HackerOne પર હુમલો, બંધ નબળાઈ અહેવાલો ઍક્સેસ કરવા માટે પરવાનગી આપે છે

હેકરવન, એક પ્લેટફોર્મ જે સુરક્ષા સંશોધકોને વિકાસકર્તાઓને નબળાઈઓ વિશે જાણ કરવા અને તેના માટે પુરસ્કારો પ્રાપ્ત કરવાની મંજૂરી આપે છે, તેને પ્રાપ્ત થયું છે અહેવાલ પોતાના હેક વિશે. સંશોધકોમાંથી એક હેકરવનના સુરક્ષા વિશ્લેષકના એકાઉન્ટની ઍક્સેસ મેળવવામાં સફળ રહ્યો, જેનાથી તે વર્ગીકૃત સામગ્રી જોઈ શક્યો, જેમાં અનપેચ્ડ નબળાઈઓ વિશેની માહિતીનો સમાવેશ થાય છે. પ્લેટફોર્મની શરૂઆતથી, ટ્વિટર, ફેસબુક, ગૂગલ, એપલ, માઇક્રોસોફ્ટ, સ્લેક, પેન્ટાગોન અને યુએસ નેવી સહિત 100 થી વધુ ક્લાયન્ટ્સના ઉત્પાદનોમાં નબળાઈઓ ઓળખવા માટે હેકરવન દ્વારા સંશોધકોને કુલ $23 મિલિયન ચૂકવવામાં આવ્યા છે.

એ નોંધવું યોગ્ય છે કે એકાઉન્ટ ટેકઓવર માનવ ભૂલને કારણે શક્ય બન્યું હતું. એક સંશોધકે સમીક્ષા માટે HackerOne ને સંભવિત નબળાઈ રિપોર્ટ સબમિટ કર્યો. HackerOne ના વિશ્લેષકે સમીક્ષા પ્રક્રિયા દરમિયાન પ્રસ્તાવિત હેકિંગ પદ્ધતિની નકલ કરવાનો પ્રયાસ કર્યો, પરંતુ સમસ્યા પુનઃઉત્પાદન કરી શકાતી ન હતી, જેના કારણે વિનંતીકર્તાએ વધારાની વિગતોની વિનંતી કરી. જો કે, વિશ્લેષકે એ ધ્યાનમાં લીધું નહીં કે તેણે નિષ્ફળ સ્કેન પરિણામો સાથે તેની સત્ર કૂકીની સામગ્રીને અવગણી હતી. ખાસ કરીને, વાતચીત દરમિયાન, વિશ્લેષકે curl ઉપયોગિતાનો ઉપયોગ કરીને એક્ઝિક્યુટ કરાયેલ HTTP વિનંતીનું ઉદાહરણ પૂરું પાડ્યું, જેમાં HTTP હેડર્સનો સમાવેશ થાય છે જેમાંથી તે સત્ર કૂકીની સામગ્રી સાફ કરવાનું ભૂલી ગયો હતો.

એક સંશોધકે આ ભૂલ ધ્યાનમાં લીધી અને મલ્ટિફેક્ટર ઓથેન્ટિકેશનની જરૂર વગર, ફક્ત અવલોકન કરાયેલ કૂકી મૂલ્ય દાખલ કરીને hackerone.com પર એક વિશેષાધિકૃત એકાઉન્ટને ઍક્સેસ કરવામાં સક્ષમ બન્યા. આ હુમલો શક્ય બન્યો કારણ કે hackerone.com એ સત્રોને વપરાશકર્તાના IP અથવા બ્રાઉઝર સાથે જોડ્યા ન હતા. ભંગ અહેવાલ પ્રકાશિત થયાના બે કલાક પછી વાંધાજનક સત્ર ઓળખકર્તાને દૂર કરવામાં આવ્યો હતો. આ સમસ્યાની જાણ કરવા બદલ સંશોધકને $20 ઇનામ આપવામાં આવ્યું હતું.

HackerOne એ ભૂતકાળમાં સમાન કૂકી લીકની સંભવિત ઘટનાઓનું વિશ્લેષણ કરવા અને ગ્રાહક સમસ્યાઓ વિશે સંવેદનશીલ માહિતીના સંભવિત લીકનું મૂલ્યાંકન કરવા માટે એક ઓડિટ શરૂ કરી. ઓડિટમાં અગાઉ કોઈ લીક જોવા મળ્યું નથી અને નક્કી કર્યું છે કે જે સંશોધકે આ સમસ્યા દર્શાવી હતી તેણે સેવા પર ઉપલબ્ધ તમામ પ્રોગ્રામ્સમાંથી લગભગ 5% વિશે માહિતી મેળવી હશે, જેમાં વિશ્લેષક, જેની સત્ર કીનો ઉપયોગ કરવામાં આવ્યો હતો, તેની પાસે ઍક્સેસ હતી.

ભવિષ્યમાં સમાન હુમલાઓ સામે રક્ષણ આપવા માટે, સત્ર કી બંધાયેલી છે IP સરનામું અને ટિપ્પણીઓમાં સત્ર કી અને પ્રમાણીકરણ ટોકન્સનું ફિલ્ટરિંગ. ભવિષ્યમાં, IP બંધનકર્તાને વપરાશકર્તા ઉપકરણો સાથે બંધનકર્તા સાથે બદલવાની યોજના છે, કારણ કે ગતિશીલ રીતે સોંપાયેલ સરનામાં ધરાવતા વપરાશકર્તાઓ માટે IP બંધનકર્તા અસુવિધાજનક છે. ડેટામાં વપરાશકર્તાની ઍક્સેસ વિશેની માહિતી સાથે લોગિંગ સિસ્ટમને વિસ્તૃત કરવાનો અને ક્લાયંટ ડેટામાં વિશ્લેષકો માટે ગ્રેન્યુલર એક્સેસ મોડેલ લાગુ કરવાનો પણ નિર્ણય લેવામાં આવ્યો.

સોર્સ: opennet.ru