सुरक्षा सप्ताह 04: विंडोज 10 में क्रिप्टो समस्याएं

पिछले सप्ताह मुख्य समाचार डिजिटल प्रमाणपत्रों के गलत सत्यापन से संबंधित विंडोज क्रिप्टो लाइब्रेरी में एक भेद्यता थी। इस समस्या को मंगलवार 14 जनवरी को जारी संचयी पैच द्वारा बंद कर दिया गया था। Microsoft के अनुसार, सूचना के प्रकटीकरण से पहले कोई वास्तविक हमले नहीं हुए थे। अमेरिकी राष्ट्रीय सुरक्षा एजेंसी द्वारा खोजी गई इतिहास में भेद्यता पहली बार प्रतीत होती है। अधिक सटीक रूप से, एनएसए संभवतः कमजोरियों की तलाश में लगा हुआ है और (संभवतः) नियमित आधार पर उनका शोषण करता है, लेकिन एनएसए की ओर से विक्रेता को सूचना का खुला हस्तांतरण पहली बार हुआ है।



भेद्यता विंडोज 10 और विंडोज सर्वर 2016/2019 के नवीनतम संस्करणों को प्रभावित करती है। CVSSv3 पैमाने पर, इसे 8.1 बिंदुओं पर रेट किया गया है - काफी गंभीरता से, लेकिन इससे भी बदतर घटनाएं हुई हैं। एक अप्रकाशित प्रणाली के लिए, यह एक अत्यधिक विश्वसनीय MiTM हमले की संभावना को खोलता है। यही है, आप उपयोगकर्ता को एक नकली वेबसाइट पर निर्देशित कर सकते हैं, ताकि ब्राउज़र प्रमाण पत्र की अनुपस्थिति या गलतता पर भी शपथ न ले। इसी तरह, एक नकली प्रमाण पत्र के साथ सॉफ्टवेयर को वैध के रूप में पहचाना जाएगा। यह रिमोट एक्सेस सेवाओं में पहले से खोजी गई कमजोरियों जितना खतरनाक नहीं है, लेकिन एनएसए और माइक्रोसॉफ्ट के बीच असामान्य सहयोग के लिए काफी खराब है।

प्राथमिक स्रोत:
समाचार
Microsoft बुलेटिन
Microsoft ब्लॉग पोस्ट विवरण
सलाहकार राष्ट्रीय सुरक्षा एजेंसी
अवधारणा का प्रमाण: एक , दो , तीन
ब्रायन क्रेब्स का एक लेख , जो भेद्यता और आगामी पैच की रिपोर्ट करने वाला पहला था

मजेदार तस्वीरें ( यहां से ):






स्क्रीनशॉट से यह स्पष्ट होता है कि समस्या क्या है। Crypt32.dll लाइब्रेरी में त्रुटि के कारण, दीर्घवृत्त घटता का उपयोग करके क्रिप्टोग्राफ़िक कुंजियों की जाँच करते समय Windows एक महत्वपूर्ण चरण छोड़ देता है। तदनुसार, अपना स्वयं का प्रमाण पत्र बनाना संभव हो जाता है, जिसे ऑपरेटिंग सिस्टम सही मानता है। Kudelski Security ने कमजोरियों की जाँच करने के लिए एक साइट बनाई है। पृष्ठ को एक नकली जीथब प्रमाणपत्र के साथ हस्ताक्षरित किया गया है, और पैच को स्थापित करने के बाद, ब्राउज़र को डोमेन और प्रमाणपत्र के बेमेल पर शपथ लेनी चाहिए। एक अप्रकाशित प्रणाली पर, प्रमाणपत्र को मान्य माना जाता है और पृष्ठ की सामग्री प्रदर्शित की जाती है:


भेद्यता की पहली रिपोर्टों ने दावा किया कि यह लगभग पिछले 20 वर्षों से विंडोज के सभी संस्करणों पर लागू होता है, लेकिन ऐसा नहीं है। Windows 10 के नवीनतम बिल्ड और Windows सर्वर के नवीनतम संस्करणों के केवल कुछ ही समर्थित हैं। विंडोज 7 को पैच नहीं करना था। और यह दिलचस्प होगा, क्योंकि इस महीने इस ऑपरेटिंग सिस्टम के लिए समर्थन समाप्त हो गया।


विंडोज क्रिप्टो लाइब्रेरी के साथ सॉफ़्टवेयर के इंटरैक्शन की सुविधाओं द्वारा भेद्यता का दायरा भी सीमित है। सभी मामलों में, आप तृतीय-पक्ष सॉफ़्टवेयर के डिजिटल हस्ताक्षर नकली कर सकते हैं। विंडोज सिस्टम अपडेट को नकली करना संभव नहीं है - वे एक अलग एन्क्रिप्शन एल्गोरिथ्म का उपयोग करते हैं। इंटरनेट एक्सप्लोरर, Microsoft एज ब्राउज़र और क्रोमियम इंजन के आधार पर किसी भी अन्य ब्राउज़र में वेबसाइटों के लिए नकली प्रमाणपत्र संभव है। फ़ायरफ़ॉक्स प्रभावित नहीं है, क्योंकि यह अपने स्वयं के प्रमाणपत्र सत्यापन प्रणाली का उपयोग करता है।


कुछ मामलों में, एंटी-वायरस सॉफ़्टवेयर प्रोग्राम की हानिरहितता के प्रमाण प्रमाण की उपस्थिति पर विचार करता है, इसलिए, एक भेद्यता सैद्धांतिक रूप से कंप्यूटर पर मैलवेयर संक्रमण की सुविधा दे सकती है। हालांकि, Kaspersky Lab के अनुसार, इस तरह की संख्या अपने उत्पादों के साथ काम नहीं करेगी। सामान्य तौर पर, हम यह कह सकते हैं कि इसने काम किया: अप्रकाशित सिस्टम एक गंभीर खतरे के अधीन हैं, लेकिन इसके लिए MiTM हमले के सफल संचालन के लिए परिस्थितियां बनाना आवश्यक है। बहुत अधिक खतरनाक इंटरनेट एक्सप्लोरर में एक बग हो सकता है, जो पहले से ही वास्तविक हमलों में उपयोग किया जाता है और जिसके लिए अभी तक कोई पैच नहीं है।

और क्या हुआ?

क्रिप्टो बग के साथ, दूरस्थ डेस्कटॉप सेवाओं में एक और गंभीर भेद्यता को बंद कर दिया गया था , जिसे सैद्धांतिक रूप से मनमाने कोड को निष्पादित करने के लिए इस्तेमाल किया जा सकता था।


सिस्को राउटर में महत्वपूर्ण भेद्यता के लिए एक सार्वजनिक शोषण दिखाई दिया है। 3 जनवरी को बंद की गई भेद्यता का उपयोग नेटवर्क डिवाइस पर पूर्ण नियंत्रण हासिल करने के लिए किया जा सकता है।

Wordpress (InfiniteWP Client और WP Time Capsule) के लिए प्लगइन्स में अगली महत्वपूर्ण कमजोरियाँ पाई गईं । लगभग 300 हजार साइटें प्रभावित होती हैं, बग आपको पासवर्ड दर्ज किए बिना व्यवस्थापक अधिकार प्राप्त करने की अनुमति देते हैं।

दो वर्षों के भीतर, Google अब तृतीय-पक्ष साइटों से कुकीज़ का समर्थन नहीं करेगा - अब यह विज्ञापन उद्देश्यों के लिए उपयोगकर्ता के व्यवहार को ट्रैक करने का मुख्य तरीका है।

पिछले हफ्ते, ऐप्पल ने फिर से एफबीआई के अनुरोध पर आतंकवादी के फोन को अनलॉक करने से इनकार कर दिया । पिछली बार ( 2016 में ), एफबीआई अपने दम पर कामयाब रही, लेकिन तब से Apple फोन की सुरक्षा में गंभीर सुधार हुआ है। यह अनिवार्य रूप से राष्ट्रीय सुरक्षा उद्देश्यों के लिए डेटा एन्क्रिप्शन विधियों के कमजोर होने के बारे में चर्चा का एक निरंतरता है।