कैसे हुआवेई गुप्त कुंजी सिस्को राउटर के फर्मवेयर में मिला

IoT इंस्पेक्टर स्कैनर के डेवलपर्स समय-समय पर विभिन्न निर्माताओं से फर्मवेयर की नियमित जांच करते हैं। कभी-कभी वे चीजों के इंटरनेट के उपकरणों में कमजोरियां पाते हैं। लेकिन अंतिम खोज विशेष रूप से आश्चर्यजनक है। सिस्को SG250 राउटर के फर्मवेयर में, स्कैनर को कई प्रमाण पत्र मिले और फ्यूचरवेई टेक्नोलॉजीज के एक कर्मचारी की संबंधित गुप्त कुंजी , हुआवेई टेक्नोलॉजीज की एक अमेरिकी सहायक, ईमेल पते gary.wu1@huawei.com साथ हैरी वू का नाम दिया।

लेकिन वे सिस्को राउटर के फर्मवेयर में कैसे आए?

यह विचाराधीन फाइलों का स्थान (/root/.ssh/) भी अजीब था। यह निर्देशिका आमतौर पर SSH कुंजियों के लिए होती है, प्रमाणपत्रों के लिए नहीं।



डेवलपर्स ने मैन्युअल रूप से स्वचालित स्कैनर के परिणामों की जांच की। वे विश्वसनीय थे, मैन्युअल विश्लेषण ने स्वचालित परिणामों की पुष्टि की।



हुआवेई के आसपास की राजनीतिक बहस को देखते हुए, कर्मचारी इस विषय पर अटकलें नहीं लगाना चाहते थे और तुरंत सिस्को को सूचना प्रेषित कर दी। वहां, सुरक्षा विभाग ने परिणामों की पुष्टि की और आंतरिक जांच शुरू की। कारणों का पता लगाने और विवरण साझा करने में उन्हें केवल कुछ दिन लगे।

जैसा कि यह पता चला है, प्रमाण पत्र और प्रश्न में निजी कुंजी मुक्त OpenDaylight GitHub पैकेज का हिस्सा थी, जिसका उपयोग कुछ सिस्को उत्पादों में किया जाता है। समस्या ने सभी सिस्को 250/350 / 350X / 550X श्रृंखला रूटर्स को प्रभावित किया। डेवलपर्स ने सिस्को फाइंडिट फ़ंक्शन का परीक्षण करने के लिए प्रमाण पत्र का उपयोग किया, जो नेटवर्क में सभी उपकरणों की स्वचालित खोज, एकल इंटरफ़ेस के माध्यम से कॉन्फ़िगरेशन आदि के साथ राउटर के नेटवर्क का प्रबंधन करने के लिए किया गया था। प्रमाण पत्र एक साधारण निरीक्षण के कारण उत्पादों के फर्मवेयर में थे।

सिस्को ने तुरंत इन प्रमाण पत्रों के बिना फर्मवेयर जारी किया, और 3 जुलाई को सुरक्षा सिफारिशों को प्रकाशित किया। इसके अलावा, सिस्को ने स्कैनर द्वारा खोजी गई अन्य समस्याओं को निर्धारित किया: खाली पासवर्ड हैश, अनावश्यक निर्भरता, और विभिन्न निर्भरता कमजोरियां।

यहां सुरक्षा को कोई खतरा नहीं था। पौराणिक "हुआवेई के पीछे" के बारे में सवाल से बाहर है। सिस्को के अनुसार, कोई भी हमले वाले वैक्टर की पहचान नहीं की गई है क्योंकि प्रमाणपत्र वास्तव में अंतिम फर्मवेयर संस्करणों में उपयोग नहीं किए जाते हैं।

लेकिन फिर भी, दो समस्याएं हैं।

सबसे पहले, डेवलपर्स अक्सर सुविधा के लिए या अनजाने में, प्रोग्राम कोड में संवेदनशील जानकारी रखते हैं, जिसे तब सार्वजनिक डोमेन में रखा जाता है। उदाहरण के लिए, मार्च 2019 में, उत्तरी कैरोलिना विश्वविद्यालय के शोधकर्ताओं ने एक GitHub को स्कैन किया और पाया कि 100,000 से अधिक रिपॉजिटरी में एपीआई कुंजी, टोकन और क्रिप्टोग्राफ़िक कुंजियाँ थीं। इसके अलावा, हजारों नए, अनोखे "रहस्य" हर दिन गिटहब को मिलते हैं। मिली गुप्त वस्तुओं पर सामान्य आँकड़े बताते हैं कि अक्सर Google API कुंजियाँ सार्वजनिक डोमेन में मिलती हैं। RSA निजी कुंजी और Google OAuth पहचानकर्ता भी आम हैं।



अध्ययन से पता चला कि एक हमलावर, यहां तक ​​कि न्यूनतम संसाधनों के साथ, कई GitHub उपयोगकर्ताओं से समझौता कर सकता है और बहुत सारी गुप्त कुंजी पा सकता है। इस समस्या से निपटने के लिए, GitHub ने एक टोकन स्कैनिंग टोकन स्कैन सुविधा विकसित की है जो रिपॉजिटरी, टोकन की खोज और सूचना रिसाव के सेवा प्रदाताओं को सूचित करती है।

दूसरी समस्या यह है कि कार्यक्रम समान रूप से एक ही GitHub पर ओपन सोर्स की बाहरी निर्भरता के रूप में परियोजनाओं को जोड़ रहे हैं, उनके अनुसार जाँच किए बिना। यह पता चला है कि डेवलपर्स नेत्रहीन किसी और के कोड पर भरोसा करते हैं, जिसे कोई भी पालन नहीं कर सकता है। समस्या का वर्णन किया गया है, उदाहरण के लिए, रस कॉक्स "व्यसनों के साथ हमारी समस्या" के लेख में, जिसका अनुवाद हैबे पर है।

---