সমস্ত জিনিস প্যাচ! নতুন কপিড কৌশলটি হৃদয়যুক্ত বাগটি ব্যবহার করে

এপ্রিল মাসে, আমরা শিখেছি যে জনপ্রিয় ওপেনএসএসএল কোড লাইব্রেরিতে একটি বাগ আক্রমণকারীদের মনে করা সুরক্ষিত সার্ভারগুলি থেকে সম্ভাব্যভাবে লগইন শংসাপত্র, ব্যক্তিগত কী এবং আরও অনেক কিছু ক্যাপচার করতে পারে sc "হার্টবেলড" হিসাবে ডাব হওয়া, এই বাগটি আবিষ্কার হওয়ার আগে কয়েক বছর ধরে বিদ্যমান ছিল। এই বাগের বেশিরভাগ আলোচনাই ধরে নিয়েছিল যে হ্যাকাররা এটি নিরাপদ সার্ভারের বিরুদ্ধে ব্যবহার করবে। তবে, একটি নতুন প্রতিবেদন দেখিয়েছে যে এটি লিনাক্স এবং অ্যান্ড্রয়েড চলমান সার্ভার এবং শেষ পয়েন্ট উভয়ই সহজেই ব্যবহার করা যেতে পারে।

সিসওয়ালুর গবেষক লুইস গ্রানজিয়া একটি প্রুফ-অফ-কনসেপ্ট কোড লাইব্রেরি তৈরি করেছিলেন যার নাম তিনি "কপিড"। কমপিডে বিদ্যমান লিনাক্স কোড লাইব্রেরিতে দুটি প্যাচ রয়েছে। একটি "দুষ্টু সার্ভার" কে দুর্বল লিনাক্স এবং অ্যান্ড্রয়েড ক্লায়েন্টগুলিতে হার্টলেবলদের শোষণ করার অনুমতি দেয়, অন্যটি একটি "দুষ্ট ক্লায়েন্ট" কে লিনাক্স সার্ভারগুলিতে আক্রমণ করার অনুমতি দেয়। গ্রেঞ্জিয়া সোর্স কোডটি নিখরচায় উপলভ্য করে তুলেছে, এই আশায় যে অন্যান্য গবেষকরা কী ধরণের আক্রমণগুলি সম্ভব তা সম্পর্কে আরও জানার জন্য যোগ দেবেন।

সবগুলিই ক্ষতিগ্রস্থ নয়

এক্সক্লুসিভ অথেনটিকেশন প্রোটোকল (EAP) ব্যবহার করে এমন ওয়্যারলেস নেটওয়ার্কগুলির বিরুদ্ধে কাজিড বিশেষত কাজ করে। আপনার বাড়ির ওয়্যারলেস রাউটারটি অবশ্যই অবশ্যই EAP ব্যবহার করে না, তবে বেশিরভাগ এন্টারপ্রাইজ-স্তর সমাধানগুলি তা করে। গ্রানজিয়ার মতে, এমনকি কিছু তারযুক্ত নেটওয়ার্কগুলি EAP ব্যবহার করে এবং তাই এটি ঝুঁকিপূর্ণ হবে।

কাপিড কোড সহ একটি সিস্টেম প্যাচডের স্মৃতি থেকে ডেটা ধরার তিনটি সুযোগ রয়েছে। সুরক্ষিত সংযোগ তৈরি হওয়ার আগে এটি আক্রমণ করতে পারে যা কিছুটা উদ্বেগজনক। সুরক্ষা প্রতিষ্ঠিত হ্যান্ডশেকের পরে এটি আক্রমণ করতে পারে। অথবা অ্যাপ্লিকেশন ডেটা ভাগ করার পরে এটি আক্রমণ করতে পারে।

কেবলমাত্র একটি কাজিড সজ্জিত ডিভাইস কী কী ক্যাপচার করতে পারে তা সম্পর্কে, গ্রানজিয়ার ব্যাপকভাবে এটি নির্ধারণ করা যায়নি, যদিও "অভিশাপের তদন্তে দুর্বল ক্লায়েন্ট এবং সার্ভার উভয়েরই আকর্ষণীয় জিনিস পাওয়া গেছে।" এই "আকর্ষণীয় স্টাফ "গুলিতে ব্যক্তিগত কী বা ব্যবহারকারীর শংসাপত্রগুলি অন্তর্ভুক্ত থাকতে পারে তা এখনও জানা যায়নি। উত্স কোড প্রকাশের কারণের অংশটি হ'ল এই জাতীয় বিশদ আবিষ্কার করার জন্য আরও মস্তিষ্কের কাজ করা।

আপনি কি করতে পারেন?

Android 4.1.0 এবং 4.1.1 উভয়ই ওপেনএসএসএল এর একটি দুর্বল সংস্করণ ব্যবহার করে vulne ব্লুবক্সের একটি প্রতিবেদন অনুসারে, পরবর্তী সংস্করণগুলি প্রযুক্তিগতভাবে দুর্বল, তবে হার্টবিট মেসেজিং সিস্টেমটি অক্ষম করা হয়েছে, যা হার্টবেল্ডকে শোষণ করার জন্য কিছুই দেয় না।

যদি আপনার অ্যান্ড্রয়েড ডিভাইসটি 4.1.0 বা 4.1.1 চলছে, সম্ভব হলে আপগ্রেড করুন। যদি তা না হয়, গ্র্যাঞ্জিয়া পরামর্শ দেয় যে "আপনি যদি আপনার রম আপগ্রেড না করেন তবে আপনার অজানা ওয়্যারলেস নেটওয়ার্কগুলির সাথে সংযোগ এড়ানো উচিত""

ওপেনএসএসএল প্যাচ না করা থাকলে লিনাক্স সিস্টেমগুলি ওয়্যারলেস মাধ্যমে সংযোগকারীগুলি দুর্বল। এই জাতীয় সিস্টেমগুলি যারা ব্যবহার করছেন তাদের প্যাচটি ঠিক আছে কিনা তা নিশ্চিত করার জন্য ডাবল-চেক করা উচিত।

EAP ব্যবহার করে এমন কর্পোরেট নেটওয়ার্কগুলির বিষয়ে গ্রানজিয়া পরামর্শ দেয় যে তারা সিস্টেভ্যালু বা অন্য কোনও এজেন্সি দ্বারা সিস্টেমটি পরীক্ষা করে।

ম্যাকস, উইন্ডোজ বাক্স এবং আইওএস ডিভাইসগুলি প্রভাবিত হয় না। একবারের জন্য, এটি লিনাক্স যা সমস্যায় আছে। আপনি গ্রানজিয়ার সম্পূর্ণ পোস্টটি এখানে পড়তে বা এখানে একটি স্লাইডশো উপস্থাপনা দেখতে পারেন। আপনি যদি নিজেই একজন গবেষক হন তবে আপনি কোডটি ধরে নিয়ে কিছুটা পরীক্ষা-নিরীক্ষা করতে চাইতে পারেন।