कैसे स्पाइवेयर डेटा लीक

विभिन्न सॉफ़्टवेयर की एक बड़ी संख्या जो डेवलपर्स के पास सब कुछ एकत्र करती है, एकत्र किए गए डेटा की सुरक्षा की वास्तविक समस्या (अन्य नैतिक और कानूनी समस्याओं के बीच) बनाती है। बहुत बार, डेटा केवल स्पष्ट रूप से निहित होता है, क्योंकि स्पाइवेयर डेवलपर्स इसे इकट्ठा करने के लिए उत्सुक हैं, क्योंकि उनके पास अपने सुरक्षित भंडारण के बारे में सोचने का समय नहीं है।

उदाहरण के लिए, टीनशैफ़ ऐप, जिसे "किड्स" आईफ़ोन, ट्रैक करने के लिए डिज़ाइन किया गया है, अमेज़ॅन के सार्वजनिक क्लाउड में ऐप्पल उपयोगकर्ता आईडी के ईमेल पते और टेक्स्ट पासवर्ड संग्रहीत किए गए हैं। किशोर ने माता-पिता और बच्चों के ईमेल पते (जिस पर एप्लिकेशन इंस्टॉल किया गया है, उस पते पर ऐप्पल आईडी स्थापित है), डिवाइस के नाम और पहचानकर्ता, साथ ही ऐप्पल आईडी खाते के लिए पाठ पासवर्ड के साथ एक डेटाबेस स्टोर करने के लिए दो एडब्ल्यूएस क्लाउड सर्वर (अमेज़ॅन एस 3) का उपयोग किया। एक बच्चा। डेटाबेस में 10,200 प्रविष्टियाँ थीं। इस बिंदु पर सबसे नाजुक बात यह है कि टीनएफ़स को डिवाइस के ऐप्पल आईडी के लिए दो-कारक प्रमाणीकरण को अक्षम करने की आवश्यकता होती है, जिस पर एप्लिकेशन का उपयोग किया जाएगा।

IOS और एंड्रॉइड पर आधारित ट्रैकिंग फोन के लिए एप्लिकेशन बेचने वाले Spyfone, ने गलत तरीके से कॉन्फ़िगर किए गए Amazon S3 (AWS) सर्वर पर सार्वजनिक डोमेन में एसएमएस, कॉल्स, कॉन्टैक्ट और टेक्स्ट मैसेज की ऑडियो रिकॉर्डिंग सहित डेटा की टेराबाइट्स को छोड़ दिया। खोज के समय, डेटाबेस में 3666 मॉनिटर किए गए फोन और 2208 ग्राहक थे। इसके अलावा, Spyfone ने अपने एपीआई में असुरक्षित कार्यों में से एक को छोड़ दिया, जिससे किसी को भी ग्राहकों की सूची देखने की अनुमति मिलती है।

एक अलग समस्या सर्वर की सुरक्षा है जहां ऐसे एप्लिकेशन का डेटा संग्रहीत किया जाता है। उदाहरण के लिए, एक अज्ञात हैकर ने TheTruthSpy का सर्वर हैक कर लिया, जो स्मार्टफोन मालिकों पर नज़र रखने के लिए iOS और Android के लिए एप्लिकेशन भी जारी करता है। वह TheTruthSpy सॉफ़्टवेयर के साथ फोन पर लॉगिन, पासवर्ड, फोटो, ऑडियो कॉल, एसएमएस, जियोलोकेशन डेटा, चैट और अन्य डेटा को एक्सेस करने में सक्षम था। कुल मिलाकर, 10 हजार से अधिक ग्राहक खाते प्रभावित हुए। हैक के लेखक का दावा है कि वह Android एप्लिकेशन कोड की जांच करने के बाद TheTruthSpy को हैक करने में सक्षम था, जिसमें कुछ कमजोरियों का पता चला था। विशेष रूप से, TheTruthSpy सर्वर ने उसे क्लाइंट आईडी भेजने के जवाब में खाते के लॉगिन और पासवर्ड को स्पष्ट पाठ में वापस कर दिया।

एक अन्य हैकर रैकस्पेस साइट पर फैमिली ऑर्बिट सर्वर को एक्सेस करने में सक्षम था और स्पाइवेयर द्वारा एकत्र किए गए 281 गीगाबाइट फोटो और वीडियो सामग्री डाउनलोड कर सकता था। फैमिली ऑर्बिट एक और एप्लीकेशन है जिसे "बच्चों के" स्मार्टफोन्स की निगरानी के लिए बनाया गया है। TheTruthSpy के साथ, पारिवारिक ऑर्बिट एप्लिकेशन में एक त्रुटि पाई गई जिसने सर्वर तक पहुंचना आसान बना दिया। क्लाउड सर्वर एक्सेस कुंजी "वायर्ड" सही थी, एप्लिकेशन में ही, एन्क्रिप्टेड रूप में।

खैर, इतिहास का मुकुट इजरायली कंपनी एनएसओ ग्रुप के एक पूर्व कर्मचारी का मामला है, जो स्मार्टफ़ोन से डेटा निकालने के लिए उपकरण तैयार करता है, जिसने चोरी किए गए कंपनी कोड को ब्लैक मार्केट में $ 50 मिलियन में बेचने की कोशिश की। यहाँ, DLP सिस्टम बनाने वाली कंपनी के कर्मचारी के रूप में, मुझे चीखना पड़ा। DLP सिस्टम का उपयोग करें, लेकिन नहीं। यहां कुछ भी मदद नहीं करेगा। बस जब आप संवेदनशील जानकारी के साथ किसी तरह के आवेदन पर भरोसा करते हैं, खासकर बच्चों के बारे में, तो याद रखें कि यह व्यावहारिक रूप से "बालकनी पर" संग्रहीत कर सकता है।