हैक करना क्यों संभव था? शायद इसलिए क्योंकि हमलावर

सार्वजनिक सर्वर को अक्सर खराब बनाए रखा जाता है, पुराने सॉफ़्टवेयर का उपयोग करते हैं, और सुरक्षित नहीं हैं?

इस दुखद घटना के कई स्पष्टीकरण हैं, लेकिन इसके बारे में बात नहीं करते हैं।

मैं इस लेख को दूसरी बार लिख रहा हूँ बहुत पहले नहीं, कुछ समस्याएं तय हो गई थीं, और बाकी को पूरा करने के लिए मुझे व्यर्थ लग रहा था। लेकिन अफसोस, परिवर्तनों के परिणामस्वरूप, स्थिति व्यावहारिक रूप से वापस आ गई है कि यह मूल रूप से क्या था।

ऐसी ही एक अद्भुत कंपनी है रूसी रेलवे। इतना समय पहले नहीं, एक विषय पर अनुमान के अंत के साथ पेरिबेरिन फाल्कन्स में सुरक्षा के साथ हैबे पर एक विषय उठाया गया था ।

यह मानना ​​भोला होगा कि रूसी रेलवे के बुनियादी ढांचे के साथ यह एकमात्र समस्या है।

हालाँकि, हम घुसपैठिये नहीं हैं, हाँ, कॉमरेड मेजर, हम ऐसे नहीं हैं । ठीक है, सपन, जिसने सोचा होगा कि एक दुष्ट हमलावर एक टिकट खरीदेगा और अंदर से हैक करना शुरू कर देगा। इसलिए, हम पूरी तरह से अकादमिक हित से बाहर हैं, आइए देखें कि रूसी रेलवे की वेबसाइट पर चीजें कितनी अच्छी हैं। पूर्व यूएसएसआर के विशाल विस्तार में इसका महत्व और लोकप्रियता और न केवल शायद ही इसे कम करके आंका जा सकता है। एक प्यारी बिल्ली के लिए टिकट खरीदते समय इस समस्या की खोज कैसे की गई, इसकी एक दिल दहला देने वाली कहानी हो सकती है, लेकिन मुझे उम्मीद है कि इस बार आप बिना झूठे किस्से सुनाए और तुरंत कठोर वास्तविकता से रूबरू हो सकते हैं।

इसलिए हम एक पेड़ पर एक केप नहीं फैलाएंगे।

ऐसी अद्भुत और मुफ्त सेवा है
आइए इसका उपयोग करके यह देखने का प्रयास करें कि साइट rzd.ru के साथ हमारे पास क्या है, जहां लाखों लोग अपनी व्यक्तिगत जानकारी छोड़ देते हैं। संभवतः, कोई स्पष्ट दोष नहीं होना चाहिए। यह समझना स्वाभाविक है कि यह सेवा केवल साइट का परीक्षण करती है, किसी भी स्थिति में इस डेटा को अंतिम उपाय में सही नहीं माना जाना चाहिए और कम से कम किसी तरह की गंभीर ऑडिट भी होनी चाहिए। फिलहाल स्थिति ।

लेखन के समय की स्थिति

अगर किसी को दिलचस्पी है, तो यह है कि रूसी रेलवे द्वारा सेटिंग्स को बदलने से पहले परिणाम कैसे दिखता है:



जैसा कि आप देख सकते हैं कि परिणाम असंतोषजनक है।

क्या आपको अपने व्यक्तिगत डेटा के साथ इस साइट पर भरोसा करना चाहिए?

हम देख सकते हैं कि एसएसएल वी 3 का उपयोग किया जाता है, जो 2015 में हटा दिया गया है।
CVE-2014-3566, उर्फ ​​पुडल, भेद्यता 2014 (!!!) वर्ष की
लेकिन गर्म, ट्यूब IE6 समर्थित है। मुझे लगता है कि पुराने स्कूल के वेबमास्टर्स और लेआउट डिजाइनर अच्छी तरह से याद करते हैं कि इसका समर्थन कितना आसान और मजेदार था।
खैर, ज़ाहिर है, सभी समर्थित सिफर या तो कमजोर या कमजोर हैं।

और केक पर चेरी एकमात्र क्रिप्टोग्राफिक प्रोटोकॉल है जिसे आज नहीं निकाला गया है, जो rzd.ru द्वारा समर्थित है। TLS 1.0। इस स्थिति की ख़ास बात यह है कि, जैसा कि पूर्व में हैबे पर लिखा गया था, 2020 में, अधिकांश लोकप्रिय ब्राउज़रों ने इसके समर्थन को छोड़ने की योजना बनाई है।

लिंक।

इसलिए, अगर 2020 में रूसी रेलवे कुछ नहीं करता है, तो कई उपयोगकर्ताओं के पास साइट के बजाय इसके समान कुछ होगा



वास्तव में, यह बल्कि अच्छा है, शायद उपयोगकर्ताओं से टिकट जारी करने के साथ बड़े पैमाने पर समस्याएं साइट को करने के लिए कम से कम थोड़ा सा मजबूर करेंगी। और मुझे लगता है कि वे किसी को रूसी रेलवे के खिलाफ इस तरह के एक विचलन के लिए दोषी पाएंगे। और हमलावर, और उनके साथ क्या करना है, और क्यों।

हैक करना क्यों संभव था? शायद इसलिए क्योंकि हमलावर (सी) रूसी रेलवे आईटी निदेशक, एवगेनी चारकिन।