यूनिकोड के साथ हैकिंग (GitHub के उदाहरण पर)

यूनिकोड असाधारण रूप से जटिल है। कुछ लोग सभी चालों को जानते हैं: अदृश्य पात्रों और नियंत्रण पात्रों से जोड़े और संयुक्त इमोजीस (जब एक तिहाई में दो वर्ण परिणाम जोड़ते हैं) को सरोगेट करें। मानक में 17 विमानों में 2 ¹⁶ कोड स्थान शामिल हैं। वास्तव में, यूनिकोड सीखने की तुलना एक अलग प्रोग्रामिंग भाषा सीखने से की जा सकती है।

आश्चर्य की बात नहीं, वेब डेवलपर्स कुछ बारीकियों को नजरअंदाज करते हैं। दूसरी ओर, हमलावर अपने स्वयं के प्रयोजनों के लिए यूनिकोड की सुविधाओं का उपयोग कर सकते हैं, जो वे करते हैं।

सुरक्षा विशेषज्ञ जॉन ग्रेसी ने भूले हुए पासवर्ड को पुनर्प्राप्त करने के लिए GitHub ईमेल सत्यापन बग का एक उदाहरण प्रदर्शित किया । इसी तरह के कीड़े अन्य साइटों पर पाए जा सकते हैं।

जॉन ग्रेसी बताते हैं कि "साइन ट्रांसलेशन टक्कर" क्या है जब रूपांतरण के बाद दो अलग-अलग वर्णों को एक ही वर्ण में अनुवादित किया जाता है।

इस मामले में, उन्होंने तुर्की चरित्र 'ı' ('i' without a dot) का उपयोग किया, जिसका अनुवाद लैटिन 'i' में किया गया है, ताकि प्रसंस्करण के बाद मेल एड्रेस John@Gıthub.com में बदल John@Github.com :

 'ß'.toLowerCase() // 'ss' 'ß'.toLowerCase() === 'SS'.toLowerCase() // true // Note the Turkish dotless i 'John@Gıthub.com'.toUpperCase() === 'John@Github.com'.toUpperCase() 

इस तरह के टकराव सभी यूनिकोड विमानों पर पाए जा सकते हैं: यहां पूरी सूची है ।

हम मुख्य रूप से उन पात्रों में रुचि रखते हैं जो लैटिन वर्णों में अनुवादित हैं। केवल ग्यारह विकल्प हैं। तालिका में तीसरे स्थान पर एक बिंदु के बिना तुर्की चिह्न 'i' है।


गिटहब ने एक हमलावर को किसी और के खाते से पासवर्ड प्राप्त करने की अनुमति दी, क्योंकि एक भूल गए पासवर्ड को पुनर्प्राप्त करने की प्रक्रिया सही ढंग से काम नहीं करती थी।

इस प्रक्रिया के भाग के रूप में, दर्ज ईमेल पते की तुलना डेटाबेस में संग्रहीत पते से की गई थी। सत्यापन एल्गोरिथम:

1. दर्ज किया गया पता, लोवरकेस का उपयोग करते हुए है।
   
2. दर्ज किए गए पते की तुलना पंजीकृत उपयोगकर्ताओं के डेटाबेस में पते के साथ की जाती है।
   
3. यदि कोई मिलान पाया जाता है, तो डेटाबेस से पासवर्ड दर्ज पते पर भेजा जाता है।

जाहिर है, डेवलपर्स को toLowerCase विधि का उपयोग करते समय पता अनुवाद की टक्कर की जानकारी नहीं थी।

इस स्थिति में, त्रुटि को ठीक करना सरल है। यह पासवर्ड दर्ज पते पर भेजने के लिए पर्याप्त है, लेकिन डेटाबेस से पते पर।

बेशक, यह एक पूर्ण बग फिक्स नहीं है, लेकिन केवल एक त्वरित पैच है। एक और पूर्ण समाधान सत्यापन के लिए John@Gıthub.com पर प्रसारित किया जाएगा: John@Gıthub.com → xn—john@gthub-2ub.com । Punycode को ASCII वर्णों के अनुक्रम में विशिष्ट रूप से डोमेन नाम बदलने के लिए डिज़ाइन किया गया था। ईमेल पते को उसी तरह से सत्यापित किया जा सकता है, लेकिन अधिकांश वेब एप्लिकेशन ऐसा नहीं करते हैं।

जॉन ग्रेसी को नकद पुरस्कार और भेद्यता के लिए 2500 अंक मिले , हालांकि वह अभी भी मुख्य गितुब हैकर अलेक्जेंडर डोबकिन से दूर है। GitHub सर्वरों पर GitHub पेज बनाने वाले मनमाने कोड को निष्पादित करने के लिए शामिल है।


ब्लैक डॉट इमोजी प्राप्त करते समय मैसेंजर क्रैश हो जाता है (मैसेंजर पर iOS, व्हाट्सएप एंड्रॉयड के लिए)

यूनिकोड से संबंधित कीड़े के पास ऐसी संपत्ति है कि उन्हें किसी भी एप्लिकेशन में पाया जा सकता है जो उपयोगकर्ता द्वारा दर्ज किए गए पाठ को संसाधित करता है। कमजोरियों वेब अनुप्रयोगों और Android और iOS के लिए मूल कार्यक्रमों में मौजूद हैं। सबसे प्रसिद्ध में से एक आईओएस बग 2015 से था , जब एक पाठ संदेश में कई यूनिकोड पात्रों ने ऑपरेटिंग सिस्टम को क्रैश कर दिया था। पिछले साल, एक समान यूनिकोड बग को iOS 11.3 में खोजा गया था, इसे "ब्लैक डॉट" के रूप में जाना जाता है। जब आप इमोजी को छूते हैं तो एंड्रॉइड के लिए व्हाट्सएप एप्लिकेशन में एक समान दुर्घटना हुई थी।

---