आपूर्ति श्रृंखला सुरक्षा: "यदि मैं एक राष्ट्र राज्य था ..."

क्या आपने कभी सोचा है कि कितने विभिन्न संगठनों, कंपनियों, सेवाओं, लोगों ने आपके कंप्यूटर, राउटर और किसी भी अन्य डिवाइस के निर्माण और परिवहन में भाग लिया जो आप रोजमर्रा की जिंदगी में या काम पर उपयोग करते हैं? और यह कैसे खतरनाक है? यदि नहीं, तो एंड्रयू 'बन्नी' हुआंग से विचार के लिए बिल्ली के नीचे स्वागत करें।

2019 की शुरुआत में, आपूर्ति श्रृंखला सुरक्षा के एंड्रयू हुआंग की एक रिपोर्ट : "अगर मैं एक राष्ट्र राज्य था ..." माइक्रोसॉफ्ट से ब्लूहाट आईएल सम्मेलन में प्रस्तुत किया गया था। लेकिन पहले, आइए स्पीकर से परिचित हो जाएं कि यह समझने के लिए कि इस मामले में एक विशेषज्ञ की राय के रूप में, उसकी राय सुनने के लायक क्यों है।

एंड्रयू हुआंग इलेक्ट्रिकल इंजीनियरिंग में डिग्री के साथ एक सुरक्षा शोधकर्ता है। Xbox की सुरक्षा और विभिन्न उपकरणों के हार्डवेयर घटकों के अपने अध्ययन के लिए जाना जाता है, उन्होंने खुले स्रोत समुदाय के एक कार्यकर्ता, पूरी तरह से एकीकृत सिलिकॉन फोटॉन चिप के निर्माण में भाग लिया। हैकिंग और सुरक्षा पर कई पुस्तकों के लेखक: हैकिंग द एक्सबॉक्स , हार्डवेयर हैकर और हार्डवेयर के क्षेत्र में अपनी गतिविधियों के बारे में एक ब्लॉग बनाए रखता है।

उनकी रिपोर्ट में, आपूर्ति श्रृंखला सुरक्षा: "अगर मैं एक राष्ट्र राज्य था ..." वह कई इलेक्ट्रॉनिक उपकरणों के हार्डवेयर घटक में बैकडोर को पेश करने के संदर्भ में आपूर्ति श्रृंखला की असुरक्षा का वर्णन करता है।

हमने रिपोर्ट की संक्षिप्त समीक्षा की, और उन लोगों के लिए जो इस विषय के साथ खुद को और अधिक विस्तार से परिचित करना चाहते हैं, आप रिपोर्ट का मूल वीडियो देख सकते हैं।

अपनी रिपोर्ट में, लेखक निम्नलिखित उदाहरण देता है:

• अंतिम लोगों के बजाय डिवाइस के घटकों के परीक्षण नमूनों (इसी सुरक्षा खामियों के साथ) की डिलीवरी और बिक्री के मामले हैं। लेखक एक FPGA भर में आया जिसने यह मिटा दिया कि यह एक परीक्षण नमूना है;

  
  

• एक अतिरिक्त तत्व डिवाइस में जोड़ा जा सकता है, इसकी कार्यक्षमता का विस्तार, उदाहरण के लिए, उस पर संग्रहीत डेटा को एक्सफ़िलिएट करने के लिए। पहले से ही चीनी चिप्स और विशेष सेवाओं के आंतरिक विकास से जुड़ी अशांति थी;

  
  

• डिज़ाइन या निर्माण के चरण में, "सुपरफ्लस" तत्वों को चिप में जोड़ा जा सकता है, या उसी चिप के नीचे एक दूसरा दिखाई दे सकता है, बिल्कुल उसी आकार का, लेकिन पूरी तरह से अलग कार्यक्षमता के साथ - यह "बीच में एक आदमी" पर हमला करने के लिए किया जा सकता है;

• डिवाइस में प्रयुक्त चिप से एक और चिप संलग्न की जा सकती है, जिसका उद्देश्य केवल उसी को पता है जिसने इसे किया था।

नीचे दिया गया आंकड़ा एक आरेख दिखाता है जो बैकडोर और उनके पता लगाने में कठिनाई की डिग्री दोनों को दिखाता है। निर्भरता का पता लगाना मुश्किल नहीं है - कार्यान्वयन की प्रक्रिया जितनी जटिल है, उतना ही कठिन है।

एक चिप का दूसरे के नीचे परिचय या चिप के अंदर सीधे परिवर्तन, एक्स-रे और एक इलेक्ट्रॉन माइक्रोस्कोप का उपयोग करके भी नोटिस करना मुश्किल है। लेकिन कभी-कभी एक दृश्य निरीक्षण यह समझने के लिए पर्याप्त है कि कुछ निश्चित रूप से गलत है, उदाहरण के लिए, अगर पिछले दरवाजे को पहले से तैयार डिवाइस में एम्बेडेड किया गया था और एक अलग चिप की तरह दिखता है।

उपरोक्त सभी आपके डिवाइस में आपूर्ति श्रृंखला के किसी भी लिंक पर दिखाई दे सकते हैं, जिसे ट्रेस करना हमेशा संभव नहीं होता है। ज्यादातर मामलों में, गंभीर संरचनाएं आयातित लोहे में ऐसे बैकडोर और बुकमार्क की उपस्थिति में शामिल होती हैं। इस वजह से, समस्या से लड़ना मुश्किल है, और एकमात्र तरीका स्वतंत्र विकास और डिजाइन है।

यह आंकड़ा उस समय से सप्लाई चेन के लिए कई विकल्प दिखाता है जब चिप का विकास उपयोगकर्ता द्वारा डिवाइस में पहले से ही किया जाता है। खतरे श्रृंखला के प्रत्येक लिंक पर उसे "इंतजार" करते हैं, और कभी-कभी इसके बाहर भी। एक विकल्प है जब उपकरणों को हमलावरों द्वारा खरीदा जाता है, तो बैकस्ट उन में निर्मित होते हैं, और फिर हमलावर उन्हें कुछ बहाने के तहत विक्रेता को वापस कर देता है। उसके बाद, विक्रेता इस डिवाइस को फिर से बेच सकता है, और इस तरह नए मालिक को खतरे में डाल सकता है।

यह जानने और याद रखने लायक बड़ा सुरक्षा मुद्दा है। और यहां तक ​​कि प्रसिद्ध विक्रेताओं से एक उपकरण या इसके भागों को खरीदना, जिन पर आप भरोसा कर सकते हैं, आप न केवल जो आप चाहते थे, बल्कि निगरानी के रूप में एक अप्रिय आश्चर्य और व्यक्तिगत डेटा तक पहुंच प्राप्त कर सकते हैं।

सुरक्षा शोधकर्ताओं के रूसी भाषी समुदाय में, लोहे में बैकस्ट का विषय भी हाल ही में उठाया गया है। हमारा सुझाव है कि आप शोर सुरक्षा बिट पॉडकास्ट "फिक्शन एंड रियलिटी: बैकसाइड इन हार्डवेयर एंड फ़र्मवेयर" को सुनें और माइक्रोचिप को एमार्टोलॉजी से रिवर्स इंजीनियरिंग से बचाने के बारे में लेख पढ़ें।

और आपकी राय में, आज यह समस्या कितनी विकट है?