এসএসএল বাগ সুরক্ষিত যোগাযোগের হুমকি দেয়

এসএসএল, সিকিওর সকেটস লেয়ারের সংক্ষিপ্ত, যা এইচটিটিপিএসে এস রাখে। সচেতন ব্যবহারকারীরা কোনও ওয়েবসাইটে সংবেদনশীল তথ্য প্রবেশের আগে ঠিকানা বারে এইচটিটিপিএস সন্ধান করতে জানেন। আমাদের সিকিউরিটি ওয়াচ পোস্টগুলি প্রায়শই এসএসএল ব্যবহার না করেই ব্যক্তিগত ডেটা প্রেরণ করে এমন অ্যান্ড্রয়েড অ্যাপগুলিকে সতর্ক করে দেয়। হায়, সম্প্রতি আবিষ্কৃত "হার্টলেসড" বাগ আক্রমণকারীদের এসএসএল-সুরক্ষিত যোগাযোগকে বাধা দিতে দেয়।

বাগটিকে হার্টবেলড বলা হয় কারণ এটি হার্টবিট নামে একটি বৈশিষ্ট্যে পিগব্যাক করে, বহুল ব্যবহৃত ওপেনএসএসএল ক্রিপ্টোগ্রাফিক লাইব্রেরির নির্দিষ্ট সংস্করণগুলিকে প্রভাবিত করে। হার্টবেল্ডকে রিপোর্ট করার জন্য যে ওয়েবসাইটটি তৈরি করা হয়েছিল সে অনুযায়ী, ওপেনএসএসএল ব্যবহার করে দুটি বৃহত্তম ওপেন সোর্স ওয়েব সার্ভারের সম্মিলিত বাজারের শেয়ারের পরিমাণ 66 66 শতাংশেরও বেশি। ওপেনএসএসএল ইমেল, চ্যাট সার্ভার, ভিপিএন এবং "বিভিন্ন ধরণের ক্লায়েন্ট সফ্টওয়্যার" সুরক্ষিত করতেও ব্যবহৃত হয়। সব জায়গা জুড়ে।

এটা খারাপ, সত্যই খারাপ

এই বাগের সুবিধা গ্রহণকারী একজন আক্রমণকারী সমস্ত গুরুত্বপূর্ণ এনক্রিপশন কী সহ প্রভাবিত সার্ভারের স্মৃতিতে সঞ্চিত ডেটা পড়ার ক্ষমতা অর্জন করে। ব্যবহারকারীর নাম এবং পাসওয়ার্ড এবং এনক্রিপ্ট করা সামগ্রীর সামগ্রিকতাও ক্যাপচার করা যায়। সাইটটির মতে, "এটি আক্রমণকারীদের যোগাযোগের উপর ছড়িয়ে পড়ে, পরিষেবা এবং ব্যবহারকারীদের থেকে সরাসরি ডেটা চুরি করতে এবং পরিষেবা এবং ব্যবহারকারীদের ছদ্মবেশ তৈরি করতে অনুমতি দেয়।"

সাইটটি লক্ষ্য করে চলেছে যে গোপন কীগুলি ক্যাপচার করা "আক্রমণকারীকে সুরক্ষিত পরিষেবাগুলিতে যে কোনও অতীত এবং ভবিষ্যতের ট্র্যাফিক ডিক্রিপ্ট করতে দেয়।" একমাত্র সমাধান হ'ল ওপেনএসএসএল এর অতি সাম্প্রতিক সংস্করণে আপডেট করা, চুরি হওয়া কীগুলি প্রত্যাহার করা এবং নতুন কীগুলি ইস্যু করা। তারপরেও, আক্রমণকারী অতীতে যদি এনক্রিপ্ট করা ট্র্যাফিকটিকে বাধা দেয় এবং সংরক্ষণ করে, তবে বন্দী কীগুলি এটি ডিক্রিপ্ট করবে।

কি করা যেতে পারে

এই বাগটি দুটি পৃথক গোষ্ঠী স্বাধীনভাবে আবিষ্কার করেছিল, কোডেনোমিকনের একজোড়া গবেষক এবং একটি গুগল সুরক্ষা গবেষক। তাদের দৃ strong় পরামর্শ হ'ল ওপেনএসএসএল এমন একটি সংস্করণ প্রকাশ করেছে যা হার্টবিট বৈশিষ্ট্যটিকে সম্পূর্ণ অক্ষম করে। নতুন সংস্করণটি চালু হওয়ার সাথে সাথে, অরক্ষিত স্থাপনাগুলি সনাক্ত করা যায় কারণ কেবলমাত্র তারা হৃৎস্পন্দনের সংকেতকে সাড়া দেবে, ফলে "দুর্বল পরিষেবাগুলির মালিকদের কাছে পৌঁছানোর জন্য বৃহত আকারের সমন্বিত প্রতিক্রিয়া""

সুরক্ষা সম্প্রদায় এই সমস্যাটিকে গুরুত্বের সাথে নিচ্ছে। উদাহরণস্বরূপ আপনি ইউএস-সিইআরটি (মার্কিন যুক্তরাষ্ট্রের কম্পিউটার জরুরী প্রস্তুতি দল) ওয়েবসাইটে এটির নোটগুলি পেয়ে যাবেন। আপনি নিজের সার্ভারগুলি এখানে ঝুঁকিপূর্ণ কিনা তা পরীক্ষা করতে পারেন।

হায়রে, এই গল্পটির কোনও শেষ নেই। আক্রমণটি কোনও চিহ্ন খুঁজে পায় না, সুতরাং কোনও ওয়েবসাইট সমস্যা সমাধানের পরেও, কুরুচিপূর্ণ ব্যক্তিরা ব্যক্তিগত ডেটা ব্যবহার করেছে কিনা তা বলার অপেক্ষা রাখে না। হার্টবেল্ড ওয়েবসাইটের মতে, কোনও আইপিএস (অনুপ্রবেশ প্রতিরোধ ব্যবস্থা) এর পক্ষে নিয়মিত এনক্রিপ্ট হওয়া ট্র্যাফিকের থেকে আক্রমণকে পৃথক করা কঠিন হবে। আমি জানি না কীভাবে এই গল্পটি শেষ হয়; আরও কিছু বলার পরে আমি ফিরে রিপোর্ট করব।