ગોપનીય "વાદળ". અમે ઓપન સોલ્યુશન્સનો વિકલ્પ શોધી રહ્યા છીએ

હું તાલીમ દ્વારા એન્જિનિયર છું, પરંતુ હું ઉદ્યોગસાહસિકો અને નિર્માણ નિર્દેશકો સાથે વધુ વાતચીત કરું છું. થોડા સમય પહેલા, એક ઔદ્યોગિક કંપનીના માલિકે સલાહ માંગી. એન્ટરપ્રાઇઝ મોટું છે અને 90 ના દાયકામાં બનાવવામાં આવ્યું હતું તે હકીકત હોવા છતાં, મેનેજમેન્ટ અને એકાઉન્ટિંગ સ્થાનિક નેટવર્ક પર જૂના જમાનાની રીતે કામ કરે છે.

આ તેમના વ્યવસાય માટેના ભય અને રાજ્ય દ્વારા વધેલા નિયંત્રણનું પરિણામ છે. કાયદા અને નિયમોનું નિરીક્ષણ સત્તાવાળાઓ દ્વારા ખૂબ વ્યાપક રીતે અર્થઘટન કરી શકાય છે. ટેક્સ કોડમાં થયેલા સુધારાનું ઉદાહરણ છે, મર્યાદાઓના કાનૂનને દૂર કરવું કરના ઉલ્લંઘન માટે, વાસ્તવિક વિનાશ બેંકિંગ અને ઓડિટ ગુપ્તતા.

પરિણામે, વ્યવસાયના માલિકે માહિતીના વિશ્વસનીય સંગ્રહ અને દસ્તાવેજોના સુરક્ષિત સ્થાનાંતરણ માટે ઉકેલો શોધવાનું શરૂ કર્યું. વર્ચ્યુઅલ "સલામત".

અમે ફુલ-ટાઇમ સિસ્ટમ એડમિનિસ્ટ્રેટર સાથે સમસ્યા પર કામ કર્યું: અમને હાલના પ્લેટફોર્મના ઊંડાણપૂર્વક વિશ્લેષણની જરૂર છે.

• સેવા ક્લાઉડ-આધારિત ન હોવી જોઈએ, શબ્દના શાસ્ત્રીય અર્થમાં, એટલે કે. તૃતીય પક્ષ સંસ્થાની સુવિધાઓ પર સંગ્રહ વિના. ફક્ત તમારું સર્વર;
• પ્રસારિત અને સંગ્રહિત ડેટાનું મજબૂત એન્ક્રિપ્શન જરૂરી છે;
• બટનના ક્લિક પર કોઈપણ ઉપકરણમાંથી સામગ્રીને તાત્કાલિક કાઢી નાખવાની ક્ષમતા ફરજિયાત છે;
• ઉકેલ વિદેશમાં વિકસાવવામાં આવ્યો હતો.

મેં ચોથા મુદ્દાને દૂર કરવાનો પ્રસ્તાવ મૂક્યો, કારણ કે... રશિયન એપ્લિકેશનો પાસે સત્તાવાર પ્રમાણપત્રો છે. ડિરેક્ટરે સીધું કહ્યું કે આવા સર્ટિફિકેટનું શું કરવું જોઈએ.

વિકલ્પો પસંદ કરી રહ્યા છીએ

મેં ત્રણ ઉકેલો પસંદ કર્યા (વધુ પસંદગીઓ, વધુ શંકાઓ):

• ઓપન સોર્સ - પ્રોજેક્ટ Syncthing.net , ઉત્સાહી વિકાસકર્તા જેકબ બોર્ગ દ્વારા જાળવવામાં આવે છે.
• Resilio.com, અમેરિકન રેસિલિયો ઇન્ક દ્વારા દેખરેખ હેઠળ. (અગાઉ આ સેવા BitTorrent Sync તરીકે ઓળખાતી હતી).
• આ પ્રોજેક્ટ Pvtbox ઇલેક્ટ્રોનિક સલામત થી pvtbox.net સિંક્રનાઇઝેશન એપ્લિકેશન્સ. સાયપ્રસ નોંધણી.

કંપનીના માલિકને તકનીકી ગૂંચવણોની ઓછી સમજણ છે, તેથી મેં દરેક વિકલ્પના ગુણદોષની સૂચિના રૂપમાં અહેવાલને ફોર્મેટ કર્યો.

વિશ્લેષણના પરિણામો

સમન્વય

Плюсы:

• ખુલ્લા સ્ત્રોત;
• મુખ્ય વિકાસકર્તાની પ્રવૃત્તિ;
• પ્રોજેક્ટ ખૂબ લાંબા સમયથી આસપાસ છે;
• મફત.

વિપક્ષ:

• iOS શેલ માટે કોઈ ક્લાયંટ નથી;
• સ્લો ટર્ન સર્વર્સ (તેઓ મફત છે, તેથી તેઓ ધીમું થાય છે). તે માટે, જેઓ
  વાકેફ નથી, જ્યારે સીધું કનેક્ટ કરવું અશક્ય હોય ત્યારે ટર્નનો ઉપયોગ થાય છે;
• જટિલ ઇન્ટરફેસ સેટઅપ (ઘણા વર્ષોના પ્રોગ્રામિંગ અનુભવની જરૂર છે);
• ઝડપી વ્યવસાયિક સમર્થનનો અભાવ.

રેઝિલિઓ

ગુણ: બધા ઉપકરણો અને ઝડપી ટર્ન સર્વર્સ માટે સપોર્ટ.

વિપક્ષ: એક અને ખૂબ જ મહત્વપૂર્ણ એ છે કે સપોર્ટ સર્વિસ દ્વારા કોઈપણ વિનંતીઓની સંપૂર્ણ અવગણના કરવી. શૂન્ય પ્રતિસાદ, ભલે તમે જુદા જુદા સરનામાંઓથી લખો.

Pvtbox

ગુણ:

• બધા ઉપકરણોને સપોર્ટ કરે છે;
• ફાસ્ટ ટર્ન સર્વર્સ;
• એપ્લિકેશન ઇન્સ્ટોલ કર્યા વિના ફાઇલ ડાઉનલોડ કરવાની ક્ષમતા;
• પર્યાપ્ત આધાર સેવા, સહિત. ફોન દ્વારા.

મિનિસી:

• યંગ પ્રોજેક્ટ (થોડી સમીક્ષાઓ અને સારી સમીક્ષાઓ);
• સાઇટનું ઇન્ટરફેસ ખૂબ જ "તકનીકી" છે અને હંમેશા સ્પષ્ટ હોતું નથી;
• ત્યાં કોઈ સંપૂર્ણ વિગતવાર દસ્તાવેજો નથી; ઘણા મુદ્દાઓને સમર્થનની જરૂર છે.

ગ્રાહકે શું પસંદ કર્યું?

તેમનો પહેલો પ્રશ્ન છે: મફતમાં કંઈક વિકસાવવાનો અર્થ શું છે? સમન્વયન તરત જ છોડી દેવામાં આવ્યું હતું. દલીલો કામ કરતી ન હતી.

થોડા દિવસો પછી, ગ્રાહકે સમર્થનના અભાવે રેસિલિયો સિંકને સ્પષ્ટપણે નકારી કાઢ્યું, કારણ કે... કટોકટીની સ્થિતિમાં ક્યાં જવું તે સ્પષ્ટ નથી. ઉપરાંત કંપનીના અમેરિકન રજીસ્ટ્રેશન પર અવિશ્વાસ.

વધુ વિશ્લેષણ માટે, Pvtbox ઈલેક્ટ્રોનિક સલામત રહે છે. અમે આ પ્લેટફોર્મનું સંપૂર્ણ ટેકનિકલ ઓડિટ કર્યું, જેમાં માહિતીના સંગ્રહમાં અવરોધ, ડેટાના ડિક્રિપ્શન અને અનધિકૃત પ્રવેશની શક્યતા પર ધ્યાન કેન્દ્રિત કર્યું.

ઓડિટ પ્રક્રિયા

અમે પ્રોગ્રામની શરૂઆતમાં, ઓપરેશન દરમિયાન અને શાંત સ્થિતિમાં કનેક્શન્સનું વિશ્લેષણ કર્યું. આધુનિક ધોરણો અનુસાર ટ્રાફિક શરૂઆતમાં એન્ક્રિપ્ટેડ છે. ચાલો MITM હુમલો કરવાનો પ્રયાસ કરીએ અને ફ્લાય પર પ્રમાણપત્રનો ઉપયોગ કરીને બદલો Linux (Xubuntu Linux 18.04), Wireshark, Mitmproxy. આ કરવા માટે, અમે Pvtbox એપ્લિકેશન અને pvtbox.net સર્વર વચ્ચે મધ્યસ્થી રજૂ કરીશું (https કનેક્શન દ્વારા pvtbox.net સર્વર સાથે ડેટા એક્સચેન્જ છે).

પ્રોગ્રામ અને ફાઇલ સિંક્રનાઇઝેશન તેમાં કાર્ય કરે છે તેની ખાતરી કરવા માટે અમે એપ્લિકેશનને લોન્ચ કરીએ છીએ. Linux માં, જો તમે ટર્મિનલ પરથી પ્રોગ્રામ ચલાવો છો તો તમે તરત જ લોગીંગનું અવલોકન કરી શકો છો.


એપ્લિકેશન બંધ કરો અને ફાઇલમાં pvtbox.net હોસ્ટ સરનામું બદલો / Etc / hosts સુપરયુઝર વિશેષાધિકારો સાથે. અમે સરનામાને અમારા પ્રોક્સી સર્વરના સરનામાથી બદલીએ છીએ.


હવે ચાલો આપણા સ્થાનિક નેટવર્ક પર 192.168.1.64 સરનામાંવાળા કમ્પ્યુટર પર MITM હુમલા માટે અમારા પ્રોક્સી સર્વરને તૈયાર કરીએ. આ કરવા માટે, mitmproxy પેકેજ સંસ્કરણ 4.0.4 ઇન્સ્ટોલ કરો.

અમે પોર્ટ 443 પર પ્રોક્સી સર્વર શરૂ કરીએ છીએ:
$ sudo mitmproxy -p 443

અમે પ્રથમ કમ્પ્યુટર પર Pvtbox પ્રોગ્રામ શરૂ કરીએ છીએ, mitmproxy આઉટપુટ અને એપ્લિકેશન લોગ જુઓ.


Mitmproxy અહેવાલ આપે છે કે ક્લાયંટ પ્રોક્સી સર્વરમાંથી સ્પૂફ પ્રમાણપત્ર પર વિશ્વાસ કરતું નથી. એપ્લિકેશન લોગમાં આપણે એ પણ જોઈએ છીએ કે પ્રોક્સી સર્વર પ્રમાણપત્ર ચકાસણી પાસ કરતું નથી અને પ્રોગ્રામ કામ કરવાનો ઇનકાર કરે છે.

પ્રોક્સી સર્વર પ્રમાણપત્ર ઇન્સ્ટોલ કરી રહ્યું છે mitmproxy પ્રમાણપત્રને "વિશ્વસનીય" બનાવવા માટે Pvtbox એપ્લિકેશન સાથેના કમ્પ્યુટર પર. તમારા કમ્પ્યુટર પર ca-પ્રમાણપત્ર પેકેજ ઇન્સ્ટોલ કરો. પછી mitmproxy-ca-cert.pem પ્રમાણપત્રને પ્રોક્સી સર્વરની .mitmproxy ડિરેક્ટરીમાંથી કમ્પ્યુટર પર Pvtbox એપ્લિકેશન સાથે /usr/local/share/ca-certificates ડિરેક્ટરીમાં કૉપિ કરો.

અમે આદેશો ચલાવીએ છીએ:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$sudo અપડેટ-ca-પ્રમાણપત્રો


Pvtbox એપ્લિકેશન લોંચ કરો. પ્રમાણપત્ર ફરીથી ચકાસણી નિષ્ફળ થયું અને પ્રોગ્રામ કામ કરવાનો ઇનકાર કરે છે. એપ્લિકેશન કદાચ સુરક્ષા મિકેનિઝમનો ઉપયોગ કરી રહી છે પ્રમાણપત્ર પિનિંગ.

આવો જ હુમલો યજમાન પર કરવામાં આવ્યો હતો signalserver.pvtbox.net, તેમજ ગાંઠો વચ્ચે પીઅર-2-પીઅર કનેક્શન પોતે. વિકાસકર્તા સૂચવે છે કે પીઅર-2-પીઅર કનેક્શન્સ સ્થાપિત કરવા માટેની એપ્લિકેશન ઓપન વેબઆરટીસી પ્રોટોકોલનો ઉપયોગ કરે છે, જે એન્ડ-ટુ-એન્ડ પ્રોટોકોલ એન્ક્રિપ્શનનો ઉપયોગ કરે છે. DTLSv1.2.

કી દરેક કનેક્શન સેટઅપ માટે જનરેટ થાય છે અને એનક્રિપ્ટેડ ચેનલ પર મારફતે પ્રસારિત થાય છે signalserver.pvtbox.net.

સૈદ્ધાંતિક રીતે, webrtc ઑફર અટકાવવી અને સંદેશાઓનો જવાબ આપવો, ત્યાં એન્ક્રિપ્શન કીઝને બદલવી અને webrtc દ્વારા આવતા તમામ સંદેશાઓને ડિક્રિપ્ટ કરવા સક્ષમ બનશે. પરંતુ signalserver.pvtbox.net પર mitm હુમલો કરવો શક્ય ન હતો, તેથી signalserver.pvtbox.net દ્વારા મોકલવામાં આવેલા સંદેશાને અટકાવવા અને બદલવાની કોઈ રીત નથી.

તદનુસાર, પીઅર-2-પીઅર કનેક્શન પર આ હુમલો કરવો શક્ય નથી.

પ્રોગ્રામ સાથે પૂરા પાડવામાં આવેલ પ્રમાણપત્રો સાથેની ફાઇલ પણ મળી આવી હતી. ફાઇલ /opt/pvtbox/certifi/cacert.pem પર સ્થિત છે. આ ફાઇલને એવી ફાઇલથી બદલવામાં આવી છે જેમાં અમારા mitmproxy પ્રોક્સીનું વિશ્વસનીય પ્રમાણપત્ર છે. પરિણામ બદલાયું નથી - પ્રોગ્રામે સિસ્ટમથી કનેક્ટ થવાનો ઇનકાર કર્યો હતો, લોગમાં સમાન ભૂલ જોવા મળી હતી,
કે પ્રમાણપત્ર ચકાસણી પાસ કરતું નથી.

ઓડિટ પરિણામો

હું ટ્રાફિકને અટકાવવા અથવા છેતરવામાં અસમર્થ હતો. ફાઇલના નામો, અને તેથી પણ વધુ, તેમના સમાવિષ્ટો, એનક્રિપ્ટેડ સ્વરૂપમાં પ્રસારિત થાય છે; એન્ડ-ટુ-એન્ડ એન્ક્રિપ્શનનો ઉપયોગ થાય છે. એપ્લિકેશન સંખ્યાબંધ સુરક્ષા પદ્ધતિઓ લાગુ કરે છે જે છળકપટ અને ઘૂસણખોરીને અટકાવે છે.

પરિણામે, કંપનીએ માહિતીની કાયમી ઍક્સેસ માટે બે સમર્પિત સર્વર (ભૌતિક રીતે જુદા જુદા સ્થળોએ) ખરીદ્યા. પ્રથમ સર્વરનો ઉપયોગ માહિતી મેળવવા, પ્રક્રિયા કરવા અને સંગ્રહ કરવા માટે થાય છે, બીજાનો ઉપયોગ બેકઅપ માટે થાય છે.

ડાયરેક્ટરનું વર્ક ટર્મિનલ અને iOS પરનો મોબાઇલ ફોન પરિણામી વ્યક્તિગત ક્લાઉડ સાથે જોડાયેલ હતો. અન્ય કર્મચારીઓ ફુલ-ટાઇમ સિસ્ટમ એડમિનિસ્ટ્રેટર અને Pvtbox ના ટેકનિકલ સપોર્ટ દ્વારા જોડાયેલા હતા.

છેલ્લા સમય દરમિયાન, મિત્ર તરફથી કોઈ ફરિયાદ આવી નથી. હું આશા રાખું છું કે મારી સમીક્ષા હબરના વાચકોને સમાન પરિસ્થિતિમાં મદદ કરશે.

સોર્સ: www.habr.com