एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 5: "सुरक्षा प्रणाली त्रुटियाँ कहाँ से आती हैं," भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषयों में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2

Iframes में क्रेडेंशियल भरने से हमले के पैमाने में काफी वृद्धि होती है, और दुर्भावनापूर्ण पेज पर जाकर बहुत जल्दी क्रेडेंशियल्स के बड़े सेट से समझौता कर सकते हैं।



सुरक्षा शोधकर्ताओं ने विंडोज के लिए क्रोम एक्सटेंशन जैसे असत्यापित पासवर्ड प्रबंधकों की भेद्यता की खोज की, और बाद में शोधकर्ताओं ने एमआईटी के शोधकर्ताओं ने सफारी के लिए लास्टपास एक्सटेंशन का खुलासा किया।

क्रॉस-डोमेन प्रश्नों पर विचार करें। क्या आपको लगता है कि यह संभव है कि https: // example.com पर पासवर्ड मैनेजर द्वारा भरा गया प्राधिकरण फॉर्म https: // www.isecpartners.com में डाला जाए , क्या पासवर्ड मैनेजर किसी तीसरे पक्ष को डेटा ट्रांसफर कर सकता है? हां, यह कर सकता है, और यह एक भेद्यता या फ़ंक्शन को खोजने के लिए संभव बनाता है जो एक हमलावर को एक डोमेन लॉगिन फ़ॉर्म बनाने की अनुमति देता है, जिसके बाद एक दुर्भावनापूर्ण लॉगिन फ़ॉर्म प्रामाणिक साइट https: // www.isecpartners.com पर भेजा जाता है।

ध्यान रखें कि सभी विश्वसनीय पासवर्ड प्रबंधक सुरक्षित रूप से विभिन्न डोमेन पर पासवर्ड भेजते हैं।

डोमेन के लिए जो सही है वह सबडोमेन के लिए भी सही है। उप-डोमेन की एक विशेषता यह है कि उनकी "संवेदनशीलता" सुरक्षा डोमेन द्वारा की गई सुरक्षा जांचों से बहुत भिन्न हो सकती है। उप-डोमेन जैसे कि ब्लॉग। * , फोरम। *, या मेल। * पूरी तरह से अलग सुरक्षा आवश्यकताएं हो सकती हैं। डोमेन के समतुल्य के रूप में उप-डोमेन को संसाधित करना हमले की सतह को बढ़ाता है। कृपया ध्यान दें कि सभी विश्वसनीय पासवर्ड प्रबंधकों ने उप डोमेन को पेज डोमेन के बराबर माना।

लॉगिन पृष्ठों की पहचान करने में सावधानी बरतनी चाहिए। इंटरनेट एप्लिकेशन बदल रहे हैं, और इसके कारण प्रवेश पृष्ठ हिलने लगते हैं। इसलिए, उनकी प्रमाणिकता को उप-डोमेन की प्रामाणिकता की तुलना में अधिक सावधानी से जांचना चाहिए।

ध्यान रखें कि अधिकांश वेब एप्लिकेशन में लॉगिन पृष्ठों का एक छोटा समूह होता है। उन्हें एक-दूसरे से जोड़ा जा सकता है ताकि लॉगिन पृष्ठ की उपस्थिति एक मुख्य डोमेन के लिए फ़ॉर्म के स्वत: पूर्ण या ऑटो-सबमिशन शुरू करे। इस स्थिति में, पासवर्ड मैनेजर सामने आए किसी भी उपडोमेन के लिए प्राधिकरण के किसी भी रूप को भर देगा।

इस मामले में हमला वेक्टर HTML ई-मेल हो सकता है। उदाहरण के लिए, Google , Yahoo और Outlook ऑनलाइन फ़ॉर्म भरने जैसी चीजों का उपयोग करते हैं। स्लाइड निम्नलिखित पाठ के साथ एक उदाहरण दिखाती है: "यदि आपको इस फ़ॉर्म को भरने या जमा करने में कठिनाई हो रही है, तो आप इस लिंक का उपयोग करके इसे ऑनलाइन भर सकते हैं" और उपयोगकर्ता को docs.google.com डोमेन को निर्देशित करने वाले फॉर्म का लिंक प्रदान किया जाता है । और पृष्ठ पर आगे यह कहता है: "Google फ़ॉर्म का उपयोग करके कभी भी पासवर्ड अग्रेषित न करें!"



क्योंकि लोग अक्सर मेल भेजने के लिए मेल का उपयोग करते हैं, हमलावर इन तीन सेवाओं के उपयोगकर्ताओं पर ध्यान केंद्रित करते हैं। आप एक फॉर्म भरते हैं, उदाहरण के लिए, विभिन्न सर्वेक्षणों से सवालों के जवाब, और इसे भेजने के लिए अपने मेलबॉक्स का उपयोग करें। इन सेवाओं पर हमले कैसे होते हैं?

आउटलुक हैकर्स द्वारा सबसे अच्छा विरोध ( live.com )। यह किसी भी तीसरे पक्ष को किसी भी मूल सामग्री प्रदान करने से रोककर हमले की संभावना को रोकता है, जिसमें उपयोगकर्ता प्रपत्र और व्यक्तिगत जानकारी शामिल है।

दूसरे स्थान पर Google है , जो उपयोगकर्ताओं को केवल ऐसे कार्यों को करने से चेतावनी देता है, जो पासवर्ड चोरी की संभावना को बाहर नहीं करता है।

याहू आपको बिना किसी चेतावनी के पासवर्ड चुराने देता है।

अंतर्निहित ऑटोफिल तंत्र का खतरा और प्रमाणीकरण रूपों का निर्माण इस तथ्य में निहित है कि सेवाएं हमेशा उन्हें तीसरे पक्ष को भेजने या अन्य इंटरनेट संसाधनों के पृष्ठों पर इन कार्यों का उपयोग करने के खतरे की चेतावनी नहीं देती हैं। उदाहरण के लिए, उपरोक्त सर्वेक्षण पास करते समय, एक संदिग्ध सबमिट फ़ंक्शन होता है। इस सवाल का जवाब देना कि कौन बेहतर है, कुत्तों या बिल्लियों, और सबमिट बटन पर क्लिक करके, आप न केवल आपके द्वारा चुने गए उत्तर की पुष्टि करते हैं, बल्कि यह भी पुष्टि करते हैं कि आपका लॉगिन और पासवर्ड हमलावर को भेजा गया है।

याहू सबसे खराब सुरक्षा सेवा है, खासकर यदि आप लास्टपास पासवर्ड मैनेजर का उपयोग करते हैं।

मोबाइल ब्राउज़र संस्करण और भी अधिक सुरक्षित हैं। कोई एक्सटेंशन नहीं है, लेकिन सुरक्षा शोधकर्ताओं ने जावास्क्रिप्ट ब्राउज़र के मोबाइल संस्करण के लिए प्लग-इन की खोज की है जिसे जावास्क्रिप्ट बुकमार्कलेट कहा जाता है । यह आपके द्वारा देखी जाने वाली शत्रुतापूर्ण साइटों पर एक नकली सुरक्षा कोड चलाता है। वास्तव में, यह उनके खतरे को बढ़ाता है, झूठी सुरक्षा की भावना पैदा करता है, जिससे आपको बहुत नुकसान हो सकता है।

आप बर्कले और संयुक्त स्टैनफोर्ड सुरक्षा अनुसंधान संगठनों के लिंक का उपयोग करके अन्य ब्राउज़र एक्सटेंशन देख सकते हैं और हमले और पासवर्ड सुरक्षा अनुसंधान के परिणामों के बारे में जान सकते हैं।

मैं आपको समझना चाहता हूं: पासवर्ड प्रबंधकों की मूल बातें से परिचित होने के बाद, आप स्वयं इन अनुप्रयोगों की लगभग सभी सुरक्षा त्रुटियों का पता लगा सकते हैं।

आपको यह समझने की आवश्यकता है कि डेवलपर ने किस कार्यक्षमता में आवेदन किया है और यह व्यवहार में कैसे काम करता है। यदि आप ऐसा करते हैं, तो आपके लिए कमजोरियों को ढूंढना बहुत आसान हो जाएगा।

CRIME नामक TLS हमले पर विचार करें, जो संपीड़न अनुपात जानकारी-रिसाव मेड ईज़ी के लिए कम है । यह एक सुरक्षा शोषण है जो आपको उपयोगकर्ता कुकीज़ सहित एचटीटीपीएस सत्रों को डीकोड करने की अनुमति देता है, सर्वर और ब्राउज़र के बीच एन्क्रिप्टेड ट्रैफ़िक को इंटरसेप्ट करता है। TLS 1.2 सहित TLS के सभी संस्करणों से कमजोरियाँ प्रभावित होती हैं।

इस हमले के दौरान, हैकर उपयोगकर्ता ट्रैफ़िक को स्वीकार करता है, उसमें अपना डेटा जोड़ता है और सर्वर को अनुरोध भेजता है। पाठ का हिस्सा दोहराते समय संपीड़न एल्गोरिदम इसे संपीड़ित करता है। सर्वर को डेटा भेजने के बाद, हैकर संदेश की लंबाई को देखता है और अगर यह कम हो गया है, तो सही अनुक्रम का चयन किया गया है। इस प्रकार, आप अनुरोध में व्यक्तिगत लाइनों और मापदंडों का चयन कर सकते हैं, उदाहरण के लिए, कुकी मान।



यह हमला इस तथ्य पर आधारित है कि आपका ब्राउज़र आंतरिक इंटरफ़ेस - HTTP प्रोटोकॉल का उपयोग करके साइट के साथ इंटरैक्ट करता है। उसी समय, अगर मैं example.com पर जाता हूं, तो ब्राउज़र उसे मेरे कुकीज़ को पहले से पूर्ण प्राधिकरण फ़ॉर्म में उपलब्ध सभी जानकारी के साथ भेजता है, जिसमें उपयोगकर्ता नाम और पासवर्ड भी शामिल है। HTTP रूप में, यह इस तरह दिखता है:



भले ही डेटा एसएसएल / टीएलएस कनेक्शन द्वारा सुरक्षित है, फिर भी मैं नेटवर्क होने पर कुछ जानकारी प्राप्त कर सकता हूं। यहाँ SSL जानकारी कैसी दिखती है:



यहां मुझे निम्नलिखित जानकारी दिखाई देती है: ट्रांसमिशन समय, जिसमें से संदेश भेजा जाता है, वह है, उपयोगकर्ता का आईपी, जिसे संदेश भेजा जाता है, अर्थात प्राप्तकर्ता का आईपी और संदेश की लंबाई।



यह एसएसएल सिक्योर सॉकेट्स की क्रिप्टोग्राफिक प्रोटोकॉल लेयर का डिज़ाइन है। यदि आपके पास ट्रैफ़िक का विश्लेषण करने की क्षमता है, तो यह डेटा दुर्भावनापूर्ण गतिविधि के लिए बहुत बड़ा क्षेत्र प्रदान करता है।

उस संदेश पर विचार करें जो ब्राउज़र भेजता है।



यदि ब्राउज़र आपको क्रॉस-डोमेन अनुरोध करने की अनुमति देता है, तो यह किसी भी साइट पर प्रपत्र डेटा युक्त कुकी के साथ एक अनुरोध भेजेगा, जो किसी हमलावर द्वारा पुनर्निर्देशित किया जाएगा, उदाहरण के लिए, साइट example.com। यदि कोई हमलावर इन कुकीज़ को पकड़ लेता है, तो वह निम्नलिखित मापदंडों को नियंत्रित कर सकेगा:



उपयोगकर्ता के पासवर्ड का अनुमान लगाने के लिए, मैं स्ट्रिंग यूज़रनेम = टॉम एंड पासवर्ड के लिए पैरामीटर का चयन करना शुरू करता हूं और hunter2 के बजाय मैं पत्र में प्रवेश करता हूं a ।



फिर मैं HTTP डिक्रिप्शन को देखता हूं और देखता हूं कि यह पैरामीटर 195 बाइट्स लेता है।



अपने काम को सुविधाजनक बनाने के लिए, हैकर टीएलएस कम्प्रेशन का उपयोग करता है। संपीड़न एल्गोरिथ्म, जब पाठ का हिस्सा दोहराता है, तो इसे संपीड़ित करता है, और संपीड़न इन भागों के लिए मार्कर बनाता है और उन्हें HTTP संदेश के रूप में रखता है।



इस स्थिति में, सत्र आईडी संबंधित टोकन के साथ चिह्नित कोड के कुछ हिस्सों के बराबर है, और संपीड़ित संदेश का आकार 187 बाइट्स है।

यदि मैं सत्र ID = d की समानता रखता हूं तो क्या होगा?



संदेश का आकार कम हो जाता है क्योंकि उसे अधिक बाइट्स को संपीड़ित करने की आवश्यकता होती है। इसे शीर्ष से 2 पंक्ति में लाल फ्रेम द्वारा परिचालित तर्कों की संख्या की तुलना करके देखा जा सकता है।



यह हमलावर देखता है। वह देखता है कि संदेश संकुचित हो रहा है, और इसके लिए धन्यवाद, वह सीखता है कि उसने सत्र आईडी में पहले अक्षर का अनुमान लगाया था। फिर यह सत्र ID = दा को बदल देता है और 188 बाइट्स का संदेश आकार प्राप्त करता है।



इसलिए, अक्षरों और संख्याओं का क्रमिक रूप से प्रतिस्थापन करना और संदेश के आकार में परिवर्तन का विश्लेषण करना, वह पूरे सत्र आईडी का अनुमान लगाता है। यही है, यह एन्क्रिप्शन कुंजी का चयन नहीं करता है, लेकिन एन्क्रिप्ट किए गए संदेश की सामग्री ही है।



CRIME से निपटने के लिए, आपको ब्राउज़र को TLS संपीड़न करने से रोकना चाहिए। आपको SPDY प्रोटोकॉल भी बदलना चाहिए ताकि जब आप गुप्त डेटा का अनुरोध करें, तो यह एक अलग संदर्भ में संपीड़ित हो।

HTTP उल्लंघन के मामलों पर विचार करें। सर्वर तक पहुंचने के बाद उपयोगकर्ता के लिए आने वाली HTTP प्रतिक्रियाओं में संवेदनशील जानकारी जैसे कि CSRF टोकन या अन्य संवेदनशील जानकारी हो सकती है। CRIME के समान हमलों के लिए कम से कम एक गुप्त सत्र उपसर्ग का ज्ञान और एक प्रतिक्रिया संदेश में आपके डेटा को दर्ज करने की क्षमता की आवश्यकता होती है।

आप प्रतिक्रियाओं के संपीड़न को रोककर या CRIME हमले को दबाकर एक हमले को रोक सकते हैं, क्योंकि यह हमला MiTM (बीच में व्यक्ति) के सिद्धांत का उपयोग करता है और वास्तविक अनुरोधों को नीचे ला सकता है। यह एक संतुष्ट "शोर" हमला है, जिसका पता लगाया जा सकता है, क्योंकि हमलावर आमतौर पर सर्वर के साथ सीधे संवाद नहीं करता है, लेकिन राउटर तक पहुंच का उपयोग करता है, और सर्वर हमले के बारे में "पता" भी नहीं कर सकता है।

आप कई संवेदनशील जानकारियों को विभिन्न फाइलों जैसे कि जावास्क्रिप्ट में रखकर अपनी सुरक्षा कर सकते हैं, लेकिन व्यवहार में इसे लागू करना मुश्किल है और इसके लिए मौजूदा अनुप्रयोगों को संशोधित करना भी मुश्किल है।

आप अनुरोधों में गुप्त जानकारी को यादृच्छिक बनाने की कोशिश कर सकते हैं, मुख्य रूप से सीएसआरएफ टोकन, हालांकि, इस पद्धति से एक मजबूत प्रदर्शन ड्रॉप हो जाएगा।
अनुप्रयोगों और कमजोरियों के सिद्धांतों को जानने के बाद, आप संपूर्ण इंटरनेट को "नीचे" लाने में सक्षम हैं: एसएसएल / टीएलएस , डीएनएस , डीएनएसएसईसी / डीएनएसईसी , आईपीवी 6 , यह काफी संभव है।



और अब मैं एक बहुत बड़े सुरक्षा खिलाड़ी के बारे में बात करना चाहता हूं - एनएसए , राष्ट्रीय सुरक्षा एजेंसी, या एनएसए। ये वे लोग हैं जो अक्सर सुरक्षा समस्याएं पैदा करते हैं और उन्हें स्वयं हल करते हैं।

कुछ चीजों के लिए, मैं उनसे नफरत करने के लिए तैयार हूं। हालांकि, एनएसए कर्मचारी मौजूदा नीतियों को बदलने की स्थिति में नहीं हैं। वे सुरक्षा से संबंधित हर चीज के बौद्धिक विकास में योगदान करते हैं, और मुझे आशा है कि वे मानते हैं कि उनके काम का परिणाम अच्छे उद्देश्यों के लिए उपयोग किया जाएगा।

उनके काम में सिक्के के दो पहलू हैं, हालाँकि, यह केवल मेरी राय है और यह मेरे नियोक्ताओं की राय से मेल नहीं खा सकता है। और मुझे लगता है कि सभी अनुसंधान डेटा जो मैं आपको बताऊंगा, आधिकारिक तौर पर अस्वीकृत है।

स्नोडेन ने कहा कि कुछ बयान सच साबित हो सकते हैं, और कुछ झूठे। एक फर्जी बयान का एक उदाहरण एनएसए का कथन है कि " Google नेटवर्क तक सीधी पहुंच है" , क्योंकि इन नेटवर्क तक पहुंच के साथ चीजों की सही स्थिति निम्न आंकड़े में दिखाई गई है, जो एनएसए ने स्वयं किया था।

वर्तमान में, Google अपने सभी ट्रैफ़िक को एन्क्रिप्ट करता है क्योंकि यह चिंतित है कि कोई व्यक्ति अपने नेटवर्क में हैक करने में सक्षम होगा। इसके अलावा, सभी समाचार मीडिया के माध्यम से फ़िल्टर किए जाते हैं, और हम दस्तावेजों से केवल अंश देखते हैं।



आप वाक्यांश के आगे एक इमोटिकॉन देखते हैं " एसएसएल को मुख्य Google सर्वर पर यहां जोड़ा और मिटाया जाता है , " क्योंकि यह यहां से है कि एनएसए डेटा पुनर्प्राप्त कर सकता है। Google , जिसके पास दुनिया भर के डेटा केंद्र हैं, अपने नेटवर्क के लिए समर्पित फाइबर लाइनों का व्यापक उपयोग करता है। इसके लिए धन्यवाद, यातायात उच्च गति से प्रेषित होता है और इसे प्राप्त करना बहुत मुश्किल है।

सरकार के पास न केवल महान तकनीकी क्षमताएं हैं, बल्कि लाभ भी हैं। कुछ कंपनियों के लिए सरकार के साथ सहयोग करने के लिए ज़बरदस्ती का विरोध करना बहुत मुश्किल है। राज्य का सामना करने का एक उदाहरण नि: शुल्क Lavabit ईमेल सेवा है, जिसे Gmail के विकल्प के रूप में बनाया गया है, क्योंकि बाद में सरकारी सेवाओं के अनुरोध पर उपयोगकर्ता पत्राचार की गोपनीयता का उल्लंघन किया गया था।

राज्य कंपनियों को सार्वजनिक रूप से यह स्वीकार करने के लिए बाध्य नहीं कर सकता है कि वे सरकारी सेवाओं में सहयोग करें।

आइए विचार करें कि सुरक्षा नीतियों को लागू करने के लिए राज्य के पास कौन से उपकरण हैं।

सबसे पहले, यह SIGINT - वर्ल्डवाइड प्रोटेक्टिव क्रिप्टोलॉजिकल प्लेटफ़ॉर्म है। यह फाइबर ऑप्टिक नेटवर्क पर आधारित है। निम्नलिखित साइट स्नोडेन द्वारा प्रकाशित एक शीर्ष गुप्त दस्तावेज़ से एक आरेख दिखाती है। आप इसे बहुत सारे पीले डॉट्स पर देखते हैं, जिसे CNE के रूप में नामित किया गया है। स्नोडेन का सुझाव है कि ये साइटें नेटवर्क हैकिंग उपकरण से लैस हैं। दुनिया भर में इनकी संख्या 50,000 से अधिक है।

नेटवर्क को विभिन्न तरीकों से हैक किया जा सकता है। सरकार इस आपूर्ति श्रृंखला हमले के लिए उपयोग करती है - साइबर हमले जो विभिन्न संगठनों के नेटवर्क में कम से कम सुरक्षित तत्वों के उद्देश्य से हैं। इस तरह के हमलों से खुद को बचाने के लिए, सरकार किसी भी प्रकार के सहयोग से बचती है, बिना किसी मध्यस्थ और तीसरे पक्ष के अपने नेटवर्क तक केवल सीधे पहुंच प्रदान करती है।



गैर-सरकारी संगठन ईएफएफ (इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन) और इसके द्वारा शुरू किए गए मुकदमों के अनुसार, एनएसए तथाकथित "ऑप्टिकल स्विच" का उपयोग करना पसंद करता है, जो आपको एमपीएलएस सहित टेलीफोन वार्तालापों को बाधित करने और बिचौलियों को लक्ष्य जानकारी के रिसाव को रोकने की अनुमति देता है। न केवल संयुक्त राज्य अमेरिका, बल्कि दुनिया भर में उपयोगकर्ताओं के बीच सूचना के हस्तांतरण में शामिल बिचौलियों का बहुमत इसमें शामिल है।



मुझे उम्मीद है कि टीएलएस इस तरह के हस्तक्षेप का सामना कर सकता है।

सरकार अंत सर्वर से पोकेमॉन प्राइवेट एन्क्रिप्शन कुंजी का उपयोग करके आंतरिक नेटवर्क बुनियादी ढांचे से भी समझौता करने में सक्षम है। यह आपको हार्टलेड और मानक नेटवर्क हमलों जैसे हमलों को व्यवस्थित करने की अनुमति देता है। सरकार अक्सर अमेरिकी रक्षा विभाग द्वारा विकसित DOD नेटवर्किंग मॉडल का उपयोग करती है। ऐसी प्रणाली का उपयोग google.com नेटवर्क पर किया जाता है।

टीएलएस के खिलाफ क्रिप्टो हमलों का उपयोग करना संभव है। यह माना जाता है कि स्टक्सनेट कंप्यूटर वर्म, जो विंडोज कंप्यूटरों को संक्रमित करता है , अमेरिकी सरकार की पहल पर विकसित किया गया था। यह एमडी 5 एन्क्रिप्शन एल्गोरिथ्म के अंदर एक संघर्ष का उपयोग करता है, जिसके पास एक वैध प्रमाण पत्र है। यह कीड़ा नियंत्रक और तार्किक स्टेशनों के बीच डेटा को स्वीकार करता है और विभिन्न औद्योगिक परिसरों के स्वचालित नियंत्रण की प्रक्रिया में हस्तक्षेप कर सकता है। यह एकमात्र वायरस है जो नेटवर्क के भौतिक बुनियादी ढांचे को नष्ट कर सकता है।

एक NIST संगठन है जो दुनिया में लगभग हर चीज के लिए एन्क्रिप्शन मानकों को विकसित करता है। वह एन्क्रिप्शन कुंजी बनाने के लिए क्रिप्टोग्राफिक रूप से मजबूत छद्म यादृच्छिक संख्या जनरेटर DUAL_EC_PRNG का उपयोग करने की सलाह देता है। हालाँकि, यह अभी भी एक भेद्यता है। यदि आप अपने एन्क्रिप्शन मानक में निर्दिष्ट अण्डाकार वक्र के बिंदुओं का उपयोग करते हैं, तो बड़ी संख्या में आउटपुट बिट्स एक पीढ़ी के दौर में होने के कारण, जनरेटर कोड को घुसना और इसे क्रूर बल (संपूर्ण खोज) का उपयोग करके दरार करना संभव है। एल्गोरिथ्म के रचनाकारों को शुरू से ही इस भेद्यता के बारे में पता था। इसका मतलब यह नहीं है कि इस जनरेटर में एक पिछले दरवाजे को मूल रूप से प्रदान किया गया था, लेकिन इसका मतलब यह है कि किसी भी समय एक पिछले दरवाजे को बनाया जा सकता है।

मैं ध्यान देता हूं कि नवीनतम एमडी 5 एन्क्रिप्शन एल्गोरिदम में असंगतता के आधार पर एनएसए अक्सर हमलों का उपयोग करता है ।



दुनिया भर में इंटरनेट पर राज्य का वैश्विक प्रभाव है। अधिकांश वैश्विक संचार संयुक्त राज्य अमेरिका के माध्यम से हैं। टेलीफोन कॉल, ई-मेल और चैट सबसे सस्ते तरीकों से किए जाते हैं, शारीरिक रूप से हमेशा प्रत्यक्ष नहीं होते हैं, और आप हमेशा इस तरह से पालन कर सकते हैं। अधिकांश वैश्विक इंटरनेट यातायात संयुक्त राज्य अमेरिका से होकर गुजरता है। किसी भी स्थिति में, जिस तरह से आपके संपर्क के अंतिम लक्ष्य के साथ कनेक्शन बनाया गया है, उसे आसानी से संयुक्त राज्य में पुनर्निर्देशित किया जा सकता है, अर्थात, राज्य दुनिया भर में किसी भी दूरसंचार प्रवाह को नियंत्रित कर सकता है।

मैं इस तरह की गतिविधि से "वापसी" का एक उदाहरण दूंगा। राज्य न केवल निजी व्यक्तियों के संबंध में, बल्कि कंपनियों के काम में भी हस्तक्षेप करता है। नवंबर 2013 में, वाशिंगटन पोस्ट ने यह जानकारी प्रकाशित की कि एनएसए Google डेटा केंद्रों के बीच फाइबर ऑप्टिक केबल के माध्यम से यातायात को स्वीकार करता है, इससे पहले कि यह अंत सर्वर और उपयोगकर्ताओं के कंप्यूटरों के बीच एन्क्रिप्ट किया गया हो। सरकारी कार्यक्रम MUSCULAR और आंतरिक Google नेटवर्क से चुराए गए पैकेजों के टुकड़े के बारे में अतिरिक्त विवरण प्रकाशित किए गए थे।



Google के कर्मचारियों ने NSA के अपने नेटवर्क के हैक होने की पुष्टि की, भावों में शर्म नहीं - Google सुरक्षा विशेषज्ञ ब्रैंडन डाउनी ने सीधे लिखा: "इन लोगों को चोदो!", NSA के अभूतपूर्व अहंकार का जिक्र करते हुए।

इसलिए, लोगों के लिए अमेरिकी नेटवर्क उपकरण और अमेरिकी नेटवर्क प्रदाताओं द्वारा प्रदान की जाने वाली सेवाओं पर भरोसा करना मुश्किल है। मैं कार्डिनल रिचल्यू के शब्दों को उद्धृत करूंगा: "मुझे सबसे ईमानदार आदमी के हाथ से लिखी गई छह पंक्तियां दें, और मैं उन्हें कुछ ऐसा बताऊंगा जिसके लिए उन्हें लटका दिया जा सके।"

मैं नहीं चाहता कि आप सरकार के अविश्वास के अर्थ में पागल हो जाएं और कुल जासूसी और सूचना और गोपनीयता की गोपनीयता का उल्लंघन देखें। लेकिन भविष्य के सॉफ्टवेयर डेवलपर्स के रूप में, आपको यह जानना होगा कि एक हमलावर कैसे कार्य कर सकता है। यदि आप एक बड़ी कंपनी में काम करते हैं, तो एक हैकर एक हमले को व्यवस्थित करने के लिए सरकारी उपकरणों और तकनीकों का उपयोग कर सकता है। इसलिए, आपको Google की तरह उपयोगी चीजें करने की जरूरत है, अपने सभी आंतरिक ट्रैफ़िक को एन्क्रिप्ट करना और प्रवेश परीक्षण प्रमाणपत्र का उपयोग करना।

मैं आपको कई अन्य प्रकार के मैलवेयर से परिचित कराना चाहता हूं। उनमें से एक को लौ कहा जाता है, या "ज्वाला"।



, Stuxnet . , :

• GPS ;
• , Bluetooth;
• , .

Flame MD5 , , . - 2008 , CA -, RapidSSL . Internet Public Key Infrastructure (PKI) , .

4 RapidSSL . 3- , 215 Sony PlayStation 3 . , , MD5 .

, Microsoft Microsoft Terminal Server , MD5 . MD5 , , 1 . Microsoft , , Windows . , MS , Flame , . , , .

– , ? -, , .

, « »? « ?», .



, , . , .

, , , . , .

:

• « » , ;
• jailbreakme.com , iOS root- . , , , ;
• – , , , ;
• , ;
• , , .

.

, . , . , . , . , , .

. , , . , , . , , .

, , , . , , , .

, .

— .

, iSEC Partners:

• 2 -3 20-30 . , , MIT;
• , ;
• , ;
• , ;
• , !

paul@isecpartners.com . , .



. , , «». , , . , . «» IBM .

, , , . . , , , Facebook , Google Yahoo . , , , .

!


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?