सुरक्षा सप्ताह 41: अच्छी खबर

सूचना सुरक्षा उद्योग में जो पर्याप्त है वह नाटक है। नवीनतम हैकिंग टूल, सॉफ्टवेयर और हार्डवेयर सुरक्षा प्रणालियों में भव्य विफलताएं - या इन समान प्रणालियों की पूर्ण अनुपस्थिति। दुर्भावनापूर्ण ऐड-ऑन और फ़िशिंग, क्रिप्टोग्राफ़र्स और अन्य बकवास के साथ स्पैम की दैनिक दिनचर्या - ये सबसे जटिल साइबर हमलों के रूप में दिलचस्प नहीं हैं, लेकिन उन्हें सबसे अधिक बार सामना करना पड़ता है।

यह पता लगाना कि पासवर्ड आपके राउटर से मेल नहीं खाता है, सामने के दरवाजे में टूटे हुए ताले का पता लगाने का तरीका है। और फिर भी, हालांकि साइबर हमले को गंभीरता से लिया जाना चाहिए, सुरक्षा पर वास्तविक काम उस समय शुरू होता है जब सभी ने लहराते हुए और अप्राप्य शब्दों को कहना बंद कर दिया और व्यापार में उतर गए। हमने राउटर को अपडेट किया, कर्मचारियों के साथ फ़िशिंग पर एक प्रशिक्षण आयोजित किया और क्रिप्टोग्राफ़र्स के खिलाफ सुरक्षा स्थापित की। यहां तक ​​कि जब आईएस के साथ सब कुछ खराब है, तो यह कल्पना करना समझ में आता है कि यह कैसे अच्छा होना चाहिए, और एक सुंदर भविष्य की ओर बढ़ने के लिए जल्दी नहीं। आज एक अच्छी खबर है: Google ने Android सुरक्षा तय की, सिस्को ने Webex, वर्डप्रेस ने वर्डप्रेस को ठीक किया।

आइए सीधी खबर के साथ शुरू करें: द वर्ज के अनुसार, Google ने सुरक्षा पर एक अलग पैराग्राफ के साथ एंड्रॉइड ऑपरेटिंग सिस्टम पर आधारित स्मार्टफोन के निर्माताओं के अनुबंध संबंधी दायित्वों को पूरक बनाया है। 31 जनवरी, 2019 से, एक सौ हजार प्रतियों से अधिक बिकने वाले सभी नए फोन को नियमित रूप से रिलीज होने के बाद दो साल के लिए सुरक्षा पैच प्राप्त करना चाहिए। तदनुसार, अधिक या कम लोकप्रिय फोन के निर्माताओं को इन पैच को तैयार करने और वितरित करने की आवश्यकता होगी।


सुरक्षा समस्याओं को कवर करने के लिए पैच देने की प्रथा 2015 में शुरू की गई थी - पहले Google के अपने फोन के लिए, और बाद में अन्य निर्माताओं ने खुद को ऊपर खींच लिया। तीन साल पहले, Google ने स्मार्टफोन के लिए अपडेट तैयार करने के लिए पारंपरिक योजना से दूर जाना शुरू कर दिया था, जब नई सुविधाओं को प्राथमिकता दी गई थी, और सुरक्षा छेदों को "भाग्यशाली" के रूप में पैच किया गया था। कोडबस के विखंडन के साथ स्थिति में सुधार करने के लिए एंड्रॉइड 8.0 ओरियो में प्रोजेक्ट ट्रेबल को पेश किया गया था। यदि इससे पहले कि विक्रेता पैच को रोल करने के लिए जल्दी में नहीं थे, तो अपने स्वयं के कोड के साथ संघर्ष के डर से, अब कार्यक्षमता और सुरक्षा अंततः (या ऐसा कुछ) अलग हो गए थे। कमजोरियों को बंद करना आसान हो गया है।


सभी ने इन लाभों का लाभ नहीं उठाया है। सबसे पहले, एंड्रॉइड के आठवें (या उच्चतर) संस्करण पर आधारित सक्रिय डिवाइस अभी भी अल्पसंख्यक में हैं। दूसरे, सभी विक्रेता नियमित रूप से मासिक सुरक्षा पैच नहीं भेजते हैं, जैसा कि अप्रैल में सिक्योरिटी रिसर्च लैब्स को पता चला है। संगठनात्मक कार्रवाई का समय आ गया है। बेशक, सुरक्षा बढ़ाने का आदर्श तरीका एक तकनीक विकसित करना है ताकि यह अपने आप कम या ज्यादा काम करे। लेकिन यह हमेशा काम नहीं करता है, इसलिए अब विक्रेताओं को कम से कम दो साल तक डिवाइस का समर्थन करने की आवश्यकता होगी। Android के बारे में एक और अच्छी खबर: Google Play पर दुर्भावनापूर्ण एप्लिकेशन के खिलाफ लड़ाई जारी है। लगभग तीन दर्जन एप्लिकेशन आधिकारिक Google स्टोर से अपेक्षाकृत उपयोगी कार्यक्षमता और एसएमएस अवरोधन के रूप में एक अतिरिक्त सुविधा से हटा दिए गए थे।

अधिक अच्छी खबर है। सिस्को ने वीबेक्स टेलीकांफ्रेंसिंग सिस्टम में एक खतरनाक बग तय किया है। वीबेक्स को आमतौर पर क्लाइंट सॉफ़्टवेयर की स्थापना की आवश्यकता होती है, जो ब्राउज़र से अनुरोधों को स्वीकार करता है और वीडियो स्ट्रीम के उपयोगकर्ता के कंप्यूटर, डेस्कटॉप स्पीकर की सामग्री और अधिक के लिए स्थानांतरण सुनिश्चित करता है। क्लाइंट लगातार काम करता है, यहां तक ​​कि जब आप एक कॉन्फ्रेंस कॉल का उपयोग नहीं कर रहे हैं, और यह बार-बार पता चला है कि वह सिस्टम में कुछ अतिरिक्त आक्रमण वैक्टर जोड़ सकता है। सितंबर में वापस, एक भेद्यता की खोज की गई थी और इसे बंद कर दिया गया था जिसमें WebExService.exe प्रक्रिया का उपयोग विशेषाधिकारों को बढ़ाने के लिए किया गया था (यदि पहले से ही एक नियमित उपयोगकर्ता के रूप में सिस्टम तक पहुंच थी)। और पिछले हफ्ते, SkullSecurity नाम के एक शोधकर्ता को एक समान बग मिला। उन्होंने अध्ययन किया कि कैसे WebExService क्लाइंट अपडेट प्रक्रिया शुरू करता है, और सिस्टम के विशेषाधिकारों के साथ किसी भी प्रक्रिया को शुरू करने के लिए और यहां तक ​​कि रिमोट ऑपरेशन की सैद्धांतिक संभावना के साथ इस कार्यक्षमता को पुनर्निर्देशित करने में सक्षम था। मैं मूल अध्ययन को पढ़ने की सलाह देता हूं, यह आईडीए प्रो का उपयोग करके कोड चुनने की प्रक्रिया का विस्तार से वर्णन करता है, आँसू और निराशाओं से भरा है, लेकिन अंत में कैलकुलेटर के सफल लॉन्च के साथ।


अंत में, Wordpress के बारे में अच्छी खबर: इस इंजन की 96% साइटें सॉफ्टवेयर के आधुनिक संस्करण का उपयोग करती हैं। अभी पिछले हफ्ते, हमने वर्डप्रेस संस्करण के आंकड़ों को देखा और इसी तरह के निष्कर्ष पर पहुंचे। या नहीं आया Wordpress साइटों के 96% वास्तव में संस्करण 4.x का उपयोग करते हैं, लेकिन सबसे वर्तमान संस्करण 4.9 का उपयोग 70% से थोड़ा अधिक है, और यह रिलीज़, एक मिनट के लिए, पहले से ही एक वर्ष पुराना है। डर्बीकॉन सम्मेलन में, वर्डप्रेस डेवलपर्स ने स्पष्ट रूप से सकारात्मक पर ध्यान केंद्रित करने का फैसला किया और बताया कि कैसे उन्होंने (किसी भी मामले में) बहुत अच्छा संकेतक हासिल किया। Google खोज कंसोल और ज्वार रेटिंग में स्वचालित इंजन अपडेट सिस्टम (जो सामान्य रूप से सभी कार्यान्वयनों में काम नहीं करता है, यह मदद करता है, व्यवस्थापक उपयोगकर्ता पर निर्भर करता है), और सुरक्षा सूचनाएं।


टाइड स्वचालित परीक्षणों का एक सूट है जो एक प्लगइन की सुरक्षा का मूल्यांकन करता है। यह माना जाता है कि अंत में टाइड रेटिंग को प्लगइन (स्क्रीनशॉट में) के उपयोगकर्ता रेटिंग के बगल में दिखाया जाएगा, जो डेवलपर्स को अधिक विश्वसनीय तरीके से कोड करने के लिए प्रेरित करता है। अब तक, रेटिंग का प्रदर्शन नहीं किया गया है, सिस्टम का विकास चल रहा है, और प्रोजेक्ट की वेबसाइट पर नोटों को देखते हुए, 1.0 जारी करना लंबित है। स्वचालित परीक्षण, परिभाषा के अनुसार, सभी कमजोरियों को नहीं पा सकते हैं, लेकिन यह उनका काम नहीं है। अच्छी तरह से ज्ञात सुरक्षा मुद्दों के लिए अपने कोड का त्वरित मूल्यांकन पहले से ही शुरू करने के लिए एक अच्छी जगह है। इसके अलावा, Wordpress पर साइटों को हैक करने के वास्तविक मामले अक्सर कमजोर एक्सटेंशन के माध्यम से ठीक होते हैं। इसके अलावा, वर्डप्रेस अब उपयोगकर्ताओं को सतर्क करेगा यदि उनकी साइट PHP 5.6 भाषा के अब समर्थित संस्करण का उपयोग नहीं करती है । "बॉक्स से बाहर Wordpress" प्रदान करने वाली कंपनियों के ग्राहकों के लिए उपयोगी सुविधा। और सामयिक: W3Tech के अनुसार , प्रकाशन के समय, PHP के पांचवें संस्करण का उपयोग 60% से अधिक साइटों द्वारा किया गया था।


सभी को अच्छा!

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।