પોસ્ટ-વિશ્લેષણ: ક્રિપ્ટો કી સર્વર્સના SKS કીસર્વર નેટવર્ક પરના નવીનતમ હુમલા વિશે શું જાણીતું છે

હેકર્સે OpenPGP પ્રોટોકોલની એક વિશેષતાનો ઉપયોગ કર્યો હતો જે દસ વર્ષથી વધુ સમયથી જાણીતો છે.

અમે તમને કહીએ છીએ કે મુદ્દો શું છે અને શા માટે તેઓ તેને બંધ કરી શકતા નથી.

/અનસ્પ્લેશ/ ચુનલિયા જુ

નેટવર્ક સમસ્યાઓ

જૂનના મધ્યમાં, અજ્ઞાત હુમલો કર્યો ક્રિપ્ટોગ્રાફિક કી સર્વર્સના નેટવર્ક પર SKS કીસર્વર, OpenPGP પ્રોટોકોલ પર બનેલ છે. આ એક IETF માનક છે (આરએફસી 4880), જેનો ઉપયોગ ઈમેલ અને અન્ય સંદેશાઓને એન્ક્રિપ્ટ કરવા માટે થાય છે. SKS નેટવર્ક ત્રીસ વર્ષ પહેલાં જાહેર પ્રમાણપત્રોના વિતરણ માટે બનાવવામાં આવ્યું હતું. તે જેવા સાધનોનો સમાવેશ થાય છે જીન્યુપીજી ડેટા એન્ક્રિપ્ટ કરવા અને ઇલેક્ટ્રોનિક ડિજિટલ હસ્તાક્ષર બનાવવા માટે.

હેકર્સે બે GnuPG પ્રોજેક્ટ મેઇન્ટેનર્સ, રોબર્ટ હેન્સેન અને ડેનિયલ ગિલમોરના પ્રમાણપત્રો સાથે ચેડા કર્યા હતા. સર્વરમાંથી દૂષિત પ્રમાણપત્ર લોડ કરવાથી GnuPG નિષ્ફળ થાય છે—સિસ્ટમ ખાલી થીજી જાય છે. એવું માનવા માટેનું કારણ છે કે હુમલાખોરો ત્યાં અટકશે નહીં, અને ચેડા થયેલા પ્રમાણપત્રોની સંખ્યા માત્ર વધશે. આ ક્ષણે, સમસ્યાનું પ્રમાણ અજ્ઞાત રહે છે.

હુમલાનો સાર

હેકર્સે OpenPGP પ્રોટોકોલમાં નબળાઈનો લાભ લીધો. તે દાયકાઓથી સમુદાય માટે જાણીતી છે. GitHub પર પણ શોધી શકો છો અનુરૂપ શોષણ. પરંતુ હજી સુધી કોઈએ "છિદ્ર" બંધ કરવાની જવાબદારી લીધી નથી (અમે પાછળથી વધુ વિગતવાર કારણો વિશે વાત કરીશું).

હેબ્રે પરના અમારા બ્લોગમાંથી કેટલીક પસંદગીઓ:

• SDN ડાયજેસ્ટ - છ ઓપન સોર્સ એમ્યુલેટર
• SDN કેવી રીતે બનાવવું - આઠ ઓપન સોર્સ ટૂલ્સ
• નેટવર્ક ડાયજેસ્ટ: Wi-Fi અને 17G વિશે 5 નિષ્ણાત સામગ્રી

OpenPGP સ્પષ્ટીકરણ અનુસાર, કોઈપણ વ્યક્તિ તેમના માલિકને ચકાસવા માટે પ્રમાણપત્રોમાં ડિજિટલ હસ્તાક્ષર ઉમેરી શકે છે. વધુમાં, સહીઓની મહત્તમ સંખ્યા કોઈપણ રીતે નિયંત્રિત થતી નથી. અને અહીં એક સમસ્યા ઊભી થાય છે - SKS નેટવર્ક તમને એક પ્રમાણપત્ર પર 150 હજાર સુધી સહીઓ મૂકવાની મંજૂરી આપે છે, પરંતુ GnuPG આવા નંબરને સપોર્ટ કરતું નથી. આમ, પ્રમાણપત્ર લોડ કરતી વખતે, GnuPG (તેમજ અન્ય OpenPGP અમલીકરણો) થીજી જાય છે.

વપરાશકર્તાઓમાંથી એક એક પ્રયોગ કર્યો - પ્રમાણપત્ર આયાત કરવામાં તેને લગભગ 10 મિનિટનો સમય લાગ્યો. પ્રમાણપત્રમાં 54 હજારથી વધુ સહીઓ હતી, અને તેનું વજન 17 MB હતું:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1
$ ls -lh pubring.gpg
-rw-r--r--  1 filippo  staff    17M  2 Jul 16:30 pubring.gpg

બાબતોને વધુ ખરાબ કરવા માટે, OpenPGP કી સર્વર્સ પ્રમાણપત્ર માહિતીને દૂર કરતા નથી. આ કરવામાં આવે છે જેથી કરીને તમે પ્રમાણપત્રો સાથે તમામ ક્રિયાઓની સાંકળ શોધી શકો અને તેમના સ્થાનાંતરણને અટકાવી શકો. તેથી, સમાધાનકારી તત્વોને દૂર કરવું અશક્ય છે.

અનિવાર્યપણે, SKS નેટવર્ક એ એક મોટું "ફાઇલ સર્વર" છે જેના પર કોઈપણ ડેટા લખી શકે છે. સમસ્યાને સમજાવવા માટે, ગયા વર્ષે GitHub નિવાસી ફાઇલ સિસ્ટમ બનાવી, જે ક્રિપ્ટોગ્રાફિક કી સર્વર્સના નેટવર્ક પર દસ્તાવેજોનો સંગ્રહ કરે છે.

નબળાઈ કેમ બંધ ન થઈ?

નબળાઈને બંધ કરવાનું કોઈ કારણ નહોતું. અગાઉ, તેનો ઉપયોગ હેકર હુમલા માટે થતો ન હતો. જોકે આઇટી સમુદાય લાંબા સમય માટે પૂછ્યું SKS અને OpenPGP વિકાસકર્તાઓએ સમસ્યા પર ધ્યાન આપવું જોઈએ.

વાજબી બનવા માટે, તે નોંધવું યોગ્ય છે કે જૂનમાં તેઓ હજુ પણ શરૂ પ્રાયોગિક કી સર્વર keys.openpgp.org. તે આ પ્રકારના હુમલાઓ સામે રક્ષણ પૂરું પાડે છે. જો કે, તેનો ડેટાબેઝ શરૂઆતથી ભરાયેલો છે, અને સર્વર પોતે SKS નો ભાગ નથી. તેથી, તેનો ઉપયોગ કરી શકાય તે પહેલાં તે સમય લેશે.

/અનસ્પ્લેશ/ રૂબેન બેગ્યુસ

મૂળ સિસ્ટમમાં બગની વાત કરીએ તો, એક જટિલ સિંક્રનાઇઝેશન મિકેનિઝમ તેને ઠીક થવાથી અટકાવે છે. કી સર્વર નેટવર્ક મૂળ યારોન મિન્સકીના પીએચડી થીસીસ માટે ખ્યાલના પુરાવા તરીકે લખવામાં આવ્યું હતું. તદુપરાંત, એક જગ્યાએ ચોક્કસ ભાષા, OCaml, કાર્ય માટે પસંદ કરવામાં આવી હતી. દ્વારા અનુસાર જાળવણીકાર રોબર્ટ હેન્સન, કોડ સમજવો મુશ્કેલ છે, તેથી તેમાં માત્ર નાના સુધારા કરવામાં આવે છે. SKS આર્કિટેક્ચરમાં ફેરફાર કરવા માટે, તેને શરૂઆતથી ફરીથી લખવું પડશે.

કોઈ પણ સંજોગોમાં, GnuPG એ માનતું નથી કે નેટવર્ક ક્યારેય ઠીક થઈ જશે. GitHub પરની એક પોસ્ટમાં, વિકાસકર્તાઓએ એવું પણ લખ્યું છે કે તેઓ SKS Keyserver સાથે કામ કરવાની ભલામણ કરતા નથી. વાસ્તવમાં, આ એક મુખ્ય કારણ છે કે શા માટે તેઓએ નવી સેવા keys.openpgp.org પર સંક્રમણ શરૂ કર્યું. અમે ફક્ત ઘટનાઓના વધુ વિકાસને જોઈ શકીએ છીએ.

અમારા કોર્પોરેટ બ્લોગમાંથી કેટલીક સામગ્રી:

• રાઉટર્સ દ્વારા બોટનેટ "સ્પામ્સ": તમારે શું જાણવાની જરૂર છે
• DDoS અને 5G: જાડી "પાઈપ" એટલે વધુ સમસ્યાઓ
• ફાયરવોલ અથવા ડીપીઆઈ - વિવિધ હેતુઓ માટે સુરક્ષા સાધનો
• ગામડામાં ઇન્ટરનેટ - રેડિયો રિલે Wi-Fi નેટવર્ક બનાવવું

સોર્સ: www.habr.com