सुरक्षा सप्ताह 03: जिम्मेदार Bugreport सिद्धांत

7 जनवरी को, सॉफ़्टवेयर में भेद्यता में विशेषज्ञता वाले Google प्रोजेक्ट ज़ीरो टीम ने पता लगाए बग ( समाचार , ब्लॉग पोस्ट) के बारे में जानकारी का खुलासा करने के लिए नियमों में बदलाव की घोषणा की। 2020 में, प्रोजेक्ट ज़ीरो "प्रभावित" विक्रेता की पहली अधिसूचना के 90 दिन बाद भेद्यता जानकारी का खुलासा करेगा। समय सीमा नहीं बदली है, लेकिन इससे पहले, प्रोजेक्ट ज़ीरो के शोधकर्ता तेजी से समस्या पर एक रिपोर्ट प्रकाशित कर सकते थे यदि सॉफ्टवेयर डेवलपर इस समय सीमा से पहले पैच जारी करने में कामयाब रहे। अब पैच की उपलब्धता की परवाह किए बिना प्रोजेक्ट जीरो 90 दिन इंतजार करेगा।

नए नियम कई कारणों से रुचि के हैं। सबसे पहले, कोई एकल मानक नहीं है - किसी सॉफ़्टवेयर डेवलपर को एक भेद्यता का विश्लेषण करने और उसे ठीक करने के लिए कितना समय दिया जाए। प्रोजेक्ट ज़ीरो टीम, जो नियमित रूप से गंभीर सॉफ़्टवेयर भेद्यताओं का पता लगाती है, अपने आप ऐसे निर्णय लेती है और इस तरह पूरे उद्योग को प्रभावित करने की कोशिश करती है। दूसरे, प्राथमिकताओं को बदलना महत्वपूर्ण है: "चलो इस बग को तेजी से बंद करें" के बजाय, डेवलपर्स को जोखिम को दृढ़ता से ठीक करने के लिए प्रेरित किया जाता है। अन्यथा, यह नियमित रूप से पता चलता है कि पैच या तो समस्या को हल नहीं करता है, या नए बग जोड़ता है।

प्रोजेक्ट ज़ीरो में नया खुलासा भेद्यता रिपोर्टिंग नियम अब इस तरह दिखता है:



एक और महत्वपूर्ण परिवर्तन तय किया जा सकता है: नियम थोड़े अधिक जटिल हो गए हैं। वही 90-दिन की अवधि को 104 दिनों तक बढ़ाया जा सकता है - अगर विक्रेता कठिनाइयों का सामना कर रहा है, लेकिन अतिरिक्त दो सप्ताह में समस्या को हल कर सकता है। शून्य-दिन की कमजोरियों के लिए 7 दिनों की एक छोटी समय सीमा है: यदि सॉफ़्टवेयर में बग पर पहले से ही हमलावरों द्वारा शोषण किया जाता है, तो जनता से इसे छिपाने का कोई मतलब नहीं है। जटिल नियम सामान्य हैं, क्योंकि विभिन्न मामले हैं। उदाहरण के लिए, पैच में पहले की त्रुटियों को असंगत रूप से संसाधित किया गया था: या तो एक नई भेद्यता के रूप में, या पुराने के अतिरिक्त। अब उन्हें मौजूदा रिपोर्ट में जोड़ा जाएगा, भले ही यह पहले से ही सार्वजनिक रूप से उपलब्ध हो।

भेद्यता प्रकटीकरण का विषय, परिभाषा के अनुसार, परस्पर विरोधी है। एक सॉफ्टवेयर डेवलपर भेद्यता जानकारी को अपनी प्रतिष्ठा के लिए एक झटका बता सकता है। बग ढूंढने वाले एक शोधकर्ता पर "किसी और के दुर्भाग्य में पीआर" का आरोप लगाया जा सकता है। कम से कम, "सफेद टोपी" वाले विक्रेताओं के सिस्टम का काम शुरू होने से पहले, ज्यादातर मामलों में स्थिति बस यही थी। समय के साथ, धारणा बदल जाती है: कमजोरियां किसी भी सॉफ्टवेयर में मौजूद हैं। आप एक विशेष कंपनी का मूल्यांकन कर सकते हैं कि बग की संख्या कितनी है, लेकिन कितनी जल्दी वे बंद हो गए हैं। स्वतंत्र बग-हंटर्स के साथ बातचीत भी बेहतर हो रही है - दोनों बग बाउंटी कार्यक्रमों की मदद से और खेल के नियमों को स्थापित करने के लिए इस तरह के प्रयासों के माध्यम से।

हालांकि, इसका मतलब यह नहीं है कि सभी समस्याओं का समाधान किया गया है। क्या होगा यदि बग को बंद नहीं किया जा सकता है, जैसे कि Apple डिवाइस में चेकम 8 भेद्यता? क्या यह खुलासा करना नैतिक है कि पैच काम नहीं कर रहा है, और 90 दिनों की समय सीमा पहले ही समाप्त हो गई है? इसलिए, प्रोजेक्ट ज़ीरो ने नए नियमों में बीटा उपसर्ग जोड़ा और विक्रेताओं के साथ काम करने के परिणामों के अनुसार, भविष्य में उनके बदलाव को बाहर नहीं करता है। अब तक, परियोजना शून्य के अनुसार, 97.7% मामलों में भेद्यता को बंद करने के लिए एक नब्बे दिन की अवधि पर्याप्त है। हो सकता है कि यह हो सकता है, "पैच को जल्द से जल्द जारी करें" से दृष्टिकोण को बदलना "सुरक्षा को सुरक्षित रूप से बंद करना" अच्छी खबर है।

और क्या हुआ:

SHA-1 एन्क्रिप्शन एल्गोरिदम ( समाचार , अनुसंधान) को तोड़ने के लिए सस्ता हो गया है। शोधकर्ताओं ने 2017 में SHA-1 पर एक व्यावहारिक हमला किया, लेकिन तब सशर्त अमेज़ॅन की कीमतों पर आवश्यक कंप्यूटिंग शक्ति पर सैकड़ों हजारों डॉलर खर्च होंगे। नए काम ने इस राशि को सिद्धांत में $ 45 हजार और व्यवहारिक रूप से 75 हजार डॉलर तक घटा दिया है - क्षमता और प्रशिक्षण लागत की उप-अधिप्राप्ति खरीद को ध्यान में रखते हुए। हमला काफी वास्तविक है: यदि एल्गोरिथ्म का उपयोग पत्राचार को एन्क्रिप्ट करने के लिए किया जाता है, तो आप संदेशों को रोक सकते हैं। SHA-1 वेब पर लगभग पूरी तरह से समाप्त हो गया है, लेकिन अभी भी कई पुराने अनुप्रयोगों में उपयोग किया जाता है।

मालवेयरबाइट्स के शोधकर्ताओं ने सस्ते एंड्रॉइड स्मार्टफोन्स में एक बहुत ही कम खर्चीला पाया जो कि अमेरिकी मोबाइल ऑपरेटर ने गरीबों के समर्थन के लिए एक सरकारी कार्यक्रम के हिस्से के रूप में वितरित किया।

फ़ायरफ़ॉक्स 72 के नए संस्करण ने कई गंभीर बग को बंद कर दिया है और "फिंगरप्रिंटिंग" से निपटने के लिए टूल को लागू किया है - ब्राउज़र सेटिंग्स द्वारा उपयोगकर्ता की पहचान। ब्राउज़र वेब को दर्जनों पैरामीटर देता है, जिसमें उदाहरण के लिए, स्थापित फोंट और प्लगइन्स शामिल हैं। इन सेटिंग्स का संयोजन आपको उपयोगकर्ता को निर्धारित करने की अनुमति देता है, भले ही उसने कुकीज़ का उपयोग करके पहचान के मानक साधनों का उपयोग सीमित कर दिया हो। कंपनियों को सूचना के हस्तांतरण पर प्रतिबंध लगाने से समस्या हल हो गई, "जिसके बारे में यह ज्ञात है कि वे फिंगरप्रिंटिंग विधियों का उपयोग करते हैं।"

चेकप्वाइंट ने टिकटुक मैसेंजर की जांच की । पहले, चीनी सेना के साथ इस एप्लिकेशन को अमेरिकी सेना में उपयोग के लिए प्रतिबंधित किया गया था। एक कम राजनीतिकरण वाले चेकपॉइंट अध्ययन में गंभीर कमजोरियां पाई गईं, जिसमें किसी अन्य के खाते से हमलावर द्वारा वीडियो भेजने की क्षमता शामिल है। एक अन्य संदेशवाहक, टुटोक, जो संयुक्त अरब अमीरात में (अन्य सेवाओं पर प्रतिबंध के कारण) लोकप्रिय है, को Google Play Store से प्रतिबंधित कर दिया गया था, लेकिन फिर वापस लौटा - यह उपयोगकर्ता अनुबंध को बदलने के लिए पर्याप्त था, स्पष्ट रूप से यह कहते हुए कि कार्यक्रम, उदाहरण के लिए, अपने सर्वर पर एक पता पुस्तिका अपलोड करें उपयोगकर्ता।

फेसबुक ने "राजनीतिक" डिपफेक पर प्रतिबंध लगा दिया है । उदाहरण के लिए, सोशल नेटवर्क के नए नियमों के तहत, आप डोनाल्ड ट्रम्प के साथ एक संशोधित वीडियो पोस्ट नहीं कर सकते, लेकिन निकोलस केज के साथ। बाद वाला व्यंग्य की श्रेणी में आता है। मुझे आश्चर्य है कि वे कैसे निर्धारित करेंगे? तकनीकी विधियां विकास के अधीन हैं , और अब कल्पना से वास्तविकता को अलग करना आसान नहीं है।



Google ने अपने नेस्ट हब स्मार्ट होम ऑटोमेशन टूल के लिए Xiaomi वेबकैम को अस्थायी रूप से बंद कर दिया है । "कैशिंग की खराबी" के परिणामस्वरूप, नेस्ट हब के उपयोगकर्ता जो अपने Xiaomi कैमरे से जुड़े थे, वे अन्य कैमरों से वीडियो और छवियों को देखते थे जो उनके पास नहीं हैं।