सुरक्षा सप्ताह 15: ज़ूम रियल और काल्पनिक कमजोरियाँ

गुरुवार, 2 अप्रैल को, द गार्जियन ने जूम के वेब कॉन्फ्रेंसिंग प्लेटफॉर्म पर अपने प्रभावशाली नंबर साझा किए: ट्रैफिक अटेंडेंस में 535% की वृद्धि हुई। निश्चित रूप से जूम प्रतियोगियों की तुलना में बेहतर था, स्थिति का लाभ उठाने में सक्षम था, अगर पैसे में नहीं, तो लोकप्रियता और उपयोगकर्ताओं की संख्या में वृद्धि। इस सफलता का कारण कुछ तकनीकी लाभों के बजाय प्रभावी विपणन (उदाहरण के लिए, मुफ्त टैरिफ विकल्प की उपलब्धता) था। सब कुछ ठीक होगा अगर यह द गार्जियन में एक ही लेख की विशेषता शीर्षक के लिए नहीं थे: "ज़ूम मैलवेयर है।"

आइए इसे सीधा करें: ज़ूम मैलवेयर नहीं है। यह पहली बार नहीं है जब कंपनियों ने प्रचार के मद्देनजर सूचना सुरक्षा विशेषज्ञों का ध्यान आकर्षित किया है, लेकिन पिछले हफ्ते जूम की खामियों की चर्चा पूरी पार्टी का मुख्य मनोरंजन थी। संक्षेप में: ज़ूम एन्क्रिप्शन परक्राम्य है, लेकिन पर्याप्त मजबूत नहीं है, और निश्चित रूप से एंड-टू-एंड के रूप में योग्य नहीं हो सकता है। सॉफ्टवेयर में गंभीर और कमजोर कमजोरियों के एक समूह की खोज की गई। सेवा की कुछ विशेषताएं गोपनीयता के बारे में सवाल उठाती हैं - डेटा चीन में एक सर्वर से गुजरना और लिंक्डइन के साथ एकीकरण। भयानक कुछ भी नहीं है, लेकिन फिर से यह स्पष्ट हो जाता है कि डिजिटल सेवा की सुरक्षा अभी भी इसकी सफलता की कुंजी नहीं है।

के एक अप्रैल फूल के साथ समीक्षा शुरू करते हैं (लेकिन हास्य नहीं) लेखएडिशन वाइस: यह एक बग के बारे में बात करता है जो संपर्कों के रिसाव की ओर जाता है, जो सामान्य तौर पर, जैसा कि अक्सर होता है, एक विशेषता है। प्रारंभ में, ज़ूम और टेलीकांफ्रेंस आयोजित करने के किसी भी अन्य साधनों पर सख्ती से निगमों पर ध्यान केंद्रित किया गया था: किसी को भी उम्मीद नहीं थी कि वे कराटे पार्टियों को ऑनलाइन शुरू करेंगे। ज़ूम की एक कंपनी है, जिसे कंपनी डायरेक्टरी कहा जाता है: जैसे ही आप वर्क मेल का उपयोग करके पंजीकरण करते हैं, उसी डोमेन के सभी संपर्क स्वचालित रूप से दिखाई देते हैं। यदि आप व्यक्तिगत मेल का उपयोग करते हैं, तो आपको बड़ी संख्या में आम उपयोगकर्ताओं तक पहुंच मिलती है, और आपका पूरा नाम और मेलिंग पता उनके लिए उपलब्ध है। लोकप्रिय मेल सेवाओं जैसे GMail या Yahoo के लिए, यह काम नहीं करता है, लेकिन यदि आपका व्यक्तिगत मेल, उदाहरण के लिए, स्थानीय इंटरनेट प्रदाता के डोमेन पर स्थापित है, तो आपको संपर्क सूची में कई सौ "सहकर्मी" दिखाई देंगे।

हम और आगे बढ़ें। पिछले अंक में, हमने बताया कि ज़ूम फेसबुक को उपयोगकर्ता टेलीमेट्री भेज रहा था, लेकिन जनता के दबाव में, उसने ऐसा करना बंद कर दिया। 31 मार्च को, संयुक्त राज्य अमेरिका में हाल ही में अपनाया गया कैलिफोर्निया डेटा गोपनीयता अधिनियम का उल्लंघन करने के लिए जूम पर मुकदमा दायर किया गया था । कथित तौर पर यह सेवा उपयोगकर्ताओं को इस बारे में सूचित नहीं करती थी कि यह कैसे प्रक्रिया करता है और यह जानकारी कहां भेजता है।

2 अप्रैल को, न्यूयॉर्क टाइम्स ने रिपोर्ट कियायह फेसबुक इसके लिए सीमित नहीं था। ज़ूम में लिंक्डइन के साथ एकीकरण भी था, जिससे कॉन्फ्रेंस कॉल आयोजकों (लिंक्डइन सेल्स नेविगेटर भुगतान पैकेज के साथ) को स्वचालित रूप से डाक पते पर लिंक्डइन पर कॉलर प्रोफाइल खोजने की अनुमति मिली। यह डराने वाला लगता है, लेकिन वास्तव में यह एक पारंपरिक विपणन उपकरण है, जो कंपनी के ग्राहकों के साथ बिक्री प्रबंधक के रूप में ज़ूम पर काम करते समय पर्याप्त है। बड़े पैमाने पर वेबिनार रखने पर, यह वास्तव में गोपनीयता मानकों के उल्लंघन की तरह दिखता है: लगभग लाखों नए ज़ूम उपयोगकर्ताओं में से कोई भी ऐसी विशेषताओं के बारे में नहीं जानता है। हालांकि, हम शायद ही किसी डिजिटल सेवाओं में प्रोफाइलिंग के पैमाने का एहसास करते हैं, भले ही इसे EULA में विस्तार से वर्णित किया गया हो। सुविधा को तुरंत सेवा से हटा दिया गया था।

आगे और भी बुरा। 30 मार्च, जाने-माने सुरक्षा विशेषज्ञ पैट्रिक वार्डल एक लेख लिखते हैंविशेषता नाम के साथ "शब्द ज़ूम में, अक्षर B सुरक्षा के बारे में है।" उन्होंने मैकओएस के लिए जूम क्लाइंट में दो मध्यम खतरनाक कमजोरियों की खोज की। गैर-मानक क्लाइंट इंस्टॉलेशन विधि स्थानीय उपयोगकर्ता को विकलांगों को रूट विशेषाधिकार प्राप्त करने की अनुमति देती है। शोधकर्ता के अनुसार, स्थापना के दौरान उपयोगकर्ता इनपुट को कम करने के लिए जूम ऑथराइजेशनटेक्स्ट वाइटप्राइवेज एपीआई का उपयोग करता है, जो अब उपयोग के लिए अनुशंसित नहीं है। नतीजतन, सुपरसुअर अधिकारों के साथ लॉन्च की गई निष्पादन योग्य फ़ाइल (इंस्टॉलर) की जांच नहीं की जाती है, और इसे आसानी से किसी अन्य कोड से बदला जा सकता है। जूम क्लाइंट में MacOS X के लिए सुरक्षित सॉफ़्टवेयर लिखने के लिए मानक प्रथाओं को दरकिनार करने के कारण दूसरी भेद्यता भी हुई, और परिणाम एक वेब कैमरा और माइक्रोफ़ोन से छवि और ध्वनि कैप्चर करने की क्षमता थी। फिर से, प्रदान की गईवह कंप्यूटर एक शिकार हैपहले से ही समझौता। "यदि आपका कंप्यूटर हैक किया गया था, तो आप उस पर कुछ भी कर सकते हैं।" दोनों भेद्यताएं 2 अप्रैल को बंद हैं।

इस तरह के प्रत्येक प्रकाशन में, ज़ूम पिछले पापों को याद करता है: वेब सर्वर जिसे क्लाइंट के साथ macOS पर स्थापित किया गया था और स्थापना रद्द करने के दौरान हटाया नहीं गया था (Apple को सर्वर को हटाने के लिए मजबूर करने के लिए एक पैच जारी करना पड़ा था, क्योंकि यह स्वाभाविक रूप से कमजोर था), और वेब का समावेश उपयोगकर्ता को लुभाने के लिए बाद में खोजे गए तंत्र के साथ, वेब कॉन्फ्रेंस से कनेक्ट होने पर डिफ़ॉल्ट कैमरे। समस्याओं को लंबे समय से हल किया गया है, लेकिन जो "हमेशा ज़ूम के साथ गोपनीयता के साथ सब कुछ बुरा था" जैसे बयानों के लिए अवसर बन गए हैं।

BleepingComputer वेबसाइट विंडोज के लिए जूम क्लाइंट में कमजोरियों की रिपोर्ट करती है । उपयोगकर्ता सेवा की चैट में लिंक का आदान-प्रदान कर सकते हैं, और ज़ूम क्लाइंट लिंक को क्लिक करने योग्य बनाता है, जिसमें नेटवर्क फ़ोल्डर या यहां तक ​​कि स्थानीय फ़ाइलों के लिंक भी शामिल हैं, तथाकथित यूएनसी। सैद्धांतिक रूप से, आप ऐसी स्थिति की कल्पना कर सकते हैं जहां सार्वजनिक फ़ाइल सर्वर का लिंक चैट के लिए भेजा जाता है। जब आप उस पर क्लिक करते हैं, तो डिफ़ॉल्ट सेटिंग्स वाले सर्वर, विंडोज को एक उपयोगकर्ता नाम और उसका पासवर्ड प्राप्त होगा।

आप आगे जा सकते हैं और एक स्थिति की कल्पना कर सकते हैं जिसमें एक लिंक उपयोगकर्ता के कंप्यूटर पर कोड निष्पादित करेगा। व्यवहार में, ज़ूम के लिए मौजूदा, गैर-मानक परिस्थितियों में एक हमला संभव है: जब खराब कॉन्फ़िगर सुरक्षा और एक असंगत दर्शकों के साथ सार्वजनिक सम्मेलन कॉल होते हैं।

चलिए भारी तोपखाने की ओर बढ़ते हैं। CitizenLab ने एक विस्तृत ज़ूम सुरक्षा रिपोर्ट प्रकाशित की है । यह सेवा की व्यक्तिपरक "सुविधाओं" का वर्णन करता है: चीन में विकास, हालांकि कंपनी अमेरिकी है; जब ग्राहक नहीं होते तब भी चीनी सर्वर को डेटा भेजना (बाद में जूम ने इसे तकनीकी त्रुटि के रूप में मान्यता दी )। लेकिन अध्ययन का मुख्य विषय बातचीत एन्क्रिप्शन है, जिसे ज़ूम ने लंबे समय तक एंड-टू-एंड कहा है। सबसे पहले, यह पूरी तरह से क्रॉस-कटिंग नहीं है, क्योंकि ज़ूम सर्वर पर चाबियाँ उत्पन्न होती हैं। दूसरे, मूल रूप से प्रलेखन में निर्दिष्ट एईएस -256 एन्क्रिप्शन एल्गोरिदम के बजाय, एईएस -128 ईसीबी मोड में उपयोग किया जाता है ।

प्राचीन कोडबुक एन्क्रिप्शन विधि की तुलना में यह सरल एन्क्रिप्शन विधि, मूल अनएन्क्रिप्टेड डेटा के पैटर्न को संरक्षित करती है। यह ऊपर के ट्वीट में या नीचे विकिपीडिया से चित्र में सबसे अच्छी तरह से चित्रित किया गया है: हालांकि डेटा एन्क्रिप्ट किया गया है, यहां तक ​​कि डिक्रिप्शन के बिना भी आप वीडियो स्ट्रीम की सामग्री का अंदाजा लगा सकते हैं।

सामान्य तौर पर, यह स्पष्ट है कि सुरक्षा विशेषज्ञ ज़ूम को पसंद क्यों नहीं करते हैं: यहां आपके पास अतीत में उपयोगकर्ता के कंप्यूटर (Apple कंप्यूटरों पर एक अपरिहार्य वेब सर्वर) और व्यक्तिगत डेटा के उपयोग के बारे में समझदार जानकारी की कमी और भ्रामक के साथ अपूर्ण बचाव के बारे में संदिग्ध व्यवहार है। विवरण। मुख्य शिकायत: उपयोगकर्ता गोपनीयता ज़ूम डेवलपर्स की मुख्य प्राथमिकता नहीं है, लेकिन "कार्य सूची" के पहले सौ के अंत में कहीं है। वास्तव में कुछ भी भयानक नहीं है (जैसे एन्क्रिप्शन के बिना डेटा ट्रांसफर)।

ऐसे सभी "अध्ययनों" पर चर्चा करते समय, "अब हम उन्हें दिखाएंगे" दृष्टिकोण के खिलाफ तर्क प्रस्तुत किए गए हैं, जो थोड़ा हिस्टेरिकल है। स्वतंत्र शोधकर्ताओं के लिए विक्रेता के साथ बातचीत करने के लिए मानक तरीके हैं, और भेद्यता जानकारी का खुलासा करने के लिए नैतिकता। एक वायरल (कंप्यूटर नहीं) महामारी की स्थिति में अलग से किए जाने की आवश्यकता क्यों है? हो सकता है, इसके विपरीत, यह विक्रेता की प्रतिक्रिया के लिए प्रतीक्षा समय बढ़ाने के लायक है? क्योंकि, स्पष्ट रूप से, कोई भी डिजिटल सेवा प्रदाता अब मुख्य रूप से चिंतित है कि सर्वर उपयोगकर्ताओं की आमद का सामना कर रहे हैं। अंत में, पिछले सप्ताह की खोजों में से एक ज़ूम और इसी तरह की सेवाओं के लिए रवैया नहीं बदलता है। कराओके पार्टी के लिए, वे कॉर्पोरेट वार्तालापों के लिए भी महान हैं, हालांकि, कर्मचारियों को बुनियादी सुरक्षा मानकों में प्रशिक्षित करना उचित है। खैर, उदाहरण के लिए, आधिकारिक साइट से क्लाइंट डाउनलोड करें, और कहीं से भी नहीं।गुप्त मामलों पर संवेदनशील बातचीत के लिए, आपको अनिवार्य सुरक्षा ऑडिट के साथ एक सेवा (या अपना खुद का) बढ़ाने की आवश्यकता है, और Google खोज में पहले लिंक पर क्लिक न करें।

वैसे, विक्रेता की प्रतिक्रिया, पर्याप्त से अधिक हो गई: 1 अप्रैल को, कंपनी ने घोषणा की कि वह तीन महीनों के लिए नई कार्यक्षमता के विकास को निलंबित कर देगी और बग फिक्सिंग और सुरक्षा के साथ निकटता से व्यवहार करेगी।

और क्या हुआ?

प्रकाशन थ्रेटपोस्ट ने एक महामारी में गोपनीयता के बारे में साइट पर एक सर्वेक्षण के परिणामों को अभिव्यक्त किया । 25% उत्तरदाता गोपनीयता की कीमत पर स्वास्थ्य को प्राथमिकता देने के लिए तैयार हैं (उदाहरण के लिए, चिकित्सा डेटा साझा करने के लिए)। और यह दर्शकों के बीच है, जो व्यक्तिगत डेटा पर किसी भी प्रयास के लिए पारंपरिक रूप से संवेदनशील है। फ़ायरफ़ॉक्स और क्रोम

ब्राउज़र में कमजोरियाँ बंद हो जाती हैं । फ़ायरफ़ॉक्स ने गंभीर समस्याओं को मनमाना कोड के संभावित निष्पादन के साथ पैच किया है, जो वास्तविक हमलों में सक्रिय रूप से उपयोग किए जाते हैं। प्रतिनिधि इंटरनेट कंपनियों (अकामाई, एडब्ल्यूएस, क्लाउडफेयर, फेसबुक) का विलय हो गया

नेटवर्क ट्रैफ़िक की सुरक्षा में सुधार और बीजीपी रूटिंग प्रोटोकॉल की खामियों को ठीक करने के नाम पर, जो पहले बार-बार "ट्रैफ़िक अपहरण" के लिए जाता था - गलती से या जानबूझकर भी एक मनमाना नेटवर्क गेटवे के माध्यम से डेटा पैकेटों को पुनर्निर्देशित करना।

एक नया बग में पाया गया है प्लगइन वर्डप्रेस, रैंक गणित एसईओ-अनुकूलक के लिए। आप साइट पर पंजीकृत किसी भी उपयोगकर्ता को व्यवस्थापक के रूप में दूरस्थ रूप से नियुक्त कर सकते हैं, या वास्तविक व्यवस्थापक से अधिकार छीन सकते हैं।

अमेरिकन एविएशन सुपरविज़न एजेंसी (FAA) ने बोइंग 787 के कंट्रोल सिस्टम को हर 51 दिनों में एक बार रीसेट करने के लिए एक आवश्यक निर्देश एयरलाइंस को भेजा । कारण, सबसे अधिक संभावना, विमानन में अन्य समान मामलों में भी यही है और न केवल: समय काउंटर अतिप्रवाह।