গোপনীয় "মেঘ"। আমরা খোলা সমাধানের বিকল্প খুঁজছি

আমি প্রশিক্ষণের মাধ্যমে একজন প্রকৌশলী, তবে আমি উদ্যোক্তা এবং প্রযোজনা পরিচালকদের সাথে আরও যোগাযোগ করি। কিছুদিন আগে একটি শিল্প প্রতিষ্ঠানের মালিকের কাছে পরামর্শ চাইলেন। এন্টারপ্রাইজটি বড় হওয়া সত্ত্বেও এবং 90 এর দশকে তৈরি করা হয়েছিল, ব্যবস্থাপনা এবং অ্যাকাউন্টিং স্থানীয় নেটওয়ার্কে পুরানো পদ্ধতিতে কাজ করে।

এটি তাদের ব্যবসার জন্য ভয় এবং রাষ্ট্রের নিয়ন্ত্রণ বৃদ্ধির ফলাফল। আইন এবং প্রবিধানগুলি পরিদর্শন কর্তৃপক্ষ দ্বারা খুব বিস্তৃতভাবে ব্যাখ্যা করা যেতে পারে। একটি উদাহরণ হল ট্যাক্স কোডের সংশোধনী, সীমাবদ্ধতা আইন নির্মূল ট্যাক্স লঙ্ঘনের জন্য, প্রকৃত ধ্বংস ব্যাংকিং এবং নিরীক্ষা গোপনীয়তা.

ফলস্বরূপ, ব্যবসার মালিক তথ্যের নির্ভরযোগ্য সঞ্চয়স্থান এবং নথির নিরাপদ স্থানান্তরের জন্য সমাধান খুঁজতে শুরু করেন। ভার্চুয়াল "নিরাপদ"।

আমরা একটি পূর্ণ-সময়ের সিস্টেম প্রশাসকের সাথে সমস্যাটি নিয়ে কাজ করেছি: আমাদের বিদ্যমান প্ল্যাটফর্মগুলির একটি গভীর বিশ্লেষণের প্রয়োজন ছিল৷

• পরিষেবাটি ক্লাউড-ভিত্তিক হওয়া উচিত নয়, শব্দের শাস্ত্রীয় অর্থে, অর্থাৎ তৃতীয় পক্ষের সংস্থার সুবিধাগুলিতে স্টোরেজ ছাড়াই। শুধুমাত্র আপনার সার্ভার;
• প্রেরিত এবং সঞ্চিত ডেটার শক্তিশালী এনক্রিপশন প্রয়োজন;
• একটি বোতামের ক্লিকে যেকোনো ডিভাইস থেকে জরুরিভাবে সামগ্রী মুছে ফেলার ক্ষমতা প্রয়োজন;
• সমাধান বিদেশে উন্নত করা হয়েছে.

আমি চতুর্থ পয়েন্টটি সরানোর প্রস্তাব করেছি, কারণ... রাশিয়ান অ্যাপ্লিকেশনের অফিসিয়াল সার্টিফিকেট আছে। পরিচালক সরাসরি বলেন, এ ধরনের সার্টিফিকেট দিয়ে কী করা উচিত।

বিকল্পগুলি নির্বাচন করা

আমি তিনটি সমাধান নির্বাচন করেছি (যত বেশি পছন্দ, তত বেশি সন্দেহ):

• ওপেন সোর্স - প্রকল্প Syncthing.net , উত্সাহী বিকাশকারী জ্যাকব বোর্গ দ্বারা রক্ষণাবেক্ষণ করা হয়েছে।
• রেসিলিও ডট কম, আমেরিকান রেসিলিও ইনকর্পোরেটেড দ্বারা তত্ত্বাবধানে। (আগে এই পরিষেবাটিকে বিটটরেন্ট সিঙ্ক বলা হত)।
• প্রকল্পটি Pvtbox ইলেকট্রনিক নিরাপদ থেকে pvtbox.net সিঙ্ক্রোনাইজেশন অ্যাপ্লিকেশন। সাইপ্রাস নিবন্ধন.

কোম্পানির মালিকের প্রযুক্তিগত জটিলতা সম্পর্কে খুব কম বোঝার আছে, তাই আমি প্রতিটি বিকল্পের সুবিধা এবং অসুবিধাগুলির তালিকার আকারে প্রতিবেদনটি ফর্ম্যাট করেছি।

বিশ্লেষণের ফলাফল

Syncthing

Плюсы:

• মুক্ত উৎস;
• প্রধান বিকাশকারীর কার্যকলাপ;
• প্রকল্পটি দীর্ঘকাল ধরে চলছে;
• বিনামূল্যে.

কনস:

• iOS শেলের জন্য কোন ক্লায়েন্ট নেই;
• স্লো টার্ন সার্ভার (এগুলি বিনামূল্যে, তাই তারা ধীর হয়ে যায়)। তাদের জন্য যারা
  সচেতন না, টার্ন ব্যবহার করা হয় যখন সরাসরি সংযোগ করা অসম্ভব হয়;
• জটিল ইন্টারফেস সেটআপ (প্রোগ্রামিং অভিজ্ঞতার অনেক বছরের প্রয়োজন);
• দ্রুত বাণিজ্যিক সহায়তার অভাব।

রেজিলিও

পেশাদাররা: সমস্ত ডিভাইস এবং দ্রুত টার্ন সার্ভারের জন্য সমর্থন।

কনস: একটি এবং অত্যন্ত তাৎপর্যপূর্ণ একটি হল সমর্থন পরিষেবা দ্বারা যেকোন অনুরোধের সম্পূর্ণ উপেক্ষা। বিভিন্ন ঠিকানা থেকে লিখলেও সাড়া শূন্য।

Pvtbox

পেশাদাররা:

• সমস্ত ডিভাইস সমর্থন করে;
• ফাস্ট টার্ন সার্ভার;
• অ্যাপ্লিকেশন ইনস্টল না করে একটি ফাইল ডাউনলোড করার ক্ষমতা;
• পর্যাপ্ত সমর্থন পরিষেবা, সহ। ফোনের দ্বারা.

Минусы:

• তরুণ প্রকল্প (কয়েকটি পর্যালোচনা এবং ভাল পর্যালোচনা);
• সাইটের ইন্টারফেস খুব "প্রযুক্তিমূলক" এবং সবসময় পরিষ্কার নয়;
• কোন পুঙ্খানুপুঙ্খভাবে বিস্তারিত ডকুমেন্টেশন নেই; অনেক সমস্যা সমর্থন প্রয়োজন.

গ্রাহক কি নির্বাচন করেছেন?

তার প্রথম প্রশ্ন হল: বিনামূল্যে কিছু বিকাশ করার মানে কি? সিঙ্কিং অবিলম্বে পরিত্যক্ত করা হয়. যুক্তিগুলো কাজ করেনি।

কয়েকদিন পরে, গ্রাহক সমর্থনের অভাবের কারণে রেসিলিও সিঙ্ককে স্পষ্টভাবে প্রত্যাখ্যান করেছেন, কারণ... জরুরী পরিস্থিতিতে কোথায় যাবেন তা স্পষ্ট নয়। প্লাস কোম্পানির আমেরিকান নিবন্ধন অবিশ্বাস.

আরও বিশ্লেষণের জন্য, Pvtbox ইলেকট্রনিক নিরাপদ অবশেষ। আমরা এই প্ল্যাটফর্মের একটি সম্পূর্ণ প্রযুক্তিগত অডিট পরিচালনা করেছি, বাধা দেওয়ার সম্ভাবনা, ডেটা ডিক্রিপশন এবং তথ্য সঞ্চয়স্থানে অননুমোদিত প্রবেশের উপর ফোকাস করে।

অডিট প্রক্রিয়া

আমরা প্রোগ্রামের শুরুতে, অপারেশন চলাকালীন এবং শান্ত অবস্থায় সংযোগগুলি বিশ্লেষণ করেছি। আধুনিক মান অনুযায়ী ট্র্যাফিক প্রাথমিকভাবে এনক্রিপ্ট করা হয়। আসুন একটি MITM আক্রমণ চালানোর চেষ্টা করি এবং ফ্লাই ব্যবহার করে শংসাপত্রটি প্রতিস্থাপন করি লিনাক্স (জুবুন্টু লিনাক্স 18.04), ওয়্যারশার্ক, মিটমপ্রক্সি. এটি করার জন্য, আমরা Pvtbox অ্যাপ্লিকেশন এবং pvtbox.net সার্ভারের মধ্যে একটি মধ্যস্থতাকারীর সাথে পরিচয় করিয়ে দেব (একটি https সংযোগের মাধ্যমে pvtbox.net সার্ভারের সাথে ডেটা বিনিময় আছে)।

প্রোগ্রাম এবং ফাইল সিঙ্ক্রোনাইজেশন এতে কাজ করে তা নিশ্চিত করতে আমরা অ্যাপ্লিকেশনটি চালু করি। লিনাক্সে, আপনি যদি টার্মিনাল থেকে প্রোগ্রামটি চালান তবে আপনি অবিলম্বে লগিং পর্যবেক্ষণ করতে পারেন।


অ্যাপ্লিকেশনটি বন্ধ করুন এবং ফাইলটিতে pvtbox.net হোস্ট ঠিকানাটি প্রতিস্থাপন করুন জন্য / etc / হোস্ট সুপার ইউজার সুবিধা সহ। আমরা আমাদের প্রক্সি সার্ভারের ঠিকানা দিয়ে ঠিকানা প্রতিস্থাপন করি।


এখন আমাদের স্থানীয় নেটওয়ার্কে 192.168.1.64 ঠিকানা সহ একটি কম্পিউটারে MITM আক্রমণের জন্য আমাদের প্রক্সি সার্ভার প্রস্তুত করা যাক। এটি করার জন্য, mitmproxy প্যাকেজ সংস্করণ 4.0.4 ইনস্টল করুন।

আমরা পোর্ট 443 এ প্রক্সি সার্ভার শুরু করি:
$ sudo mitmproxy -p 443

আমরা প্রথম কম্পিউটারে Pvtbox প্রোগ্রাম চালু করি, mitmproxy আউটপুট এবং অ্যাপ্লিকেশন লগগুলি দেখুন।


মিটমপ্রক্সি রিপোর্ট করে যে ক্লায়েন্ট প্রক্সি সার্ভার থেকে স্পুফ সার্টিফিকেট বিশ্বাস করে না। অ্যাপ্লিকেশন লগগুলিতে আমরা এটিও দেখি যে প্রক্সি সার্ভার শংসাপত্র যাচাইকরণ পাস করে না এবং প্রোগ্রামটি কাজ করতে অস্বীকার করে।

একটি প্রক্সি সার্ভার শংসাপত্র ইনস্টল করা হচ্ছে৷ mitmproxy শংসাপত্রটিকে "বিশ্বস্ত" করতে Pvtbox অ্যাপ্লিকেশন সহ একটি কম্পিউটারে। আপনার কম্পিউটারে ca-শংসাপত্র প্যাকেজ ইনস্টল করুন। তারপর mitmproxy-ca-cert.pem শংসাপত্রটি প্রক্সি সার্ভারের .mitmproxy ডিরেক্টরি থেকে কম্পিউটারে Pvtbox অ্যাপ্লিকেশন সহ /usr/local/share/ca-certificates ডিরেক্টরিতে অনুলিপি করুন।

আমরা কমান্ডগুলি কার্যকর করি:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$sudo আপডেট-ca-শংসাপত্র


Pvtbox অ্যাপ্লিকেশন চালু করুন। শংসাপত্রটি আবার যাচাই করতে ব্যর্থ হয়েছে এবং প্রোগ্রামটি কাজ করতে অস্বীকার করেছে। অ্যাপ্লিকেশন সম্ভবত একটি নিরাপত্তা ব্যবস্থা ব্যবহার করছে শংসাপত্র পিনিং.

একই ধরনের হামলা চালানো হয় স্বাগতিকদের ওপর signalserver.pvtbox.net, সেইসাথে পিয়ার-2-পিয়ার সংযোগ নিজেই নোডের মধ্যে। বিকাশকারী নির্দেশ করে যে পিয়ার-2-পিয়ার সংযোগ স্থাপনের জন্য অ্যাপ্লিকেশনটি ওপেন ওয়েবআরটিসি প্রোটোকল ব্যবহার করে, যা এন্ড-টু-এন্ড প্রোটোকল এনক্রিপশন ব্যবহার করে DTLSv1.2.

প্রতিটি সংযোগ সেটআপের জন্য কীগুলি তৈরি করা হয় এবং এর মাধ্যমে একটি এনক্রিপ্ট করা চ্যানেলে প্রেরণ করা হয় signalserver.pvtbox.net.

তাত্ত্বিকভাবে, webrtc অফারে বাধা দেওয়া এবং বার্তাগুলির উত্তর দেওয়া, সেখানে এনক্রিপশন কীগুলি প্রতিস্থাপন করা এবং webrtc এর মাধ্যমে আগত সমস্ত বার্তাগুলিকে ডিক্রিপ্ট করা সম্ভব হবে৷ কিন্তু signalserver.pvtbox.net-এ mitm আক্রমণ করা সম্ভব ছিল না, তাই signalserver.pvtbox.net এর মাধ্যমে প্রেরিত বার্তাগুলিকে আটকানো এবং প্রতিস্থাপন করার কোন উপায় নেই।

তদনুসারে, পিয়ার-টু-পিয়ার সংযোগে এই আক্রমণ চালানো সম্ভব নয়।

প্রোগ্রামের সাথে সরবরাহ করা সার্টিফিকেট সহ একটি ফাইলও আবিষ্কৃত হয়েছে। ফাইলটি /opt/pvtbox/certifi/cacert.pem-এ অবস্থিত। এই ফাইলটিকে একটি ফাইল দিয়ে প্রতিস্থাপিত করা হয়েছে যাতে আমাদের mitmproxy প্রক্সি থেকে একটি বিশ্বস্ত শংসাপত্র রয়েছে৷ ফলাফল পরিবর্তিত হয়নি - প্রোগ্রামটি সিস্টেমের সাথে সংযোগ স্থাপন করতে অস্বীকার করেছে, লগটিতে একই ত্রুটি দেখা গেছে,
যে শংসাপত্রটি যাচাইকরণ পাস করে না।

অডিট ফলাফল

আমি ট্র্যাফিক আটকাতে বা ফাঁকি দিতে অক্ষম ছিলাম। ফাইলের নাম, এবং আরও বেশি করে তাদের বিষয়বস্তু এনক্রিপ্ট করা আকারে প্রেরণ করা হয়; এন্ড-টু-এন্ড এনক্রিপশন ব্যবহার করা হয়। অ্যাপ্লিকেশনটি বেশ কিছু নিরাপত্তা ব্যবস্থা প্রয়োগ করে যা ছিনতাই এবং অনুপ্রবেশ রোধ করে।

ফলস্বরূপ, সংস্থাটি তথ্যে স্থায়ী অ্যাক্সেসের জন্য দুটি ডেডিকেটেড সার্ভার (শারীরিকভাবে বিভিন্ন স্থানে) ক্রয় করেছে। প্রথম সার্ভারটি তথ্য গ্রহণ, প্রক্রিয়াকরণ এবং সংরক্ষণ করতে ব্যবহৃত হয়, দ্বিতীয়টি ব্যাকআপের জন্য ব্যবহৃত হয়।

পরিচালকের কাজের টার্মিনাল এবং iOS-এ একটি মোবাইল ফোন ফলস্বরূপ পৃথক ক্লাউডের সাথে সংযুক্ত ছিল। অন্যান্য কর্মচারীরা পূর্ণ-সময়ের সিস্টেম প্রশাসক এবং Pvtbox এর প্রযুক্তিগত সহায়তা দ্বারা সংযুক্ত ছিল।

বিগত সময়ের মধ্যে, বন্ধুর কাছ থেকে কোন অভিযোগ নেই। আমি আশা করি আমার পর্যালোচনা একই পরিস্থিতিতে হাবর পাঠকদের সাহায্য করবে।

উত্স: www.habr.com