कैसे एक स्पाइवेयर कंपनी ने मोज़िला के सर्टिफिकेट स्टोर में अपना रास्ता बना लिया और क्या हुआ

एक सही मायने में जासूसी कहानी डार्कमैटर के आसपास हाल के महीनों में सामने आई है , जिसने मोज़िला के विश्वसनीय व्यापार लाइसेंस स्टोर में अपने प्रमाणन प्राधिकरण को शामिल करने के लिए आवेदन किया है। तथ्य यह है कि यह एक साधारण कंपनी नहीं है, बल्कि UAE के "स्पाइवेयर" सॉफ़्टवेयर का एक डेवलपर है। उसे पहले 0day कारनामे खरीदते हुए देखा गया था। सिद्धांत रूप में, यह अपने आप में एक अपराध नहीं है। रूसी सहित कई कंपनियां, 0day का उपयोग करके हैकर टूल विकसित कर रही हैं। वे इन कार्यक्रमों को बेचते हैं, उदाहरण के लिए, हैकिंग फोन (फोरेंसिक विशेषज्ञता) के लिए कानून प्रवर्तन एजेंसियों या ट्रोजन (छिपी निगरानी) की छिपी स्थापना के लिए। लेकिन आम तौर पर स्वीकार किए गए नियम ऐसे हैं कि हैकर फर्म केवल लोकतांत्रिक सरकारों के साथ सहयोग करते हैं, अर्थात, वे "अच्छे के पक्ष में" हैं।

फरवरी 2019 में जुनून तब बढ़ गया जब एक रॉयटर्स की जांच में सामने आया कि डार्कमैटर मध्य पूर्व में दमनकारी शासन को सॉफ्टवेयर बेच रहा था।

मोजिला तुरंत दबाव में आ गया ।

मोज़िला के विश्वसनीय रूट सर्टिफिकेट स्टोर का उपयोग कुछ लिनक्स वितरणों द्वारा भी किया जाता है। कई लोग डरते थे कि एक बार मोज़िला रूट स्टोर में, डार्कमैटर टीएलएस प्रमाणपत्र जारी करना शुरू कर देगा, जिसका उपयोग उपयोगकर्ताओं के इंटरनेट ट्रैफ़िक को बाधित करने के लिए किया जा सकता है। इस तरह के मामले पहले से ही दमनकारी शासन वाले देशों में हैं, हालांकि डार्कमैटर ने इस तरह के ऑपरेशन में कभी भी भाग लेने का दावा नहीं किया है। हालाँकि अब समस्या केवल कुछ लिनक्स सिस्टम को प्रभावित कर सकती है, लेकिन यह लिनक्स है जो क्लाउड प्रदाताओं के सर्वर पर चलता है और डेटा केंद्रों में तैनात किया जाता है। Google समूह की स्थिति पर चर्चा करने में , डार्कमैटर के प्रतिनिधियों ने आश्वासन दिया कि वे ऐसा कुछ भी नहीं करने जा रहे हैं।

इसी समय, डार्कमैटर प्रमाणपत्रों की जांच की गई। और एक विचित्रता को जल्दी से खोजा गया था: अनुक्रमिक प्रमाणपत्र संख्याओं के लिए, 63-बिट स्थान से यादृच्छिक संख्याओं का उपयोग 64-बिट स्थान के बजाय किया गया था, जैसा कि विनिर्देश के अनुसार होना चाहिए। यह सीए / बी फोरम न्यूनतम एन्ट्रापी आवश्यकताओं (64 बिट्स) का उल्लंघन करता है। इस प्रकार, मोज़िला के पास "जासूसों" को विश्वसनीय प्रमाणपत्र स्टोर में शामिल करने से इनकार करने के लिए औपचारिक कारण थे।

हालांकि, यह पता चला कि ऐसा उल्लंघन न केवल डार्कमैटर द्वारा किया गया था, बल्कि एक दर्जन प्रमाणन केंद्रों के साथ, जिसमें GoDaddy, Apple और Google शामिल थे। कारण यह है कि सभी प्रभावित सीए ने गलत सेटिंग्स के साथ लोकप्रिय ओपन सोर्स EJBCA PKI समाधान का उपयोग किया।

अग्रणी केंद्रों से बड़े पैमाने पर याद करना शुरू हो गया है। प्रमाणपत्रों की भारी संख्या के कारण प्रक्रिया में लंबा समय (30 दिन तक) लगा। उन्हें RFC5280 का उल्लंघन करना पड़ा, जो पांच दिनों के भीतर अमान्य प्रमाण पत्र को रद्द करने के लिए बाध्य करता है। परिणामस्वरूप, कुछ अनुमानों के अनुसार, कई मिलियन टुकड़ों को वापस बुलाया गया।

यह है कि डार्कमैटर जासूसी कंपनी ने एक अच्छा काम किया: इसने एक गंभीर क्रिप्टोग्राफिक भेद्यता का पता लगाने में मदद की। लेकिन वह खुद भी आहत थी। वास्तव में, एक रायटर जांच के आरोपों का कोई गंभीर आधार नहीं है: शायद यह सिर्फ एक पत्रकार की अटकलें हैं। हालांकि, मोज़िला विश्वसनीय रूट स्टोरेज में शामिल करने के उनके आवेदन को पहले ही खारिज कर दिया गया है, यही वजह है कि कंपनी के प्रतिनिधियों ने ईमानदारी से नाराजगी जताई है । और कुछ उनसे सहमत हैं।

“एक अजीब स्थिति। एक ओर, प्रेस में इन लेखों के आधार पर डार्कमैटर के आवेदन को अस्वीकार करने से उद्योग के एक सदस्य की स्पष्ट कर्तव्यनिष्ठा को केवल अफवाहों और बिना सबूतों के आधार पर नकारने के लिए एक मिसाल कायम होगी, एक प्रसिद्ध सुरक्षा विशेषज्ञ नादिम कोबीसी लिखते हैं। "दूसरी ओर, सद्भाव में, पारदर्शी और तथ्यात्मक सबूतों पर कार्रवाई करने का निर्णय लेते हुए, हम वास्तव में सीए को शामिल करने की प्रक्रिया में जनता के विश्वास को कम करने के दीर्घकालिक जोखिम को जोखिम में डाल रहे हैं।"

यह वास्तव में मुझे लगता है कि दोनों निर्णय हानिकारक होंगे। पहले मामले में, यह भेदभावपूर्ण लगेगा (और यहां तक ​​कि थोड़ा सा जियोफोबिक) ... और दूसरे में, पूरे के रूप में सीए के रूट डायरेक्टरी की सुरक्षा पर अनिश्चितता का एक गंभीर बादल होगा। और मुझे यह भी पता नहीं है कि किसी दिन कम से कम इसे कैसे दूर किया जा सकता है।

बाहर के पर्यवेक्षक के रूप में, मैं ईमानदारी से नहीं जानता कि इस समय मोज़िला को क्या करना है ...

वास्तव में, मैं चाहूंगा कि डार्कमैटर के खिलाफ गंभीर सबूत प्रकाशित किए जाएं (यदि यह मौजूद है)। वे मोज़िला को एक मजबूत रक्षात्मक स्थिति लेने में मदद करेंगे। ”

एसएसएल / पीकेआई उद्योग के विशेषज्ञों के अनुसार, प्रमाणपत्रों का अचानक निरस्त होना कंपनी के प्रमाणपत्रों के प्रबंधन में स्वचालन की महत्वपूर्ण भूमिका को भी प्रदर्शित करता है। आखिरकार, इस तरह की महत्वपूर्ण घटना के कारण आपको किसी भी समय एक प्रमाण पत्र रद्द कर दिया जा सकता है।

ठीक है, अगर यह एक सर्वर पर एक प्रमाण पत्र है, लेकिन समस्या गंभीर हो जाती है यदि आपके पास IoT उपकरणों पर सैकड़ों प्रमाण पत्र तुरंत निरस्त हो जाते हैं। और अगर यह हजारों उपकरणों, हजारों के हजारों है? इस समस्या को हल करने के लिए, GlobalSign ने Xage Security के साथ एक प्रौद्योगिकी साझेदारी समझौता किया। यह IoT आइडेंटिटी प्लेटफॉर्म ऑटोमैटिक सर्टिफिकेट मैनेजमेंट सिस्टम को लागू करेगा, जो 3000 सर्टिफिकेट प्रति सेकंड जारी करने में सक्षम है।

---

आज, डेवलपर्स, इनोवेटरों को इंटरनेट के क्षेत्र में शामिल करें और ग्लोबलसाइन समाधान के साथ विभिन्न पीकेआई-आधारित IoT उपकरणों का प्रबंधन करें।


अधिक जानकारी चाहिए? हम आपको हमेशा फोन +7 499-678-2210 पर सलाह देकर खुश हैं।