गोपनीय "मेघ"। हम खुले समाधानों के विकल्प की तलाश कर रहे हैं

मैं प्रशिक्षण से एक इंजीनियर हूं, लेकिन मैं उद्यमियों और उत्पादन निदेशकों के साथ अधिक संवाद करता हूं। कुछ समय पहले, एक औद्योगिक कंपनी के मालिक ने सलाह मांगी। इस तथ्य के बावजूद कि उद्यम बड़ा है, और 90 के दशक में बनाया गया, प्रबंधन और लेखांकन स्थानीय नेटवर्क में पुराने ढंग से काम करते हैं।

यह उनके व्यवसाय के लिए चिंताओं और राज्य द्वारा बढ़ते नियंत्रण का परिणाम है। निरीक्षण निकायों द्वारा कानून और नियमों की व्यापक रूप से व्याख्या की जा सकती है। एक उदाहरण टैक्स कोड में संशोधन है, कर उल्लंघन के लिए सीमाओं के कानून को समाप्त करना , बैंकिंग और ऑडिट रहस्यों का वास्तविक विनाश।

नतीजतन, उद्यम के मालिक ने जानकारी के विश्वसनीय भंडारण और दस्तावेजों के सुरक्षित हस्तांतरण के समाधान की तलाश शुरू कर दी। आभासी "सुरक्षित"।

हमने पूर्णकालिक सिस्टम प्रशासक के साथ काम किया: हमें मौजूदा प्लेटफार्मों के गहन विश्लेषण की आवश्यकता है।

• शब्द के शास्त्रीय अर्थ में सेवा को बादल नहीं होना चाहिए, अर्थात तृतीय-पक्ष संगठन की सुविधाओं में बचत के बिना। केवल आपका सर्वर;
• संचरित और संग्रहीत डेटा के मजबूत एन्क्रिप्शन की आवश्यकता है;
• बटन के स्पर्श में किसी भी उपकरण से सामग्री को तत्काल हटाने की क्षमता की आवश्यकता होती है;
• समाधान विदेशों में विकसित किया गया है।

मैंने चौथे बिंदु को हटाने का सुझाव दिया, क्योंकि रूसी अनुप्रयोगों के पास आधिकारिक प्रमाण पत्र हैं। निदेशक ने स्पष्ट रूप से कहा कि ऐसे प्रमाणपत्रों के साथ क्या किया जाना चाहिए।

विकल्प चुनें

मैंने तीन समाधानों का चयन किया (अधिक विकल्प, अधिक संदेह):

• ओपन सोर्स एक Syncthing.net प्रोजेक्ट है, जो विकास के प्रति उत्साही जैकब बोर्ग द्वारा समर्थित है।
• Resilio.com , अमेरिकन रेसिलियो इंक द्वारा क्यूरेट किया गया। (पहले बिटटोरेंट सिंक कहा जाता था)।
  
• प्राइवेटबॉक्स इलेक्ट्रॉनिक इलेक्ट्रॉनिक pvtbox.net सिंक्रोनाइज़ेशन एप्लिकेशन से सुरक्षित है। साइप्रस पंजीकरण।

कंपनी के मालिक तकनीकी बारीकियों में बहुत खराब हैं, इसलिए मैंने प्रत्येक विकल्प के पेशेवरों और विपक्षों की सूचियों के रूप में रिपोर्ट तैयार की।

विश्लेषण सारांश

Syncthing

पेशेवरों :

• खुला स्रोत
• मुख्य डेवलपर की गतिविधि;
• यह परियोजना बहुत लंबे समय से अस्तित्व में है;
• नि: शुल्क।

विपक्ष:

• IOS शेल के लिए कोई क्लाइंट नहीं है;
• स्लो टर्न सर्वर, (वे स्वतंत्र हैं, इसलिए वे धीमा हो जाते हैं)। उनके लिए जो
  पता नहीं, टर्न का उपयोग तब किया जाता है जब सीधे कनेक्ट करना असंभव हो;
• जटिल इंटरफ़ेस कॉन्फ़िगरेशन (प्रोग्रामिंग अनुभव के कई वर्षों की आवश्यकता होती है);
• तेजी से कमर्शियल सपोर्ट का अभाव।

Resilio

पेशेवरों: सभी उपकरणों के लिए समर्थन और सर्वर को मोड़ने के लिए।

विपक्ष: एक और बहुत महत्वपूर्ण किसी भी कॉल की समर्थन सेवा द्वारा पूर्ण अनदेखी है। शून्य प्रतिक्रिया, भले ही आप अलग-अलग पते से लिखें।

Pvtbox

पेशेवरों:

• सभी उपकरणों के लिए समर्थन;
• फास्ट टर्न सर्वर;
• एप्लिकेशन इंस्टॉल किए बिना फ़ाइल डाउनलोड करने की क्षमता;
• पर्याप्त समर्थन सेवा, incl। फोन करके।

विपक्ष :

• युवा परियोजना (कुछ समीक्षा और अच्छी समीक्षा);
• एक बहुत "तकनीकी" हमेशा स्पष्ट साइट इंटरफ़ेस नहीं;
• कोई विस्तृत दस्तावेज नहीं है, कई मुद्दों पर समर्थन खींचना है।

ग्राहक ने क्या चुना?

उनका पहला सवाल है: मुफ्त में कुछ विकसित करने की बात क्या है? सिन्थिथिंग को तुरंत छोड़ दिया गया था। तर्क काम नहीं आया।

कुछ दिनों के बाद, ग्राहक ने समर्थन की कमी के कारण Resilio सिंक को स्पष्ट रूप से खारिज कर दिया यह स्पष्ट नहीं है कि आपातकाल में कहां जाना है। प्लस कंपनी के अमेरिकी पंजीकरण का अविश्वास।

आगे के विश्लेषण के लिए, प्राइवेटबॉक्स इलेक्ट्रॉनिक सेफ बने रहे। हमने सूचना के भंडारण में अवरोधन, डेटा की डिक्रिप्शन और अनधिकृत प्रविष्टि की संभावना पर जोर देने के साथ इस प्लेटफ़ॉर्म का एक पूर्ण तकनीकी ऑडिट किया।

ऑडिट प्रक्रिया

हमने कार्यक्रम की शुरुआत में, काम की प्रक्रिया में और शांत अवस्था में यौगिकों का विश्लेषण किया। आधुनिक मानकों द्वारा यातायात को मूल रूप से एन्क्रिप्ट किया गया है। आइए एक MITM हमले का संचालन करने का प्रयास करें और लिनक्स (Xubuntu Linux 18.04), Wireshark , Mitmproxy का उपयोग करके मक्खी पर प्रमाण पत्र बदलें। ऐसा करने के लिए, हम प्राइवेटबॉक्स एप्लिकेशन और pvtbox.net सर्वर के बीच एक मध्यस्थ को लागू करेंगे (एक https कनेक्शन के माध्यम से pvtbox.net सर्वर के साथ डेटा का आदान-प्रदान होता है)।

हम यह सुनिश्चित करने के लिए एप्लिकेशन लॉन्च करते हैं कि प्रोग्राम और फ़ाइल सिंक्रोनाइज़ेशन काम में है। यदि आप टर्मिनल से प्रोग्राम चलाते हैं, तो लिनक्स में, आप तुरंत लॉगिंग देख सकते हैं।


हम एप्लिकेशन को बंद कर देते हैं और सुपरसुसर विशेषाधिकारों के साथ / etc / मेजबान फ़ाइल में होस्ट एड्रेस pvtbox.net को बदल देते हैं। पते को हमारे प्रॉक्सी सर्वर के पते से बदल दिया जाता है।


अब हम अपने स्थानीय नेटवर्क में 192.168.1.64 पते के साथ कंप्यूटर पर MITM हमले के लिए हमारे प्रॉक्सी सर्वर को तैयार करेंगे। ऐसा करने के लिए, mitmproxy पैकेज संस्करण 4.0.4 स्थापित करें।

पोर्ट 443 पर प्रॉक्सी सर्वर लॉन्च करें:
$ सुडो मितप्रोक्सी -p 443

हम पहले कंप्यूटर पर प्राइवेटबॉक्स प्रोग्राम शुरू करते हैं, मितप्रोक्सी के आउटपुट और एप्लिकेशन लॉग को देखते हैं।


मित्प्रॉक्सी रिपोर्ट करता है कि क्लाइंट प्रॉक्सी सर्वर से स्पूफ प्रमाण पत्र पर भरोसा नहीं करता है। एप्लिकेशन लॉग में, हम यह भी देखते हैं कि प्रॉक्सी सर्वर प्रमाणपत्र सत्यापन को पास नहीं करता है और कार्यक्रम काम करने से इनकार करता है।

प्रमाण पत्र "विश्वसनीय" बनाने के लिए प्राइवेटबॉक्स एप्लिकेशन के साथ कंप्यूटर पर mitmproxy प्रॉक्सी प्रमाणपत्र स्थापित करें। कंप्यूटर पर, सीए-सर्टिफिकेट पैकेज स्थापित करें। फिर प्रॉक्सी सर्वर के .mitmproxy डायरेक्ट्री से कंप्यूटर में प्राइवेटबॉक्स एप्लिकेशन को डायरेक्ट्री / यूएसआर / लोकल / शेयर / सीए-सर्टिफिकेट के साथ सर्टिफिकेट मितप्रोक्सी-सीए-सर्टिफिकेट कॉपी करें।

हम कमांड निष्पादित करते हैं:
$ सुडो खुलता है x509 -in mitmproxy-ca-cert.pem -inform PEM -out मिटम्पॉक्सी-सीए-सर्टिफ़िकेट।
$ सुडो अपडेट-कै-सर्टिफिकेट


प्राइवेटबॉक्स ऐप लॉन्च करें। प्रमाणपत्र फिर से विफल हो गया, कार्यक्रम काम करने से इनकार करता है। आवेदन संभवतः सुरक्षा तंत्र को पिन करने वाले प्रमाणपत्र का उपयोग करता है।

इसी तरह के हमले के लिए सिग्नलसर्वर । Pvtbox.net होस्ट पर , साथ ही नोड्स के बीच सहकर्मी-2-पीयर कनेक्शन पर किया गया था। डेवलपर इंगित करता है कि सहकर्मी-2-पीयर कनेक्शन स्थापित करने के लिए आवेदन खुले वीबीटीआरसी प्रोटोकॉल का उपयोग करता है, जो DTLSv1.2 प्रोटोकॉल का उपयोग करके एंड-टू-एंड एन्क्रिप्शन का उपयोग करता है ।

कुंजियाँ कनेक्शन के प्रत्येक इंस्टॉलेशन के लिए उत्पन्न होती हैं और एक एन्क्रिप्टेड चैनल पर signalserver.pvtbox.net के माध्यम से प्रेषित होती हैं।

सैद्धांतिक रूप से, ऑफ़र को रोकना और webrtc संदेशों का जवाब देना संभव होगा, वहां एन्क्रिप्शन कुंजियों को बदलें और webrtc के माध्यम से आने वाले सभी संदेशों को डिक्रिप्ट करने में सक्षम होंगे। लेकिन signalserver.pvtbox.net पर mitm हमले को अंजाम देना संभव नहीं था, इसलिए सिग्नलसेवर.pvtbox.net के माध्यम से भेजे गए संदेशों को अवरोधन और प्रतिस्थापित करने की कोई संभावना नहीं है।

तदनुसार, सहकर्मी-2-सहकर्मी कनेक्शन पर इस हमले को अंजाम देना संभव नहीं है।

यह भी पाया गया कि प्रोग्राम के साथ आई सर्टिफिकेट वाली फाइल थी। फ़ाइल पथ /opt/pvtbox/certifi/cacert.pem पर स्थित है। इस फ़ाइल को एक फ़ाइल के साथ बदल दिया गया है जिसमें हमारे मितप्रोक्सी प्रॉक्सी सर्वर से एक विश्वसनीय प्रमाण पत्र है। परिणाम नहीं बदला - प्रोग्राम ने सिस्टम से कनेक्ट करने से इनकार कर दिया, लॉग में वही त्रुटि देखी गई,
कि प्रमाणपत्र सत्यापन पास नहीं करता है।

ऑडिट परिणाम

मैं ट्रैफ़िक को रोकने या बदलने में सक्षम नहीं था। फ़ाइल नाम, और इससे भी अधिक उनकी सामग्री एन्क्रिप्टेड रूप में प्रेषित की जाती है, एंड-टू-एंड एन्क्रिप्शन का उपयोग किया जाता है। आवेदन कई सुरक्षात्मक तंत्र को लागू करता है जो वायरटैपिंग और कार्यान्वयन को रोकते हैं।

नतीजतन, कंपनी ने जानकारी के लिए स्थायी पहुंच के लिए दो समर्पित सर्वर (शारीरिक रूप से विभिन्न स्थानों पर) खरीदे। पहला सर्वर सूचना प्राप्त करने, प्रसंस्करण और भंडारण के लिए उपयोग किया जाता है, दूसरा - बैकअप के लिए।

निर्देशक का कार्यशील टर्मिनल और एक iOS मोबाइल फोन प्राप्त व्यक्तिगत क्लाउड से जुड़े थे। अन्य कर्मचारी एक नियमित सिस्टम प्रशासक और प्राइवेटबॉक्स तकनीकी सहायता से जुड़े थे।

पिछले समय में, एक दोस्त से कोई शिकायत नहीं थी। मुझे उम्मीद है कि मेरी समीक्षा एक समान स्थिति में हैबर के पाठकों की मदद करेगी।