হ্যাকারওয়ানে আক্রমণ, ব্যক্তিগত দুর্বলতা প্রতিবেদনগুলিতে অ্যাক্সেসের অনুমতি দেয়

হ্যাকারওন প্ল্যাটফর্ম, যা নিরাপত্তা গবেষকদের ডেভেলপারদের দুর্বলতা শনাক্ত করতে এবং এর জন্য পুরষ্কার পাওয়ার অনুমতি দেয় রিপোর্ট আপনার নিজের হ্যাকিং সম্পর্কে। গবেষকদের মধ্যে একজন হ্যাকারওনের একজন নিরাপত্তা বিশ্লেষকের অ্যাকাউন্টে অ্যাক্সেস পেতে সক্ষম হয়েছেন, যার শ্রেণীবদ্ধ সামগ্রী দেখার ক্ষমতা রয়েছে, যার মধ্যে দুর্বলতা সম্পর্কে তথ্য যা এখনও সংশোধন করা হয়নি। প্ল্যাটফর্মের সূচনার পর থেকে, হ্যাকারওন গবেষকদের টুইটার, ফেসবুক, গুগল, অ্যাপল, মাইক্রোসফট, স্ল্যাক, পেন্টাগন এবং মার্কিন নৌবাহিনী সহ 23 টিরও বেশি ক্লায়েন্টের পণ্যের দুর্বলতা সনাক্ত করতে মোট $100 মিলিয়ন অর্থ প্রদান করেছে।

এটি লক্ষণীয় যে মানব ত্রুটির কারণে অ্যাকাউন্ট টেকওভার সম্ভব হয়েছিল। একজন গবেষক হ্যাকারওনে সম্ভাব্য দুর্বলতা সম্পর্কে পর্যালোচনার জন্য একটি আবেদন জমা দিয়েছেন। অ্যাপ্লিকেশনটির বিশ্লেষণের সময়, একজন HackerOne বিশ্লেষক প্রস্তাবিত হ্যাকিং পদ্ধতির পুনরাবৃত্তি করার চেষ্টা করেছিলেন, কিন্তু সমস্যাটি পুনরুত্পাদন করা যায়নি, এবং অতিরিক্ত বিবরণের অনুরোধ করে অ্যাপ্লিকেশনটির লেখককে একটি প্রতিক্রিয়া পাঠানো হয়েছিল। একই সময়ে, বিশ্লেষক লক্ষ্য করেননি যে, একটি অসফল চেকের ফলাফলের সাথে, তিনি অসাবধানতাবশত তার সেশন কুকির বিষয়বস্তু পাঠিয়েছিলেন। বিশেষ করে, কথোপকথনের সময়, বিশ্লেষক HTTP শিরোনাম সহ কার্ল ইউটিলিটি দ্বারা তৈরি একটি HTTP অনুরোধের একটি উদাহরণ দিয়েছেন, যেখান থেকে তিনি কুকি সেশনের বিষয়বস্তু পরিষ্কার করতে ভুলে গেছেন।

গবেষক এই তত্ত্বাবধানটি লক্ষ্য করেছেন এবং পরিষেবাটিতে ব্যবহৃত বহু-ফ্যাক্টর প্রমাণীকরণের মাধ্যমে না গিয়েই কেবল লক্ষ্য করা কুকি মান সন্নিবেশ করে hackerone.com-এ একটি বিশেষ সুবিধাপ্রাপ্ত অ্যাকাউন্টে অ্যাক্সেস পেতে সক্ষম হয়েছেন। আক্রমণটি সম্ভব হয়েছিল কারণ hackerone.com ব্যবহারকারীর আইপি বা ব্রাউজারে সেশনটিকে আবদ্ধ করেনি। সমস্যাযুক্ত সেশন আইডিটি ফাঁস প্রতিবেদন প্রকাশের দুই ঘন্টা পরে মুছে ফেলা হয়েছিল। সমস্যার কথা জানালে গবেষককে ২০ হাজার ডলার দেওয়ার সিদ্ধান্ত হয়।

HackerOne অতীতে অনুরূপ কুকি ফাঁসের সম্ভাব্য ঘটনা বিশ্লেষণ করতে এবং পরিষেবা গ্রাহকদের সমস্যা সম্পর্কে মালিকানা তথ্যের সম্ভাব্য ফাঁস মূল্যায়ন করার জন্য একটি অডিট শুরু করেছে৷ অডিট অতীতে ফাঁসের প্রমাণ প্রকাশ করেনি এবং স্থির করেছে যে যে গবেষক সমস্যাটি প্রদর্শন করেছেন তিনি পরিষেবাতে উপস্থাপিত সমস্ত প্রোগ্রামের প্রায় 5% সম্পর্কে তথ্য পেতে পারেন যা বিশ্লেষকের কাছে অ্যাক্সেসযোগ্য ছিল যার সেশন কী ব্যবহার করা হয়েছিল।

ভবিষ্যতে অনুরূপ আক্রমণ থেকে রক্ষা করার জন্য, IP ঠিকানায় সেশন কী বাঁধাই এবং সেশন কী ফিল্টারিং এবং মন্তব্যে প্রমাণীকরণ টোকেন প্রয়োগ করা হয়েছে। ভবিষ্যতে, তারা আইপি-তে বাইন্ডিংকে ব্যবহারকারীর ডিভাইসে বাঁধাই দিয়ে প্রতিস্থাপন করার পরিকল্পনা করেছে, যেহেতু গতিশীলভাবে ইস্যু করা ঠিকানা ব্যবহারকারীদের জন্য IP-তে বাঁধাই অসুবিধাজনক। ডেটাতে ব্যবহারকারীর অ্যাক্সেস সম্পর্কে তথ্য সহ লগ সিস্টেমটি প্রসারিত করার এবং গ্রাহক ডেটাতে বিশ্লেষকদের জন্য দানাদার অ্যাক্সেসের একটি মডেল প্রয়োগ করার সিদ্ধান্ত নেওয়া হয়েছিল।

উত্স: opennet.ru