دل دہلا ہوا آسانی سے استحصال کرنا آسان ہے

ہفتہ میں جب سے محققین نے اوپن ایس ایل میں دل کی وجہ سے کمزور ہونے کا انکشاف کیا ہے ، اس بارے میں بہت چرچا ہوچکی ہے کہ حملہ کرنے والے کس طرح کی اطلاع پر واقعی اس مسئلے کا استحصال کرکے حاصل کرسکتے ہیں۔ بہت کچھ بدل جاتا ہے۔

جیسا کہ سیکیورٹی واچ نے پہلے نوٹ کیا ہے ، ہارٹلیڈ اوپن ایس ایل میں ایک بگ کا نام ہے جو کمپیوٹر کی یادداشت میں معلومات لیک کرتا ہے۔ (خامی کی وضاحت کرتے ہوئے ایکس کے سی ڈی کی عمدہ مزاحیہ ملاحظہ کریں) محققین نے پتہ چلا کہ لاگ ان کی اسناد ، صارف کی معلومات اور دیگر معلومات کو خامی کا استحصال کرکے روکا جاسکتا ہے۔ ماہرین کا خیال تھا کہ اس طرح بھی سرور کی نجی کلید حاصل کرنا ممکن ہوگا۔

سرٹیفکیٹ اور نجی چابیاں اس بات کی تصدیق کے ل are استعمال کی جاتی ہیں کہ کمپیوٹر (یا موبائل ڈیوائس) کسی جائز ویب سائٹ سے منسلک ہورہا ہے اور یہ کہ تمام معلومات کو خفیہ کردہ ہے۔ براؤزر ایک پیڈلاک کے ساتھ محفوظ کنکشن کی نشاندہی کرتے ہیں اور اگر سرٹیفکیٹ غلط ہے تو انتباہ ظاہر کرتے ہیں۔ اگر حملہ آور نجی چابیاں چوری کرسکتے ہیں تو ، وہ ایک جعلی ویب سائٹ قائم کرسکتے ہیں جو جائز اور صارف کے حساس ڈیٹا کو روکنے کے ل. نظر آتی ہے۔ وہ خفیہ کردہ نیٹ ورک ٹریفک کو بھی ڈکرائیٹ کرسکیں گے۔

سیکیورٹی واچ ٹیسٹ

یہ جاننے کے لئے دلچسپ کہ ہم اوپن ایس ایل کا ایک کمزور ورژن چلانے والے سرور کے ساتھ کیا کرسکتے ہیں ، ہم نے کالی لینکس کی ایک مثال شروع کی اور میپاسپلاٹ کے لئے ہارٹلیبل ماڈیول لوڈ کیا ، جو ریپڈ 7 سے دخول جانچنے کا فریم ورک ہے۔ بگ استحصال کرنے کے لئے کافی آسان تھا ، اور ہمیں کمزور سرور کی یادداشت سے ڈور موصول ہوا۔ ہم سرور پر مختلف کام انجام دیتے ہوئے بار بار درخواستوں کے ساتھ سرور کو ہٹتے رہنے کے عمل کو خودکار بناتے ہیں۔ پورے دن ٹیسٹ چلانے کے بعد ، ہم نے کافی ڈیٹا اکٹھا کیا تھا۔

صارف نام ، پاس ورڈ اور سیشن IDs حاصل کرنا کافی آسان نکلا ، حالانکہ وہ اس میں دفن ہوچکے ہیں جیسے پوری طرح سے goblygook کی طرح لگتا ہے۔ ایک حقیقی زندگی کے منظر نامے میں ، اگر میں حملہ آور ہوتا تو ، بہت ساری تکنیکی مہارت کی ضرورت کے بغیر ، اسناد بہت جلد اور چوری سے چوری ہوسکتی ہیں۔ اس میں قسمت کا ایک عنصر شامل ہے ، حالانکہ چونکہ درخواست کو سرور کو صحیح وقت پر مارنا پڑا جب کوئی شخص "میموری میں" معلومات حاصل کرنے کے لئے سائٹ میں لاگ ان ہو رہا تھا یا بات چیت کررہا تھا۔ سرور نے میموری کے دائیں حصے کو بھی نشانہ بنانا تھا ، اور ابھی تک ، ہم نے اس پر قابو پانے کا کوئی طریقہ نہیں دیکھا ہے۔

ہمارے جمع کردہ ڈیٹا میں کوئی نجی کلیدیں نہیں دکھائی گئیں۔ ٹھیک ہے نا؟ اس کا مطلب یہ ہے کہ ہمارے بدترین صورتحال کے خدشات کے باوجود ، کمزور سرورز سے چابیاں یا سرٹیفکیٹ پکڑنا آسان نہیں ہے Heart اس سب سے دل کی وجہ سے چلنے والی دنیا میں پریشان ہونے کے ل to ہم سب کے ل- ایک کم چیز۔

یہاں تک کہ کلاؤڈ فلایر کے ہوشیار لوگ ، ایک کمپنی جو ویب سائٹوں کو سیکیورٹی کی خدمات فراہم کرتی ہے ، اس پر متفق نظر آتے ہیں کہ یہ آسان عمل نہیں تھا۔ ناممکن نہیں ، لیکن کرنا مشکل ہے۔ کلاؤڈ فلایر کے سسٹم انجینئر ، نک سلیوان ، نے ابتدائی طور پر لکھا ، "ہم نے زیادہ تر وقت گزارا ہے کہ یہ معلوم کرنے کے لئے کہ ہارٹلیڈ کے ذریعہ کیا بے نقاب کیا جاسکتا ہے اور خاص طور پر ، نجی ایس ایس ایل کے کلیدی اعداد و شمار کو خطرہ لاحق ہوسکتا ہے۔ کمپنی کا بلاگ پچھلے ہفتے سلیوان نے مزید کہا ، "اگر یہ ممکن ہے تو ، یہ کم از کم بہت مشکل ہے۔"

کمپنی نے پچھلے ہفتے ایک کمزور سرور قائم کیا اور سیکیورٹی برادری سے کہا کہ وہ ہارٹلیڈ بگ کا استعمال کرتے ہوئے سرور کی نجی خفیہ کاری کی کو حاصل کرنے کی کوشش کرے۔

لیکن ، دراصل…

اب ہجوم سورسنگ کی طاقت آتی ہے۔ کلاؤڈ فلایر نے اپنے چیلنج کو قائم کرنے کے نو گھنٹے بعد ، ایک سیکیورٹی محقق نے سرور کو ڈھائی لاکھ درخواستیں بھیجنے کے بعد نجی کلید کامیابی کے ساتھ حاصل کی۔ سلیوان نے بتایا کہ ایک دوسرا محقق کم درخواستوں کے ساتھ بھی ایسا ہی کرنے میں کامیاب رہا۔ ہفتے کے آخر میں دو اور محققین نے اس کی پیروی کی۔

سلیوان نے کہا ، "یہ نتیجہ ہمیں بھیڑ کی طاقت کو کم نہ کرنے کی یاد دلاتا ہے اور اس خطرے سے پیدا ہونے والے خطرے پر زور دیتا ہے۔"

ہم اپنے ٹیسٹ سیٹ اپ پر واپس چلے گئے۔ اس بار ، ہم نے ارٹا سیکیورٹی کے سی ای او رابرٹ گراہم کی جانب سے دل کا پروگرام استعمال کیا۔ اس میں گھنٹوں لگے ، بہت ساری بینڈوتھ کھائی گئی ، اور بہت سارے اعداد و شمار پیدا ہوئے ، لیکن آخر کار ہم نے اس کی کلید حاصل کرلی۔ اب ہمیں دوسرے سرورز کے خلاف جانچ کرنے کی ضرورت ہے تاکہ یہ یقینی بنایا جاسکے کہ یہ کوئی عارضہ نہیں تھا۔ سیکیورٹی واچ اس بات کی بھی کھوج کرے گی کہ اوپن ایس ایل ایل روٹرز اور دیگر نیٹ ورکنگ آلات پر انسٹال ہونے کی حقیقت سے ان آلات کو کس طرح خطرہ لاحق ہے۔ جب ہمارے پاس مزید نتائج ہوں گے تو ہم تازہ کاری کریں گے۔

گراہم نے کہا کہ امکان نہیں ہونے کے بجائے ، "کوئی بھی آسانی سے نجی کلید حاصل کرسکتا ہے۔" یہ ایک خوفناک سوچ ہے۔