विश्लेषण के बाद: SKS Keyserver क्रिप्टो कुंजी सर्वर नेटवर्क पर नवीनतम हमले के बारे में क्या जाना जाता है

हैकर्स ने ओपनपीजीपी प्रोटोकॉल फीचर का इस्तेमाल किया है, जो दस साल से अधिक समय से जाना जाता है।

हम आपको बताते हैं कि सार क्या है और वे इसे बंद क्यों नहीं कर सकते।


/ अनप्लैश / चुनल जू

नेटवर्क की समस्या

जून के मध्य में, अज्ञात व्यक्तियों ने ओपनपीजीपी प्रोटोकॉल के आधार पर निर्मित SKS Keyserver क्रिप्टोग्राफिक कुंजी सर्वर के एक नेटवर्क पर हमला किया । यह IETF मानक ( RFC 4880 ) है, जिसका उपयोग ईमेल और अन्य संदेशों को एन्क्रिप्ट करने के लिए किया जाता है। सार्वजनिक प्रमाण पत्र वितरित करने के लिए SKS नेटवर्क तीस साल पहले बनाया गया था। डेटा को एन्क्रिप्ट करने और इलेक्ट्रॉनिक डिजिटल हस्ताक्षर बनाने के लिए GnuPG जैसे उपकरण इससे जुड़े हैं।

हैकर्स ने दो ग्नूपीजी प्रोजेक्ट मेंटेनर्स - रॉबर्ट हैनसेन और डैनियल गिल्मर के सर्टिफिकेट से छेड़छाड़ की। सर्वर से एक दूषित प्रमाणपत्र डाउनलोड करने से GnuPG क्रैश हो जाता है - सिस्टम बस जमा देता है। यह विश्वास करने का कारण है कि हमलावर वहां नहीं रुकेंगे, और समझौता किए गए प्रमाणपत्रों की संख्या में वृद्धि होगी। वर्तमान में, समस्या की सीमा अज्ञात है।

हमले का सार

हैकर्स ने ओपनपीजीपी प्रोटोकॉल में भेद्यता का फायदा उठाया। यह समुदाय के लिए दशकों से जाना जाता है। GitHub पर भी, आप उचित कारनामे पा सकते हैं । लेकिन अभी तक किसी ने भी "छेद" को बंद करने की जिम्मेदारी नहीं ली है (हम नीचे दिए गए कारणों के बारे में अधिक बात करेंगे)।

^{Habré पर हमारे ब्लॉग से चयन की एक जोड़ी:}

• एसडीएन डाइजेस्ट - सिक्स ओपन सोर्स एमुलेटर
• एसडीएन - आठ ओपन सोर्स टूल कैसे बनाएं
• नेटवर्क डाइजेस्ट: वाई-फाई और 5 जी पर 17 विशेषज्ञ सामग्री

ओपनपीजीपी विनिर्देश के अनुसार, कोई भी अपने स्वामित्व की पुष्टि करने के लिए प्रमाणपत्रों में डिजिटल हस्ताक्षर जोड़ सकता है। इसके अलावा, हस्ताक्षर की अधिकतम संख्या किसी भी तरह से विनियमित नहीं है। और यहां एक समस्या उत्पन्न होती है - एसकेएस नेटवर्क आपको एक प्रमाण पत्र के लिए 150 हजार हस्ताक्षर करने की अनुमति देता है, लेकिन GnuPG इस तरह की संख्या का समर्थन नहीं करता है। इस प्रकार, एक प्रमाण पत्र लोड करते समय, GnuPG (जैसे, संयोग से, अन्य OpenPGP कार्यान्वयन) हैंग हो जाता है।

उपयोगकर्ताओं में से एक ने एक प्रयोग किया - एक प्रमाण पत्र आयात करने में उसे लगभग 10 मिनट लगे। प्रमाणपत्र में 54 हजार से अधिक हस्ताक्षर थे, और इसका वजन 17 एमबी था:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6 gpg: key F20691179038E5C6: 4 duplicate signatures removed gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys gpg: key F20691179038E5C6: 4 signatures reordered gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <dkg@fifthhorseman.net>" imported gpg: no ultimately trusted keys found gpg: Total number processed: 1 gpg: imported: 1 $ ls -lh pubring.gpg -rw-r--r-- 1 filippo staff 17M 2 Jul 16:30 pubring.gpg 

स्थिति इस तथ्य से बढ़ी है कि OpenPGP वाले प्रमुख सर्वर प्रमाणपत्र जानकारी को नहीं हटाते हैं। ऐसा इसलिए किया जाता है ताकि आप प्रमाणपत्रों के साथ सभी कार्यों की श्रृंखला का पता लगा सकें और उनके प्रतिस्थापन को रोक सकें। इसलिए, समझौता तत्वों को खत्म करना असंभव है।

वास्तव में, SKS नेटवर्क एक बड़ा "फ़ाइल सर्वर" है जिस पर कोई भी डेटा लिख ​​सकता है। समस्या का वर्णन करने के लिए, पिछले साल एक GitHub निवासी ने एक फाइल सिस्टम बनाया जो क्रिप्टोग्राफ़िक कुंजी सर्वर के नेटवर्क पर दस्तावेज़ संग्रहीत करता है।

भेद्यता क्यों बंद नहीं हुई

भेद्यता को बंद करने का कोई कारण नहीं था। पहले, इसका इस्तेमाल हैकर के हमलों को करने के लिए नहीं किया गया था। हालांकि आईटी समुदाय ने लंबे समय से SKS और OpenPGP डेवलपर्स को समस्या पर ध्यान देने के लिए कहा है।

निष्पक्षता में, यह ध्यान देने योग्य है कि जून में उन्होंने अभी भी प्रयोगात्मक keys.openpgp.org कुंजी सर्वर लॉन्च किया था । यह इन प्रकार के हमलों के खिलाफ सुरक्षा को लागू करता है। हालाँकि, इसका डेटाबेस खरोंच से आबाद है, और सर्वर स्वयं SKS का हिस्सा नहीं है। इसलिए, इसका उपयोग करने से पहले समय बीत जाएगा।


/ अनसप्लेश / रुबेन बगूस

मूल सिस्टम में बग के लिए, जटिल सिंक्रनाइज़ेशन तंत्र इसे ठीक करने से रोकता है। मुख्य सर्वर नेटवर्क को मूल रूप से यारोन मिंस्की द्वारा डॉक्टरेट शोध प्रबंध की रक्षा के लिए अवधारणा के प्रमाण के रूप में लिखा गया था। इसके अलावा, काम के लिए एक विशिष्ट OCaml भाषा को चुना गया था। अनुचर रॉबर्ट हेनसेन के अनुसार, कोड को समझना मुश्किल है, इसलिए इसके लिए केवल मामूली सुधार किए जाते हैं। SKS आर्किटेक्चर को संशोधित करने के लिए, आपको इसे स्क्रैच से फिर से लिखना होगा।

किसी भी स्थिति में, GnuPG को विश्वास नहीं है कि नेटवर्क कभी भी ठीक हो जाएगा। GitHub पर एक पोस्ट में, डेवलपर्स ने यह भी लिखा कि उन्होंने SKS Keyserver के साथ काम करने की सिफारिश नहीं की। वास्तव में, यह मुख्य कारणों में से एक है कि उन्होंने नई कीसोपेन्सेप.ओपी सेवा के लिए संक्रमण शुरू किया। हम केवल घटनाओं के आगे के विकास को देख सकते हैं।

^{हमारे कॉर्पोरेट ब्लॉग से कुछ सामग्री:}

• राउटर के माध्यम से बोटनेट स्पैम: आपको क्या जानना चाहिए
• DDoS और 5G: अधिक "पाइप" - अधिक समस्याएं
• फ़ायरवॉल या डीपीआई - विभिन्न प्रयोजनों के लिए सुरक्षा उपकरण
• गाँव में इंटरनेट - हम एक वायरलेस रिले वाई-फाई नेटवर्क का निर्माण कर रहे हैं