[POSSIBLE] SORM ने HTTPS ट्रैफ़िक को Mail.ru और ICQ तक पहुँचाया

कैओस कंस्ट्रक्शंस 2019 सम्मेलन में, लियोनिद डार्क इवडोकिमोव ने सार्वजनिक डोमेन में गलती से खोजे गए SORM कंट्रोल पैनल के बारे में एक उत्सुक रिपोर्ट दिखाई। रिपोर्ट को यहां देखा जा सकता है: darkk.net.ru/2019/cc संक्षेप में: एमएफआई सॉफ्ट से SORM सॉफ्टवेयर और हार्डवेयर सिस्टम के संचालन के आंकड़ों वाला पैनल इंटरनेट पर अटक गया और सभी ने परवाह नहीं की।

कुछ समय में, इंटरसेप्ट किए गए ट्रैफ़िक के कच्चे डंप बाहर निकल गए, जिन्हें सर्च इंजन shodan.io ने इंडेक्स में शामिल किया। यहाँ इन डंपों में से एक है: आर्काइव.ली / आरजी 9 एलजे
मैक पते, IMEI फोन और विभिन्न अन्य व्यक्तिगत जानकारी हैं। लेकिन इन डंपों में सबसे दिलचस्प बात यह है कि किसी तरह से कुछ होस्ट्स को पोर्ट 443 (HTTPS) पर ट्रैफिक क्लियर हो गया! यही है, GET अनुरोध पूरी तरह से दिखाई दे रहे हैं, और इसका मतलब यह हो सकता है कि SORM HTTPS को डिक्रिप्ट कर सकता है। आइए सोचने की कोशिश करें कि यह कैसे संभव है।

यह इंटरसेप्टेड ट्रैफ़िक विखंडन जैसा दिखता है। यह देखा जा सकता है कि कनेक्शन पोर्ट 443 पर होता है, लेकिन GET अनुरोध इसकी संपूर्णता में दिखाई देता है:



यह स्पष्ट है कि सिस्टम किसी तरह ट्रैफ़िक तक पहुंच प्राप्त कर रहा है जिसे एन्क्रिप्ट करने की आवश्यकता है। यह वास्तव में कैसे होता है यह ठीक से ज्ञात नहीं है और इसे सत्यापित करने का कोई तरीका नहीं है। इसलिए, यह केवल परिकल्पना का निर्माण करने के लिए बनी हुई है।

विकल्प 1: 443 पोर्ट पर HTTP ट्रैफ़िक

HTTPS पोर्ट (443) में HTTP ट्रैफ़िक भेजते समय आमतौर पर, वेब सर्वर एक त्रुटि देता है:


^{HTTP पोर्ट 443 का अनुरोध करने में त्रुटि}

रिपोर्ट के लेखक का सुझाव है कि कुछ होस्ट पोर्ट 443 पर अनएन्क्रिप्टेड HTTP ट्रैफ़िक स्वीकार कर सकते हैं। वास्तव में, ऐसे होस्ट पाए गए थे, उदाहरण के लिए, mra1.mail.ru।

इसे निम्नानुसार सत्यापित किया जा सकता है:

curl -v  http://mra1.mail.ru:443

, . .


^{HTTP- HTTPS-}

, . ICQ HTTPS HTTP. , . , , .

2:

TLS , (Perfect Forward Secrecy).

:

• . ICQ, MiTM-
• .

. , ., , .

, . , , , , ..

UPD

, - . , . HTTPS .

Mail.ru Group

ICQ HTTP- 443 . - , .. 443 .

ICQ - .