सुरक्षा सप्ताह 32: Fortnite-Android नाटक

वह चतुर क्षण जब आपने एक भविष्यवाणी को लिखा था। अंतिम मुद्दा एंड्रॉइड में सुरक्षा जोखिमों के बारे में था , विशेष रूप से मैन-इन-डिस्क की कमजोरियों के बारे में, साथ ही साथ एपिक गेम्स के व्यवहार (पैसे की खातिर) के असुरक्षित तरीके से, जिसने Google Play स्टोर पर Fortnite की मेजबानी करने से इनकार कर दिया। 25 अगस्त को, सॉलिटेयर एक साथ आया: Google अपने स्टोर, एपिक गेम्स के साथ फ़ोर्टनीट के बीटा संस्करण के साथ, और यहां तक ​​कि मानव-इन-डिस्क भेद्यता ने एक अंतरंग संबंध में प्रवेश किया, जिसने मध्यम आकार के घोटाले को जन्म दिया।


प्रारंभ में, यह कहा गया था कि फ़ोर्टनाइट में तकनीकी रूप से असंतुलित खिलाड़ी, आधिकारिक Google Play Store में एंड्रॉइड संस्करण नहीं खोज पाएंगे, इसके लिए कहीं और देखेंगे और स्मार्टफोन पर कुछ गलत स्थापित करेंगे। यदि आप अब अपने स्मार्टफोन से ऐपस्टोर में जाते हैं और वहां फ़ोर्टनाइट की तलाश करते हैं, तो Google आपको एक विशेष संदेश भी दिखाएगा, जैसा कि ऊपर की तस्वीर में है, ताकि आप स्टोर से क्लोन एप्लिकेशन इंस्टॉल न करें। लेकिन, जैसा कि यह निकला, फ़ोर्टनाइट इंस्टॉलर अपने आप में असुरक्षित है - न केवल पूरी तरह से परिदृश्य में भयानक है, लेकिन फिर भी।


Google द्वारा 15 अगस्त को भेद्यता की खोज की गई थी, तकनीकी विवरण उनके बगट्रैकर में प्रकाशित किए गए थे। समस्या उसी के समान है जो चेक प्वाइंट (जिसे पचाने में संख्या 31 में अधिक विस्तार से चर्चा की गई थी)। जैसा कि Fortnite पर लागू होता है, यह इस तरह से निकलता है: उपयोगकर्ता साइट से इंस्टॉलर डाउनलोड करता है, जिसका एकमात्र कार्य गेम को स्वयं ढूंढना और इंस्टॉल करना है।

इंस्टॉलर डाउनलोड करता है और गेम फाइल को बाहरी मेमोरी में सेव करता है। कोई भी एप्लिकेशन जिसकी बाहरी मेमोरी तक पहुंच है, वह इस फाइल को ओवरराइट कर सकता है। इंस्टॉलर फिर गेम की स्थापना शुरू करेगा, इसमें संदेह नहीं है कि यह पहले से ही कुछ गलत शुरू कर रहा है: डाउनलोड की गई फ़ाइल की प्रामाणिकता सत्यापित नहीं है। इसके अलावा, आप उपयोगकर्ता को सूचित किए बिना, निजी डेटा तक पहुंच प्राप्त करने के बिना, नकली फ़ोर्टनाइट स्वचालित रूप से बना सकते हैं। जब एप्लिकेशन एसडीके के एक विशिष्ट संस्करण का उपयोग करता है, तो फोन उपयोगकर्ता को अनुमति के लिए भी नहीं पूछेगा (जो अभी भी अधिकांश मामलों में डिफ़ॉल्ट रूप से अनुमोदित है)।


समस्या बस हल हो गई है: आपको इंस्टॉलर को आंतरिक मेमोरी में सहेजने की आवश्यकता है, जहां केवल एप्लिकेशन जिसने उन्हें बनाया है उनकी फाइलों तक पहुंच है। वास्तव में, एपिक गेम्स ने दो दिनों के भीतर भेद्यता को समाप्त कर दिया था। Google के शोधकर्ताओं ने डेवलपर को 15 अगस्त को सूचित किया, 17 वें मुद्दे को हल किया गया। सात दिन बाद, 24 तारीख (शुक्रवार शाम), Google द्वारा अनुसरण की जाने वाली कमजोरियों के प्रकटीकरण नियमों के पूर्ण अनुपालन में, जानकारी सार्वजनिक डोमेन में पोस्ट की गई थी।

घोटाले का सार सरल है: Google की ओर से हितों का टकराव हुआ है। Google Play पर पोस्ट किए गए एप्लिकेशन में कंपनी किसी भी बिक्री का 30% हिस्सा लेती है। एपिक गेम्स ने फ़ोर्टनाइट को आधिकारिक स्टोर में रखने की योजना नहीं बनाई है, ताकि इस शुल्क का भुगतान न किया जा सके। खेल पहले से ही लोकप्रिय है - Google प्लेटफॉर्म द्वारा प्रदान किए गए अतिरिक्त प्रचार की आवश्यकता नहीं है। बेशक, गेम डेवलपर ने इस फैसले को एक मौद्रिक मुद्दे से नहीं, बल्कि "वैकल्पिक वितरण चैनलों को विकसित करने की इच्छा" या कुछ इसी तरह से समझाया। हालाँकि, सैमसंग एप्लिकेशन स्टोर में गेम के एंड्रॉइड वर्जन को एपिक गेम्स वेबसाइट पर एक बीटा वर्जन के रूप में प्रस्तुत किया गया है, यह बिल्कुल उसी तरह उपलब्ध है और एक बार में दो विज्ञापन बैनर के साथ विज्ञापित किया गया है।


Google के साथ पत्राचार में, एपिक गेम्स के प्रतिनिधि समस्या के समाधान की रिपोर्ट करते हैं, लेकिन नब्बे दिनों की जानकारी के जिम्मेदार प्रकटीकरण के लिए मानकों की समाप्ति तक भेद्यता के बारे में जानकारी प्रकाशित नहीं करने के लिए कहते हैं। Google मना कर देता है: यदि कोई फिक्स है और यह आम जनता के लिए सुलभ है, तो इसे छिपाने का कोई मतलब नहीं है। जवाब में, एपिक गेम्स के सीईओ ने Mashable पर एक टिप्पणी में, Google पर गैर-जिम्मेदार होने का आरोप लगाया ।

कौन सही है? Google ने खतरनाक भेद्यता जानकारी से निपटने के लिए अपने नियमों का उल्लंघन नहीं किया है। बगट्रैकर की टिप्पणियां ठीक ही कहती हैं कि यदि एप्लिकेशन को Google Play के माध्यम से वितरित किया गया था, तो कोई समस्या नहीं होगी - आपको एक "इंस्टॉलर इंस्टॉलर" के साथ एक बगीचे की बाड़ नहीं लगानी होगी। दूसरी ओर, Google को संघर्ष की स्थिति के बारे में पता होना चाहिए था, और जो शुक्रवार को शाम सात बजे जानकारी प्रकाशित करके अन्य कंपनियों के लिए समस्या पैदा कर रहा है? क्या भेद्यता इतनी खतरनाक है? यह पता चला है कि उपयोगकर्ता के पास पहले से ही स्मार्टफ़ोन पर एक एप्लिकेशन होना चाहिए, जिसमें खराब इरादे हैं - छिद्रपूर्ण फ़ोर्टनाइट कोड के माध्यम से, व्यक्तिगत डेटा को चुराते हैं।

अनुभव बताता है कि सूचना सुरक्षा में कोई तुच्छ trifles नहीं हैं। किसी भी अन्य स्थिति में, यह सूचना का सामान्य आदान-प्रदान होगा: हमने एक समस्या पाई, आपने इसे ठीक कर दिया, सब कुछ ठीक है। यहां, नियमित भेद्यता के आसपास की चर्चा का तुरंत राजनीतिकरण किया गया। यह कहानी विश्वास की कमी के बारे में अधिक है। अगली बार, कोई व्यक्ति सॉफ़्टवेयर में भेद्यता पाएगा, इसे निर्माता को रिपोर्ट करेगा, और वह जानबूझकर उत्तर निकाल देगा, अतिरिक्त जानकारी का अनुरोध करेगा, और यह स्वीकार नहीं करेगा कि छेद लंबे समय से बंद है। इस तरह के "स्वस्थ", "दोस्ताना" माहौल में, पैरों पर गोलीबारी की संभावना केवल बढ़ेगी।

और क्या हुआ?
Kaspersky Lab ने नए लाजर अभियान (जिसमें कथित रूप से 2014 में सोनी पिक्चर्स पर हमला किया गया था) की जांच की, और किसी प्रकार की मुश्किल एक्शन फिल्म है: यह पहली बार मैक ओएस एक्स को लक्षित करता है, बिक्री के लिए एक नकली नकली एक्सचेंज वेबसाइट से वितरित एक परिष्कृत ट्रोजन का उपयोग करता है। नकली क्रिप्टोकरेंसी। संक्षेप में यहां रूसी में लिखा गया है , यहां अंग्रेजी में विस्तार से।

OpenSSH ने सॉफ्टवेयर पैकेज के बहुत पहले संस्करण के रिलीज होने के बाद से 19 वर्षों तक कोड में मौजूद न होने वाली गंभीर-गंभीर भेद्यता (उपयोगकर्ता नामों के अनजाने में रिसाव) को बंद कर दिया। क्वालिस का दावा है कि बंद अनजाने में था - समस्या को कोड को अपडेट करने से पहले नहीं, बल्कि बाद में खोजा गया था।

एसोसिएटेड प्रेस द्वारा हाल ही में की गई जांच के बाद Google को उपयोगकर्ताओं पर नज़र रखने के लिए मुकदमा दायर किया गया है। यह पता चला कि अक्षम करने की स्थिति इसे पूरी तरह से अक्षम नहीं करती है।

अस्वीकरण: सब कुछ बहुत जटिल है, और यह कोई आसान नहीं है। सावधान और सावधान रहें।