जुआ सॉफ्टवेयर के निर्माता की "नैतिक हैक" पूरी तरह से बुरे सपने में कैसे बदल गया

"एथिकल हैकर्स" ने एक कंपनी की आँखें खोलने की कोशिश की, जो जुआ के लिए कार्यक्रम बनाती है, अपने उत्पादों में त्रुटियों के लिए - लेकिन अंत में सब कुछ नरक में

जो लोग किसी कंपनी में सुरक्षा समस्या पाते हैं, उन्हें अक्सर यह बताने की कोशिश करने में कठिनाई होती है। हालांकि, बहुत कम अक्सर, ऐसी परिस्थितियां निष्पक्ष टकराव और हमलों और ब्लैकमेल के पारस्परिक आरोपों के चरित्र को प्राप्त करती हैं।

और फिर भी, ठीक वैसा ही हुआ जब एट्रीजेंट के कैसीनो प्रौद्योगिकी मुख्यालय, वेस्ट ब्लूमफील्ड, मिशिगन में मुख्यालय, ने ब्रिटेन के दो साइबर सुरक्षा शोधकर्ताओं को जवाब देना बंद कर दिया कंपनी की सुरक्षा में कथित कमियों के बारे में। शोधकर्ताओं ने सोचा कि वे अपने काम के लिए भुगतान करने के लिए सहमत थे, लेकिन कुछ भी नहीं मिला। 5 फरवरी, 2019 को, उनमें से एक, ब्रिटेन में रहने वाले 23 वर्षीय, ऑस्ट्रेलिया के डिलन व्हीलर, कंपनी के मुख्य परिचालन अधिकारी के साथ व्यक्तिगत रूप से निपटने के लिए लंदन प्रदर्शनी में एट्रियेंट बूथ पर आए।

आगे क्या हुआ यह पूरी तरह से स्पष्ट नहीं है। व्हीलर का कहना है कि एट्रेंट के सीओओ जेसी गिल ने उनके साथ बहस की और अंततः अपने बिल्ले को फाड़ दिया; गिल जोर देकर कहते हैं कि उन्होंने कुछ भी नहीं किया और व्हीलर को भगाने की कोशिश करने का आरोप लगाया।

इन परेशानियों के कारण ट्विटर पर टिप्पणी करने के साथ कानूनी खतरों और आपसी मनमुटाव होते हैं। टॉड बियरडली, रैपिड 7 के अनुसंधान निदेशक, इस प्रदर्शन के दर्शकों में से एक थे। "मेरी पहली प्रतिक्रिया," दाढ़ी मजाक में कहती है, "एह, मैं भेद्यता को उजागर करने के लिए आपूर्तिकर्ता को हिट करना चाहूंगा।" यह "" मिली त्रुटियों के लिए किसी भी पुरस्कार से बेहतर है।


भेद्यता प्रकट करने के लिए बिंगो:
- हमारे पास अभी भी कोई हैक नहीं है;
- हम बिना तकनीकी सहायता अनुबंध के आपकी रिपोर्ट स्वीकार नहीं कर सकते;
- हमारे सामान्य उपयोगकर्ता ऐसा नहीं करेंगे, यह कोई समस्या नहीं है;
- यह उत्पाद जल्द ही बंद हो जाएगा;
- गैरकानूनी कृत्यों पर प्रतिबंध लगाने का आदेश;
- पूर्ण मौन;
- हमने पुलिस को बुलाया;
- हम सैन्य-ग्रेड एन्क्रिप्शन का उपयोग करते हैं;
- तो यह कल्पना की गई थी;
- हम इसके बारे में जानते हैं, हम एक नए संस्करण पर काम कर रहे हैं;
- हम इसे एक भेद्यता नहीं मानते हैं;
- हमने सभी डिफ़ॉल्ट सेटिंग्स को छोड़ दिया;
- आप किसके लिए काम करते हैं?
- यह प्रतिबंध प्रलेखन में परिलक्षित होता है और हर कोई इसके बारे में जानता है, इसे ठीक करने का कोई कारण नहीं है;
- यह उत्पाद आंतरिक उपयोग के लिए है और इसमें इंटरनेट का उपयोग नहीं होना चाहिए।

यह कहानी उन समस्याओं का एक पाठ्यपुस्तक उदाहरण है जो कमजोरियों पर शोध और खोज करते समय उत्पन्न हो सकती हैं।

कई बड़ी कंपनियां और प्रौद्योगिकी आपूर्तिकर्ता गलतियों के लिए पुरस्कार का समर्थन करते हैं, सॉफ्टवेयर और बुनियादी ढांचे में समस्याओं को हल करने के लिए तीसरे पक्ष के हैकर्स और सुरक्षा शोधकर्ताओं के प्रयासों को पुनर्निर्देशित करते हैं - हालांकि, अधिकांश कंपनियों के पास तीसरे पक्ष के लिए उनके बारे में जानकारी साझा करने के लिए एक स्पष्ट तंत्र नहीं है। सुरक्षा।

ऐसी कंपनियों के लिए कमजोरियों को उजागर करते हुए, बर्ड्सले कहते हैं, "प्रतिक्रिया में, मुझे मौन से लेकर सक्रिय अनदेखी तक सब कुछ मिला -" मैं यह नहीं सुनना चाहता! "- और पत्र अवैध कार्यों को रोकने की मांग करते हैं। वह सब कुछ था, लेकिन मुझे कई सकारात्मक समीक्षा मिलीं। "मैंने उन लोगों के साथ काम किया जिनके पास कमजोरियों का खुलासा करने का पर्याप्त अनुभव नहीं था, और मैंने उन्हें यह पता लगाने में मदद की।"

इस मामले में, दो अपेक्षाकृत अनुभवहीन "एथिकल हैकर्स" ने एक सुरक्षा समस्या को हल करने की कोशिश की जो उनके लिए अपेक्षाकृत गंभीर लग रही थी, और एट्रिअन्ट के निर्देशकों ने सोचा कि कुछ अप्रतिष्ठित हैकर्स उनसे पैसे बनाने की कोशिश कर रहे थे। संयुक्त राज्य अमेरिका में एक प्रमुख कैसीनो ऑपरेटर और एफबीआई साइबर डिवीजन सहित - व्हीलर, एट्रिअंट और अन्य शेयरधारकों के बीच कॉल और ईमेल पत्राचार के महीनों की लंबी रिकॉर्डिंग के लिए धन्यवाद - हमारे पास एक अच्छा विचार है कि चीजें कैसे विकसित हुई हैं।

कंपनी

लास वेगास एट्रीएंट कार्यालय, मैकर्रान अंतरराष्ट्रीय हवाई अड्डे के करीब


एट्रिएंट वेस्ट ब्लूमफील्ड मुख्यालय इस इमारत में स्थित है।

एट्रियेंट एक छोटी सी कंपनी है जो कैसिनो और गेमिंग उद्योग में एक बहुत ही संकीर्ण जगह के साथ काम कर रही है।

सैम अटिशा और दशींदर गिल द्वारा अप्रैल 2002 में स्थापित एट्रींट को पहले विस्ट्रॉन, इंक नाम दिया गया था, और एक साल बाद नाम बदलकर राज्य रजिस्टर के अनुसार, शुरू में तकनीकी परामर्श में लगे हुए थे। उसने आईटी कर्मचारियों, सॉफ्टवेयर विकास, रचनात्मक सेवाओं और परियोजना प्रबंधन की भर्ती के लिए "कस्टम समाधान" की पेशकश की। थोड़े समय के लिए, कंपनी विस्ट्रॉन वायरलेस इंक खोलकर वायरलेस व्यवसाय में चली गई। "वायरलेस उद्योग के लिए विपणन और तकनीकी सेवाएं प्रदान करना", जैसा कि कंपनी के पंजीकरण दस्तावेजों में कहा गया है।

अपने अस्तित्व के कई वर्षों में, ऑनलाइन कैसीनो सॉफ्टवेयर के एकीकरण ने कंपनी की गतिविधि के क्षेत्र में भी प्रवेश किया है। 2015 तक, Atrient ने मुख्य रूप से PowerKiosk कैसीनो उपयोगकर्ता वफादारी प्रणाली पर ध्यान केंद्रित किया, व्यक्तिगत स्लॉट मशीनों, इलेक्ट्रॉनिक उपकरणों और मोबाइल अनुप्रयोगों के संयोजन से जुए के खिलाड़ियों को ट्रैक किया और उन्हें पुरस्कार, विशेष गेम और मार्केटिंग ऑफ़र दिए। सिस्टम मोबाइल एप्लिकेशन का उपयोग करके उपयोगकर्ताओं को लॉयल्टी कार्ड या ब्लूटूथ बीकन और जियोलोकेशन के माध्यम से ट्रैक कर सकता है, साथ ही खिलाड़ी द्वारा प्राप्त बोनस की लागत को भी स्टोर कर सकता है।

Atrient की बिक्री और ग्राहक सहायता के लिए लास वेगास में एक कार्यालय है, लेकिन इसका मुख्यालय वेस्ट ब्लूमफील्ड (मिशिगन) में एक छोटे से व्यवसाय केंद्र में स्थित है। यह दंत चिकित्सक के कार्यालय और एच एंड आर ब्लॉक सलाहकार कार्यालय के साथ दूसरी मंजिल पर स्थित है, और इसके नीचे एक डोनट कैफे और एक गद्दे की दुकान है। Atrient का कार्यालय एक अन्य आउटसोर्स आईटी कंपनी, Azilen है , जिसके दो और कार्यालय भारत में और एक बेल्जियम में है। Atrient और Azilen के बीच संबंध पूरी तरह से समझा नहीं गया है; मई 2018 में पंजीकृत एज़िलीन का कम से कम एक डेवलपर अब हैदराबाद, भारत में एट्रीवेंट में काम करता है।

Atrient, जाहिरा तौर पर, इसके आला में अच्छी तरह से महसूस करता है, और कैसीनो और जुआ के क्षेत्र में सबसे बड़ी कंपनियों के बीच भागीदार है। 2014 में कोनामी ने मौजूदा कोनामी ग्राहकों को एट्रिअन्ट सॉफ्टवेयर उत्पाद वितरित करने के लिए विशेष अधिकारों के लिए एक सौदा किया। एट्रिएंट ने अपने सॉफ़्टवेयर को वैज्ञानिक गेम्स बल्ली टेक्नोलॉजी और इंटरनेशनल गेम टेक्नोलॉजी गेमिंग सिस्टम में एकीकृत किया।

पिछले एक साल से, Atrient 12 मार्च, 2019 को एक खेल और वित्तीय सॉफ्टवेयर कंपनी एवरि होल्डिंग्स के साथ बातचीत कर रहा है, जब यह घोषणा की गई थी कि एटिरी एट्री से "कुछ संपत्ति और बौद्धिक संपदा" हासिल करेगा। अनुबंध में निर्दिष्ट कुछ शर्तों के आधार पर अगले दो वर्षों में लाइव मनी और अतिरिक्त भुगतान में $ 20 मिलियन के माध्यम से यह सौदा $ 40 मिलियन पर खर्च किया गया था। सुरक्षा शोधकर्ताओं ने इन वार्ताओं के दौरान सुनवाई की मांग की।

शोधकर्ताओं

हमारे शोधकर्ताओं को सूचना सुरक्षा में कुछ अनुभव है, लेकिन आप उन्हें उद्योग के दिग्गजों का नाम नहीं दे सकते। व्हीलर 23 साल का है, और उसका एट्रीवेंट पार्टनर एक 17 वर्षीय ब्रिटान था जिसे ईमेल और फोन द्वारा बेन कहा जाता था। बेन सूचना प्रौद्योगिकी का अध्ययन करता है, और ट्विटर पर और अन्य नेटवर्क @ Me9187, या बस "मी" उपनाम के तहत लिखता है।

अतीत में व्हीलर को कानून के साथ काफी गंभीर समस्याएं थीं - गिल ने तुरंत 5 फरवरी को लंदन प्रदर्शनी में घटनाओं पर टिप्पणी करते हुए संपादकीय प्रतिक्रिया में यह उल्लेख किया। ऑस्ट्रेलिया में एक बार, व्हीलर पर हैकिंग का आरोप लगाया गया था, जब वह नाबालिग था, और फिर 20 साल की उम्र में आपराधिक मुकदमा चलाने से बचने के लिए वह चेक गणराज्य में जमानत से भाग गया। व्हीलर खुद दावा करता है कि उसका मामला ऑस्ट्रेलिया में बंद हो गया था और उसने आगे उसे आगे नहीं बढ़ाने का फैसला किया। अब वह कानूनी रूप से ब्रिटेन में मौजूद है, और अधिकारियों को उसके "आपराधिक अतीत" के बारे में पता है।

व्हीलर ने संपादकीय कार्यालय से कहा, "जब मैं 14 साल का था तब उसे चालू कर दिया गया था, और कहा कि ऑस्ट्रेलियाई कानून के तहत उसका मामला प्रिंट में प्रकाशित नहीं किया जा सकता है (हालांकि कई ऑस्ट्रेलियाई समाचार पत्रों ने इस मामले को विस्तार से वर्णित किया है)। "लेकिन वैसे भी, अतीत खत्म हो गया है।" मैं जितना संभव हो उतना पारदर्शी होने की कोशिश करता हूं, और मैं इस तथ्य की तरह नहीं हूं कि मेरा अतीत एट्रीवेंट को उत्तेजित करता है। यह एक सूचना सुरक्षा उद्योग है, और कई लोगों का एक काला अतीत है। ”

शोदान के माध्यम से शिकार

इंटरनेट से, आप 100,000 से अधिक जेनकींस सर्वर तक पहुंच सकते हैं; उनमें से कई में भेद्यताएँ हैं जो कि Shodan.io और Censys.io के माध्यम से पाई जा सकती हैं।

29 अक्टूबर, 2018 को, व्हीलर और मी इंटरनेट पर कमजोर सिस्टम की खोज कर रहे थे। वे दो भेद्यता खोज इंजनों - सेंन्स और शोडान - को वेब अनुरोधों और कमांड लाइन के माध्यम से प्रत्यक्ष आदेशों के माध्यम से भेजते हैं जो इन उपकरणों का समर्थन करते हैं। खोज के दौरान, वे "ओपन डोर" पर लड़खड़ाए - जेनकिंस सर्वर, जो कहते हैं, उनके पास एक्सेस कंट्रोल नहीं था।

जेनकिन्स परियोजना, जो मूल रूप से सन माइक्रोसिस्टम्स के स्वामित्व में है, को सॉफ्टवेयर विकास प्रक्रिया में उपयोग करने की आवश्यकता है। यह आपको असेंबली को लगातार एकीकृत, संकलन और तैनात करने की अनुमति देता है। उन्हें पिछली सुरक्षा की कमियों सहित काफी गंभीर सुरक्षा समस्याएं हैं, जिन्होंने उन्हें दूर से कोड निष्पादित करने की अनुमति दी, जिसने हमलावर को कंपनी के सॉफ्टवेयर विकास श्रृंखला में एक पुलहेड व्यवस्थित करने में सक्षम बनाया। व्हीलर और मी का दावा है कि एट्रीजेंट जेनकिन्स सर्वर, जो क्लाउड में विंडोज वर्चुअल मशीन पर चल रहा था, में उपयोगकर्ता प्राधिकरण स्थापित नहीं था, और बस सर्वर के वेब कंसोल तक पहुंचने से उपयोगकर्ता व्यवस्थापक विशेषाधिकार दिए गए थे। इस बयान में, एट्रिएंट का दावा है कि इस जोड़े ने सर्वर तक पहुंच प्राप्त करने के लिए ब्रूट फोर्स पासवर्ड का उपयोग किया।

व्हीलर और मी ने वहां अफवाह फैलाने का फैसला किया और देखा कि क्या वे सर्वर के मालिक को निर्धारित कर सकते हैं। दो-लाइन ग्रूवी स्क्रिप्ट को निष्पादित करने के लिए सर्वर एक्सेस का उपयोग करते हुए, उन्होंने पूरे सर्वर की जांच करने के लिए एक दूरस्थ कमांड लाइन बनाई जो उन्हें उनके अनुसार अनुमति देती है। उन्हें मिले दस्तावेजों और आंकड़ों के आधार पर, उन्होंने फैसला किया कि सर्वर का उपयोग एट्रिएंट और एज़िलन कर्मचारियों द्वारा किया गया था, जो पावरकिओस्क प्लेटफॉर्म के बारे में त्रुटि संदेश विकसित करने और भेजने के लिए, साथ ही साथ विभिन्न कैसीनो के लिए मोबाइल एप्लिकेशन और कियोस्क विकल्पों के लिए कोड रिपॉजिटरी भी थे। उन्होंने यह भी पाया कि सर्वर में फाइलज़िला फ़ाइल ट्रांसफर प्रोटोकॉल, साथ ही साथ कई डेटाबेस, एक स्रोत कोड रिपॉजिटरी, और वर्किंग कोड है जो पॉवरकोइस एपीआई का समर्थन करता है।

गिल का दावा है कि दंपति को सिर्फ एक डेमो प्लेटफॉर्म मिला जहां कोई काम कोड नहीं था। सर्वर पर सूचीबद्ध कैसिनो का कम से कम एक डेमो वातावरण था। कैसीनो मोनाको एक नकली कैसीनो था जिसका उपयोग एट्रीजेंट के मेलों और विपणन सामग्रियों में उत्पादों को दिखाने के लिए किया जाता था।

4 नवंबर, 2018 को, मुझे और व्हीलर ने एट्रीएंट और एज़िलेन में पते के एक पूरे सेट पर ईमेल भेजे - जिसमें निर्देशक सैम एटिश भी शामिल थे - सर्वर पर सुरक्षा समस्या के बारे में चेतावनी के साथ। ईमेल में कहा गया है, "कृपया इन विवरणों को संबंधित सुरक्षा टीमों को भेजें और मुझसे संपर्क करने की सलाह दें।" यह विशिष्ट एट्रीवेंट क्लाइंट के लिए पॉवरकेओस्क, इसके वेब इंटरफेस और मोबाइल एप्लिकेशन से जुड़े डेटाबेस और एपीआई को भी सूचीबद्ध करता है।

अक्सर ये ईमेल अनुत्तरित हो जाते हैं। वे व्याकरण की त्रुटियों और टाइपोस से भरे हुए थे, और वे विशिष्ट पेशेवर पत्राचार की तरह नहीं दिखते थे। व्हीलर का कहना है कि अतीशा ने उन्हें सूचित किया कि ये पत्र स्पैम फ़ोल्डर में थे।

लेकिन बर्ड्सले ने कहा कि उनके अनुभव में भी पेशेवर रूप से स्वरूपित संदेशों को नजरअंदाज किया जा सकता है। “हमने गार्डज़िला के बारे में एक संदेश लिखा था, जो बड़े सुपरमार्केट में बिकने वाला एक वाईफाई होम सर्विलांस कैमरा था। और हमने कुछ भी हासिल नहीं किया है। "हमने एक समर्थन अनुरोध किया, लिंक्डइन के माध्यम से कंपनी के लिए काम करने वाले लोगों को ट्रैक किया, और एक पत्रकार ने कंपनी के प्रतिनिधियों को भी पाया और उनमें से एक से बात की।"

और इन सबके बाद भी कंपनी ने कोई जवाब नहीं दिया। "कैमरा अभी भी उपयोग करने के लिए खतरनाक है," बर्ड्सले ने कहा। "एडब्ल्यूएस एस 3 पर उसका भंडारण, जहां आपके सभी घर वीडियो हैं, संरक्षित नहीं है।"

व्हीलर उस दूर नहीं गया। शी और मी ने ट्वीट करना शुरू किया, इस अवसर पर जनता का ध्यान आकर्षित करने की कोशिश की। इस समय, गुइसे बुले स्थिति में शामिल थे।

ध्यान आकर्षित किया

एक पूर्व सरकारी सुरक्षा ठेकेदार और एक सुरक्षित वेब-आधारित कंपनी, WebGap के सह-संस्थापक, Guise Bühl ने भी, “सूचना सुरक्षा से संबंधित लेखक क्लब” SecJuice की स्थापना की। स्थिति को बढ़ावा देने में मदद करने की कोशिश करते हुए, व्हीलर और मी ने बुले की ओर रुख किया, जिन्होंने एट्रिएंट से संबंधित रिकॉर्ड को फिर से लिखा। अब ये ट्वीट पहले ही डिलीट हो चुके हैं।

बेयूल की मदद ने दो इच्छुक संगठनों का ध्यान आकर्षित किया - एट्रिएंट सॉफ्टवेयर और एफबीआई का उपयोग करते हुए एक बड़े कैसीनो ऑपरेटर।

9 नवंबर को, कैसीनो सुरक्षा गार्ड ने मुझसे संपर्क किया। 10 नवंबर को, व्हीलर ने मामले में हस्तक्षेप किया और उन्हें एक जोड़े के बारे में संक्षिप्त विवरण भेजा:

मैं मेरे सहयोगी हूं, जिसके साथ आपने ट्विटर पर चैट की, और फिर एक पत्र भेजा। भेद्यता आपके एक सप्लायर, एट्रिएंट और सुरक्षा के लिए उनके भयानक दृष्टिकोण से संबंधित है, जिसके कारण कियोस्क HTTP के माध्यम से असुरक्षित डेटा को संसाधित और संचारित करते हैं।

इन कमियों, जिन्हें हम उन्हें सही करने की कोशिश कर रहे हैं, ने हमें सार्वजनिक रूप से अपने अस्तित्व की घोषणा करने के लिए मजबूर किया। उनमें से दोनों छोटी समस्याएं हैं (मैं सभी विवरणों का खुलासा नहीं करूंगा, लेकिन एक अच्छा उदाहरण यह है कि प्रदाता द्वारा संग्रहीत आपका डेटा एफ़टीपी पर है, लॉगिन और पासवर्ड जिसमें बस लोअरकेस अक्षरों में कंपनियों के नाम हैं), और बड़े उनके उत्पादों (PowerKiosk) से जुड़े छेद।

उसी दिन, Bule को उनके रीट्वीट के बारे में FBI द्वारा संपर्क किया गया था। बेउल ने साइबर क्राइम डिवीजन और लास वेगास शाखा से व्हीलर, मी और एफबीआई एजेंटों के साथ एक सामान्य टेलीफोन वार्तालाप की व्यवस्था की। व्हीलर ने अपनी बातचीत रिकॉर्ड की।

व्हीलर ने एफबीआई को बताया कि उनके और मेरे पास मिली जानकारी को प्रकाशित करने का कोई इरादा नहीं है, क्योंकि वे समस्याओं की गंभीरता को लेकर चिंतित थे। यह वास्तव में, "प्रिंट मनी" के लिए इस्तेमाल किया जा सकता है, व्हीलर ने एजेंटों को बताया। उन्होंने यह भी कहा कि उनके और मेरे बीच कैसीनो ऑपरेटर के साथ बातचीत हुई, लेकिन एट्रीवेंट तक पहुंचने में असमर्थ थे।

"शायद हम आपकी इसमें मदद कर सकते हैं," एक एफबीआई एजेंट ने कहा।

11 नवंबर को कैसीनो के साथ व्हीलर की बातचीत को कंपनी के सुरक्षा निदेशक ने एक पत्र में सराहा। उन्होंने व्हीलर को लिखा, "मैं जानकारी का खुलासा करने के लिए आपके पेशेवर दृष्टिकोण के लिए व्यक्तिगत रूप से धन्यवाद देना चाहता था, और यद्यपि आपको आपूर्तिकर्ता से तत्काल प्रतिक्रिया नहीं मिली, लेकिन आपने उसे ठीक करने का दूसरा मौका दिया।" उन्होंने सुझाव दिया कि "किसी भी व्यापारी को व्हीलर भेजें" और उसकी टी-शर्ट और हेडगियर के आकार के बारे में पूछा।

उसी दिन, एफबीआई ने एक और संयुक्त कॉल का आयोजन किया - इस बार एट्रीजेंट गिल को शामिल किया गया। व्हीलर द्वारा रिकॉर्ड की गई एक बातचीत में गिल ने कहा: “आपने हमें जो जानकारी दी है वह अद्भुत है। हम इसे खुद करना चाहेंगे। यह कैसे आयोजित किया जा सकता है? ”

इस बिंदु तक, बातचीत में धन का उल्लेख नहीं किया गया था। किसी दिन शोधकर्ताओं ने योजना बनाई कि वे अपने निष्कर्षों को कंप्यूटर सुरक्षा सम्मेलन में प्रस्तुत करें, इसलिए व्हीलर और मी ने केवल प्रदर्शन के दौरान कैसीनो ऑपरेटर के "व्यापारियों" को "चमक" करने में सक्षम होने के लिए कहा।

हालांकि, वार्ता में एक गैर-प्रकटीकरण समझौते का विचार सामने आने के बाद, व्हीलर ने बग का पता लगाने के लिए इनाम का उल्लेख किया। उन्होंने सुझाव दिया कि एटिअंट ने अपनी कंपनी को 140 घंटे के परामर्श के बराबर भुगतान किया, जो लगभग $ 60,000 है। जाहिर है, उस समय सब कुछ चल गया।

खाता कृपया

"जब मैं भेद्यता की जानकारी का लगातार प्रकटीकरण करता हूं - मैं पहली बार सॉफ़्टवेयर विक्रेता को कॉल करता हूं - मेरे लिए यह बहुत महत्वपूर्ण है कि" मैं कुछ भी बेचने की कोशिश नहीं कर रहा हूं, मैं आपको ब्लैकमेल नहीं कर रहा हूं, मैं इस कॉल को अपने भविष्य के उत्पादों को बेचने के लिए एक प्रस्तुति बनाने की कोशिश कर रहा हूं " दाढ़ी कहते हैं। “मैं हमेशा कुछ कारणों से इस पर जोर देता हूं। सबसे पहले, मैं जेल नहीं जाना चाहता। दूसरे, ज्यादातर लोगों के लिए यह एक बहुत ही भावनात्मक घटना है, खासकर उन लोगों के लिए जो पहले से भेद्यता प्रकटीकरण से नहीं जुड़े हैं। "

बर्ड्सले ने कहा कि अक्सर जब वह कमजोरियों का खुलासा करता है, "मैं पहले तीसरे पक्ष का सुरक्षा विशेषज्ञ बन जाता हूं, जिससे लोग बात करते हैं।" इसलिए, "मैं अधिकतम स्थिति को कम करने की कोशिश कर रहा हूं, और यह मुझे लगता है कि आईटी सुरक्षा के क्षेत्र में ऐसा कौशल सिर्फ पर्याप्त नहीं है।"

हालांकि, अब भुगतान का विचार बातचीत में दिखाई दिया, और शोधकर्ताओं ने फैसला किया कि उन्हें भुगतान किया जाएगा। वह कॉल समाप्त हो गया, लेकिन बातचीत जारी रही। मेरे खाते से "नकारात्मक एट्रीवेंट ट्वीट" को हटाने के अनुरोध के बाद और डेटा के स्थान के लिए अनुरोधों के बाद, जो जोड़े ने एट्रीएंट के सर्वर से डाउनलोड किया, गिल, अतीशा और एट्रिएंट के वकील ने 2018 के दौरान व्हीलर से बात की। उन्होंने कहा कि वे उसे एक गैर-प्रकटीकरण समझौते का मसौदा भेजेंगे ताकि वह अपने वकील से इस पर चर्चा कर सके।

7 दिसंबर, 2018 को, एट्रीजेंट वकील ने व्हीलर को एक ईमेल लिखा, जिसमें लिखा था: “हमारे पास एक मसौदा तैयार है। क्या आप चाहेंगे कि हम इसे आपके वकील के पास भेजें। " व्हीलर ने मुझे उसे ड्राफ्ट भेजने के लिए कहा। लेकिन उसे कभी निष्कासित नहीं किया गया।

एक हफ्ते बाद, गिल ने व्हीलर को एक पत्र में सूचित किया कि एक मसौदा "इस सप्ताह हमारे पास आया था। सैम और मैं इसका अध्ययन करते हैं। हम इसे सोमवार (17 दिसंबर) तक आपको भेज सकते हैं। ” लेकिन सभी छुट्टियों से उनकी कोई खबर नहीं थी। 4 जनवरी, 2019 को, अटिशा ने एक ईमेल में बताया कि वह और गिल व्यापारिक यात्राओं पर गए थे।

कुछ सप्ताह मौन में बीत गए। फिर, 21 जनवरी, 2019 को अतीशा ने लिखा:

मैं जल्द ही समझौता भेज रहा हूं। जनवरी के अंत में - फरवरी की शुरुआत में हम लंदन में होंगे। हम वहां मिल सकते हैं और एक समझौते पर हस्ताक्षर कर सकते हैं, अगर वह आपको सूट करता है।

व्हीलर ने सहमति व्यक्त की, और कहा कि वह लंदन में ICE सम्मेलन में आ सकते हैं, क्योंकि उन्होंने एक आगंतुक के रूप में पंजीकरण किया था। लेकिन जैसे-जैसे सम्मेलन की तारीख नज़दीक आती गई, एट्रीवेंट के पत्रों का आना बंद हो गया।

एट्रियेंट इस समय एवी के साथ एक खरीद पर बातचीत कर रहा था। आईसीई सम्मेलन में, एवरि ने एट्रेंट के साथ एक "साझेदारी" शुरू करने की घोषणा की, और दोनों कंपनियों ने संयुक्त उत्पादों को प्रदर्शित करने के लिए एक स्टैंड साझा किया। व्हीलर को संदेह होने लगा कि उसे बस फेंक दिया गया है और उसे भुगतान नहीं किया जाएगा - और वह व्यक्तिगत रूप से एट्रिएंट के निर्देशकों के साथ बात करना चाहता था।

आग लगाने वाली पार्टी

, , Luta Security, „ , “. , , , [holding statement].

» , — . – , , ". , , « , ».

.

व्हीलर और उनके दोस्त ने 5 फरवरी के ICE सम्मेलन में संयुक्त एट्रिअंट और एवरि बूथ का दौरा किया। वहां उन्होंने गिल को देखा, जिससे झड़प हुई। व्हीलर बताता है कि गिल ने व्हीलर के "दोस्तों" के बारे में कुछ उल्लेख किया है। व्हीलर ने तुरंत एक वीडियो पोस्ट किया कि कैसे वह गिल पर हमले का आरोप लगाता है - हालांकि वीडियो पर कोई हमला नहीं हुआ था। गिल ने सब कुछ नकार दिया।

व्हीलर को एक ईमेल में, और हमारे संपादकों के साथ एक बाद के टेलीफोन साक्षात्कार में, गिल ने व्हीलर पर एटेंसेंट के ब्लैकमेल में भाग लेने का आरोप लगाया। गिल ने जल्द ही व्हीलर, मी, और ब्यूले को एक ई-मेल भेजा:

, ICE, , .

2018 , , . . .

, , , .

, :

• , , , .
• , .
• , , , , , , , , , , .

, , - .

, 9 , .

, . .

Atrient .

एट्रिएंट ने ट्विटर पर प्रदर्शनी में घटना के संबंध में एक बयान पोस्ट किया और फिर उसे हटा दिया। (गिल ने कहा कि यह "बहाली" के कारण था)। तब इस वक्तव्य का एक और संस्करण हमारे संपादकीय कर्मचारियों और ब्रिटेन के अन्य संस्करणों को भेजा गया था। यह कहता है:

, . 2018 , , , . .

, , , , , secjuice.com, , .
, . .

6 2019 Atrient ICE « ». , , , . , , Atrient , , – , , ExCel.

. , .

डिलेन इंग्लिश का नाम वास्तव में व्हीलर के ईमेल से जुड़ा हुआ है - वह अपनी सूचना सुरक्षा कंपनी में काम करने के लिए इस छद्म नाम का उपयोग करता है। हालांकि, कैरिबियन ऑपरेटर और एफबीआई को अपने सभी पत्रों के हस्ताक्षर में, एफबीआई उनका असली पूरा नाम था, इसलिए घटनाओं में सभी प्रतिभागियों को यह जानना चाहिए था।

एट्रिएंट को एक प्रतिक्रिया भेजकर, व्हीलर ने एफबीआई एजेंटों और कैसीनो ऑपरेटर को पत्र भेजा, यह कहते हुए कि उस पर हमला किया गया था और एट्रिएंट को भेद्यता को ठीक करने के बारे में चिंतित नहीं था। इसके बाद उन्होंने बेउल को सब कुछ बताया, और उन्हें एफबीआई के साथ बातचीत की रिकॉर्डिंग के लिंक भी दिए और SecJuice पर प्रकाशन के लिए स्क्रीनशॉट भी दिए। अब उन सुरक्षा मुद्दों का ब्योरा जो व्हीलर और मी ने एट्रियेंट को रिपोर्ट किया है, उन्हें सार्वजनिक कर दिया गया है।

पता है कि कब समर्थन करना है, और कब पास करना है

इस स्थिति के विकास के किसी भी एपिसोड ने बियर्ड्सली को आश्चर्यचकित नहीं किया। “कमजोरियों का खुलासा करने में शामिल लोग वर्तमान स्थिति के बारे में जल्दी से सीखते हैं - आमतौर पर लोग अक्सर ऐसा नहीं करते हैं, इसलिए हम सभी इसे बुरी तरह से करते हैं। हमारे पास अधिमानतः कार्य करने के निर्देश नहीं हैं। "

यहां तक ​​कि जब सहमत प्रकटीकरण अच्छी तरह से हो जाता है - बिना किसी प्रकटीकरण समझौते के, कानूनी खतरे, और यह सब - यह महीनों लग सकते हैं। लेकिन बियर्ड्सले के अनुसार, सही दृष्टिकोण का लाभ यह है कि "शायद कंपनी अगले आदमी को बेहतर ढंग से अनुभव करेगी जो प्रकटीकरण के साथ उनके पास आएगी, और शायद आप के रूप में नाजुक न हों। आप इसकी उम्मीद कर सकते हैं। "

व्हीलर और कैसिनो ऑपरेटर के बीच की बातचीत इस बात का एक उदाहरण है कि प्रकटीकरण कैसे किया जा सकता है - और यह अच्छी तरह से चला गया, क्योंकि ऑपरेटर की अपनी सुरक्षा सेवा थी, जो तैयार थी और जवाब देना चाहती थी। पुरस्कारों की चर्चा की कमी ने भी मदद की।

लेकिन लगता है कि एट्रिएंट और शोधकर्ताओं के बीच दुश्मनी पैसों की वजह से ही नहीं पैदा हुई है। इस खुलासे के क्षण ने भी एक भूमिका निभाई, जब $ 40 मिलियन का सौदा पूरा होने वाला था। व्यावसायिक स्थिति को देखते हुए, अपेक्षाकृत कम समय (प्रकटीकरण मानकों के अनुसार), और जिस तरह से बातचीत हुई, यह आश्चर्य की बात नहीं है कि एट्रिएंट की भावनाएं गर्म हो रही थीं। आतिशबाजी लगभग अपरिहार्य थी।

, , : «, , , - , . , , – , , , , ».