পোস্ট-বিশ্লেষণ: ক্রিপ্টো কী সার্ভারের SKS কীসার্ভার নেটওয়ার্কে সর্বশেষ আক্রমণ সম্পর্কে কী জানা যায়

হ্যাকাররা OpenPGP প্রোটোকলের একটি বৈশিষ্ট্য ব্যবহার করেছে যা দশ বছরেরও বেশি সময় ধরে পরিচিত।

আমরা আপনাকে বলি বিন্দু কী এবং কেন তারা এটি বন্ধ করতে পারে না।

/আনস্প্ল্যাশ/ চুনলিয়া জু

নেটওয়ার্ক সমস্যা

জুনের মাঝামাঝি, অজানা হামলা চালায় ক্রিপ্টোগ্রাফিক কী সার্ভারের একটি নেটওয়ার্কে SKS কী সার্ভার, OpenPGP প্রোটোকলের উপর নির্মিত। এটি একটি IETF মান (RFC 4880), যা ইমেল এবং অন্যান্য বার্তা এনক্রিপ্ট করতে ব্যবহৃত হয়। জনসাধারণের সার্টিফিকেট বিতরণের জন্য XNUMX বছর আগে এসকেএস নেটওয়ার্ক তৈরি করা হয়েছিল। এটি যেমন সরঞ্জাম অন্তর্ভুক্ত টি GnuPG ডেটা এনক্রিপ্ট করার জন্য এবং ইলেকট্রনিক ডিজিটাল স্বাক্ষর তৈরি করার জন্য।

হ্যাকাররা দুই GnuPG প্রকল্পের রক্ষণাবেক্ষণকারী, রবার্ট হ্যানসেন এবং ড্যানিয়েল গিলমোরের সার্টিফিকেটের সাথে আপস করেছে। সার্ভার থেকে একটি দূষিত শংসাপত্র লোড করার ফলে GnuPG ব্যর্থ হয় - সিস্টেমটি কেবল হিমায়িত হয়। বিশ্বাস করার কারণ আছে যে আক্রমণকারীরা সেখানে থামবে না, এবং আপোসকৃত শংসাপত্রের সংখ্যা কেবল বাড়বে। এই মুহুর্তে, সমস্যার পরিমাণ অজানা রয়ে গেছে।

আক্রমণের সারমর্ম

হ্যাকাররা OpenPGP প্রোটোকলের একটি দুর্বলতার সুযোগ নিয়েছে। তিনি কয়েক দশক ধরে সম্প্রদায়ের কাছে পরিচিত। এমনকি গিটহাবেও খুঁজে পেতে পারেন অনুরূপ শোষণ. তবে এখনও পর্যন্ত কেউ "গর্ত" বন্ধ করার দায়িত্ব নেয়নি (আমরা পরে আরও বিশদে কারণগুলি সম্পর্কে কথা বলব)।

হাব্রেতে আমাদের ব্লগ থেকে কয়েকটি নির্বাচন:

• SDN ডাইজেস্ট - ছয়টি ওপেন সোর্স এমুলেটর
• কিভাবে SDN তৈরি করবেন - আটটি ওপেন সোর্স টুল
• নেটওয়ার্ক ডাইজেস্ট: Wi-Fi এবং 17G সম্পর্কে 5টি বিশেষজ্ঞ সামগ্রী

OpenPGP স্পেসিফিকেশন অনুযায়ী, যে কেউ তাদের মালিককে যাচাই করতে শংসাপত্রে ডিজিটাল স্বাক্ষর যোগ করতে পারে। অধিকন্তু, স্বাক্ষরের সর্বোচ্চ সংখ্যা কোনোভাবেই নিয়ন্ত্রিত হয় না। এবং এখানে একটি সমস্যা দেখা দেয় - এসকেএস নেটওয়ার্ক আপনাকে একটি শংসাপত্রে 150 হাজার পর্যন্ত স্বাক্ষর রাখতে দেয়, তবে GnuPG এই জাতীয় সংখ্যা সমর্থন করে না। এইভাবে, শংসাপত্র লোড করার সময়, GnuPG (পাশাপাশি অন্যান্য OpenPGP বাস্তবায়ন) হিমায়িত হয়।

ব্যবহারকারীদের একজন একটি পরীক্ষা পরিচালনা করেছেন — সার্টিফিকেট আমদানি করতে তার প্রায় ১০ মিনিট সময় লেগেছে। শংসাপত্রটিতে 10 হাজারেরও বেশি স্বাক্ষর ছিল এবং এর ওজন ছিল 54 এমবি:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1
$ ls -lh pubring.gpg
-rw-r--r--  1 filippo  staff    17M  2 Jul 16:30 pubring.gpg

বিষয়গুলিকে আরও খারাপ করার জন্য, OpenPGP কী সার্ভারগুলি শংসাপত্রের তথ্য সরিয়ে দেয় না। এটি করা হয় যাতে আপনি সার্টিফিকেট সহ সমস্ত কর্মের চেইন ট্রেস করতে পারেন এবং তাদের প্রতিস্থাপন রোধ করতে পারেন। অতএব, আপসহীন উপাদানগুলিকে নির্মূল করা অসম্ভব।

মূলত, SKS নেটওয়ার্ক হল একটি বড় "ফাইল সার্ভার" যাতে যে কেউ ডেটা লিখতে পারে। সমস্যাটি ব্যাখ্যা করতে, গত বছর গিটহাবের বাসিন্দা ড একটি ফাইল সিস্টেম তৈরি করেছে, যা ক্রিপ্টোগ্রাফিক কী সার্ভারের নেটওয়ার্কে নথি সংরক্ষণ করে।

কেন দুর্বলতা বন্ধ ছিল না?

দুর্বলতা বন্ধ করার কোন কারণ ছিল না। আগে, এটি হ্যাকার আক্রমণের জন্য ব্যবহার করা হয়নি। যদিও আইটি সম্প্রদায় একটি দীর্ঘ সময়ের জন্য জিজ্ঞাসা SKS এবং OpenPGP ডেভেলপারদের সমস্যাটির দিকে মনোযোগ দেওয়া উচিত।

ন্যায্য হতে, এটা লক্ষনীয় যে জুন তারা এখনও চালু পরীক্ষামূলক কী সার্ভার keys.openpgp.org. এটি এই ধরনের আক্রমণের বিরুদ্ধে সুরক্ষা প্রদান করে। যাইহোক, এর ডাটাবেস স্ক্র্যাচ থেকে জনবহুল, এবং সার্ভার নিজেই SKS এর অংশ নয়। অতএব, এটি ব্যবহার করার আগে এটি সময় লাগবে।

/আনস্প্ল্যাশ/ রুবেন বাগুয়েস

মূল সিস্টেমে বাগ হিসাবে, একটি জটিল সিঙ্ক্রোনাইজেশন প্রক্রিয়া এটিকে সংশোধন করা থেকে বাধা দেয়। মূল সার্ভার নেটওয়ার্কটি মূলত ইয়ারন মিনস্কির ডক্টরাল থিসিসের ধারণার প্রমাণ হিসাবে লেখা হয়েছিল। অধিকন্তু, একটি বরং নির্দিষ্ট ভাষা, OCaml, কাজের জন্য বেছে নেওয়া হয়েছিল। দ্বারা অনুসারে রক্ষণাবেক্ষণকারী রবার্ট হ্যানসেন, কোডটি বোঝা কঠিন, তাই এটিতে শুধুমাত্র ছোটখাটো সংশোধন করা হয়। SKS আর্কিটেকচার পরিবর্তন করতে, এটি স্ক্র্যাচ থেকে পুনরায় লিখতে হবে।

যাই হোক না কেন, GnuPG বিশ্বাস করে না যে নেটওয়ার্কটি কখনও ঠিক করা হবে। গিটহাবের একটি পোস্টে, বিকাশকারীরা এমনকি লিখেছেন যে তারা এসকেএস কীসার্ভারের সাথে কাজ করার পরামর্শ দেন না। প্রকৃতপক্ষে, এটি একটি প্রধান কারণ কেন তারা নতুন পরিষেবা keys.openpgp.org-এ রূপান্তর শুরু করেছে৷ আমরা কেবল ঘটনাগুলির আরও বিকাশ দেখতে পারি।

আমাদের কর্পোরেট ব্লগ থেকে কিছু উপকরণ:

• রাউটারের মাধ্যমে বটনেট "স্প্যাম": আপনার যা জানা দরকার
• DDoS এবং 5G: মোটা "পাইপ" মানে আরও সমস্যা
• ফায়ারওয়াল বা ডিপিআই - বিভিন্ন উদ্দেশ্যে সুরক্ষা সরঞ্জাম
• গ্রামে ইন্টারনেট - একটি রেডিও রিলে ওয়াই-ফাই নেটওয়ার্ক তৈরি করা

উত্স: www.habr.com