सुरक्षा सप्ताह 06: फेसटाइम पर लाइव

पिछले सप्ताह की मुख्य घटना Apple मोबाइल उपकरणों के लिए iOS 12 ऑपरेटिंग सिस्टम में एक बग था। ग्रुप फेसटाइम फ़ंक्शन, जो आपको एक साथ कई उपयोगकर्ताओं के साथ एक कॉन्फ्रेंस कॉल आयोजित करने की अनुमति देता है, का उपयोग ग्राहक की ओर से उसकी जानकारी के बिना क्या हो रहा है, यह देखने के लिए किया जा सकता है। बाद में यह पता चला कि ग्रुप फेसटाइम का इस्तेमाल जासूसी के लिए भी किया जा सकता है। हालांकि इस पद्धति से थोड़ा व्यावहारिक लाभ है, डेटा सुरक्षा में विफलता है, और Apple ने समूह ऑडियो और वीडियो कॉल बनाने की क्षमता को अस्थायी रूप से अक्षम कर दिया है।

फेसटाइम में भेद्यता स्क्रीन लॉक को बायपास करने के दर्जनों पहले से खोजे गए और बंद किए गए तरीकों के समान है - सभी मामलों में, विभिन्न आईओएस तत्वों के जंक्शन पर एक सुरक्षा छेद बनाया जाता है। Apple के कॉर्पोरेट मैसेंजर में पहली बार ग्रुप कॉल जोड़ने से भी लॉकस्क्रीन का अगला दौर शुरू हुआ। नवंबर में वापस, शोधकर्ता जोस रोड्रिगेज इस तरह से लॉक को बायपास करने में सक्षम थे: हम पीड़ित के फोन पर फेसटाइम को कॉल करते हैं, कॉल का जवाब देते हैं (यह अनलॉक किए बिना किया जा सकता है), अन्य ग्राहकों को बातचीत में जोड़ने का प्रयास करें, जो फोन बुक तक पहुंच प्रदान करता है। जनवरी में खोजी गई समस्या कहीं अधिक गंभीर थी।

IOS 12.1 पर लोकस्क्रीना बाईपास इस तरह दिखे:


ग्रुप फेसटाइम तकनीक की घोषणा पिछले जून में आगामी iOS 12 में की गई थी। अक्टूबर के अंत में, यह अपडेट Apple डिवाइस के सभी मालिकों के लिए उपलब्ध हो गया। तब से, कंपनी ने ऑपरेटिंग सिस्टम के तीन अपडेट जारी किए हैं जो न केवल लॉक स्क्रीन को बायपास करने वाले बग को बंद करते हैं, बल्कि Google प्रोजेक्ट ज़ीरो टीम से नेटली सिलवानोविच द्वारा खोजे गए कई DoS अटैक के तरीके भी हैं। सभी मामलों में, फेसटाइम के माध्यम से लक्ष्य डिवाइस को भेजे गए तैयार वीडियो स्ट्रीम के कारण सेवा से इनकार किया गया था। कमजोरियों ने न केवल आईओएस, बल्कि मैक ओएस को भी प्रभावित किया।


सबसे हाल ही में पैच सेट 22 जनवरी को जारी किया गया था, लेकिन समूह कॉल के साथ समस्या अभी तक हल नहीं हुई है। संभवतः, पहली बार भेद्यता गलती से एक 14 वर्षीय गेमर द्वारा खोजी गई थी। उन्होंने फ़ोर्टनाइट को एक साथ फ़ोर्टनाइट खेलने के लिए कॉल किया और पाया कि वे कॉलर्स को बात करते हुए सुनते हैं, हालांकि उन्होंने अभी तक कॉल का उत्तर नहीं दिया है।


ट्वीट्स की चर्चा में, आप देख सकते हैं कि क्या होता है जब आप आईओएस में एक गंभीर भेद्यता की खोज करते हैं: पत्रकारों का झुंड आप पर उड़ जाता है। गेमर की मां ने Apple को समस्या बताई, और उसे भेद्यता के बारे में जानकारी भेजने के लिए एक डेवलपर खाता बनाना पड़ा। और भेद्यता कुछ इस तरह दिखती है:


समस्या को फिर से प्रस्तुत करना बहुत सरल है। आपको किसी अन्य ग्राहक को कॉल करने की आवश्यकता है और, जबकि कॉल जारी है, एक अन्य भागीदार को इसमें जोड़कर एक समूह कॉल बनाएं (आप खुद को जोड़ सकते हैं)। इसके तुरंत बाद, आप सुन सकते हैं कि दूसरी तरफ क्या हो रहा है, हालांकि ग्राहक ने अभी तक कॉल का जवाब नहीं दिया है। चित्रों के साथ अधिक विस्तार से, आरेख का वर्णन यहां किया गया है , Reddit पर वे पुष्टि करते हैं कि तथाकथित ग्राहक भी आपको सुनता है, हालांकि उसने कॉल का जवाब नहीं दिया। दूसरे शब्दों में, कॉन्फ्रेंस कॉल करने के तुरंत बाद उपकरणों पर माइक्रोफोन और स्पीकर सक्रिय हो जाते हैं, इसका उत्तर देना आवश्यक नहीं है। सुविधाजनक!


28 जनवरी को मीडिया ने समस्या के बारे में लिखा। 29 जनवरी को, इस तरह से वीडियो कॉल के लिए भेद्यता को बढ़ाया गया था: आपको खुद को एक सामूहिक कॉल में जोड़ने की आवश्यकता है, और फिर दूसरे डिवाइस से इस निमंत्रण का जवाब दें। इस मामले में, पीड़ित उपभोक्ता की मांग के बिना कैमरा सक्रिय है। उसी दिन, Apple ने ग्रुप फेसटाइम सेवा को अस्थायी रूप से अक्षम कर दिया। समस्या की प्रारंभिक रिपोर्ट और वर्कअराउंड के बीच लगभग एक सप्ताह बीत गया।

बड़ी कंपनियों में जो संवेदनशील जानकारी की एक बड़ी मात्रा में प्रक्रिया करते हैं, Apple को सबसे विश्वसनीय में से एक माना जाता है। इस तरह की घटना प्रतिष्ठा के लिए एक गंभीर झटका है, हालांकि यह अन्य सूचना लीक से बहुत अलग नहीं लगती है। एक समस्या थी, समस्या का समाधान किया गया था, और अगर कोई भेद्यता का फायदा उठाना चाहता था, तो ऐसा अवसर लगभग 24 घंटों तक मौजूद रहा। फेसबुक, Google या ट्विटर डेटा एक्सेस मुद्दों के विपरीत, बड़े पैमाने पर ग्रुप फेसटाइम समस्या का उपयोग करना मुश्किल था। फिर भी, किसी भी रूप में माइक्रोफ़ोन और कैमरे तक अनधिकृत पहुंच को हमेशा एक गंभीर समस्या के रूप में माना जाएगा, हालांकि वास्तविक खतरा, शायद, बड़े पैमाने पर व्यक्तिगत जानकारी के मामलों को गैर-समझदार लोगों और संगठनों के हाथों में लंबे समय तक और नियंत्रण की किसी भी संभावना के बिना गिर जाता है। ।


द्रव्यमान और लंबे समय की बात कर रहे हैं। पिछले सप्ताह लॉगिन और पासवर्ड के एक विशाल डेटाबेस के रिसाव की कहानी जारी थी । संग्रह # 1, जो जनवरी के मध्य में लीक हुआ था, केवल सात अभिलेखागार के एक बड़े डेटाबेस का हिस्सा था। डेटा की कुल मात्रा एक टेराबाइट के पास आ रही है। यह, निश्चित रूप से, एक बार निजी जानकारी का एक प्रभावशाली भंडार है, लेकिन बड़े और इससे कुछ भी नहीं बदलता है - लीक के आकार की परवाह किए बिना दो-कारक प्राधिकरण के साथ लगातार, एक बार, नियमित रूप से अपडेट किए गए पासवर्ड पर स्विच करना आवश्यक है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।