এনক্রিপ্ট করা ট্র্যাফিকের বাধা jabber.ru এবং xmpp.ru রেকর্ড করা হয়েছে

Jabber সার্ভার jabber.ru (xmpp.ru) এর প্রশাসক ব্যবহারকারী ট্রাফিক (MITM) ডিক্রিপ্ট করার জন্য একটি আক্রমণ শনাক্ত করেছেন, যা জার্মান হোস্টিং প্রদানকারী হেটজনার এবং লিনোডের নেটওয়ার্কে 90 দিন থেকে 6 মাস সময়কালে পরিচালিত হয়েছিল প্রকল্প সার্ভার এবং অক্জিলিয়ারী ভিপিএস পরিবেশ। আক্রমণটি একটি ট্রানজিট নোডে ট্রাফিককে পুনঃনির্দেশিত করে সংগঠিত হয় যা STARTTLS এক্সটেনশন ব্যবহার করে এনক্রিপ্ট করা XMPP সংযোগের জন্য TLS শংসাপত্র প্রতিস্থাপন করে।

আক্রমণটি এর সংগঠকদের দ্বারা একটি ত্রুটির কারণে লক্ষ্য করা গেছে, যাদের স্পুফিংয়ের জন্য ব্যবহৃত TLS শংসাপত্র পুনর্নবীকরণ করার সময় ছিল না। 16 অক্টোবর, jabber.ru এর প্রশাসক, পরিষেবার সাথে সংযোগ করার চেষ্টা করার সময়, শংসাপত্রের মেয়াদ শেষ হওয়ার কারণে একটি ত্রুটি বার্তা পেয়েছিলেন, কিন্তু সার্ভারে অবস্থিত শংসাপত্রের মেয়াদ শেষ হয়নি। ফলস্বরূপ, দেখা গেল যে ক্লায়েন্ট যে শংসাপত্রটি পেয়েছে তা সার্ভারের প্রেরিত শংসাপত্রের থেকে আলাদা। প্রথম জাল TLS শংসাপত্রটি 18 এপ্রিল, 2023-এ লেটস এনক্রিপ্ট পরিষেবার মাধ্যমে প্রাপ্ত হয়েছিল, যেখানে আক্রমণকারী, ট্র্যাফিক বাধা দিতে সক্ষম হয়ে, jabber.ru এবং xmpp.ru সাইটগুলিতে অ্যাক্সেস নিশ্চিত করতে সক্ষম হয়েছিল৷

প্রথমে, একটি অনুমান ছিল যে প্রকল্পের সার্ভারের সাথে আপোস করা হয়েছে এবং এর পাশে একটি প্রতিস্থাপন করা হচ্ছে। কিন্তু অডিটে হ্যাকিংয়ের কোনো আলামত পাওয়া যায়নি। একই সময়ে, সার্ভারের লগে, নেটওয়ার্ক ইন্টারফেসের একটি স্বল্প-মেয়াদী সুইচ অফ এবং অন (NIC লিঙ্ক ডাউন/NIC লিঙ্ক ইজ আপ) লক্ষ্য করা গেছে, যা 18 জুলাই 12:58 এ সম্পাদিত হয়েছিল এবং হতে পারে সুইচের সাথে সার্ভারের সংযোগের সাথে ম্যানিপুলেশনগুলি নির্দেশ করে। এটি উল্লেখযোগ্য যে দুটি জাল TLS শংসাপত্র কয়েক মিনিট আগে তৈরি হয়েছিল - 18 জুলাই 12:49 এবং 12:38 এ।

এছাড়াও, প্রতিস্থাপনটি শুধুমাত্র হেটজনার প্রদানকারীর নেটওয়ার্কে নয়, যা প্রধান সার্ভারকে হোস্ট করে, কিন্তু লিনোড প্রদানকারীর নেটওয়ার্কেও পরিচালিত হয়েছিল, যা অন্যান্য ঠিকানা থেকে ট্র্যাফিক পুনঃনির্দেশিত সহায়ক প্রক্সিগুলির সাথে VPS পরিবেশগুলিকে হোস্ট করে। পরোক্ষভাবে, এটি পাওয়া গেছে যে উভয় প্রদানকারীর নেটওয়ার্কে নেটওয়ার্ক পোর্ট 5222 (XMPP STARTTLS) এ ট্র্যাফিক একটি অতিরিক্ত হোস্টের মাধ্যমে পুনঃনির্দেশিত হয়েছে, যা বিশ্বাস করার কারণ দিয়েছে যে আক্রমণটি প্রদানকারীর পরিকাঠামোতে অ্যাক্সেস সহ একজন ব্যক্তি দ্বারা পরিচালিত হয়েছিল।

তাত্ত্বিকভাবে, প্রতিস্থাপনটি 18 এপ্রিল (jabber.ru-এর জন্য প্রথম জাল শংসাপত্র তৈরির তারিখ) থেকে করা যেতে পারে, তবে শংসাপত্র প্রতিস্থাপনের নিশ্চিত ঘটনাগুলি শুধুমাত্র 21 জুলাই থেকে 19 অক্টোবর পর্যন্ত রেকর্ড করা হয়েছিল, এই সমস্ত সময় এনক্রিপ্ট করা ডেটা বিনিময়। jabber.ru এবং xmpp.ru এর সাথে আপোস করা যেতে পারে। তদন্ত শুরু হওয়ার পরে প্রতিস্থাপন বন্ধ হয়ে যায়, পরীক্ষাগুলি পরিচালিত হয় এবং 18 অক্টোবর প্রদানকারী হেটজনার এবং লিনোডের সহায়তা পরিষেবাতে একটি অনুরোধ পাঠানো হয়েছিল। একই সময়ে, লিনোডের একটি সার্ভারের পোর্ট 5222-এ পাঠানো প্যাকেট রাউটিং করার সময় একটি অতিরিক্ত রূপান্তর আজও পরিলক্ষিত হয়, কিন্তু শংসাপত্রটি আর প্রতিস্থাপিত হয় না।

অনুমান করা হয় যে উভয় প্রদানকারীর পরিকাঠামো হ্যাক করার ফলে আইন প্রয়োগকারী সংস্থার অনুরোধে প্রোভাইডারদের জ্ঞানের সাথে অথবা উভয় প্রোভাইডারে অ্যাক্সেস ছিল এমন একজন কর্মচারীর দ্বারা আক্রমণটি করা হতে পারে। XMPP ট্র্যাফিককে আটকাতে এবং সংশোধন করতে সক্ষম হওয়ার মাধ্যমে, আক্রমণকারী সার্ভারে সংরক্ষিত বার্তাপ্রেরণের ইতিহাসের মতো সমস্ত অ্যাকাউন্ট-সম্পর্কিত ডেটাতে অ্যাক্সেস পেতে পারে এবং অন্যদের পক্ষে বার্তা পাঠাতে এবং অন্য লোকের বার্তাগুলিতে পরিবর্তন করতে পারে। এন্ড-টু-এন্ড এনক্রিপশন (ওএমইএমও, ওটিআর বা পিজিপি) ব্যবহার করে প্রেরিত বার্তাগুলি যদি সংযোগের উভয় পাশের ব্যবহারকারীদের দ্বারা এনক্রিপশন কীগুলি যাচাই করা হয় তবে তা আপসহীন বলে বিবেচিত হতে পারে। Jabber.ru ব্যবহারকারীদের তাদের অ্যাক্সেস পাসওয়ার্ড পরিবর্তন করার এবং সম্ভাব্য প্রতিস্থাপনের জন্য তাদের PEP স্টোরেজে OMEMO এবং PGP কী চেক করার পরামর্শ দেওয়া হচ্ছে।

উত্স: opennet.ru