एक Google कर्मचारी एक सॉफ्टवेयर भेद्यता के कारण कंपनी के कार्यालय में दरवाजा खोलने की प्रणाली को नियंत्रित करने में सक्षम था

यदि आप कंपनी में सूचना सुरक्षा के मुद्दों से नहीं निपटते हैं, तो यह दर्दनाक रूप से दर्दनाक हो सकता है

इस महीने के जुलाई में, एक हैकर Google के कार्यालय के स्वचालित द्वार नियंत्रण प्रणाली में एक भेद्यता का पता लगाने में सक्षम था। वह RFID कुंजी का उपयोग किए बिना दरवाजे खोलने में सक्षम था। सौभाग्य से कंपनी के लिए, हैकर अपने स्वयं के कर्मचारी बन गए, जिन्होंने अपने नियोक्ता के लाभ के लिए काम किया, और उसे नुकसान पहुंचाने की कोशिश नहीं की।

निगम के पास एक आंतरिक नेटवर्क है जिसके माध्यम से कंपनी के कार्यालयों और भवनों के स्मार्ट सिस्टम द्वारा उत्पन्न डेटा प्रसारित किया जाता है। सवाल में Google कर्मचारी डेविड टॉमाशिक ने बस इस नेटवर्क पर बनाए गए कोड को भेजा, जिसके बाद बंद दरवाजों पर लगी एलईडी ने रंग को लाल से हरे रंग में बदल दिया - यानी वे दरवाजे खोलने में कामयाब रहे। कार्यक्रम खुद को विकसित करना इतना आसान नहीं था - इसके निर्माण पर काफी समय खर्च किया गया था।

प्रारंभ में, इनफ़ोबेस विशेषज्ञ को सोफ़वेयर हाउस के सॉफ़्टवेयर में भेद्यता मिली , जो एक Google भागीदार था जिसने कैलिफोर्निया डिवीजन के लिए सुरक्षा नियंत्रक विकसित किए थे।

उन्होंने एन्क्रिप्ट किए गए संदेशों का अध्ययन किया जो सोफवेयर हाउस डिवाइस भेजते हैं ( iStar Ultra और IP-ACM )। जैसा कि ऊपर बताया गया है, ये संदेश कंपनी के आंतरिक नेटवर्क के माध्यम से भेजे गए हैं। यह पता चला कि संदेशों को असुरक्षित रूप से एन्क्रिप्ट किया गया है, उन्हें एक निश्चित आवृत्ति के साथ भेजा जाता है, और यह एक हमलावर द्वारा उपयोग किया जा सकता है। एक विस्तृत अध्ययन के बाद, टॉमाशिक को पता चला कि एन्क्रिप्शन कुंजी आमतौर पर निर्दिष्ट कंपनी के सभी उपकरणों की मेमोरी में वायर्ड होती है। इसका मतलब केवल एक चीज है - कुंजी को कॉपी किया जा सकता है और अपने स्वयं के प्रयोजनों के लिए उपयोग किया जा सकता है।

इसका उपयोग न केवल फ़िशिंग संदेश भेजने के लिए किया जा सकता है, बल्कि हमलावर के किसी भी आदेश को निष्पादित करने के उद्देश्य से भी किया जा सकता है। उन्हें "वैध" उपकरण माना जाएगा और स्रोत को अवरुद्ध किए बिना निष्पादित किया जाएगा।

लेकिन यह सब नहीं है। टॉमाशिक ने निर्धारित किया कि एक हमलावर लॉगिंग कार्यों के बिना सभी कार्यों को कर सकता है। यही है, मोटे तौर पर बोल, आप किसी भी कमरे को खोल सकते हैं, ले सकते हैं या आपको जो कुछ भी ज़रूरत है वह कर सकते हैं, बाहर जा सकते हैं, और किसी को भी इसके बारे में कभी नहीं पता होगा। एक और दिलचस्प बात यह है कि एन्क्रिप्शन कुंजी प्राप्त करने वाला हमलावर निगम के कर्मचारियों को दिए गए आदेशों को अवरुद्ध करने में सक्षम है और किसी भी दरवाजे को बंद रखता है।

कर्मचारी द्वारा अपने कार्यालय के प्रबंधन को सूचित करने के बाद, उपाय किए गए थे। विशेष रूप से, कंपनी के नेटवर्क को खंडित किया गया था ताकि एक क्षेत्र में हैकिंग का असर अन्य क्षेत्रों के प्रदर्शन पर न पड़े। इसके अलावा, iStar v2 बोर्ड एन्क्रिप्शन प्रोटोकॉल को और अधिक विश्वसनीय में बदल दिया गया है। प्रबंधन का मानना ​​है कि इस समय किसी ने भेद्यता का उपयोग नहीं किया है, कंपनी भाग्यशाली थी।

हालाँकि, सॉफ़्टवेयर हाउस उपकरण का उपयोग कई कंपनियों द्वारा किया जाता है। और सबसे बुरी बात यह है कि यह रिफ्लेश नहीं करता है - इसके लिए, गैजेट के पास बस पर्याप्त मेमोरी नहीं है। और एक नए एन्क्रिप्शन प्रोटोकॉल पर स्विच करने के लिए, उदाहरण के लिए, टीएलएस, एक कंपनी जो एक सॉफ्टवेयर हाउस क्लाइंट है, को नए सिस्टम खरीदने होंगे। पैसा खर्च करने के अलावा, इसका मतलब है कि एक नया बुनियादी ढांचा स्थापित करने पर कर्मचारियों का समय बिताना।

Google के एक कर्मचारी ने DEF CON इंटरनेट ऑफ थिंग्स विलेज इवेंट में भेद्यता का खुलासा किया, जो अगस्त की शुरुआत में आयोजित किया गया था। कुल मिलाकर, इस घटना में प्रतिभागियों ने विभिन्न निर्माताओं से हार्डवेयर और सॉफ्टवेयर में 55 कमजोरियों की खोज की, जिसमें सबसे प्रसिद्ध भी शामिल है। उदाहरण के लिए, स्मार्ट सिंचाई प्रणाली, सोनोस ध्वनिकी और कोरियाई निर्माताओं से आईओटी गैजेट्स की एक विस्तृत श्रृंखला हमलावरों के लिए खुली हुई थी।

सॉफ्टवेयर हाउस अपने ग्राहकों के साथ इस समस्या को हल करने का दावा करता है। जैसा कि यह हो सकता है, स्थिति ही स्वयंसिद्ध की पुष्टि करती है - IoT सिस्टम के निर्माता अपने उपकरणों की सुरक्षा के बारे में कार्यक्षमता और डिजाइन के बारे में अधिक परवाह करते हैं। और यहां तक ​​कि कंपनियां जो उद्यम सुरक्षा प्रणालियों के लिए उपकरणों और सॉफ़्टवेयर का निर्माण करती हैं, उनके उत्पादों में अक्सर बहुत ही अजीब कमजोरियां पाई जाती हैं, जिन्हें आसानी से विकास के चरण में तय किया जा सकता है।

जब तक स्मार्ट घरों और इमारतों के लिए उपकरणों के निर्माता सुरक्षा के मुद्दे पर ध्यान देना शुरू नहीं करते हैं, साइबर अपराधी बड़ी संख्या में विभिन्न कमजोरियों और छिद्रों का उपयोग कर सकते हैं। एक उदाहरण मिराई कीड़ा है, जिसके कारण बड़ी संख्या में बड़े बॉटनेट दिखाई दिए हैं।