सुरक्षा सप्ताह 52 + 1: वर्ष के गैर-मानक शीर्ष 3 समाचार

यदि आप 2018 के लिए महत्वपूर्ण समाचारों के हमारे चयन को देखते हैं, तो आपको लग सकता है कि पिछले 2019 में कुछ भी नहीं बदला है। हार्डवेयर कमजोरियां अभी भी आशाजनक लगती हैं (नवीनतम उदाहरण: इंटेल प्रोसेसर पर गार्ड गार्ड एक्सटेंशन को दरकिनार ) और अभी भी वास्तविक हमलों में लागू नहीं होते हैं। लेकिन मशीन लर्निंग का उपयोग अभ्यास में किया जाता है, उदाहरण के लिए, उच्च तकनीकी सामाजिक इंजीनियरिंग के लिए। संगठन के प्रमुख की आवाज़ की नकल ने एक मिलियन यूरो चोरी करने में मदद की , और माइक्रोसॉफ्ट ने एक एल्गोरिथ्म बनाने के लिए एक प्रतियोगिता का आयोजन किया जो डिपफैकी का पता लगाता है।


चीजों के इंटरनेट से खतरे भी गायब नहीं हुए हैं, और 2019 में नई पीढ़ी के IoT के बारे में अधिक अध्ययन किए गए थे। एक हालिया उदाहरण: स्मार्ट स्पीकर्स का उपयोग करके आवाज फ़िशिंग । ये सभी ऐसे होनहार हमलों के उदाहरण हैं जो भविष्य में प्रासंगिक (स्वाभाविक रूप से, अचानक) हो सकते हैं। वर्तमान में, पारंपरिक बुनियादी ढांचे पर हमला किया जा रहा है: कैसपर्सकी लैब विशेषज्ञों ने वर्ष के मुख्य विषयों में से एक रैंसमवेयर रैनसमवेयर के लक्षित हमलों को बुलाया । वर्ष का हाई-प्रोफाइल समाचार बुनियादी ढांचे पर सफल हमलों से जुड़ा था, जो कि गंभीर रूप से महत्वपूर्ण और कालानुक्रमिक रूप से कमतर है - नगर पालिकाओं और अस्पतालों में आईटी सिस्टम।

सूचना सुरक्षा के क्षेत्र में घटनाओं की ऐसी विस्तृत श्रृंखला से वास्तव में कुछ महत्वपूर्ण चुनना मुश्किल है, और यह सामान्य है: सैद्धांतिक अध्ययन या वास्तविक हमले जो व्यक्तिगत रूप से या बाद में, सौभाग्य से, शायद ही कभी घटित होते हैं। इसलिए, आज हमारे पास एक गैर-मानक शीर्ष समाचार है: उनके पास कोई सफलता या क्रांतियां नहीं हैं, लेकिन साज़िश, नाटक और गैर-तुच्छ अनुसंधान विधियां हैं।

गोपनीयता - वर्ष की विफलता

हमने जनवरी में 2019 को गोपनीयता का वर्ष कहने का साहस किया। 2018 में, न केवल कुछ विशेषज्ञ, बल्कि पारंपरिक मीडिया और यहां तक ​​कि सामान्य उपयोगकर्ता भी, कंपनियों से उपयोगकर्ता के व्यक्तिगत डेटा के प्रसंस्करण के बारे में जटिल सवाल पूछने लगे। यह सब फेसबुक और कैम्ब्रिज एनालिटिका के साथ एक घोटाले के साथ शुरू हुआ, और इस साल व्यक्तिगत डेटा के सबसे बड़े एग्रीगेटर्स जैसे फेसबुक, अमेज़ॅन और Google के खिलाफ जांच की जा रही है, और उन पर भारी जुर्माना लगाया गया है । पासवर्ड या व्यक्तिगत डेटा के रिसाव से जुड़ी लगभग हर बड़ी घटना की व्यापक रूप से चर्चा की जाती है, और कभी-कभी उचित निर्णयों की भी आलोचना की जाती है। जुलाई में, हमने ऐसे अस्पष्ट "हमलों पर गोपनीयता" के उदाहरण दिए : "स्वचालित" reCaptcha v3 के लिए Google सेवाओं के उपयोगकर्ताओं के बारे में जानकारी का उपयोग, छवि मेटाडेटा में फेसबुक पहचानकर्ताओं को एम्बेड करना और एंड्रॉइड स्मार्टफोन के लिए एप्लिकेशन अधिकार।



यह अच्छा है कि इस विषय पर चर्चा की जा रही है। यह बुरा है कि समस्या का समाधान, उपयोगकर्ता के लिए समझ में आता है और उसे व्यक्तिगत डेटा के प्रसंस्करण पर कम से कम कुछ नियंत्रण देता है, दिखाई नहीं दिया है। सिद्धांत रूप में, 2018 में पेश किए गए यूरोपीय जीडीपीआर कानून में गोपनीयता की स्थिति में सुधार होना चाहिए था, लेकिन हम सभी जानते हैं कि यह कैसे समाप्त हुआ: अब आधी साइटों पर आपको न केवल विंडो को बंद करना होगा सूचनाओं की सदस्यता के लिए, एप्लिकेशन डाउनलोड करने और समाचार पत्र की सदस्यता के लिए प्रस्ताव, लेकिन और GDPR फॉर्म। विज्ञापन नेटवर्क में डेटा ट्रांसफर को बंद करना संभव हो सकता है, लेकिन गंभीरता से, कम से कम कोई इसे निरंतर आधार पर करता है? जून में, कैलिफोर्निया में एक GDPR जैसा बिल पारित किया गया था। फिर भी, ऐसा लगता है कि उच्च तकनीक में किसी भी विधायी गतिविधि का केवल आधा प्रभाव होता है यदि वह तकनीकी समाधानों द्वारा समर्थित नहीं है। यह साइबर अपराधियों को क्रेडिट कार्ड की जानकारी चोरी करने से रोकने के साथ ही बिना पर्याप्त सुरक्षा के क्रेडिट कार्ड प्रदान करने के समान है।

उपभोक्ताओं के रूप में, हम, एक तरफ, (अक्सर कारण के लिए) डिवाइस और सॉफ्टवेयर डेवलपर्स को स्मार्ट टीवी से स्क्रीनशॉट लेने , ट्विटर पर फोन नंबर द्वारा विज्ञापनों को लक्षित करने , मैनुअल मोड में निजी आवाज संदेशों को सुनने के लिए आलोचना करते हैं। दूसरी ओर, हम व्यक्तिगत डेटा के इस प्रसंस्करण के परिणामों का सक्रिय रूप से उपयोग करते हैं: एक संगीत सेवा में सिफारिशों के साथ, एक नाविक में, जहां कार पार्क की जाती है, एक आवाज सहायक में जो आपको Gennady को कॉल करने की याद दिलाता है। सवाल यह है कि निजी तौर पर हमें लाभ पहुंचाने के अलावा, हमारी प्रोफाइल के साथ निगम और क्या करते हैं? इसका उत्तर केवल विक्रेता के सौ विशेषज्ञों को ही मालूम होता है, और किसी को नहीं।


दूसरे शब्दों में, 2019 में गोपनीयता के साथ वास्तव में उपयोगी कुछ भी नहीं हुआ। यह अभी भी सैलून और ट्रेन डकैती के साथ वाइल्ड वेस्ट है, जिसमें आबादी का एक छोटा सा हिस्सा चीजों की वर्तमान स्थिति से नाराज है। मैं आशा करना चाहता हूं कि 2020 में व्यक्तिगत डेटा के प्रसंस्करण और प्रसार के लिए कुछ नैतिक मानक होंगे जो लोग नेटवर्क सेवाओं द्वारा एक निश्चित प्रतिस्पर्धी लाभ के रूप में समझते हैं और उपयोग करते हैं। सीईएस में वर्ष की शुरुआत में, ऐप्पल पहले से ही ऐसा करने की कोशिश कर रहा था, जो अपने स्वयं के बयान के अनुसार, ग्राहक डेटा का व्यापार नहीं करता है। समस्या यह है कि स्मार्टफोन पर डेटा की गोपनीयता न केवल सिस्टम सेटिंग्स द्वारा निर्धारित की जाती है, बल्कि अनुप्रयोगों के व्यवहार से भी निर्धारित होती है। और उनमें स्थिति आदर्श से बहुत दूर है ।

हैकिंग नोटपैड

नामांकन में पुरस्कार "इस एप्लिकेशन में कुछ भी तोड़ने के लिए नहीं है, लेकिन हम Google प्रोजेक्ट ज़ीरो टीम के विशेषज्ञ तावीस ओरमंडी द्वारा एक अध्ययन द्वारा प्राप्त करने में सक्षम थे"। उन्होंने पाठ सेवा ढांचे में एक भेद्यता की खोज की, जो कि विंडोज पर व्यापक विशेषाधिकार के साथ एक प्राचीन पाठ-आधारित उपकरण है। अगस्त में बंद भेद्यता सैद्धांतिक रूप से सिस्टम अधिकारों के साथ मनमाना कोड चलाने के लिए इस्तेमाल किया जा सकता है।


एक भेद्यता का शोषण करने का एक उदाहरण वीडियो में दिखाया गया है। सबसे दिलचस्प बात यह है कि नोटपैड का इससे कोई लेना-देना नहीं है: विशेष रूप से इस एप्लिकेशन में कोई भेद्यता नहीं है। लेकिन टेक्स्ट सर्विसेज फ्रेमवर्क का उपयोग करते हुए, ऑरमंडी पारंपरिक शैली में समस्या को प्रदर्शित करने में सक्षम था: जब मनमाने ढंग से हानिरहित अनुप्रयोग से मनमाना कोड निष्पादित होता है, तो इस मामले में, कंसोल नोटपैड से शुरू होता है।

आपूर्ति श्रृंखला

वर्ष का एक प्रमुख विषय: आपूर्ति श्रृंखला हमले। इस साल का सबसे दिलचस्प अध्ययन कैस्परस्की लैब के विशेषज्ञों द्वारा शैडो हैमर हमले का विश्लेषण था। Asus डिवाइस ड्राइवरों को अपडेट करने के लिए नियमित कार्यक्रम, जिसे Asus Live अपडेट के रूप में जाना जाता है, निर्माता के सर्वर से कुछ समय के लिए संशोधित और वितरित किया गया था। अपेक्षाकृत कम पीड़ित (दसियों हज़ार) थे, लेकिन जिन्होंने इस हमले को शुरू किया, उन्होंने संख्या का पीछा नहीं किया। दुर्भावनापूर्ण कोड ने पीड़ित के कंप्यूटरों पर कुछ भी अवैध नहीं किया, जब तक कि नेटवर्क डिवाइस के मैक पते को प्रोग्राम बॉडी में सीवन किए गए लक्ष्यों की सूची से मेल नहीं खाता।

शैडो हैमर एक आधुनिक उच्च श्रेणी के हमले का एक उदाहरण है: एकल लक्ष्य, अधिकतम चुपके, गैर-तुच्छ वितरण पद्धति। लेकिन यह आपूर्ति श्रृंखला के हमले का एकमात्र संस्करण नहीं है जब उपभोक्ता को दिए जाने से पहले एक उपकरण या सॉफ्टवेयर को संशोधित किया जाता है। यह सॉफ़्टवेयर या हार्डवेयर में भेद्यता के बारे में नहीं है जिसे आपको अभी भी शोषण करने में सक्षम होना चाहिए, लेकिन उस स्थिति के बारे में जब आप एक लैपटॉप खरीदते हैं जो किसी के पास पहले से ही उपलब्ध है । यह माना जा सकता है कि इस तरह के हमलों की व्यापक संभावना नहीं है, लेकिन नहीं। इस गर्मी में, हमने चीनी एंड्रॉइड उपकरणों के बारे में लिखा है जो बॉक्स से बाहर पिछले दरवाजे से लैस हैं। सबसे अधिक संभावना है, निर्माताओं का इससे कोई लेना-देना नहीं था: उन्होंने उन ठेकेदारों को हैक किया जिन्होंने फोन चमकाने पर काम किया था।

2020 से क्या उम्मीद करें? Kaspersky Lab के विशेषज्ञ पाँचवीं पीढ़ी के मोबाइल नेटवर्क को "कठिन" क्षेत्रों में से एक मानते हैं। 5G के प्रसार के साथ, हम न केवल सबसे तेज़ वायर्ड इंटरनेट की गति के साथ मोबाइल संचार प्राप्त करेंगे, बल्कि "स्मार्ट" के बड़े पैमाने पर वितरण और न ही ऐसे उपकरण जो लगातार डेटा संचारित करते हैं। खतरे स्पष्ट हैं: यदि 5G वास्तव में अधिकांश लोगों के लिए संचार का मुख्य साधन बन जाता है, तो आपको डेटा या DDoS हमलों को चुराने के लिए नेटवर्क को हैक करने या दूरसंचार ऑपरेटरों से सावधान रहना चाहिए। सामान्य तौर पर, यह किसी भी अन्य कंप्यूटर-नेटवर्क तकनीक के लिए सच है: जितना अधिक हम डिजिटल सहायकों पर भरोसा करते हैं, डेटा भंडारण के लिए नेटवर्क सेवाओं, संचार के लिए सामाजिक नेटवर्क, जितना अधिक हम उन पर निर्भर करते हैं, हम खतरों के बारे में अधिक गंभीर हैं, चाहे वह बैंक खाते पर हमला हो या निजी जीवन के रहस्यों का उल्लंघन। Cyberthreats प्रगति का उल्टा पक्ष है, और यदि अधिक खतरे हैं, तो प्रगति भी होती है। इस सकारात्मक नोट पर, प्रिय संपादकों आपको नए साल तक अलविदा कहते हैं!