যখন এনক্রিপশন সাহায্য করবে না: আমরা ডিভাইসে শারীরিক অ্যাক্সেস সম্পর্কে কথা বলি

ফেব্রুয়ারিতে, আমরা নিবন্ধটি প্রকাশ করেছি “একা ভিপিএন নয়। কীভাবে নিজেকে এবং আপনার ডেটা রক্ষা করবেন তার একটি প্রতারণার শীট।" মন্তব্য এক আমাদের নিবন্ধটির ধারাবাহিকতা লিখতে অনুরোধ করেছে। এই অংশটি তথ্যের সম্পূর্ণ স্বাধীন উৎস, কিন্তু আমরা এখনও সুপারিশ করছি যে আপনি উভয় পোস্টই পড়বেন।

একটি নতুন পোস্ট ইনস্ট্যান্ট মেসেঞ্জার এবং অ্যাপ্লিকেশনগুলির সাথে কাজ করার জন্য ব্যবহৃত ডিভাইসগুলিতে ডেটা সুরক্ষা (পত্রালাপ, ফটো, ভিডিও, এই সমস্ত) সমস্যাটির জন্য উত্সর্গীকৃত।

বার্তাবাহক

Telegram

2018 সালের অক্টোবরে, ওয়েক টেকনিক্যাল কলেজের প্রথম বর্ষের ছাত্র নাথানিয়েল সাচি আবিষ্কার করেছিলেন যে টেলিগ্রাম মেসেঞ্জার স্থানীয় কম্পিউটার ড্রাইভে বার্তা এবং মিডিয়া ফাইলগুলি পরিষ্কার পাঠ্যে সংরক্ষণ করে।

শিক্ষার্থী পাঠ্য এবং ছবি সহ তার নিজস্ব চিঠিপত্র অ্যাক্সেস করতে সক্ষম হয়েছিল। এটি করার জন্য, তিনি এইচডিডিতে সংরক্ষিত অ্যাপ্লিকেশন ডেটাবেসগুলি অধ্যয়ন করেছিলেন। দেখা গেল যে ডেটা পড়া কঠিন ছিল, কিন্তু এনক্রিপ্ট করা হয়নি। এবং ব্যবহারকারী অ্যাপ্লিকেশনটির জন্য একটি পাসওয়ার্ড সেট করলেও সেগুলি অ্যাক্সেস করা যেতে পারে।

প্রাপ্ত তথ্যে, কথোপকথনকারীদের নাম এবং টেলিফোন নম্বর পাওয়া গেছে, যা চাইলে তুলনা করা যেতে পারে। বন্ধ চ্যাট থেকে তথ্য পরিষ্কার বিন্যাসে সংরক্ষণ করা হয়.

ডুরভ পরে বলেছিলেন যে এটি কোনও সমস্যা নয়, কারণ যদি কোনও আক্রমণকারীর ব্যবহারকারীর পিসিতে অ্যাক্সেস থাকে তবে তিনি এনক্রিপশন কীগুলি পেতে এবং কোনও সমস্যা ছাড়াই সমস্ত চিঠিপত্র ডিক্রিপ্ট করতে সক্ষম হবেন। কিন্তু অনেক তথ্য নিরাপত্তা বিশেষজ্ঞ যুক্তি দেন যে এটি এখনও গুরুতর।

উপরন্তু, টেলিগ্রাম একটি মূল চুরি আক্রমণের জন্য ঝুঁকিপূর্ণ হতে পরিণত, যা পাওয়া হাবর ব্যবহারকারী। আপনি যেকোনো দৈর্ঘ্য এবং জটিলতার স্থানীয় কোড পাসওয়ার্ড হ্যাক করতে পারেন।

WhatsApp

আমরা যতদূর জানি, এই মেসেঞ্জারটি কম্পিউটার ডিস্কের ডেটাও এনক্রিপ্টেড আকারে সংরক্ষণ করে। তদনুসারে, যদি কোনও আক্রমণকারীর ব্যবহারকারীর ডিভাইসে অ্যাক্সেস থাকে, তবে সমস্ত ডেটাও খোলা থাকে।

তবে আরও একটি বৈশ্বিক সমস্যা রয়েছে। বর্তমানে, অ্যান্ড্রয়েড ওএস সহ ডিভাইসগুলিতে ইনস্টল করা WhatsApp থেকে সমস্ত ব্যাকআপগুলি Google ড্রাইভে সংরক্ষণ করা হয়, যেমন গুগল এবং ফেসবুক গত বছর সম্মত হয়েছিল। কিন্তু চিঠিপত্রের ব্যাকআপ, মিডিয়া ফাইল এবং মত এনক্রিপ্ট না করে সংরক্ষিত. যতদূর এক বিচার করতে পারেন, একই মার্কিন আইন প্রয়োগকারী কর্মকর্তা Google ড্রাইভে অ্যাক্সেস আছে, তাই নিরাপত্তা বাহিনী যে কোনো সঞ্চিত তথ্য দেখতে পারে এমন সম্ভাবনা রয়েছে।

ডেটা এনক্রিপ্ট করা সম্ভব, তবে উভয় সংস্থাই এটি করে না। সম্ভবত শুধুমাত্র কারণ এনক্রিপ্ট করা ব্যাকআপগুলি সহজেই স্থানান্তরিত হতে পারে এবং ব্যবহারকারীরা নিজেরাই ব্যবহার করতে পারে। সম্ভবত, কোনও এনক্রিপশন নেই কারণ এটি প্রয়োগ করা প্রযুক্তিগতভাবে কঠিন: বিপরীতভাবে, আপনি কোনও অসুবিধা ছাড়াই ব্যাকআপগুলি রক্ষা করতে পারেন। সমস্যা হল হোয়াটসঅ্যাপের সাথে কাজ করার জন্য গুগলের নিজস্ব কারণ রয়েছে - সম্ভবত কোম্পানিটি Google ড্রাইভ সার্ভারে সংরক্ষিত ডেটা বিশ্লেষণ করে এবং ব্যক্তিগতকৃত বিজ্ঞাপন প্রদর্শন করতে তাদের ব্যবহার করে। যদি Facebook হঠাৎ করে হোয়াটসঅ্যাপ ব্যাকআপের জন্য এনক্রিপশন চালু করে, তাহলে Google অবিলম্বে এই ধরনের অংশীদারিত্বে আগ্রহ হারাবে, হোয়াটসঅ্যাপ ব্যবহারকারীদের পছন্দ সম্পর্কে ডেটার একটি মূল্যবান উৎস হারাবে। এটি অবশ্যই একটি অনুমান, তবে হাই-টেক বিপণনের জগতে খুব সম্ভবত।

আইওএসের জন্য হোয়াটসঅ্যাপ হিসাবে, ব্যাকআপগুলি আইক্লাউড ক্লাউডে সংরক্ষিত হয়। তবে এখানেও, তথ্যগুলি এনক্রিপ্ট করা আকারে সংরক্ষণ করা হয়, যা এমনকি অ্যাপ্লিকেশন সেটিংসেও বলা হয়। অ্যাপল এই ডেটা বিশ্লেষণ করে কিনা তা কেবল কর্পোরেশনেরই জানা। সত্য, Cupertino-এর Google-এর মতো কোনও বিজ্ঞাপন নেটওয়ার্ক নেই, তাই আমরা ধরে নিতে পারি যে তাদের WhatsApp ব্যবহারকারীদের ব্যক্তিগত ডেটা বিশ্লেষণ করার সম্ভাবনা অনেক কম।

যা বলা হয়েছে তা নিম্নরূপ প্রণয়ন করা যেতে পারে - হ্যাঁ, শুধুমাত্র আপনার হোয়াটসঅ্যাপ চিঠিপত্রের অ্যাক্সেস নেই।

TikTok এবং অন্যান্য মেসেঞ্জার

এই সংক্ষিপ্ত ভিডিও শেয়ারিং সেবা খুব দ্রুত জনপ্রিয় হয়ে উঠতে পারে। বিকাশকারীরা তাদের ব্যবহারকারীদের ডেটার সম্পূর্ণ নিরাপত্তা নিশ্চিত করার প্রতিশ্রুতি দিয়েছে। এটি পরিণত হয়েছে, পরিষেবাটি নিজেই ব্যবহারকারীদের অবহিত না করে এই ডেটা ব্যবহার করেছে। আরও খারাপ: পরিষেবাটি পিতামাতার সম্মতি ছাড়াই 13 বছরের কম বয়সী শিশুদের কাছ থেকে ব্যক্তিগত ডেটা সংগ্রহ করেছে৷ অপ্রাপ্তবয়স্কদের ব্যক্তিগত তথ্য - নাম, ই-মেইল, ফোন নম্বর, ছবি এবং ভিডিও - সর্বজনীনভাবে উপলব্ধ করা হয়েছিল।

সেবা জরিমানা করা হয় কয়েক মিলিয়ন ডলারের জন্য, নিয়ন্ত্রকরা 13 বছরের কম বয়সী শিশুদের দ্বারা তৈরি সমস্ত ভিডিও অপসারণেরও দাবি করেছে৷ TikTok মেনে চলে। যাইহোক, অন্যান্য মেসেঞ্জার এবং পরিষেবাগুলি তাদের নিজস্ব উদ্দেশ্যে ব্যবহারকারীদের ব্যক্তিগত ডেটা ব্যবহার করে, তাই আপনি তাদের নিরাপত্তা সম্পর্কে নিশ্চিত হতে পারবেন না।

এই তালিকাটি অবিরামভাবে চালিয়ে যাওয়া যেতে পারে - বেশিরভাগ তাত্ক্ষণিক বার্তাবাহকের এক বা অন্য দুর্বলতা থাকে যা আক্রমণকারীদের ব্যবহারকারীদের উপর কান পেতে দেয় (মহান উদাহরণ — ভাইবার, যদিও সবকিছু সেখানে ঠিক করা হয়েছে বলে মনে হয়) বা তাদের ডেটা চুরি করে। এছাড়াও, শীর্ষ 5টির প্রায় সমস্ত অ্যাপ্লিকেশন ব্যবহারকারীর ডেটা কম্পিউটারের হার্ড ড্রাইভে বা ফোনের মেমরিতে একটি অরক্ষিত আকারে সংরক্ষণ করে। এবং এটি বিভিন্ন দেশের গোয়েন্দা পরিষেবাগুলিকে মনে না রেখেই, যা আইনের কারণে ব্যবহারকারীর ডেটা অ্যাক্সেস করতে পারে। একই স্কাইপ, VKontakte, TamTam এবং অন্যরা কর্তৃপক্ষের অনুরোধে (উদাহরণস্বরূপ, রাশিয়ান ফেডারেশন) যে কোনও ব্যবহারকারী সম্পর্কে যে কোনও তথ্য সরবরাহ করে।

প্রোটোকল স্তরে ভাল নিরাপত্তা? কোন সমস্যা নেই, আমরা ডিভাইসটি ভেঙে ফেলি

কিছু বছর আগে সংঘর্ষ ছড়িয়ে পড়ে অ্যাপল এবং মার্কিন সরকারের মধ্যে। কর্পোরেশন একটি এনক্রিপ্ট করা স্মার্টফোন আনলক করতে অস্বীকার করেছে যা সান বার্নার্ডিনো শহরে সন্ত্রাসী হামলায় জড়িত ছিল। সেই সময়ে, এটি একটি বাস্তব সমস্যা বলে মনে হয়েছিল: ডেটা ভালভাবে সুরক্ষিত ছিল এবং একটি স্মার্টফোন হ্যাক করা অসম্ভব বা খুব কঠিন ছিল।

এখন জিনিস ভিন্ন। উদাহরণস্বরূপ, ইসরায়েলি কোম্পানি সেলব্রাইট রাশিয়া এবং অন্যান্য দেশের আইনি সত্তার কাছে একটি সফ্টওয়্যার এবং হার্ডওয়্যার সিস্টেম বিক্রি করে যা আপনাকে সমস্ত আইফোন এবং অ্যান্ড্রয়েড মডেল হ্যাক করতে দেয়৷ গত বছর ছিল বিজ্ঞাপন পুস্তিকা প্রকাশিত এই বিষয়ে তুলনামূলকভাবে বিস্তারিত তথ্য সহ।

ম্যাগাদান ফরেনসিক তদন্তকারী পপভ ইউএস ফেডারেল ব্যুরো অফ ইনভেস্টিগেশন দ্বারা ব্যবহৃত একই প্রযুক্তি ব্যবহার করে একটি স্মার্টফোন হ্যাক করেন৷ সূত্র: বিবিসি

ডিভাইসটি সরকারী মান অনুসারে সস্তা। ইউএফইডি টাচ 2 এর জন্য, তদন্ত কমিটির ভলগোগ্রাদ বিভাগ 800 হাজার রুবেল প্রদান করেছে, খবরভস্ক বিভাগ - 1,2 মিলিয়ন রুবেল। 2017 সালে, রাশিয়ান ফেডারেশনের তদন্ত কমিটির প্রধান আলেকজান্ডার বাস্ট্রিকিন নিশ্চিত করেছেন যে তার বিভাগ সমাধান ব্যবহার করে ইসরায়েলি কোম্পানি।

Sberbank এই জাতীয় ডিভাইসগুলিও ক্রয় করে - যাইহোক, তদন্ত পরিচালনার জন্য নয়, Android OS সহ ডিভাইসগুলিতে ভাইরাসের বিরুদ্ধে লড়াই করার জন্য। “যদি মোবাইল ডিভাইসগুলি অজানা দূষিত সফ্টওয়্যার কোড দ্বারা সংক্রামিত হওয়ার সন্দেহ করা হয় এবং সংক্রামিত ফোনের মালিকদের বাধ্যতামূলক সম্মতি পাওয়ার পরে, ব্যবহার সহ বিভিন্ন সরঞ্জাম ব্যবহার করে ক্রমাগত উদ্ভূত এবং পরিবর্তনশীল নতুন ভাইরাসগুলির সন্ধানের জন্য একটি বিশ্লেষণ করা হবে। UFED Touch2 এর," - বিবৃত প্রতিষ্ঠানে.

আমেরিকানদের কাছে এমন প্রযুক্তিও রয়েছে যা তাদের যেকোনো স্মার্টফোন হ্যাক করতে দেয়। Grayshift 300 স্মার্টফোন হ্যাক করার প্রতিশ্রুতি দিয়েছে $15 ($50 প্রতি ইউনিট বনাম Cellbrite এর জন্য $1500)।

সম্ভবত সাইবার অপরাধীদেরও অনুরূপ ডিভাইস রয়েছে। এই ডিভাইসগুলি ক্রমাগত উন্নত হচ্ছে - তাদের আকার হ্রাস পায় এবং তাদের কর্মক্ষমতা বৃদ্ধি পায়।

এখন আমরা বড় নির্মাতাদের কাছ থেকে কম-বেশি সুপরিচিত ফোন সম্পর্কে কথা বলছি যারা তাদের ব্যবহারকারীদের ডেটা সুরক্ষার বিষয়ে উদ্বিগ্ন। যদি আমরা ছোট কোম্পানি বা নো-নাম সংস্থাগুলির কথা বলছি, তবে এই ক্ষেত্রে ডেটা সমস্যা ছাড়াই সরানো হয়। বুটলোডার লক থাকা অবস্থায়ও HS-USB মোড কাজ করে। পরিষেবা মোডগুলি সাধারণত একটি "পিছনের দরজা" যার মাধ্যমে ডেটা পুনরুদ্ধার করা যায়। যদি তা না হয়, তাহলে আপনি JTAG পোর্টের সাথে সংযোগ করতে পারেন বা eMMC চিপটি সম্পূর্ণ সরিয়ে ফেলতে পারেন এবং তারপরে এটি একটি সস্তা অ্যাডাপ্টারে ঢোকাতে পারেন৷ ডেটা এনক্রিপ্ট করা না থাকলে, ফোন থেকে টেনে বের করা যেতে পারে ক্লাউড স্টোরেজ এবং অন্যান্য পরিষেবাগুলিতে অ্যাক্সেস প্রদানকারী প্রমাণীকরণ টোকেন সহ সাধারণভাবে সবকিছু।

যদি কারও কাছে গুরুত্বপূর্ণ তথ্য সহ একটি স্মার্টফোনে ব্যক্তিগত অ্যাক্সেস থাকে, তবে নির্মাতারা যাই বলুক না কেন তারা চাইলে এটি হ্যাক করতে পারে।

এটি স্পষ্ট যে যা বলা হয়েছে তা কেবল স্মার্টফোনের ক্ষেত্রেই নয়, বিভিন্ন ওএস চালিত কম্পিউটার এবং ল্যাপটপের ক্ষেত্রেও প্রযোজ্য। আপনি যদি উন্নত প্রতিরক্ষামূলক ব্যবস্থা অবলম্বন না করেন, তবে পাসওয়ার্ড এবং লগইন-এর মতো প্রচলিত পদ্ধতিতে সন্তুষ্ট হন, তাহলে ডেটা বিপদে থাকবে। ডিভাইসটিতে শারীরিক অ্যাক্সেস সহ একজন অভিজ্ঞ হ্যাকার প্রায় কোনও তথ্য পেতে সক্ষম হবে - এটি কেবল সময়ের ব্যাপার।

তো এখন কি করা?

Habré-এ, ব্যক্তিগত ডিভাইসে ডেটা নিরাপত্তার বিষয়টি একাধিকবার উত্থাপিত হয়েছে, তাই আমরা আবার চাকাটি পুনরায় উদ্ভাবন করব না। আমরা শুধুমাত্র প্রধান পদ্ধতিগুলি নির্দেশ করব যা তৃতীয় পক্ষের আপনার ডেটা পাওয়ার সম্ভাবনা কমিয়ে দেয়:

• আপনার স্মার্টফোন এবং পিসি উভয় ক্ষেত্রেই ডেটা এনক্রিপশন ব্যবহার করা বাধ্যতামূলক৷ বিভিন্ন অপারেটিং সিস্টেম প্রায়ই ভাল ডিফল্ট বৈশিষ্ট্য প্রদান করে। উদাহরণ- সৃষ্টি স্ট্যান্ডার্ড টুল ব্যবহার করে ম্যাক ওএসে ক্রিপ্টো কন্টেইনার।

• টেলিগ্রাম এবং অন্যান্য ইনস্ট্যান্ট মেসেঞ্জারে চিঠিপত্রের ইতিহাস সহ যে কোনও জায়গায় এবং সর্বত্র পাসওয়ার্ড সেট করুন। স্বাভাবিকভাবেই, পাসওয়ার্ড জটিল হতে হবে।

• দ্বি-ফ্যাক্টর প্রমাণীকরণ - হ্যাঁ, এটি অসুবিধাজনক হতে পারে, তবে নিরাপত্তা যদি প্রথমে আসে তবে আপনাকে এটি সহ্য করতে হবে।

• আপনার ডিভাইসের শারীরিক নিরাপত্তা নিরীক্ষণ. একটি ক্যাফেতে একটি কর্পোরেট পিসি নিয়ে যান এবং সেখানে এটি ভুলে যান? ক্লাসিক। কর্পোরেট সহ সুরক্ষা মানগুলি তাদের নিজস্ব অসাবধানতার শিকারদের চোখের জল দিয়ে লেখা হয়েছিল।

কোনো তৃতীয় পক্ষ যখন কোনো শারীরিক ডিভাইসে অ্যাক্সেস লাভ করে তখন ডেটা হ্যাকিংয়ের সম্ভাবনা কমাতে আপনার পদ্ধতির মন্তব্যগুলি দেখুন। তারপরে আমরা নিবন্ধে প্রস্তাবিত পদ্ধতিগুলি যুক্ত করব বা আমাদের এগুলি প্রকাশ করব৷ টেলিগ্রাম চ্যানেল, যেখানে আমরা নিয়মিত নিরাপত্তা, ব্যবহারের জন্য লাইফ হ্যাক সম্পর্কে লিখি আমাদের ভিপিএন এবং ইন্টারনেট সেন্সরশিপ।

উত্স: www.habr.com