सुरक्षा सप्ताह 44: नॉर्डवीपीएन, टोरगार्ड और हाफ हैक

पिछले हफ्ते, वीपीएन प्रदाता नॉर्डवीपीएन की हैकिंग पर व्यापक रूप से चर्चा की गई थी, साथ ही अन्य समान सेवाओं के एक जोड़े (विशेष रूप से, टॉरगार्ड का उल्लेख किया गया था)। सूचना का स्रोत ट्विटर था, मीडिया ( टेकक्रंच , हैबर ) द्वारा तब वहां से संदेशों को उठाया गया था। नॉर्डवीपीएन और टोरगार्ड ने इन लेखों के मद्देनजर प्रतिनियुक्ति प्रकाशित की: दोनों मामलों में निजी कुंजी का लीक हुआ था (एक मामले में - 2018 में, दूसरे में 2017 में कुंजी चोरी हो गई थी)। यह किस तरह की कुंजी थी और उपयोगकर्ताओं के लिए इस तरह के रिसाव के क्या परिणाम हैं (या अतीत में) - राय अलग है। नॉर्डवीपीएन द्वारा जारी तथ्यों से संकेत मिलता है कि कंपनी के सैकड़ों सर्वरों में से केवल एक ही समझौता किया गया था, और कुंजी रिसाव ने उन ग्राहकों को भी खतरे में नहीं डाला जो एक हैक किए गए सर्वर के माध्यम से नेटवर्क से जुड़े थे।

उपयोगकर्ता डेटा की सुरक्षा पर जोर देने के साथ वीपीएन सेवाओं के आक्रामक विपणन द्वारा स्थिति को जटिल कहा जाता है। इसलिए, ऐसी खबरें वीपीएन प्रदाताओं के लिए बेहद संवेदनशील होती हैं, और इनकी चर्चा सोशल नेटवर्क में ड्रामा की अत्यधिक डिग्री के साथ होती है। सेवा की सुरक्षा में सुधार के उपायों पर एक अलग नॉर्डवीपीएन रिपोर्ट में, सही निष्कर्ष निकाला गया था: हैकिंग से कोई एक सौ प्रतिशत प्रतिरक्षा नहीं है। यह खुद वीपीएन प्रदाताओं और उपयोगकर्ताओं दोनों पर लागू होता है। और यहाँ बिंदु यह नहीं है कि वीपीएन किस प्रकार का उपयोग किया जाता है: व्यावसायिक, मुफ्त या वरीयता और कवियों के साथ आपका अपना सर्वर।


मूल ट्विटर पोस्ट में नॉर्डवीपीएन के स्वामित्व वाली एक लीक निजी कुंजी का लिंक है, जो अक्टूबर 2018 में समाप्त हो गया। नॉर्डवीपीएन के अनुसार, यह कुंजी मार्च 2018 में एक हैक किए गए सर्वर से चुरा ली गई थी। यह तीन हजार से अधिक सर्वरों में से एक था जिसके माध्यम से वीपीएन सेवा उपयोगकर्ता अपने ट्रैफ़िक को पुनर्निर्देशित कर सकते हैं। फिर, नॉर्डवीपीएन के अनुसार, होस्टर ने स्वयं एक कॉन्फ़िगरेशन त्रुटि की - हमलावरों ने नियंत्रण कक्ष के माध्यम से क्लाइंट सर्वर तक पहुंच प्राप्त की। इसके बारे में ग्राहकों को सूचित करने के बजाय, होस्टर ने चुपचाप समझौता किए गए खाते को हटा दिया। उन्हें 13 अप्रैल, 2019 को नॉर्डवीपीएन में हैकिंग के बारे में पता चला, जिसके बाद उन्होंने तुरंत सर्वर को डिलीट कर दिया।

हमलावर निजी कुंजी तक पहुंच हासिल करने में कामयाब रहा। नॉर्डवीपीएन के अनुसार, चोरी के समय इस प्रमाणपत्र की वैधता समाप्त हो गई है, लेकिन तारीखों के साथ विसंगति है। शायद हम इस तथ्य के बारे में बात कर रहे हैं कि समाप्ति की तारीख के बाद नेटवर्क पर कुंजी सामने आई। किसी भी स्थिति में, क्लाइंट ट्रैफ़िक को डिक्रिप्ट करने के लिए कुंजी का उपयोग नहीं किया जा सकता है। हालांकि, ऊपर के ट्वीट में संस्करण के अनुसार और टेकक्रंच पर एक लेख में एक अनाम टिप्पणीकार के अनुसार, समस्या बहुत अधिक गंभीर है। TechCrunch से उद्धरण: "यह इस प्रदाता के बुनियादी ढांचे की पूरी तरह से हैकिंग का संकेत है।"


किस पर विश्वास करें? एक ओर, नॉर्डवीपीएन से घटना का काफी विस्तृत विवरण है, दूसरी ओर, विशेषज्ञों और ट्विटर उपयोगकर्ताओं द्वारा टिप्पणियां जो खुद को कॉल नहीं करना पसंद करते हैं। सबसे अधिक संभावना है, कुछ भी गंभीर नहीं है और सच हुआ। सर्वर तक पहुँच ने उन उपयोगकर्ताओं के ट्रैफ़िक के बारे में जानकारी लीक नहीं की जो इस सर्वर के माध्यम से जुड़े थे: नॉर्डवीपीएन किसी भी स्थिति में लॉग को स्टोर नहीं करता है। क्रेडेंशियल या तो लीक नहीं हुआ, क्योंकि नॉर्डवीपीएन के एप्लिकेशन सर्वर पर वास्तविक लॉगिन और पासवर्ड स्थानांतरित नहीं करते हैं। लेकिन रुको, NordVPN और अन्य प्रदाताओं को सीधे सर्वर से कनेक्ट करने की क्षमता है! तब क्या स्थिति है?

सबसे अच्छे रूप में, एक चुराई हुई कुंजी का उपयोग किया जा सकता है, जो नॉर्डवीपीएन को "जटिल एमआईटीएम हमला" कहती है। यही है, सैद्धांतिक रूप से, कोई व्यक्ति नकली सर्वर को लेने के लिए अभी भी एक कुंजी का उपयोग कर सकता है, जो कथित रूप से नॉर्डवीपीएन से संबंधित है, उपयोगकर्ता को डीएनएस स्पूफिंग का उपयोग करने के लिए फुसलाता है और स्थानांतरित किए गए सभी डेटा चोरी करता है। क्या ऐसा परिदृश्य संभव है? संभावना शून्य नहीं है। क्या यह वास्तव में इस्तेमाल किया गया था? अगर वे होते तो नॉर्डवीपीएन उपयोगकर्ताओं का कितना अनुपात हो सकता था?

यह पूरी चर्चा कई वीपीएन सेवाओं के दृष्टिकोण से जटिल है ताकि उनकी सेवाओं का विज्ञापन किया जा सके। वे वीपीएन कनेक्शन के लाभों को अतिरंजित करते हैं, वे कहते हैं कि आपका डेटा पूरी तरह से सुरक्षित है, हालांकि वास्तव में, कोई भी तकनीक पूर्ण सुरक्षा प्रदान नहीं करती है। वीपीएन बाजार में प्रतिस्पर्धा अधिक है, और "हमारे वीपीएन की सुरक्षा प्रतियोगियों की तुलना में सुरक्षित है", पारस्परिक आरोपों और अन्य घटनाओं की तरह चर्चाओं के परिणामस्वरूप जो प्रौद्योगिकी से दूर हैं।


भेद्यता के बारे में कोई भी संदेश स्वयं प्रदाताओं, और उनके ग्राहकों, और दुनिया के एक प्रकार के अंत के रूप में सामाजिक नेटवर्क में अतिरिक्त द्वारा माना जाता है, जो पूरी तरह से सही नहीं है। इसका परिणाम यह है: जिन लोगों ने "संपूर्ण बुनियादी ढांचे को हैक करने" की बात की, उन्होंने कोई ठोस सबूत नहीं दिया। नॉर्डवीपीएन ने इस समस्या को हल करने के लिए पर्याप्त तरीके और तरीकों का वर्णन किया है, लेकिन उनकी सामग्री में घटना का लगभग कोई तकनीकी विवरण नहीं है। यह एक तथ्य नहीं है कि आपका अपना वीपीएन सर्वर है, जैसा कि कुछ लोग सुझाते हैं, सही समाधान है। इसके लिए तकनीकी कौशल की आवश्यकता होती है, और वास्तव में जोखिमों का सेट बस थोड़ा बदलता है। हमें यह नहीं भूलना चाहिए कि कोई भी उपाय किसी एक समस्या को हल करता है और वैश्विक स्तर पर सभी खतरों से छुटकारा पाने में सक्षम नहीं है। जो संरक्षण को पूरी तरह से त्यागने का कारण नहीं है।

और क्या हुआ:

ऐप्पल ऐप स्टोर से 18 अनुप्रयोगों को हटा दिया गया था , जो कि वेबसाइट के ट्रैफ़िक को बढ़ाते हैं। दुर्भावनापूर्ण गतिविधि देरी से हुई, जिसने एप्लिकेशन को Apple के ऑडिट को पारित करने की अनुमति दी।

Google Chrome को संस्करण 78 में अपडेट किया गया है। कुछ गंभीर कमजोरियों को बंद कर दिया गया है; URL स्पूफिंग के लिए नियत बग। DNS-over-HTTPS फ़ंक्शन का पहले से वादा किया गया बीटा परीक्षण अगले संस्करण तक स्थगित करने का निर्णय लिया गया था। सितंबर में फ़ायरफ़ॉक्स में एक समान सुविधा दिखाई दी , और फ़ायरफ़ॉक्स 70 की नवीनतम रिलीज़ में उन्होंने सोशल नेटवर्क पर क्रॉस-साइट कुकीज़ को ब्लॉक करना शुरू कर दिया ।

Kaspersky Lab के विशेषज्ञ! स्टीम गेमिंग प्लेटफ़ॉर्म के उपयोगकर्ताओं के लिए एक धमकी अवलोकन जारी किया। फ़िशिंग के दिलचस्प उदाहरण जो दो-कारक प्रमाणीकरण तंत्र को ध्यान में रखते हैं, प्रदान किए जाते हैं।

जापानी होटल श्रृंखला में प्रयुक्त रोबोट सहायकों में एक दिलचस्प भेद्यता पाई गई थी । बग आपको कैमकॉर्डर और डिवाइस के माइक्रोफ़ोन से स्ट्रीम को इंटरसेप्ट करने की अनुमति देता है। ऑपरेशन के लिए भौतिक उपयोग की आवश्यकता होती है - पहले किसी होटल में एक उपकरण हैक किया जाता है, फिर निगरानी की जाती है।

Xiaomi कैट फूड डिस्पेंसर में भेद्यता का पता चला। आपको दूरस्थ रूप से अक्षम उपकरणों की अनुमति देता है। या अपने पालतू जानवरों के लिए दावत की व्यवस्था करें।