सुरक्षा एजेंसी और "नई" प्रौद्योगिकियां

आप को प्राधिकरण करने की आवश्यकता नहीं है की कहानी, विशेष रूप से जीवन और संपत्ति के लिए महत्वपूर्ण क्षेत्रों में, जैसे, उदाहरण के लिए, फोन से एप्लिकेशन के माध्यम से सुरक्षा अलार्म सिस्टम का प्रबंधन करना।

संक्षिप्त परिचय

यह सब इस तथ्य के साथ शुरू हुआ कि मैंने एक घर बनाया, और एक बर्गलर अलार्म के बिना एक घर निश्चित रूप से हमारी वास्तविकताओं में मौजूद हो सकता है, लेकिन कम या ज्यादा मूल्यवान कुछ भी नहीं छोड़ा जा सकता है (पड़ोसियों के दुखद मामले इसकी पुष्टि करते हैं)। अंदर और बाहर खत्म करते समय, कुंजी को सेट करने और निरस्त्र करने से कोई असुविधा नहीं हुई।

घर में एक गैरेज है, रिमोट कंट्रोल से गेट खुलते हैं और, तदनुसार, कार वहां डाल दी जाती है। यदि घर की देखरेख होती है, तो रिमोट कंट्रोल से गेट पर एक "अलार्म" चालू होता है और 2-3 मिनट के बाद गंभीर लोगों का आगमन होता है। इससे बचने के लिए, आपको पहले सुरक्षा को हटाना होगा (वेस्टिबुल खोलें, कुंजी संलग्न करें, वेस्टिबुल बंद करें, फिर से कार में प्रवेश करें) और फिर गेट खोलें। और किसी तरह यह प्रक्रिया थोड़ा कष्टप्रद है, विशेष रूप से सर्दियों में, और सामान्य तौर पर सभी "जादू" किसी तरह खो जाते हैं।

बेशक, आप चतुराई से यह सुनिश्चित कर सकते हैं कि गेट के खुलने से अलार्म दूर हो जाए, लेकिन मैं अभी भी इस बिंदु तक नहीं पहुंचा हूं।

लेकिन मुझे पता चला कि हमारी सुरक्षा एजेंसी के पास एक चमत्कार एप्लिकेशन "फीनिक्स मोबाइल कीबोर्ड" है। आवेदन सिर्फ उनका नहीं है, बल्कि वे इसके साथ काम करते हैं। इसके साथ, आप फोन से अलार्म को नियंत्रित कर सकते हैं, जो कम या ज्यादा यह सब उपयोग करने की खुशी देता है।

और अब कहानी ही

एप्लिकेशन से सुरक्षा प्रबंधन को जोड़ने के लिए, आपको सुरक्षा एजेंसी के कार्यालय में आने की ज़रूरत है, आपको जिस इंजीनियर की ज़रूरत है, उसे कैशियर पर "सेटअप" के लिए 400 रूबल का भुगतान करना होगा और आपको एक खाता दिया जाएगा जो फोन और वॉयला पर सेटिंग्स में ड्राइव करता है, आप जैसे चाहें सुरक्षा प्राप्त कर सकते हैं, प्राप्त कर सकते हैं सूचनाएं धक्का और दु: ख नहीं जानते।

सब कुछ ठीक होगा, लेकिन जब आप पंजीकरण करते हैं, तो आपको तीन अक्षरों के रूप में एक लॉगिन दिया जाता है, उदाहरण के लिए abb (आद्याक्षर), और पासवर्ड फोन नंबर के अंतिम चार अंकों से बना होता है (जैसा कि इंजीनियर ने कहा, ताकि वे भूल न जाएं), उदाहरण के लिए, 0808. जो आपने सुना, उससे थोड़ा लिया हुआ। यह पूछे जाने पर कि क्या पासवर्ड अलग सेट किया जा सकता है, उन्होंने कहा कि यह संभव है, लेकिन केवल संख्या। ठीक है, ठीक है, मैंने खुद को सही पासवर्ड सेट किया और परीक्षण करने के लिए रवाना हो गया कि सब कुछ कैसे काम करता है।

इस बीच, मेरे दिमाग में एक विचार कौंध गया था - लेकिन क्या मुझे कोशिश करनी चाहिए ...

हम एक iPhone लेते हैं, इसे rvictl -s iPhone_UDID , चलाते हैं: rvictl -s iPhone_UDID , नए इंटरफ़ेस से Wireshark के माध्यम से चिपके रहते हैं और देखते हैं कि यह कैसे काम करता है और हमारा एप्लिकेशन क्या भेजता है। आप अन्य उपकरण / उपकरण ले सकते हैं, लेकिन मेरे पास एक है।

यह काम करता है, यह वैम्प प्रोटोकॉल के माध्यम से निकलता है - यह अनिवार्य रूप से एक ही वेब सॉकेट है। स्वाभाविक रूप से, कुछ भी एन्क्रिप्ट नहीं किया गया है और आप वास्तव में देख सकते हैं कि अनुरोध कैसे भेजे जाते हैं और वास्तव में उन्हें दोहराते हैं।

अब हम प्राप्त अनुरोधों को पुन: पेश करने का प्रयास करते हैं। परीक्षणों की गति के लिए यह सब, आप क्रोम प्रकार "वेब सॉकेट क्लाइंट" के लिए एक्सटेंशन डाल सकते हैं और वहां कोशिश कर सकते हैं।

यह सुनिश्चित करने के बाद कि सब कुछ उम्मीद के मुताबिक काम करता है, हम जल्दी से क्लाइंट को लिखते हैं, उदाहरण के लिए, नोड के लिए।

हम ध्यान दें कि एपीआई विभिन्न संदेशों के साथ प्रतिक्रिया करता है जब उपयोगकर्ता बिल्कुल नहीं मिलता है और जब पासवर्ड गलत होता है। यह प्रक्रिया को गति देगा।

हमारा ग्राहक बहुत गूंगा होगा, लेकिन फिर भी प्रभावी नहीं होगा। ग्राहक 3 अक्षरों से मिलकर सभी लॉगिन सम्‍मिलित करता है। यदि उपयोगकर्ता नाम मौजूद है, तो वह इसके लिए पासवर्ड एन्यूमरेट करना शुरू कर देता है; यदि नहीं, तो हम अगले एक पर आगे बढ़ते हैं। पासवर्ड को 0000 से 9999 तक की श्रेणी में क्रमबद्ध किया गया है।

हम यह सब शुरू करते हैं और इंतजार करते हैं। Logins बहुत जल्दी (10 मिनट) से अधिक हो गए, यह लगभग 150 टुकड़े निकला (सेवा का इतना उपयोग नहीं हुआ है)। प्रत्येक लॉगिन के लिए पासवर्ड लगभग 8 मिनट में है। आईपीए में सत्यापन पर कोई प्रतिबंध नहीं है। और आप मल्टीथ्रेडेड को खोखला कर सकते हैं।

100% मामलों में पासवर्ड का चयन किया गया था। सफल पासवर्ड के चयन पर, एपीआई इस तरह की जानकारी को बाहर फैलाता है: मालिक का नाम, पता (कई ऑब्जेक्ट हो सकते हैं), कुछ टोकन (जाहिरा तौर पर पुश भेजने के लिए), सत्र आईडी, और इसी तरह।

लॉग इन होने के बाद, आप तदनुसार पूरी वस्तु को निष्क्रिय कर सकते हैं। शहर से काफी दूर की वस्तुएं अपने आप आ गईं। यदि यह जानकारी "बुरे लोगों" के हाथों में आती है, तो एक पहरेदार वस्तु की शव परीक्षा बिना किसी समस्या के पास हो जाती है, और फिर यह सुरक्षित रूप से बांधा जा सकता है और किसी ने भी नहीं देखा होगा।

यह महसूस करते हुए कि मैं खुद इस कार्यालय का ग्राहक हूं - मुझे थोड़ी बेचैनी महसूस हुई।

एक बात अच्छी है, जाहिर है कि कंपनी के पास अभी भी किसी प्रकार की निगरानी है, या यह गलती से देखा गया हो सकता है, लेकिन थोड़ी देर के बाद आवेदन ने पासवर्ड स्वीकार करना बंद कर दिया, और कार्यालय से संपर्क करने की पेशकश की।

परिणामस्वरूप, सभी ने अपने उपयोगकर्ता नाम बदले और सामान्य पासवर्ड बनाए। प्रोटोकॉल, हालांकि, जैसा कि यह अनएन्क्रिप्टेड था, वैसा ही बना रहा, लेकिन कम से कम कुछ।

यह सब क्यों है? हो सकता है कि इसके बाद कोई व्यक्ति अपने सिस्टम को थोड़ा सुरक्षित बनाना चाहता है, और कोई व्यक्ति जो समान पासवर्ड के साथ समान सेवा का उपयोग करता है, वह इसे दूसरी तरफ से देखेगा और कार्रवाई के लिए कहेगा। इस तरह के सरल कार्यों के साथ, सुरक्षा का स्तर थोड़ा बढ़ जाएगा।

मैं विशेष रूप से यहां नाम नहीं देता हूं और जितना संभव हो सके सभी डेटा को डीपर्सिफाई किया गया है, ताकि जो खुद को पहचानता है वह निष्कर्ष निकालता है :)

PS यह लेख केवल सूचना के उद्देश्यों के लिए है, प्रकाशन के समय यहाँ वर्णित समस्याएं अब प्रासंगिक नहीं हैं - कंपनी ने कार्रवाई की है।