એન્ક્રિપ્ટેડ ટ્રાફિક jabber.ru અને xmpp.ru નું ઇન્ટરસેપ્શન રેકોર્ડ કર્યું

Jabber સર્વર jabber.ru (xmpp.ru) ના એડમિનિસ્ટ્રેટરે યુઝર ટ્રાફિક (MITM) ને ડિક્રિપ્ટ કરવા માટેના હુમલાની ઓળખ કરી હતી, જે જર્મન હોસ્ટિંગ પ્રદાતાઓ હેટ્ઝનર અને લિનોડના નેટવર્કમાં 90 દિવસથી 6 મહિનાના સમયગાળા દરમિયાન કરવામાં આવી હતી, જે આનું આયોજન કરે છે. પ્રોજેક્ટ સર્વર અને સહાયક VPS પર્યાવરણ. આ હુમલાને ટ્રાન્ઝિટ નોડ પર રીડાયરેક્ટ કરીને આયોજિત કરવામાં આવે છે જે STARTTLS એક્સટેન્શનનો ઉપયોગ કરીને એન્ક્રિપ્ટેડ XMPP કનેક્શન્સ માટે TLS પ્રમાણપત્રને બદલે છે.

હુમલો તેના આયોજકોની ભૂલને કારણે નોંધાયો હતો, જેમની પાસે સ્પૂફિંગ માટે ઉપયોગમાં લેવાતા TLS પ્રમાણપત્રને રિન્યૂ કરવાનો સમય નહોતો. ઑક્ટોબર 16 ના રોજ, jabber.ru ના એડમિનિસ્ટ્રેટર, સેવા સાથે કનેક્ટ કરવાનો પ્રયાસ કરતી વખતે, પ્રમાણપત્રની સમાપ્તિને કારણે એક ભૂલ સંદેશ પ્રાપ્ત થયો, પરંતુ સર્વર પર સ્થિત પ્રમાણપત્ર સમાપ્ત થયું ન હતું. પરિણામે, તે બહાર આવ્યું કે ક્લાયંટને પ્રાપ્ત થયેલ પ્રમાણપત્ર સર્વર દ્વારા મોકલવામાં આવેલા પ્રમાણપત્રથી અલગ હતું. પ્રથમ નકલી TLS પ્રમાણપત્ર 18 એપ્રિલ, 2023 ના રોજ Let's Encrypt સેવા દ્વારા મેળવવામાં આવ્યું હતું, જેમાં હુમલાખોર, ટ્રાફિકને અટકાવવામાં સક્ષમ હોવાથી, jabber.ru અને xmpp.ru સાઇટ્સની ઍક્સેસની પુષ્ટિ કરવામાં સક્ષમ હતો.

શરૂઆતમાં, એવી ધારણા હતી કે પ્રોજેક્ટ સર્વર સાથે ચેડા કરવામાં આવ્યા હતા અને તેની બાજુમાં અવેજી કરવામાં આવી રહી હતી. પરંતુ ઓડિટમાં હેકિંગના કોઈ નિશાન મળ્યા નથી. તે જ સમયે, સર્વર પરના લોગમાં, નેટવર્ક ઈન્ટરફેસ (NIC લિન્ક ઈઝ ડાઉન/NIC લિંક ઈઝ અપ)નું ટૂંકા ગાળાના સ્વિચિંગ ઑફ અને ઑન જોવા મળ્યું હતું, જે 18 જુલાઈના રોજ 12:58 વાગ્યે કરવામાં આવ્યું હતું અને તે થઈ શકે છે. સ્વીચ સાથે સર્વરના જોડાણ સાથે મેનિપ્યુલેશન્સ સૂચવો. નોંધનીય છે કે બે નકલી TLS પ્રમાણપત્રો થોડી મિનિટો અગાઉ જનરેટ કરવામાં આવ્યા હતા - 18 જુલાઈના રોજ 12:49 અને 12:38 વાગ્યે.

વધુમાં, અવેજી માત્ર હેટ્ઝનર પ્રદાતાના નેટવર્કમાં જ હાથ ધરવામાં આવી હતી, જે મુખ્ય સર્વરને હોસ્ટ કરે છે, પણ લિનોડ પ્રદાતાના નેટવર્કમાં પણ, જે સહાયક પ્રોક્સીઓ સાથે VPS વાતાવરણને હોસ્ટ કરે છે જે અન્ય સરનામાંઓથી ટ્રાફિકને રીડાયરેક્ટ કરે છે. આડકતરી રીતે, એવું જાણવા મળ્યું હતું કે બંને પ્રદાતાઓના નેટવર્કમાં નેટવર્ક પોર્ટ 5222 (XMPP STARTTLS) પરનો ટ્રાફિક વધારાના હોસ્ટ દ્વારા રીડાયરેક્ટ કરવામાં આવ્યો હતો, જેણે એવું માનવાનું કારણ આપ્યું હતું કે હુમલો પ્રદાતાઓના ઈન્ફ્રાસ્ટ્રક્ચરની ઍક્સેસ ધરાવતી વ્યક્તિ દ્વારા કરવામાં આવ્યો હતો.

સૈદ્ધાંતિક રીતે, અવેજી 18 એપ્રિલ (jabber.ru માટે પ્રથમ નકલી પ્રમાણપત્ર બનાવવાની તારીખ) થી હાથ ધરવામાં આવી શકી હોત, પરંતુ પ્રમાણપત્રની અવેજીના પુષ્ટિ થયેલા કિસ્સાઓ ફક્ત 21 જુલાઈથી 19 ઓક્ટોબર સુધી જ નોંધાયા હતા, આ બધા સમયે એન્ક્રિપ્ટેડ ડેટા એક્સચેન્જ. jabber.ru અને xmpp.ru સાથે સમાધાનકારી ગણી શકાય. તપાસ શરૂ થયા પછી અવેજી બંધ થઈ ગઈ, પરીક્ષણો હાથ ધરવામાં આવ્યા અને 18 ઑક્ટોબરે પ્રદાતાઓ હેટ્ઝનર અને લિનોડની સપોર્ટ સર્વિસને વિનંતી મોકલવામાં આવી. તે જ સમયે, લિનોડમાંના એક સર્વરના પોર્ટ 5222 પર મોકલવામાં આવેલા પેકેટોને રૂટીંગ કરતી વખતે વધારાનું સંક્રમણ આજે પણ જોવા મળે છે, પરંતુ પ્રમાણપત્ર હવે બદલાતું નથી.

એવું માનવામાં આવે છે કે બંને પ્રદાતાઓના ઇન્ફ્રાસ્ટ્રક્ચરને હેક કરવાના પરિણામે, અથવા બંને પ્રદાતાઓની ઍક્સેસ ધરાવતા કર્મચારી દ્વારા, કાયદા અમલીકરણ એજન્સીઓની વિનંતી પર પ્રદાતાઓની જાણકારી સાથે હુમલો કરવામાં આવ્યો હોઈ શકે છે. XMPP ટ્રાફિકને અટકાવવામાં અને સંશોધિત કરવામાં સક્ષમ થવાથી, હુમલાખોર સર્વર પર સંગ્રહિત મેસેજિંગ ઇતિહાસ જેવા તમામ એકાઉન્ટ-સંબંધિત ડેટાની ઍક્સેસ મેળવી શકે છે, અને અન્ય લોકો વતી સંદેશા મોકલી શકે છે અને અન્ય લોકોના સંદેશામાં ફેરફાર કરી શકે છે. એન્ડ-ટુ-એન્ડ એન્ક્રિપ્શન (OMEMO, OTR અથવા PGP) નો ઉપયોગ કરીને મોકલવામાં આવતા સંદેશાઓ જો કનેક્શનની બંને બાજુના વપરાશકર્તાઓ દ્વારા એન્ક્રિપ્શન કીની ચકાસણી કરવામાં આવી હોય તો તે સાથે ચેડાં ન થાય તેવું ગણી શકાય. Jabber.ru વપરાશકર્તાઓને તેમના એક્સેસ પાસવર્ડ બદલવાની સલાહ આપવામાં આવે છે અને સંભવિત અવેજી માટે તેમના PEP સ્ટોરેજમાં OMEMO અને PGP કી તપાસો.

સોર્સ: opennet.ru