी विफल नहीं होगा। इस गलत धारणा के परिणामस्वरूप, लोगों की मृत्यु हो गई, क्योंकि विकिरण उपचार मोड में एक स्क्रीन के बिना सत्र के दौरान, उन्हें एक भयंकर विकिरण जला मिला।



इस मामले के बारे में सीखते हुए, मेरे सहपाठी ने कहा: "मैंने अपने लिए निष्कर्ष निकाला कि मैं कभी मेडिकल सॉफ्टवेयर नहीं लिखूंगा।"

सॉफ़्टवेयर विकास के लिए गलत शर्तें बहुत हानिकारक हो सकती हैं, उदाहरण के लिए, amazon.com खाता प्रणाली।

यह ऑनलाइन स्टोर आपको इसकी अनुमति देता है:

• आप अपने खाते में नाम और भौतिक पते के साथ एक क्रेडिट कार्ड या इलेक्ट्रॉनिक मेल बॉक्स जोड़ सकते हैं;
• अमेज़ॅन आपको एक पंजीकृत मेलबॉक्स के माध्यम से अपना खाता पासवर्ड बदलने की क्षमता देता है;
• अमेज़ॅन आपको क्रेडिट कार्ड नंबर के अंतिम 4 अंक देखने देता है;
• Apple आपको अपने क्रेडिट कार्ड नंबर के अंतिम 4 अंकों का उपयोग करके अपने खाते में प्रवेश करने का विकल्प देता है;
• जीमेल आपको अपने ट्विटर खाते के माध्यम से अपने एप्पल खाते को बदलने की अनुमति देता है।

किन गलत धारणाओं ने इस शातिर श्रृंखला को संभव बनाया? पहले और चौथे पैराग्राफ में व्यक्त गलत सुरक्षा नीतियां। यह निष्कर्ष की ओर जाता है: आपके सिस्टम को प्रभावित करने वाले घटक अक्सर आपके ध्यान (फेसबुक, अमेज़ॅन, एप्पल) से परे होते हैं। इसलिए, एक हमलावर इन तीन स्वतंत्र प्रणालियों की क्षमताओं का उपयोग करके, amazon.com पर एक खाते के माध्यम से आपके क्रेडिट कार्ड की जानकारी को नियंत्रित कर सकता है। यह एक पूर्ण खतरा मॉडल माना जा सकता है।

इसलिए, इस सवाल का जवाब दें: क्या आपका व्यक्तिगत मेलबॉक्स पासवर्ड उस पासवर्ड से अधिक विश्वसनीय या कमजोर है जिसका उपयोग आप ऑनलाइन बैंकिंग के लिए करते हैं?

मैं देखता हूं कि कितने लोगों ने हाथ उठाया। अब उन लोगों को चुनें जिनके पास एक मेल पासवर्ड की तुलना में एक मजबूत बैंकिंग पासवर्ड है। मैं देखता हूं कि और भी हैं। और यह गलत है।

लोगों का मानना ​​है कि ऑनलाइन बैंकिंग एक गंभीर मामला है, और यहां हमें एक अधिक विश्वसनीय पासवर्ड की आवश्यकता है। लेकिन वे भूल जाते हैं कि भुगतान खाते तक पहुंच इलेक्ट्रॉनिक मेल बॉक्स के माध्यम से होती है। मेल में सबसे विश्वसनीय पासवर्ड होना चाहिए, और इसके विपरीत नहीं।

यदि आप एक इंजीनियर बनना चाहते हैं जो कंप्यूटर सिस्टम विकसित करता है, तो आपको एक सुरक्षा शोधकर्ता की तरह सोचने की जरूरत है:

• सिस्टम डिज़ाइन विकसित करते समय सुरक्षा सुनिश्चित करने के लिए क्या आवश्यक शर्तें इस्तेमाल की जानी चाहिए?
• कौन सी धारणाएँ गलत हैं?
• यदि आधार गलत निकला तो आप क्या उल्लंघन कर सकते हैं?

अंतिम बिंदु सिस्टम को इस तरह से डिजाइन करने में मदद करता है कि भले ही सिस्टम क्रैश हो जाए, आपके कर्नेल को सुरक्षित किया जाएगा।

मेमोरी को मैनेज करना मुश्किल है।



एक उदाहरण के रूप में, मैं आपको एक सुरक्षित संचार प्रोटोकॉल का एक सरल आरेख प्रदान करूंगा:

• संपर्क को संशोधित करने या फिर से स्थापित करने से बचें;
• ऐलिस: "बॉब, अगर तुम यहाँ हो, तो बोओ!"
• बॉब: "बू"!
• नतीजतन, ऐलिस और बॉब का मानना ​​है कि वे एक-दूसरे को अच्छी तरह से जानते हैं।

तकनीकी रूप से, यह प्रोटोकॉल इस तरह दिखता है:

• ऐलिस एक पैकेट भेजता है जिसमें पिंग होता है;
• एक पैकेट की एक निश्चित डेटा लंबाई होती है;
• बॉब उसी लंबाई का एक पैकेट लौटाता है।

इस मामले में, बॉब ऐलिस द्वारा भेजे गए डेटा को पार्स करता है:



डेटा की लंबाई और उसके स्थान को बफर में देखें। फिर वह ऐलिस के लिए एक उत्तर तैयार करता है, ऐलिस के अनुरोध की लंबाई में 2 बाइट जोड़कर, प्रतिक्रिया में ऐलिस के अनुरोध की नई लंबाई की प्रतिलिपि बनाता है, और उसे वापस भेजता है:



क्या आपको यहाँ कोई समस्या दिखाई देती है? यहाँ भेद्यता कहाँ है?



यह बॉब के उत्तर की दूसरी और चौथी पंक्ति में संलग्न है। उपयोगकर्ता द्वारा प्रेषित डेटा का आकार डेटा के वास्तविक आकार के साथ मेल नहीं खा सकता है। TSL स्थापना प्रोटोकॉल खुले SSL एन्क्रिप्शन प्रोटोकॉल का उपयोग करता है । इंटरनेट पर उपलब्ध लगभग 60% सर्वर इस तरह से काम करते हैं। बॉब, यानी सर्वर, कभी भी प्राप्त आंकड़ों की वास्तविक लंबाई की जांच नहीं करता है। 2 बाइट्स जोड़ने वाले सर्वर के कारण, उपयोगकर्ता निजी कुंजी सहित 64 एमबी सर्वर मेमोरी डेटा पढ़ सकता है।

अब जब हमें यह त्रुटि मिल गई है, तो हम इसे कैसे ठीक कर सकते हैं? जितना अधिक लोग इसके बारे में जानते हैं, जानकारी का रिसाव उतना ही अधिक होगा। इसलिए, जैसे ही भेद्यता के बारे में जानकारी का खुलासा किया जाता है, वे तुरंत इसका लाभ उठाएंगे। इसलिए, सुरक्षा के लिए जल्द से जल्द स्थिति को ठीक करना आवश्यक है।

कभी-कभी कंपनियां हमारी ओर मुड़ती हैं और कहती हैं कि उन्होंने इस तरह की भेद्यता की खोज की है और यह कैसे तय किया जा सकता है। हम उन्हें जवाब देते हैं: "कोई रास्ता नहीं, आपको बस एन्क्रिप्शन कुंजियों को तुरंत बदलने की आवश्यकता है।" इसलिए, डेटा एक्सचेंज के दौरान ओपन एसएसएल में होने वाले अंतर की निगरानी करना अनिवार्य है।

, TSL , , .

, , , « », , .

, . , .



2014 Yahoo , . Java-, 6 .

, java-, Magnitude XSS . Magnitude « » Yahoo , - 30 2013 3 2014 27000 . .

java- «click-to-play» Chrome.

Confused Deputy – . . Cross-Site Request Forgery ( CSRF XSRF ), « ». , .

Microsoft . , Cashier as a Service . , «foo…», , .

: , CaaS -. . .



, - , . , $10 CaaS 123. «» : « $10 TxID:123». CaaS : « ». : «». .

- , ? ? , , ! 3 4, , , . , , – $10 $1, .



, , - , . : , , .

.
, . , «» «», . , , , , . , .

, . , . , . , , . - . , .

.



, , . Cloud To Butt Plus Chrome . .

, , , java- Flash-player , . . www.isecpartners.com , , , .

, -, - . «» .

, , Google , . . , . : «, $10000»! , -, . , , . , Chrome 2014 , .

, . , :

• ;
• ;
• ;
• ;
• .

. , ? . 1password LastPass Mask Me ? .

1password , «» HTTP . , .

LastPass , Mask Me , 1password . , , , .

, , . :

• HTTP HTTPS;
• iframes;
• - ;
• ();
• .

HTTP HTTPS . , . SSL stripping «» .

, https:// example.com http:// example.com . , . Mask Me , , , .

33:35

:

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। 5: « », 2


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?