सुरक्षा सप्ताह 52: सबसे बड़ी हिट्स

इस पोस्ट को याद रखें, 10 वर्षों में हर कोई कहेगा: अब, उन्होंने सब कुछ सही तरीके से पचा में लिखा। या इसके विपरीत: वे किसी भी स्थान पर बिल्कुल भी अनुमान नहीं लगाते हैं। भविष्य की भविष्यवाणी करना असफलता है, क्योंकि भविष्यवाणी हमेशा वर्तमान और अतीत के ज्ञान पर आधारित होती है। आगामी 2019 को फिलिप डिक के ब्लेड रनर में वर्णित किया गया है, जो फिर भी अनुमान लगाने का तरीका जानते थे। उपन्यास (और फिल्म के लिए थोड़ा) के अनुसार, हम सभी एक बेकार दुनिया में रहते हैं, जहां लगातार बारिश होती है, फ्लाइंग कार और रोबोट हैं, लेकिन कोई भी जानवर नहीं है।

यही कारण है कि कैसपर्सकी लैब विशेषज्ञों की भविष्यवाणियां बहुत व्यावहारिक हैं, उन्हें सुरक्षा पेशेवरों के लिए डिज़ाइन किए जाने की अधिक संभावना है, जिन्हें अगले साल के रुझानों की पहचान करने की आवश्यकता है। लेकिन फिर भी, आइए 2018 की घटनाओं को चुनने की कोशिश करें, जो लंबे समय तक प्रासंगिक सूचना सुरक्षा में कुछ और का आधार बन सकती हैं। तैयारी में, हमने इस ब्लॉग से पूरे वर्ष के लिए सामग्री का उपयोग किया, इसलिए यह एक अनूठा प्रारूप है: पाचन को पचाएं।

स्पेक्टर और मेल्टडाउन

कमजोरियों की खोज केवल इंटेल प्रोसेसर (मेल्टडाउन) में की गई है, और जो लगभग सभी आधुनिक प्रोसेसर (स्पेक्टर) में पाए जाते हैं, वे वर्ष की मुख्य खबरें हैं। चलो तुरंत मेल्टडाउन से निपटते हैं: यह एक निजी भेद्यता है जिसे आप बंद कर सकते हैं और भूल सकते हैं (जब तक आप एक और एक नहीं पाते)। स्पेक्टर को बस इस तरह से बंद नहीं किया जा सकता है: एक कमजोर प्रणाली पर एक सैद्धांतिक हमले में हार्डवेयर का एक निश्चित व्यवहार और हमला किए गए एप्लिकेशन के कोड की कुछ विशेषताएं शामिल हैं। स्पेक्टर जैसे हमलों के लिए कई विकल्प हो सकते हैं, क्योंकि इस वर्ष कई अध्ययनों से पता चला है। उदाहरण के लिए, रीड-ओनली मेमोरी सेल्स या नेटस्पेक्टर को अधिलेखित करने की क्षमता के साथ एक स्पेक्ट्रम संशोधन , एक हमला जिसे नेटवर्क पर, दूरस्थ रूप से, और यहां तक ​​कि हमले के तहत सिस्टम पर कोड निष्पादित किए बिना किया जा सकता है।

सभी स्पेक्टर जैसे हमले तृतीय-पक्ष चैनलों पर हमलों की श्रेणी के होते हैं: जब कुछ गुप्त जानकारी स्पष्ट में प्रेषित नहीं होती है, लेकिन प्रतिक्रिया समय के विश्लेषण से या (पारंपरिक पक्ष चैनल हमलों के मामले में) डिवाइस द्वारा खपत वर्तमान में उतार-चढ़ाव से निकाला जाता है। सामान्य तौर पर, यह कमरे में कांच के कंपन पर "ईव्सड्रॉपिंग" के लिए एक जासूस डिवाइस का ऐसा एनालॉग है, जहां बातचीत आयोजित की जा रही है। इन हमलों के किसी भी व्यावहारिक अनुप्रयोग के बारे में बात करना जल्दबाजी होगी। उदाहरण के लिए, आदर्श परिस्थितियों में, नेटस्पेक्टर के मामले में, प्रति मिनट चार बिट की गति से गुप्त डेटा को "चोरी" करना संभव था। और कोई यह भी चर्चा नहीं कर रहा है कि क्या यह आवश्यक डेटा है - इस अर्थ में कि उनके बीच वास्तव में महत्वपूर्ण जानकारी है। स्पेक्टर के चारों ओर अनुसंधान 10 वर्षों में "शूट" कर सकता है, या यह डिवाइस सुरक्षा का एक आला विषय रह सकता है, जहां आपको बचने के लिए हर चीज और हर चीज से सुरक्षा की आवश्यकता होती है।

क्या ऐसी ही कहानी है जिसमें समयबद्धता का मूल्यांकन करने के लिए विशुद्ध रूप से वैज्ञानिक अनुसंधान ने व्यावहारिक रूपरेखा प्राप्त की हो? आप SHA-1 क्रिप्टोग्राफिक हैशिंग फ़ंक्शन को देख सकते हैं। इसे 1995 में अमेरिकी राष्ट्रीय सुरक्षा एजेंसी द्वारा विकसित किया गया था। दस साल बाद, 2005 में, शोधकर्ताओं ने पहली बार दिखाया कि टक्कर के लिए खोज करने के लिए आवश्यक कम्प्यूटेशनल शक्ति (एक ही हैश उत्पन्न करने वाले डेटा के दो सेट) को सैद्धांतिक रूप से अनुमानित (लेकिन अभी भी बहुत) की तुलना में कम आवश्यक है। 2012 में, स्कोर 2015 तक सर्वर-वर्षों की 2 से 11 डिग्री था। लेकिन 2015 में, सर्वर उम्मीद से बेहतर निकला, नई गणना ने कुछ राज्य खुफिया सेवा के लिए 49 दिनों का हास्यास्पद आंकड़ा दिखाया । यह हैशिंग एल्गोरिथ्म को अविश्वसनीय के रूप में पहचानने के लिए पर्याप्त था: 2017 में, सभी प्रमुख ब्राउज़रों के निर्माताओं ने एसएसएल प्रमाणपत्र बनाने के लिए इसका उपयोग बंद कर दिया था। उसी वर्ष, Google और CWI संस्थान के शोधकर्ताओं ने एक व्यावहारिक हमला दिखाया: उन्होंने दो अलग-अलग PDF बनाए जो SHA-1 का उपयोग करते समय एक ही हैश देते हैं।

कुल मिलाकर, प्रौद्योगिकी के अस्तित्व के 22 साल, 12 साल के वैज्ञानिक अनुसंधान और, आपका ध्यान रखें, साइबर क्राइम को कोई लाभ नहीं: यहां तक ​​कि दो पीडीएफ के साथ प्रयोग अभी भी एक विशुद्ध रूप से वैज्ञानिक अभ्यास था। स्पेक्टर वास्तव में खतरनाक हो सकता है अगर प्रोसेसर निर्माता इसे अनदेखा करते रहें, और वे कभी-कभी कोशिश करते हैं: विषय पर नए शोध कभी-कभी विक्रेताओं से टिप्पणियों के साथ होते हैं कि यह माना जाता है कि मानक व्यवहार, एक सुविधा, बग नहीं।

मशीन सीखने

इस मॉनीटर की बिजली आपूर्ति इकाई द्वारा उत्सर्जित शोर की प्रकृति द्वारा मॉनिटर पर छवि को बहाल करने का अध्ययन भी वास्तविक आवेदन के दृष्टिकोण से संदिग्ध लग रहा है। फिर भी, शोधकर्ताओं ने, बड़े आरक्षण के साथ, डिस्प्ले स्क्रीन पर तस्वीर को पुनर्स्थापित करने, रिकॉर्डिंग करने और केवल बिजली प्रणाली के चीख़ने का विश्लेषण करने में कामयाब रहे, कन्वेन्शनल न्यूरल नेटवर्क का उपयोग करते हुए और ज़ोरदार शोर और छवियों की तुलना करके उन्हें खींचा। एक अर्थ में, यह तीसरे पक्ष के चैनलों पर भी एक हमला है: डेटा को ऐसी जगह से कैप्चर करना, जहाँ किसी को असफलता न मिले।

और यहाँ यह "ब्लेड रनर" (फिल्म में इस समय) है क्योंकि यह अच्छी तरह से भविष्यवाणी की गई है - आठ-बिट कोंडो शैली की शूटिंग के इसी समय में:


आवाज नियंत्रण, स्मार्ट इमेज प्रोसेसिंग (इस एपिसोड के बारे में और अधिक - यहां ), सामान्य तौर पर, हॉलीवुड में इसकी महिमा है। यद्यपि वास्तविक अध्ययन ऐसी तकनीकी ऊंचाइयों से दूर है, यह राष्ट्रीय अर्थव्यवस्था की अविश्वसनीय, शानदार उपलब्धियों के कैनन में पूरी तरह से फिट बैठता है। वरना हो जाएगा और क्या होगा? आइए कल्पना करें: वेब पर उपयोगकर्ताओं की विश्वसनीय पहचान जिस तरह से वे माउस को स्थानांतरित करते हैं, स्मार्टफोन की स्क्रीन को स्क्रॉल करें और फोन को हाथ में पकड़ें। आवाज से मूड का निर्धारण। सामूहिक रूप से एकत्रित और संसाधित डेटा के कारण गोपनीयता का खतरा जो किसी व्यक्ति की ऐसी विशेषताओं के साथ एक प्रोफ़ाइल बनाने में मदद करता है जिसे वह खुद नहीं जानता है। सड़कों पर सामान्य चेहरे की पहचान। ओह रुको, यह भविष्य नहीं है, यह वर्तमान है!

खैर, ये सभी प्रौद्योगिकियां जरूरी मानवता को नुकसान नहीं पहुंचाएंगी - इसके विपरीत, वे मदद कर सकते हैं। मशीन सीखने से समझ में आता है कि पहले कहाँ केवल सफेद शोर देखा गया है। यह नए अवसर प्रदान करता है और एकत्र किए गए डेटा के भंडारण के मामले में कम से कम नए जोखिम लाता है। अधिकतम के रूप में, मॉनिटर पर वैज्ञानिक अनुसंधान जैसी प्रौद्योगिकियां कुछ गुप्त रखने के लिए अविश्वसनीय रूप से कठिन हो जाएंगी। यद्यपि आप सीधे टाइपराइटर खरीद सकते हैं, आप शायद कीस्ट्रोक्स की आवाज़ से पूरे पाठ को पुनर्स्थापित करने में सक्षम होंगे।

IoT और समकक्ष

इस वर्ष के सबसे लोकप्रिय पचड़ों में से एक मिकरोटिक, डी-लिंक और टीपी-लिंक राउटर में कमजोरियों के लिए समर्पित था। चीजों के इंटरनेट के साथ राउटर की बराबरी करना एक विवादास्पद विचार है, हम सावधानी से बनाएंगे: भविष्य में गंभीर जोखिम ऐसे उपकरणों द्वारा प्रस्तुत किए जाएंगे जो स्वायत्तता से काम करते हैं, मुख्य रूप से अपनी तरह से संवाद करते हैं और इस तरह से करते हैं कि बहुत कम लोग जानते हैं कि वास्तव में वहां क्या हो रहा है। राउटर एक ऐसा महत्वपूर्ण बलिदान है, पिछले कुछ वर्षों से उन पर बड़े पैमाने पर हमला किया गया है, स्वायत्त उपकरणों के सभी लक्षण हैं, और उनके समझौता जल्द या बाद में ध्यान देने योग्य हो जाते हैं।

असुरक्षित आईओटी भविष्य के स्पष्ट शिकार स्मार्ट स्पीकर और अन्य डिवाइस हैं जो घड़ी के चारों ओर डिवाइस के मालिक की निगरानी करते हैं। उनके बारे में अब तक की खबरें चुटकुलों से मिलती-जुलती हैं: या तो रात के बीच में एक स्मार्ट स्पीकर बजना शुरू हो जाता है, या जर्मन निवासी जीडीपीआर के भीतर अनुरोध पर पूरी तरह से अलग व्यक्ति से अमेज़ॅन की वॉयस रिकॉर्डिंग प्राप्त करता है। वह सब कुछ जो आपके होम नेटवर्क से जुड़ा है और बाहरी सर्वरों के साथ इसका अपना संबंध है, संभावित रूप से असुरक्षित है। जबकि स्मार्ट उपकरणों के बारे में चर्चा केवल गोपनीयता के चारों ओर घूमती है, यह संभव है कि जल्द ही हम IoT को बाकी सभी चीज़ों से अलग करने के बारे में बात करेंगे: आपके बिजली मीटर में आपके फ़ाइल शेयर तक पहुंच क्यों होनी चाहिए?

भविष्य के बारे में विचारों में, हम अक्सर चरम सीमा पर चले जाते हैं: या तो एक सुंदर यूटोपिया होगा या साइबरपंक उदास आदमी होगा। प्रिय संपादकों का सुझाव है कि फ्लाइंग कारों के बिना सब कुछ बहुत अच्छा होगा। लेकिन फिर भी, एक कैलकुलेटर के रूप में एक उपयोगी लेकिन वैकल्पिक डिवाइस के रूप में "पर्सनल कंप्यूटर" का युग समाप्त हो रहा है। समय शुरू होता है जिसमें लोग पूरी तरह से नेटवर्क में एकीकृत होते हैं, हर मिनट उसके साथ बातचीत करते हैं और उस पर निर्भर होते हैं। इसलिए, किसी को भी इस दुनिया की कार्य क्षमता के लिए सैद्धांतिक खतरों को हल्के में नहीं लेना चाहिए। यह दुनिया अलग हो सकती है, लेकिन सामान्य तौर पर इसे तोड़ने की कोशिश न करना बुरा है। क्या यह काम करेगा? हम अवलोकन करते रहेंगे। नया साल मुबारक हो! नए साल का पहला पाचन 14 जनवरी को जारी किया जाएगा।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।