AntiFuzzing: अस्पष्टता के माध्यम से सुरक्षा?

सुरक्षा पर पैसा और संसाधन क्यों परेशान करते हैं और खर्च करते हैं? सुरक्षा विकास जीवनचक्र (SDL) का मंचन क्यों परेशान करता है? विकास की प्रक्रिया में फ़ज़िंग को क्यों एकीकृत किया जाता है? क्यों AFL, libfuzz, आदि जैसे विभिन्न फ़ज़र्स के बारे में ज्ञान से परेशान? आखिरकार, आप "बस" अपने उत्पादों में कमजोरियों की खोज को निरंतर यातना में बदल सकते हैं और शोधकर्ताओं और हमलावरों के लिए "मीठा" जीवन बना सकते हैं। जानना चाहते हैं कि यह कैसे करना है? फिर कैट में आपका स्वागत है!

डिस्क्लेमर: यह लेख एक निश्चित मात्रा में हास्य और विडंबना के साथ लिया जाना चाहिए!

हाल ही में, अधिक से अधिक कार्यों को एंटीफजिंग के विषय के लिए समर्पित किया गया है। एंटीफज़िंग एक ऐसी क्रिया है जो एक डेवलपर के समाधान (एस) में कमजोरियों की खोज के लिए प्रभावशीलता और फ़ज़िंग के उपयोग को कम करती है।

यह लेख C \ C ++ में लिखे गए द्विआधारी अनुप्रयोगों पर ध्यान केंद्रित करेगा जो स्थानीय रूप से तैनात किए जा सकते हैं और उनमें मेमोरी भ्रष्टाचार से संबंधित कमजोरियों को खोजने की कोशिश करेंगे।

आज, एएफएल फ़ज़र के खिलाफ बड़ी संख्या में कार्रवाई का उद्देश्य है, जो फीडबैक आधारित फ़िज़िंग दृष्टिकोण के सबसे हड़ताली, प्रसिद्ध और प्रतिष्ठित प्रतिनिधि के रूप में है।

समस्या का अध्ययन करने के बाद, हमने एंटी-फ़ज़िंग तकनीकों की पहचान की:

• फेजर के काम के परिणामों को अव्यवस्थित करना सबसे विलक्षण तकनीक है जिसे कुछ डेवलपर्स इसे साकार किए बिना अपना रहे हैं) यह कार्यक्रम को सुरक्षित बनाने के लिए और अधिक कीड़े जोड़ने में शामिल है ... हां, हम, दुर्भाग्य से, जवाब नहीं दे सकते सवाल यह है कि हमारे कितने कीड़े कार्यक्रम में पहले से ही मौजूद हैं और वे कितने खतरनाक हैं, लेकिन हम उन्हें गलतियों का एक गुच्छा के साथ पतला कर सकते हैं जो हमलावर के लिए बेकार हैं!
• एक फ़ज़िंग प्रक्रिया का पता लगाना, सभी जेलब्रेक_डिटेक्ट, root_detect के दायरे से है। आवेदन स्वतंत्र रूप से निर्धारित करता है (और डेवलपर चेक की एक श्रृंखला लिखता है) कि यह सिर्फ काम नहीं करता है, लेकिन चरणबद्ध है और परिणामस्वरूप काम करने से इनकार करता है। सूचना सुरक्षा उद्योग इस एक लाख बार के माध्यम से किया गया है। इस कोड को एप्लिकेशन से काफी आसानी से खोजा और बाहर रखा गया है, और तकनीक "सबसे बेकार और अपरिष्कृत" शीर्षक में है।
• फ़ज़िंग प्रक्रिया को धीमा करना - हमारी कंपनी के अंदर हम इन चीजों को "ओवरहेड्स में कीड़े छिपाते हैं" कहते हैं। अब भी, कुछ सॉफ्टवेयर खराब तरीके से न केवल फजिंग के तहत काम करते हैं, इसलिए इसमें कमजोरियों की तलाश शोधकर्ताओं के लिए मनोवैज्ञानिक रूप से कठिन काम बन जाता है।
• ब्लाइंडस्पॉट ज़ोन का निर्माण सबसे दिलचस्प दिशा है, जो हमारी राय में, फज़र्स के विकास को आगे बढ़ाएगा। इसलिए, ब्लैकहैट 2018 में प्रस्तुत किए गए कार्य में, AF_ द्वारा शेयर_म में टकराव की समस्या को उठाया गया है, जो इसका उपयोग कोड के कवर वर्गों को निर्धारित करने के लिए करता है। यही है, ऐसे क्षेत्र बनाए जाते हैं जहां फ़ॉज़र अपने ऑपरेशन के दौरान गिरता नहीं है।

इस प्रकार, एंटीफज़िंग के स्पष्ट लाभ और नुकसान दोनों हैं:

• "-" शायद सॉफ्टवेयर डेवलपर्स के दिमाग का बादल जो सूचना सुरक्षा और फ़ज़िंग प्रक्रिया के कुछ पहलुओं में खराब हैं।
• "+" फ़ज़र्स का विकास, जो भविष्य में कार्यान्वित एंटीफ़ज़िंग तंत्र को दूर करना शुरू कर देगा और सबसे पहले अधिक से अधिक कवरेज प्रदान करेगा, यदि लागू किए गए एंटीफज़िंग तंत्र हैं; दूसरे, जब सॉफ्टवेयर में ऐसे तत्व होते हैं जो एंटीफजिंग कार्यों को अनुकरण करते हैं।

इस दृष्टिकोण का उपयोग सुरक्षा मूर्खता और हानिकारक सुनिश्चित करने के लिए क्यों किया जा रहा है? एक उच्च गुणवत्ता वाले एंटीफज़िंग दृष्टिकोण का विकास और वास्तविक सॉफ़्टवेयर के लिए इसका अनुप्रयोग फीडबैक आधारित फ़ज़िंग के साथ कोड कवरेज बढ़ाने के लिए एल्गोरिथम के विकास की जटिलता में तुलनीय है। कठिनाई यह है कि चरणबद्ध-अवरोधक संरचनाओं को सही स्थानों पर सम्मिलित करने के अलावा, यह सुनिश्चित करना आवश्यक है कि उनके पास एक स्पष्ट पैटर्न नहीं है जिसे प्रतिष्ठित किया जा सकता है, और फिर बस बाहर रखा गया है। AntiFuzzing से एप्लिकेशन की सुरक्षा में वृद्धि नहीं होती है ... यह अच्छा है कि जबकि AntiFuzzing का अनुसंधान केवल शैक्षणिक वातावरण में ही किया जाता है। इसी समय, ऐसी कंपनियां हैं जो इसके विपरीत, बग की खोज को सरल बनाने पर केंद्रित हैं। उदाहरण के लिए, मोज़िला इस ब्लॉग के लिए अपने ब्राउज़र का एक विशेष निर्माण प्रदान करते हैं। pm.millailla.org/security/2018/07/19/introducing-the-asan-nightly-project !



AntiFuzzing में दिलचस्पी की वृद्धि मुख्य रूप से DARPA साइबर ग्रैंड चैलेंज 2016 के कारण हुई थी। यह एक प्रतियोगिता है जहाँ मानव सहायता के बिना कंप्यूटरों ने कमजोरियों की खोज की, उनका शोषण किया और उन्हें पैच किया। अधिकांश खोज प्रणालियाँ, आपने अनुमान लगाया होगा, AFL फ़ज़र पर आधारित थे, और प्रतियोगिता के सभी लक्ष्य द्विआधारी अनुप्रयोग थे। यह सब स्वचालित प्रणालियों का मुकाबला करने के उद्देश्य से हो सकता है, और लोगों को नहीं।

यह लेख उन कार्यों पर आधारित है जिनका आप स्वयं अध्ययन कर सकते हैं:

1. "फ़ज़ी एवल्यूएटिंग फ़ज़लिंग तकनीकों से बचना और उन्हें फ़र्ज़ी एंटीफ़जिंग के साथ" , कंप्यूटर सिस्टम और नेटवर्क में मास्टर की थीसिस
   2016
2. चैफ बग्स: सॉफ्टवेयर बुगियर , 2018 बनाकर हमलावरों का पता लगाना
3. "एएफएल के ब्लाइंड्सपॉट और कैसे एएफएल फिजूलखर्ची का विरोध करने के लिए महत्वाकांक्षी ईएलएफ बायनेरिज़" , ब्लैकहैट यूएसए 2018
4. हम आपको 2014 के एनसीसी समूह के लोगों के लेख "एंटी-फ़ज़िंग: ए डिफेंस इन डेप्थ एड" के लेखों को पढ़ने की सलाह देते हैं (पहली एएफएल रिलीज़ अभी सामने आई है और अभी तक समुदाय का महान प्यार नहीं जीता है, और DARPA CGC फाइनल से 2 साल पहले)।

पुनश्च: हम अक्सर AFL (+ libfuzz) और इसके संशोधनों पर काम करते हैं जब सॉफ्टवेयर पर शोध करते हैं और अपने ग्राहकों के लिए SDL लागू करते हैं। इसलिए, निम्नलिखित लेखों में से एक में हम एएफएल का उपयोग करके फ़ज़िंग के बारे में अधिक बात करेंगे और क्यों अधिक से अधिक लोग इसे परीक्षण कार्यक्रमों में उपयोग करते हैं और यह कैसे विकास सुरक्षा के स्तर को बढ़ाता है।