सुरक्षा सप्ताह 05: प्रिंटर, कैमरा, 7zip और नैतिकता

नवंबर 2018 के अंत में, दुनिया भर के कार्यालय और घर के प्रिंटर ने एक संदेश मुद्रित किया जिसमें उन्हें PewDiePie YouTube की सदस्यता लेने का आग्रह किया गया। यह, ज़ाहिर है, प्रिंटर के मालिकों के ज्ञान के बिना, और सबसे अधिक संभावना PewDiePie का इससे कोई लेना-देना नहीं था। खुद को TheHackerGiraffe कहने वाले हमलावर ने अपने इंटरनेट प्रिंटिंग प्रोटोकॉल और लाइन प्रिंटर डेमन सेवाओं को इंटरनेट से एक्सेस करने के लिए कॉन्फ़िगर किए गए 50,000 से अधिक प्रिंटरों पर हमला किया। कमजोर प्रिंटर की सूची विशेष खोज इंजन Shodan.io का उपयोग करके संकलित की गई थी, बाकी प्रौद्योगिकी का विषय था।

प्रिंटर पर हमला समाप्त नहीं हुआ: स्मार्ट टीवी को बाद में हैक किया गया था, और हाल ही में, नेव वेबकैम, PewDiePie के समान लिंक के साथ। यह आम तौर पर अर्थहीन उपक्रम "प्रिंटर गुरिल्ला विपणन" के लिए विशुद्ध रूप से आपराधिक सेवा के उद्भव का कारण बना। आइए इन घटनाओं के बारे में अधिक बात करते हैं, और एक ही समय में सामान्य सुरक्षा शोधकर्ताओं और इस तरह के IoT वैंडल के बीच अंतर पर चर्चा करते हैं।

दुनिया भर के हजारों प्रिंटरों पर छपे एक संदेश को कुछ इस तरह से देखा गया:


हैकिंग के लिए जिम्मेदार हैकर जिराफ ने अपने ट्विटर पर हमले के विवरण को स्वेच्छा से साझा किया (बाद में सभी संदेश हटा दिए गए)। उन्होंने Shodan से असुरक्षित IP प्रिंटर की सूची को पाँच-डॉलर के क्लाउड सर्वर पर अपलोड किया, जहाँ उन्होंने प्रिंटर के स्क्रीन पर हैक संदेश प्रदर्शित करने और प्रदर्शित करने के लिए एक पीडीएफ भेजने के लिए ओपन सोर्स सॉफ्टवेयर के संयोजन का उपयोग किया। इस प्रदर्शन के ठीक एक सप्ताह बाद, ग्रेनेयोइज़ शोधकर्ताओं ने एक और दस्तावेज़ को इंटरसेप्ट किया, जिसका मास प्रिंट अनुरोध एक एकल आईपी से भेजा गया, जैसे:


दस्तावेज़ ने "गुरिल्ला मार्केटिंग" की सेवाओं की पेशकश की - डामर पर विज्ञापनों का एक एनालॉग, केवल, इसलिए बोलने के लिए, डिजिटल स्पेस में। ऐसी घटनाएं वास्तव में अक्सर होती हैं। आप राउटर की सुरक्षा के साथ प्रिंटर घटना की तुलना कर सकते हैं - उनके मामले में, डिवाइस को हैक करना आमतौर पर विज्ञापित नहीं है, बस एक शांत लाभ है। यह दिलचस्प है कि उसी "जिराफ़" ने जनता को ईमानदार सुरक्षा शोधकर्ताओं की शर्तों को समझाया - जैसे कि यह "सार्वजनिक रूप से सूचित करता है" अनुचित रूप से कॉन्फ़िगर किए गए उपकरणों के जोखिमों के बारे में। बेशक, सार्वजनिक रूप से सूचित किया गया था, लेकिन एक आदर्श दुनिया में, प्रिंटर निर्माताओं और उनके इंस्टॉलरों के साथ काम करने के माध्यम से सुरक्षा में सुधार करने का मार्ग निहित है - कम से कम यह पता लगाने के लायक है कि यह क्यों पता चलता है कि स्थानीय प्रिंट सेवा वेब को देख रही है।

इस साल ओडिसी प्यूडी वीडियो ब्लॉगर के उल्लेख के साथ घटनाएं जारी रहीं। जनवरी के मध्य में, YouTube की सदस्यता लेने के लिए इसी तरह के संदेशों के साथ, एटलस मल्टीप्लेयर गेम पर हमला किया गया था। और पिछले हफ्ते, मदरबोर्ड ने नेस्ट नेटवर्क कैमरों को हैक करने का एक वीडियो प्रकाशित किया । नेस्ट इंफ्रास्ट्रक्चर में कमजोरियों का उपयोग नहीं किया गया था। इसके बजाय, क्रेडेंशियल स्टफिंग विधि लागू की गई थी - लीक हुए डेटाबेस के आधार पर आपके व्यक्तिगत खाते के लिए पासवर्ड चुनने का प्रयास। यदि आप सोच रहे हैं कि आपका पासवर्ड अगले लीक से कैसे उपयोग किया जाएगा, तो, उदाहरण के लिए, इस तरह। यह बड़े पैमाने पर हमला नहीं है, लेकिन हैकर लगभग 300 खातों में सेंध लगाने में कामयाब रहा। अपने नेस्ट खाते तक पहुंच आपको अपने घर IoT उपकरणों को नियंत्रित करने की अनुमति देता है, और आप न केवल कैमरों से वीडियो स्ट्रीम को रोक सकते हैं, बल्कि उनके माध्यम से मालिकों के साथ संवाद भी कर सकते हैं। ध्वनि संदेशों को सदस्यता लेने के लिए प्रोत्साहित किया ... ठीक है, आप समझते हैं।


अंत में, नए साल के ठीक बाद, उसी “जिराफ़-हैकर” ने असुरक्षित डिवाइसों की खोज करने के लिए नेटवर्क को स्कैन किया, जो क्रोमकास्ट प्रोटोकॉल, सेट-टॉप बॉक्स या स्मार्ट टीवी का समर्थन करते हैं। कुल मिलाकर, कई दसियों डिवाइस पाए गए, जिस पर एक वीडियो को एक ही चीज़ के लिए कॉल करने के लिए ट्रांसमिट किया गया था। इन कहानियों से दो निष्कर्ष निकलते हैं। सबसे पहले, यह सलाह दी जाती है कि IoT को स्थानीय नेटवर्क से बाहर न जाने दिया जाए। यह इतनी सलाह है, क्योंकि बाहरी सर्वर से कनेक्ट करने का निर्णय आमतौर पर आपके लिए स्मार्ट डिवाइस के निर्माता द्वारा किया जाता है। दूसरे, समान हैकर कार्रवाई का उपयोग लोगों या कंपनियों की प्रतिष्ठा को नष्ट करने के लिए किया जा सकता है। PewDiePie में एक संदिग्ध प्रतिष्ठा है, लेकिन वह बिंदु नहीं है: PR के लिए संवेदनहीन कार्यों के बाद, नए खोजे गए तरीकों को अपराध द्वारा अपनाया जा रहा है। खासकर इतना सरल।


अंत में, यहाँ ट्विटर से एक और धागा है। शोधकर्ता ने खुले स्रोत 7-ज़िप अभिलेखागार के कोड को देखने का फैसला किया, जो संरक्षित अभिलेखागार बनाने के लिए जिम्मेदार है। ऐसे अभिलेखागार केवल पासवर्ड के साथ खोले जा सकते हैं, और सामग्री को एईएस एल्गोरिथ्म का उपयोग करके एन्क्रिप्ट किया गया है। अत्यंत भावनात्मक अभिव्यक्तियों में, शोधकर्ता निम्नलिखित रिपोर्ट करता है: एन्क्रिप्शन एल्गोरिथ्म का कार्यान्वयन आदर्श से बहुत दूर है, एक अविश्वसनीय यादृच्छिक संख्या जनरेटर का उपयोग किया जाता है। इसके अलावा, एक पूरे के रूप में ओपन सोर्स सॉफ्टवेयर की विश्वसनीयता को सवाल में कहा जा रहा है - आखिरकार, गलत एल्गोरिदम सादे दृष्टि में था। एन्क्रिप्शन सिस्टम में पैरानॉयड "बैकसाइड" के बारे में बात करने वाले डेवलपर्स के गुणों पर चर्चा की जाती है, बजाय इसके कि वे अपने कोड को न्यूनतम मानकों पर डुबोएं।

लेकिन, सभी पिछली कहानियों के विपरीत, यह अच्छी तरह से समाप्त होता है: एक ही शोधकर्ता ने डेवलपर्स को बग की सूचना दी और उन्हें स्थिति को ठीक करने में मदद की (जो वास्तव में इतना बुरा नहीं है)। सूचना सुरक्षा के क्षेत्र में नैतिकता के बारे में बोलते हुए, हमें यह नहीं भूलना चाहिए कि लोग अलग-अलग हैं, और वे अलग-अलग तरीकों से सॉफ़्टवेयर और उपकरणों की सुरक्षा में विभिन्न समस्याओं का जवाब देते हैं, इस तरह से - थोड़ा अनर्गल। एथिकल हैकिंग मुख्य रूप से बग या भेद्यता को ठीक करने में मदद करने की इच्छा है। लेकिन बेजोड़ पीड़ितों की कीमत पर मसखरी को व्यवस्थित करने के लिए कमजोरियों का उपयोग करना ठीक नहीं है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।