सुरक्षा सप्ताह 33: ब्लैक हैट / डीईएफ कॉन 2019 के साथ दिलचस्प

अगला ब्लैक हैट / DEF CON डबल सम्मेलन पिछले हफ्ते लास वेगास में आयोजित किया गया था। यदि पहली घटना सुचारू रूप से एक व्यावसायिक प्रतिद्वंद्विता की ओर बढ़ती है, तो दूसरा अभी भी हैकर्स के लिए सबसे अच्छा सम्मेलन है (मुख्य रूप से शब्द के अच्छे अर्थ में), जिनके लिए हार्डवेयर और सॉफ्टवेयर में कमजोरियां ढूंढना मुख्य रूप से एक कला है, और उसके बाद ही - पैसा कमाने का एक तरीका जीवन के लिए। पिछले साल इन दो सम्मेलनों के आधार पर एक डाइजेस्ट में, हमने पुराने VIA C3 प्रोसेसर में कमजोरियों, Apple कंप्यूटरों पर आपूर्ति श्रृंखला हमलों और एक अनावश्यक वाई-फाई एसडी एडाप्टर को हैक करने के बारे में बात की थी ।

इस साल के एजेंडे में प्रिंटर, ऑफिस फोन और बच्चों की टैबलेट पर हमले, ऐप्पल फेसआईडी के फेस रिकग्निशन सिस्टम का आधा राउंड बाईपास और (जो सोचा होगा) कैनन कैमरे में रैंसमवेयर-रैंसमवेयर शामिल हैं। प्लस दो, एक कला परियोजना कहते हैं: एक स्मार्ट व्यायाम बाइक पर एक पिछले दरवाजे और धोखा के साथ iPhone के लिए केबल। अंत में, GDPR के उपयोग के बारे में एक दिलचस्प अध्ययन किसी अन्य व्यक्ति की व्यक्तिगत जानकारी चोरी करने के लिए। प्रतीक्षा करें, लेकिन जीडीपीआर व्यक्तिगत डेटा की सुरक्षा के उद्देश्य से है? खैर, हमने भी ऐसा ही सोचा था।

हैकिंग प्रिंटर, कार्यालय फोन और बच्चों की गोलियाँ

चलो अपेक्षाकृत उबाऊ अध्ययन के साथ शुरू करते हैं। एनसीसी समूह के विशेषज्ञों ने एचपी, रिको, ज़ेरॉक्स, लेक्समार्क, क्योसेरा और ब्रदर द्वारा निर्मित कार्यालय प्रिंटर में कई कमजोरियां पाईं। समस्या की भयावहता का आकलन एचपी प्रिंटर के लिए एक रिपोर्ट के उदाहरण से किया जा सकता है: आईपीपी नेटवर्क प्रिंटिंग प्रोटोकॉल में कमजोरियां हैं, और एम्बेडेड वेब सर्वर में बफर ओवरफ्लो, और क्रॉस-साइट स्क्रिप्टिंग हमलों के लिए त्रुटि। सबसे खतरनाक कमजोरियाँ आपको या तो DoS हमले का आयोजन करने देती हैं, या अयोग्य कोड के साथ मनमाना कोड निष्पादित करती हैं।

पिछले साल एक घटना हुई थी जो यह बताती है कि इंटरनेट से सुलभ (अ) असुरक्षित और ख) प्रिंटर क्या होते हैं। 50 हजार उपकरणों पर, एक गुमनाम "एक्टिविस्ट" ने एक अजीब यूट्यूब की सदस्यता के लिए एक कॉल प्रिंट किया। एनसीसी समूह के अध्ययन में, कम गूंगा, अधिक खतरनाक हमलों का संकेत है, जब प्रिंटर कॉर्पोरेट नेटवर्क पर आगे के हमलों के लिए एक प्रवेश बिंदु बन सकता है।



लेकिन क्या होगा अगर आप प्रिंटर का उपयोग नहीं करते हैं, लेकिन कार्यालय फोन? इस विकल्प की जांच मैकफी प्रतिनिधि ने की थी। उन्हें अवाया वीओआईपी फोन में दस साल का फर्मवेयर मिला। अन्य बातों के अलावा, फोन में उपयोग किए जाने वाले धीर ग्राहक को 2009 के बाद से ज्ञात भेद्यता थी। यदि सबनेट मास्क पैरामीटर डीएचसीपी क्लाइंट को पास करने के लिए बहुत लंबा है, और फिर से, मनमाना कोड निष्पादन का एक सैद्धांतिक खतरा है, तो यह समस्या बफर ओवरफ्लो का कारण बन सकती है। इसलिए, कार्यालय के फोन के रूप में इस तरह के अपेक्षाकृत सरल उपकरणों के मामले में भी "काम - स्पर्श न करें" दृष्टिकोण लागू नहीं होता है। हालाँकि, यदि आप स्थानीय नेटवर्क तक पहुँच रखते हैं, तो धिक्क्िलय में भेद्यता का शोषण किया जाता है, फिर भी यह टेलीफोन सेट पर पैच को रोल करने लायक है। छूने की जरूरत है!



लीपफ्रॉग लीडपैड के एक अध्ययन में अंतिम बच्चों की गोलियों से बचपन की कमजोरियों का पता चला। Chekmarx विशेषज्ञों ने दिखाया कि कैसे आप आसानी से उपलब्ध उपकरणों और अवरोधन यातायात का उपयोग करके उपकरणों का पता लगा सकते हैं। सबसे गंभीर समस्या अतिरिक्त एप्लिकेशन पेट चैट के कारण होती है, जो माता-पिता को टैबलेट में "वायर्ड" वाक्यांशों के एक सेट का उपयोग करके अपने बच्चों (या बच्चों को एक-दूसरे के साथ संवाद करने) की अनुमति देता है। एक कनेक्शन स्थापित करने के लिए, टैबलेट एक खुला पहुंच बिंदु बनाता है जिसे पेट चैट कहा जाता है। गोलियों की एक निश्चित संख्या का जियोलोकेशन वाई-फाई एक्सेस पॉइंट के खुले डेटाबेस में पाया गया था। "माता-पिता के स्मार्टफोन - बच्चे के टैबलेट" जोड़ी का प्राधिकरण प्रदान नहीं किया गया है, इसलिए वायरलेस नेटवर्क की सीमा के भीतर कोई भी डिवाइस से कनेक्ट हो सकता है। हमें निर्माता को श्रद्धांजलि अर्पित करनी चाहिए: आवेदन को सार्वजनिक पहुंच से हटाकर समस्या का जल्द समाधान किया गया। अरे हाँ, किसी भी मामले में, निर्माता ने HTTP के माध्यम से निर्माता के सर्वर के साथ संचार किया, जिसने एक मध्य-मध्य काल के लिए अनुमति दी:


बिजली के टेप के साथ चश्मा, कैमरे में ट्रोजन, आश्चर्य के साथ iPhone के लिए एक केबल


आइए अधिक दिलचस्प पर चलते हैं, हालांकि शायद कम व्यावहारिक, ब्लैक हैट / डीईएफ कॉन में प्रस्तुतियों के लिए विषय। टेनसेंट कंपनी के शोधकर्ताओं ने दिखाया ( खबर , हैबे की एक और खबर ) एप्पल स्मार्टफोन में फेसआईडी फेशियल रिकग्निशन सिस्टम को आंशिक रूप से बायपास करने का एक तरीका है। फेसआईडी मालिक के फोटो का उपयोग कर अनलॉक करने के प्रयासों से काफी अच्छी तरह से संरक्षित है, या यदि, उदाहरण के लिए, आप एक नींद वाले व्यक्ति को फोन लाते हैं। इसके लिए, चेहरे का त्रि-आयामी मॉडल बनाया जाता है और आंखों की गति पर नजर रखी जाती है। लेकिन अगर उपयोगकर्ता चश्मा पहनता है, तो चेहरे के इस हिस्से के लिए एक विस्तृत 3 डी मॉडल नहीं बनाया जाता है - संभवतः मान्यता की समस्याओं से बचने के लिए। इस मामले में, iPhone अभी भी जाँच करता है कि क्या व्यक्ति की आँखें खुली हैं, कैमरे से विद्यार्थियों की पहचान कर रहा है। लेकिन चूंकि मान्यता की गुणवत्ता जानबूझकर बिगड़ा है, "ओपन-आई डिटेक्टर" को बिजली के टेप का उपयोग करके दरकिनार किया गया था: एक अंधेरे पृष्ठभूमि पर एक प्रकाश वर्ग, लेंस पर चिपकाया गया, फोन द्वारा विद्यार्थियों के रूप में पहचाना जाता है।

ठीक है, यह एक अच्छा अध्ययन है, लेकिन व्यवहार में किसी और के फोन को अनलॉक करना थोड़ा आसान है। सोते हुए व्यक्ति पर छींटाकशी करना और उसे बिजली के टेप से चश्मा लगाना आवश्यक है। या यह मानने के लिए नहीं कि सबसे सुखद परिदृश्य जिसमें कोई व्यक्ति बेहोश है। किसी भी मामले में, मान्यता एल्गोरिथ्म को कसने के लायक होगा: भले ही चश्मे के साथ एक 3 डी मॉडल का निर्माण किसी कारण से असंभव है, इस स्थिति में एक पारंपरिक कैमरे से छवि विश्लेषण की गुणवत्ता में सुधार करना उचित है।


चेक प्वाइंट सॉफ्टवेयर ने कैनन EOS 80D को हैक कर लिया । कैमरा क्यों? क्योंकि वे कर सकते थे! कुल मिलाकर, छह कमजोरियों को कैमरे में खोजा गया था, और उनमें से सबसे गंभीर एक कंप्यूटर के साथ संचार के लिए पीटीपी प्रोटोकॉल में मौजूद है। जैसा कि यह पता चला है, जब एक पीसी से जुड़ा होता है, तो आप उपयोगकर्ता की पुष्टि के बिना डिवाइस फर्मवेयर अपडेट शुरू कर सकते हैं। मजबूर फ्लैशिंग के माध्यम से, शोधकर्ता कैमरे पर एक वास्तविक रैंसमवेयर ट्रोजन स्थापित करने में सक्षम थे: यह मेमोरी कार्ड पर फ़ोटो को एन्क्रिप्ट करता है और स्क्रीन पर फिरौती की मांग प्रदर्शित करता है। कैनन ने कैमरा मालिकों के लिए एक समाचार पत्र जारी किया है (जिसमें किसी कारण से नए फर्मवेयर संस्करण के लिए कोई सीधा लिंक नहीं है)। रिपोर्ट में कहा गया है कि वास्तविक पीड़ित नहीं हैं और कैमरे को संदिग्ध कंप्यूटर से न जोड़ने की सिफारिश की गई है। वास्तव में, यह किसके लिए कैमरे पर हमला करने के लिए होगा?


वाइस ने एक एक्टिविस्ट के बारे में लिखा, जो ब्लैक हैट पर बिल्ट-इन बैकडोर के साथ होममेड आईफोन केबलों का वितरण (और $ 200 के लिए बिक्री) कर रहा था। इस केबल का शिकार, हालांकि, फोन नहीं है, लेकिन कंप्यूटर जिस पर डिवाइस सिंक्रनाइज़ेशन (सिंक्रनाइज़ेशन, यदि वह भी काम करता है) के लिए जुड़ा हुआ है। पिछले दरवाजे एक वाई-फाई का उपयोग बिंदु है और, जाहिरा तौर पर, एक कीबोर्ड एमुलेटर है। लेख की शुरुआत में, हमने "हैकर्स" शब्द का उपयोग इसके सकारात्मक अर्थ में किया, लेकिन यह प्रयोग, इसलिए बोलने के लिए, सकारात्मक की निचली सीमा पर है। केबल निर्माता अनाम बना रहा, सम्मेलन क्षेत्र में बुकमार्क का उपयोग करके बेची गई केबल। और उसने सफलतापूर्वक सभी दो सौ टुकड़े बेचे।

अंत में, द रजिस्टर न्यूज़ साइट को ऑक्सफ़ोर्ड यूनिवर्सिटी के छात्र जेम्स पावुर की एक प्रस्तुति द्वारा सम्मानित किया गया । उन्होंने एक सामाजिक प्रयोग किया, जिसमें 150 कंपनियों को यूरोपीय कानून GDPR के मानदंडों के अनुसार जानकारी प्रदान करने की आवश्यकता थी। कानून उपयोगकर्ताओं को व्यक्तिगत डेटा एकत्र करने और संसाधित करने वाली कंपनियों से अपने बारे में जानकारी प्राप्त करने का अधिकार देता है। इतिहास की एक महत्वपूर्ण बारीकियों यह है कि जेम्स ने अपने बारे में जानकारी का अनुरोध नहीं किया, लेकिन अपनी दुल्हन के बारे में। सर्वेक्षण में शामिल 150 कंपनियों में से 72% ने अनुरोध का जवाब दिया।

इनमें से, 84% ने स्वीकार किया कि उन्हें शोधकर्ता की दुल्हन के बारे में जानकारी है। नतीजतन, हमें एक सामाजिक सुरक्षा संख्या, जन्म तिथि, युवती का नाम, क्रेडिट कार्ड नंबर और आंशिक रूप से निवास का पता प्राप्त हुआ। लीक हुए पासवर्ड के बारे में जानकारी एकत्र करने वाली एक कंपनी ने ईमेल पते के लिए पासवर्ड की एक सूची भेजी। और इस तथ्य के बावजूद कि सभी कंपनियां डेटा प्रदान करने के लिए सहमत नहीं हुईं: 24% मामलों में, पहचान के लिए (स्वैच्छिक) शिकार के ईमेल पते और फोन नंबर 16% मामलों में एक आईडी स्कैन (आसानी से जाली) की आवश्यकता थी, और एक अन्य 3% कंपनियां बस इसे प्रदान किए बिना सभी डेटा को हटा दिया गया। यह प्रयोग GDPR के लाभों को बाधित करने के लिए नहीं है। इसके बजाय, यह दर्शाता है कि कंपनियां अपने नए दायित्वों को पूरा करने के लिए हमेशा तैयार नहीं होती हैं, और उपयोगकर्ताओं की पहचान करने के लिए अभी तक कोई स्वीकृत तरीके नहीं हैं। लेकिन यह आवश्यक होगा: अन्यथा, कानून का पालन करने का प्रयास पूरी तरह से विपरीत प्रभाव का नेतृत्व करता है।


बोनस मटेरियल: रिसर्चर ब्रैड डिक्सन ने बिल्ट-इन गामिफिकेशन (वाइस, प्रोजेक्ट साइट में आर्टिकल ) के साथ एक एक्सरसाइज बाइक को ट्रिक करने का तरीका खोजा है। Zwift सिमुलेटर आपको लोड प्रदान करने वाले मॉड्यूल के साथ रियर व्हील को बदलकर होम वर्कआउट के लिए एक वास्तविक संस्करण में एक वास्तविक बाइक को चालू करने की अनुमति देता है। सिम्युलेटर आभासी बाइक यात्राओं के लिए सॉफ्टवेयर के साथ रिकॉर्ड और प्रतियोगिता के साथ आता है। Zwift साधारण चेटर्स (एक सिम्युलेटर के लिए एक पेचकश को पेंच करना) की पहचान करता है, इसलिए डिक्सन को गैर-तुच्छ तरीकों का उपयोग करके सुरक्षा को दरकिनार करना पड़ा: सेंसर से सिग्नल को रोकना, प्रशंसनीय ट्रैफ़िक का अनुकरण करना, और इसी तरह। नतीजतन, गैस पेडल (बहुत तेजी से चलते हैं) और क्रूज़ कंट्रोल (स्थिर गति पर जाएं, सेंसर से नकली डेटा को थोड़ा बदलकर) सिम्युलेटर में जोड़ा गया था। अध्ययन के लेखक ने टिप्पणी की, "अब आपके पास मौका है, बिना किसी प्रशिक्षण के, बिना किसी बीयर या किसी और चीज़ के जाने के लिए।"

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय कैस्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।