जब "ब्लैक हैट्स" - साइबरस्पेस के जंगली जंगल के अर्दली होने के नाते - अपने गंदे काम में विशेष रूप से सफल हो जाते हैं, तो पीला मीडिया खुशी से झूम उठता है। परिणामस्वरूप, दुनिया साइबर सुरक्षा को अधिक गंभीरता से देखने लगी है। लेकिन दुर्भाग्य से तुरंत नहीं. इसलिए, विनाशकारी साइबर घटनाओं की बढ़ती संख्या के बावजूद, दुनिया अभी भी सक्रिय सक्रिय उपायों के लिए तैयार नहीं है। हालाँकि, यह उम्मीद की जाती है कि निकट भविष्य में, "ब्लैक हैट्स" के लिए धन्यवाद, दुनिया साइबर सुरक्षा को गंभीरता से लेना शुरू कर देगी। [7]

आग की तरह ही गंभीर... एक समय शहर भयावह आग के प्रति बहुत संवेदनशील थे। हालाँकि, संभावित खतरे के बावजूद, सक्रिय सुरक्षात्मक उपाय नहीं किए गए - यहां तक ​​कि 1871 में शिकागो में भीषण आग के बाद भी, जिसमें सैकड़ों लोगों की जान चली गई और सैकड़ों हजारों लोग विस्थापित हुए। तीन साल बाद दोबारा ऐसी ही आपदा आने के बाद ही सक्रिय सुरक्षात्मक उपाय किए गए। साइबर सुरक्षा के साथ भी ऐसा ही है - दुनिया इस समस्या का समाधान तब तक नहीं करेगी जब तक भयावह घटनाएं न हों। लेकिन अगर ऐसी घटनाएं होती भी हैं तो दुनिया इस समस्या का तुरंत समाधान नहीं कर पाएगी. [7] इसलिए, यहां तक ​​कि यह कहावत भी: "जब तक कोई बग नहीं होता, एक आदमी को पैच नहीं किया जाएगा," बिल्कुल काम नहीं करता है। इसीलिए 2018 में हमने व्यापक असुरक्षा के 30 साल पूरे होने का जश्न मनाया।

गीतात्मक विषयांतर

इस लेख की शुरुआत, जो मैंने मूल रूप से सिस्टम एडमिनिस्ट्रेटर पत्रिका के लिए लिखी थी, एक अर्थ में भविष्यसूचक निकली। इस लेख के साथ एक पत्रिका का अंक बाहर चला गया केमेरोवो शॉपिंग सेंटर "विंटर चेरी" (2018, 20 मार्च) में दुखद आग के साथ सचमुच दिन-ब-दिन।

30 मिनट में इंटरनेट इंस्टॉल करें

1988 में, प्रसिद्ध हैकर आकाशगंगा L0pht ने सबसे प्रभावशाली पश्चिमी अधिकारियों की एक बैठक के सामने पूरी ताकत से बोलते हुए घोषणा की: “आपके कम्प्यूटरीकृत उपकरण इंटरनेट से साइबर हमलों के प्रति संवेदनशील हैं। और सॉफ्टवेयर, और हार्डवेयर, और दूरसंचार। उनके विक्रेता इस स्थिति से बिल्कुल भी चिंतित नहीं हैं। क्योंकि आधुनिक कानून निर्मित सॉफ्टवेयर और हार्डवेयर की साइबर सुरक्षा सुनिश्चित करने के लिए लापरवाहीपूर्ण दृष्टिकोण के लिए किसी भी दायित्व का प्रावधान नहीं करता है। संभावित विफलताओं (चाहे स्वतःस्फूर्त या साइबर अपराधियों के हस्तक्षेप के कारण) की जिम्मेदारी पूरी तरह से उपकरण के उपयोगकर्ता की होती है। जहाँ तक संघीय सरकार की बात है, उसके पास इस समस्या को हल करने के लिए न तो कौशल है और न ही इच्छा। इसलिए, यदि आप साइबर सुरक्षा की तलाश में हैं, तो इंटरनेट इसे खोजने का स्थान नहीं है। आपके सामने बैठे सात लोगों में से प्रत्येक इंटरनेट को पूरी तरह से तोड़ सकता है और, तदनुसार, उससे जुड़े उपकरणों पर पूरा नियंत्रण हासिल कर सकता है। अपने द्वारा। 30 मिनट की कोरियोग्राफ़्ड कीस्ट्रोक्स और यह हो गया।” [7]

अधिकारियों ने अर्थपूर्ण तरीके से सिर हिलाया, जिससे यह स्पष्ट हो गया कि वे स्थिति की गंभीरता को समझते हैं, लेकिन कुछ नहीं किया। आज, L30pht के शानदार प्रदर्शन के ठीक 0 साल बाद, दुनिया अभी भी "व्यापक असुरक्षा" से त्रस्त है। कम्प्यूटरीकृत, इंटरनेट से जुड़े उपकरणों को हैक करना इतना आसान है कि इंटरनेट, जो शुरू में आदर्शवादी वैज्ञानिकों और उत्साही लोगों का साम्राज्य था, धीरे-धीरे सबसे व्यावहारिक पेशेवरों द्वारा कब्जा कर लिया गया है: घोटालेबाज, ठग, जासूस, आतंकवादी। ये सभी वित्तीय या अन्य लाभों के लिए कम्प्यूटरीकृत उपकरणों की कमजोरियों का फायदा उठाते हैं। [7]

विक्रेता साइबर सुरक्षा की उपेक्षा करते हैं

बेशक, विक्रेता कभी-कभी पहचानी गई कुछ कमजोरियों को ठीक करने का प्रयास करते हैं, लेकिन वे ऐसा बहुत अनिच्छा से करते हैं। क्योंकि उनका मुनाफ़ा हैकरों से सुरक्षा से नहीं, बल्कि उनके द्वारा उपभोक्ताओं को प्रदान की जाने वाली नई कार्यक्षमता से आता है। केवल अल्पकालिक लाभ पर ध्यान केंद्रित करने के कारण, विक्रेता केवल वास्तविक समस्याओं को हल करने में पैसा लगाते हैं, काल्पनिक समस्याओं पर नहीं। उनमें से कई लोगों की नज़र में साइबर सुरक्षा एक काल्पनिक चीज़ है। [7]

साइबर सुरक्षा एक अदृश्य, अमूर्त चीज़ है। यह तभी मूर्त रूप लेता है जब इसमें समस्याएँ उत्पन्न होती हैं। यदि उन्होंने इसकी अच्छी देखभाल की (उन्होंने इसके प्रावधान पर बहुत पैसा खर्च किया), और इसमें कोई समस्या नहीं है, तो अंतिम उपभोक्ता इसके लिए अधिक भुगतान नहीं करना चाहेगा। इसके अलावा, वित्तीय लागत में वृद्धि के अलावा, सुरक्षात्मक उपायों के कार्यान्वयन के लिए अतिरिक्त विकास समय की आवश्यकता होती है, उपकरण की क्षमताओं को सीमित करने की आवश्यकता होती है, और इसकी उत्पादकता में कमी आती है। [8]

सूचीबद्ध लागतों की व्यवहार्यता के बारे में हमारे अपने विपणक को भी समझाना मुश्किल है, अंतिम उपभोक्ताओं की तो बात ही छोड़ दें। और चूंकि आधुनिक विक्रेता केवल अल्पकालिक बिक्री मुनाफे में रुचि रखते हैं, इसलिए वे अपनी रचनाओं की साइबर सुरक्षा सुनिश्चित करने की जिम्मेदारी लेने के इच्छुक नहीं हैं। [1] दूसरी ओर, अधिक सावधान विक्रेता जिन्होंने अपने उपकरणों की साइबर सुरक्षा का ध्यान रखा है, उन्हें इस तथ्य का सामना करना पड़ता है कि कॉर्पोरेट उपभोक्ता सस्ते और उपयोग में आसान विकल्प पसंद करते हैं। वह। यह स्पष्ट है कि कॉर्पोरेट उपभोक्ता साइबर सुरक्षा के बारे में ज्यादा परवाह नहीं करते हैं। [8]

उपरोक्त के प्रकाश में, यह आश्चर्य की बात नहीं है कि विक्रेता साइबर सुरक्षा की उपेक्षा करते हैं, और निम्नलिखित दर्शन का पालन करते हैं: “निर्माण करते रहें, बेचते रहें और जब आवश्यक हो तो पैच करें। क्या सिस्टम क्रैश हो गया है? जानकारी खो गई? क्रेडिट कार्ड नंबर वाला डेटाबेस चोरी हो गया? क्या आपके उपकरण में कोई घातक कमज़ोरियाँ पहचानी गई हैं? कोई बात नहीं!" बदले में, उपभोक्ताओं को सिद्धांत का पालन करना होगा: "पैच लगाओ और प्रार्थना करो।" [7]

यह कैसे होता है: जंगली उदाहरण

विकास के दौरान साइबर सुरक्षा की उपेक्षा का एक ज्वलंत उदाहरण माइक्रोसॉफ्ट का कॉर्पोरेट प्रोत्साहन कार्यक्रम है: “यदि आप समय सीमा से चूक जाते हैं, तो आप पर जुर्माना लगाया जाएगा। यदि आपके पास अपने नवाचार की विज्ञप्ति समय पर प्रस्तुत करने का समय नहीं है, तो इसे लागू नहीं किया जाएगा। यदि इसे लागू नहीं किया जाता है, तो आपको कंपनी के शेयर (माइक्रोसॉफ्ट के मुनाफे से पाई का एक हिस्सा) प्राप्त नहीं होंगे। 1993 से, Microsoft ने अपने उत्पादों को सक्रिय रूप से इंटरनेट से जोड़ना शुरू कर दिया। चूंकि यह पहल उसी प्रेरक कार्यक्रम के अनुरूप संचालित हुई, इसलिए रक्षा की तुलना में कार्यक्षमता का तेजी से विस्तार हुआ। व्यावहारिक भेद्यता शिकारियों की ख़ुशी के लिए... [7]

एक अन्य उदाहरण कंप्यूटर और लैपटॉप की स्थिति है: वे पहले से स्थापित एंटीवायरस के साथ नहीं आते हैं; और वे मजबूत पासवर्ड का प्रीसेट भी प्रदान नहीं करते हैं। यह माना जाता है कि अंतिम उपयोगकर्ता एंटीवायरस स्थापित करेगा और सुरक्षा कॉन्फ़िगरेशन पैरामीटर सेट करेगा। [1]

एक और, अधिक चरम उदाहरण: खुदरा उपकरण (कैश रजिस्टर, शॉपिंग सेंटर के लिए पीओएस टर्मिनल, आदि) की साइबर सुरक्षा के साथ स्थिति। ऐसा हुआ कि वाणिज्यिक उपकरणों के विक्रेता केवल वही बेचते हैं जो बेचा जाता है, न कि वह जो सुरक्षित है। [2] अगर साइबर सुरक्षा के संदर्भ में वाणिज्यिक उपकरण विक्रेता एक बात की परवाह करते हैं, तो वह यह सुनिश्चित करना है कि यदि कोई विवादास्पद घटना होती है, तो जिम्मेदारी दूसरों पर आती है। [3]

घटनाओं के इस विकास का एक सांकेतिक उदाहरण: बैंक कार्डों के लिए ईएमवी मानक का लोकप्रियकरण, जो बैंक विपणक के सक्षम कार्य के लिए धन्यवाद, जनता की नज़र में आता है जो तकनीकी रूप से परिष्कृत नहीं हैं, "पुराने" के लिए एक सुरक्षित विकल्प के रूप में चुंबकीय कार्ड. उसी समय, बैंकिंग उद्योग की मुख्य प्रेरणा, जो ईएमवी मानक विकसित करने के लिए जिम्मेदार थी, धोखाधड़ी की घटनाओं (कार्डर्स की गलती के कारण होने वाली) के लिए जिम्मेदारी को स्टोर से उपभोक्ताओं पर स्थानांतरित करना था। जबकि पहले (जब भुगतान मैग्नेटिक कार्ड द्वारा किया जाता था), डेबिट/क्रेडिट में विसंगतियों के लिए वित्तीय जिम्मेदारी स्टोर की होती थी। [3] इस प्रकार भुगतान संसाधित करने वाले बैंक जिम्मेदारी या तो व्यापारियों (जो अपने दूरस्थ बैंकिंग सिस्टम का उपयोग करते हैं) या भुगतान कार्ड जारी करने वाले बैंकों पर स्थानांतरित कर देते हैं; बाद वाले दो, बदले में, जिम्मेदारी कार्डधारक पर स्थानांतरित कर देते हैं। [2]

विक्रेता साइबर सुरक्षा में बाधा डाल रहे हैं

जैसे-जैसे डिजिटल हमले की सतह का विस्तार होता जा रहा है - इंटरनेट से जुड़े उपकरणों के विस्फोट के कारण - कॉर्पोरेट नेटवर्क से जुड़ी चीज़ों पर नज़र रखना कठिन होता जा रहा है। साथ ही, विक्रेता इंटरनेट से जुड़े सभी उपकरणों की सुरक्षा के बारे में चिंताओं को अंतिम उपयोगकर्ता पर स्थानांतरित कर देते हैं [1]: "डूबते लोगों को बचाना खुद डूबते हुए लोगों का काम है।"

विक्रेता न केवल अपनी रचनाओं की साइबर सुरक्षा की परवाह नहीं करते हैं, बल्कि कुछ मामलों में वे इसके प्रावधान में भी हस्तक्षेप करते हैं। उदाहरण के लिए, जब 2009 में कॉन्फ़िकर नेटवर्क वर्म बेथ इज़राइल मेडिकल सेंटर में लीक हो गया और वहां के चिकित्सा उपकरणों के हिस्से को संक्रमित कर दिया, तो भविष्य में इसी तरह की घटनाओं को होने से रोकने के लिए, इस चिकित्सा केंद्र के तकनीकी निदेशक ने इसे अक्षम करने का निर्णय लिया। नेटवर्क के साथ वर्म से प्रभावित उपकरणों पर ऑपरेशन सपोर्ट फ़ंक्शन। हालाँकि, उन्हें इस तथ्य का सामना करना पड़ा कि "नियामक प्रतिबंधों के कारण उपकरण को अद्यतन नहीं किया जा सका।" नेटवर्क फ़ंक्शंस को अक्षम करने के लिए विक्रेता के साथ बातचीत करने में उसे काफी प्रयास करना पड़ा। [4]

इंटरनेट की मौलिक साइबर-असुरक्षा

डेविड क्लार्क, प्रसिद्ध एमआईटी प्रोफेसर, जिनकी प्रतिभा के कारण उन्हें "एल्बस डंबलडोर" उपनाम मिला, उस दिन को याद करते हैं जब इंटरनेट का काला पक्ष दुनिया के सामने आया था। क्लार्क नवंबर 1988 में एक दूरसंचार सम्मेलन की अध्यक्षता कर रहे थे जब खबर आई कि इतिहास का पहला कंप्यूटर वर्म नेटवर्क तारों में घुस गया है। क्लार्क को यह क्षण इसलिए याद आया क्योंकि उनके सम्मेलन में उपस्थित वक्ता (प्रमुख दूरसंचार कंपनियों में से एक का कर्मचारी) को इस कीड़े के प्रसार के लिए जिम्मेदार ठहराया गया था। इस वक्ता ने, भावना के आवेश में, अनजाने में कहा: "यह लीजिए!" ऐसा लगता है कि मैंने इस भेद्यता को बंद कर दिया है,'' उन्होंने इन शब्दों की कीमत चुकाई। [5]

हालाँकि, बाद में यह पता चला कि जिस भेद्यता के माध्यम से उल्लिखित कीड़ा फैला वह किसी व्यक्ति विशेष की योग्यता नहीं थी। और यह, सख्ती से कहें तो, कोई भेद्यता भी नहीं थी, बल्कि इंटरनेट की एक मूलभूत विशेषता थी: इंटरनेट के संस्थापकों ने, अपने दिमाग की उपज विकसित करते समय, विशेष रूप से डेटा ट्रांसफर गति और दोष सहनशीलता पर ध्यान केंद्रित किया। उन्होंने साइबर सुरक्षा सुनिश्चित करने का कार्य अपने लिए निर्धारित नहीं किया। [5]

आज, इंटरनेट की स्थापना के दशकों बाद - साइबर सुरक्षा के निरर्थक प्रयासों पर पहले ही सैकड़ों अरब डॉलर खर्च हो चुके हैं - इंटरनेट भी कम असुरक्षित नहीं है। इसकी साइबर सुरक्षा समस्याएं हर साल बदतर होती जा रही हैं। हालाँकि, क्या हमें इसके लिए इंटरनेट के संस्थापकों की निंदा करने का अधिकार है? आख़िरकार, उदाहरण के लिए, कोई भी इस तथ्य के लिए एक्सप्रेसवे के निर्माताओं की निंदा नहीं करेगा कि दुर्घटनाएँ "उनकी सड़कों" पर होती हैं; और कोई भी इस तथ्य के लिए नगर योजनाकारों की निंदा नहीं करेगा कि "उनके शहरों" में डकैती होती है। [5]

हैकर उपसंस्कृति का जन्म कैसे हुआ?

हैकर उपसंस्कृति की उत्पत्ति 1960 के दशक की शुरुआत में, "रेलवे तकनीकी मॉडलिंग क्लब" (मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी की दीवारों के भीतर संचालित) में हुई थी। क्लब के उत्साही लोगों ने एक मॉडल रेलरोड को डिजाइन और असेंबल किया, जो इतना विशाल था कि इससे पूरा कमरा भर गया। क्लब के सदस्य अनायास ही दो समूहों में विभाजित हो गए: शांतिदूत और सिस्टम विशेषज्ञ। [6]

पहले ने मॉडल के ऊपरी-जमीन वाले हिस्से के साथ काम किया, दूसरे ने - भूमिगत के साथ। पहले लोगों ने ट्रेनों और शहरों के मॉडल एकत्र किए और उन्हें सजाया: उन्होंने पूरी दुनिया को लघु रूप में चित्रित किया। उत्तरार्द्ध ने इस सभी शांति निर्माण के लिए तकनीकी सहायता पर काम किया: मॉडल के भूमिगत हिस्से में स्थित तारों, रिले और समन्वय स्विचों की एक जटिलता - वह सब कुछ जो "भूमि के ऊपर" भाग को नियंत्रित करता था और इसे ऊर्जा प्रदान करता था। [6]

जब कोई ट्रैफ़िक समस्या होती थी और कोई उसे ठीक करने के लिए एक नया और सरल समाधान लेकर आता था, तो उस समाधान को "हैक" कहा जाता था। क्लब के सदस्यों के लिए, नए हैक्स की खोज जीवन का आंतरिक अर्थ बन गई है। इसीलिए उन्होंने खुद को "हैकर्स" कहना शुरू कर दिया। [6]

हैकरों की पहली पीढ़ी ने सिमुलेशन रेलवे क्लब में अर्जित कौशल को छिद्रित कार्डों पर कंप्यूटर प्रोग्राम लिखकर लागू किया। फिर, जब 1969 में ARPANET (इंटरनेट का पूर्ववर्ती) कैंपस में आया, तो हैकर्स इसके सबसे सक्रिय और कुशल उपयोगकर्ता बन गए। [6]

अब, दशकों बाद, आधुनिक इंटरनेट मॉडल रेलमार्ग के उसी "भूमिगत" हिस्से जैसा दिखता है। क्योंकि इसके संस्थापक ये ही हैकर्स, "रेलरोड सिमुलेशन क्लब" के छात्र थे। केवल हैकर्स अब नकली लघुचित्रों के बजाय वास्तविक शहरों का संचालन करते हैं। [6]

बीजीपी रूटिंग कैसे बनी?

80 के दशक के अंत तक, इंटरनेट से जुड़े उपकरणों की संख्या में भारी वृद्धि के परिणामस्वरूप, इंटरनेट बुनियादी इंटरनेट प्रोटोकॉल में से एक में निर्मित कठिन गणितीय सीमा तक पहुंच गया। इसलिए, उस समय के इंजीनियरों के बीच कोई भी बातचीत अंततः इस समस्या की चर्चा में बदल गई। दो मित्र भी अपवाद नहीं थे: जैकब रेचर (आईबीएम के एक इंजीनियर) और किर्क लॉकहीड (सिस्को के संस्थापक)। खाने की मेज पर संयोगवश मुलाकात होने पर, वे इंटरनेट की कार्यक्षमता को बनाए रखने के उपायों पर चर्चा करने लगे। दोस्तों ने जो कुछ भी हाथ में आया उस पर उभरे विचारों को लिख लिया - केचप से सना हुआ रुमाल। फिर दूसरा. फिर तीसरा. "थ्री नैपकिन प्रोटोकॉल", जैसा कि इसके आविष्कारकों ने मजाक में कहा था - जिसे आधिकारिक हलकों में बीजीपी (बॉर्डर गेटवे प्रोटोकॉल) के रूप में जाना जाता है - ने जल्द ही इंटरनेट में क्रांति ला दी। [8]

रेक्टर और लॉकहीड के लिए, बीजीपी केवल एक आकस्मिक हैक था, जिसे उपरोक्त मॉडल रेलरोड क्लब की भावना में विकसित किया गया था, एक अस्थायी समाधान जिसे जल्द ही बदल दिया जाएगा। दोस्तों ने 1989 में बीजीपी विकसित किया। आज, हालाँकि, 30 साल बाद, अधिकांश इंटरनेट ट्रैफ़िक अभी भी "थ्री नैपकिन प्रोटोकॉल" का उपयोग करके रूट किया जाता है - इसकी साइबर सुरक्षा के साथ गंभीर समस्याओं के बारे में बढ़ती चिंताजनक कॉलों के बावजूद। अस्थायी हैक बुनियादी इंटरनेट प्रोटोकॉल में से एक बन गया, और इसके डेवलपर्स ने अपने अनुभव से सीखा कि "अस्थायी समाधानों से अधिक स्थायी कुछ भी नहीं है।" [8]

दुनिया भर के नेटवर्क बीजीपी पर स्विच हो गए हैं। प्रभावशाली विक्रेताओं, धनी ग्राहकों और दूरसंचार कंपनियों को जल्दी ही बीजीपी से प्यार हो गया और वे इसकी आदी हो गईं। इसलिए, इस प्रोटोकॉल की असुरक्षा के बारे में अधिक से अधिक खतरे की घंटी बजने के बावजूद, आईटी जनता अभी भी नए, अधिक सुरक्षित उपकरणों में संक्रमण के लिए उत्साह नहीं दिखाती है। [8]

साइबर-असुरक्षित बीजीपी रूटिंग

बीजीपी रूटिंग इतनी अच्छी क्यों है और आईटी समुदाय इसे छोड़ने की जल्दी में क्यों नहीं है? बीजीपी राउटर्स को यह निर्णय लेने में मदद करता है कि परस्पर संचार लाइनों के विशाल नेटवर्क पर भेजे गए डेटा की विशाल धाराओं को कहां रूट करना है। बीजीपी राउटर्स को उचित पथ चुनने में मदद करता है, भले ही नेटवर्क लगातार बदल रहा हो और लोकप्रिय मार्गों पर अक्सर ट्रैफिक जाम का अनुभव होता हो। समस्या यह है कि इंटरनेट के पास वैश्विक रूटिंग मानचित्र नहीं है। बीजीपी का उपयोग करने वाले राउटर साइबरस्पेस में पड़ोसियों से प्राप्त जानकारी के आधार पर एक रास्ता या दूसरा रास्ता चुनने के बारे में निर्णय लेते हैं, जो बदले में अपने पड़ोसियों आदि से जानकारी एकत्र करते हैं। हालाँकि, इस जानकारी को आसानी से गलत ठहराया जा सकता है, जिसका अर्थ है कि बीजीपी रूटिंग MiTM हमलों के प्रति अत्यधिक संवेदनशील है। [8]

इसलिए, निम्नलिखित जैसे प्रश्न नियमित रूप से उठते हैं: "डेनवर में दो कंप्यूटरों के बीच ट्रैफ़िक ने आइसलैंड के माध्यम से एक बड़ा चक्कर क्यों लगाया?", "पेंटागन के वर्गीकृत डेटा को एक बार बीजिंग के माध्यम से पारगमन में स्थानांतरित क्यों किया गया?" इस तरह के सवालों के तकनीकी उत्तर हैं, लेकिन वे सभी इस तथ्य पर आते हैं कि बीजीपी विश्वास के आधार पर काम करता है: पड़ोसी राउटर्स से प्राप्त सिफारिशों पर विश्वास। बीजीपी प्रोटोकॉल की भरोसेमंद प्रकृति के लिए धन्यवाद, रहस्यमय ट्रैफ़िक अधिपति यदि चाहें तो अन्य लोगों के डेटा प्रवाह को अपने डोमेन में आकर्षित कर सकते हैं। [8]

इसका जीता जागता उदाहरण अमेरिकी पेंटागन पर चीन का बीजीपी हमला है। अप्रैल 2010 में, राज्य के स्वामित्व वाली दूरसंचार दिग्गज चाइना टेलीकॉम ने दुनिया भर में हजारों राउटर भेजे, जिनमें संयुक्त राज्य अमेरिका में 16 शामिल थे, एक बीजीपी संदेश ने उन्हें बताया कि उनके पास बेहतर मार्ग हैं। ऐसी प्रणाली के बिना जो चाइना टेलीकॉम के बीजीपी संदेश की वैधता को सत्यापित कर सके, दुनिया भर के राउटर्स ने बीजिंग के माध्यम से पारगमन में डेटा भेजना शुरू कर दिया। इसमें पेंटागन और अमेरिकी रक्षा विभाग की अन्य साइटों से यातायात शामिल है। जिस आसानी से यातायात का मार्ग बदला गया और इस प्रकार के हमले के खिलाफ प्रभावी सुरक्षा की कमी बीजीपी रूटिंग की असुरक्षा का एक और संकेत है। [8]

बीजीपी प्रोटोकॉल सैद्धांतिक रूप से और भी अधिक खतरनाक साइबर हमले के प्रति संवेदनशील है। ऐसी स्थिति में जब साइबरस्पेस में अंतर्राष्ट्रीय संघर्ष पूरी ताकत से बढ़ जाता है, तो चाइना टेलीकॉम, या कुछ अन्य दूरसंचार दिग्गज, इंटरनेट के उन हिस्सों के स्वामित्व का दावा करने का प्रयास कर सकते हैं जो वास्तव में इसके नहीं हैं। इस तरह के कदम से राउटर्स भ्रमित हो जाएंगे, जिन्हें इंटरनेट पतों के समान ब्लॉक के लिए प्रतिस्पर्धी बोलियों के बीच बाउंस करना होगा। किसी वैध एप्लिकेशन को नकली एप्लिकेशन से अलग करने की क्षमता के बिना, राउटर गलत तरीके से कार्य करना शुरू कर देंगे। परिणामस्वरूप, हमें परमाणु युद्ध के बराबर इंटरनेट का सामना करना पड़ेगा - शत्रुता का एक खुला, बड़े पैमाने पर प्रदर्शन। सापेक्ष शांति के समय में ऐसा विकास अवास्तविक लगता है, लेकिन तकनीकी रूप से यह काफी संभव है। [8]

बीजीपी से बीजीपीएसईसी में स्थानांतरित करने का एक निरर्थक प्रयास

जब बीजीपी विकसित किया गया था तब साइबर सुरक्षा को ध्यान में नहीं रखा गया था, क्योंकि उस समय हैक दुर्लभ थे और उनसे होने वाली क्षति नगण्य थी। बीजीपी के डेवलपर्स, क्योंकि वे दूरसंचार कंपनियों के लिए काम करते थे और अपने नेटवर्क उपकरण बेचने में रुचि रखते थे, उनके सामने एक अधिक दबाव वाला काम था: इंटरनेट के सहज ब्रेकडाउन से बचना। क्योंकि इंटरनेट में रुकावटें उपयोगकर्ताओं को अलग-थलग कर सकती हैं, और इससे नेटवर्क उपकरणों की बिक्री कम हो सकती है। [8]

अप्रैल 2010 में बीजिंग के माध्यम से अमेरिकी सैन्य यातायात के प्रसारण की घटना के बाद, बीजीपी रूटिंग की साइबर सुरक्षा सुनिश्चित करने के लिए काम की गति निश्चित रूप से तेज हो गई। हालाँकि, दूरसंचार विक्रेताओं ने असुरक्षित बीजीपी के प्रतिस्थापन के रूप में प्रस्तावित नए सुरक्षित रूटिंग प्रोटोकॉल बीजीपीएसईसी में स्थानांतरित होने से जुड़ी लागतों को वहन करने के लिए बहुत कम उत्साह दिखाया है। ट्रैफ़िक अवरोधन की अनगिनत घटनाओं के बावजूद, विक्रेता अभी भी बीजीपी को काफी स्वीकार्य मानते हैं। [8]

राडिया पर्लमैन, जिन्हें 1988 में (बीजीपी से एक साल पहले) एक और प्रमुख नेटवर्क प्रोटोकॉल का आविष्कार करने के लिए "इंटरनेट की मां" करार दिया गया था, ने एमआईटी में एक भविष्यवाणी डॉक्टरेट शोध प्रबंध अर्जित किया। पर्लमैन ने भविष्यवाणी की कि एक रूटिंग प्रोटोकॉल जो साइबरस्पेस में पड़ोसियों की ईमानदारी पर निर्भर करता है, मौलिक रूप से असुरक्षित है। पर्लमैन ने क्रिप्टोग्राफी के उपयोग की वकालत की, जिससे जालसाजी की संभावना को सीमित करने में मदद मिलेगी। हालाँकि, बीजीपी का कार्यान्वयन पहले से ही पूरे जोरों पर था, प्रभावशाली आईटी समुदाय इसका आदी था, और कुछ भी बदलना नहीं चाहता था। इसलिए, पर्लमैन, क्लार्क और कुछ अन्य प्रमुख विश्व विशेषज्ञों की तर्कसंगत चेतावनियों के बाद, क्रिप्टोग्राफ़िक रूप से सुरक्षित बीजीपी रूटिंग की सापेक्ष हिस्सेदारी बिल्कुल भी नहीं बढ़ी है, और अभी भी 0% है। [8]

बीजीपी रूटिंग एकमात्र हैक नहीं है

और बीजीपी रूटिंग एकमात्र हैक नहीं है जो इस विचार की पुष्टि करता है कि "अस्थायी समाधानों से अधिक स्थायी कुछ भी नहीं है।" कभी-कभी इंटरनेट, जो हमें काल्पनिक दुनिया में डुबो देता है, एक रेसिंग कार की तरह सुंदर लगता है। हालाँकि, वास्तव में, एक दूसरे के ऊपर रखे गए हैक्स के कारण, इंटरनेट फेरारी की तुलना में फ्रेंकस्टीन की तरह अधिक है। क्योंकि इन हैक्स (अधिक आधिकारिक तौर पर पैच कहा जाता है) को कभी भी विश्वसनीय तकनीक द्वारा प्रतिस्थापित नहीं किया जाता है। इस दृष्टिकोण के परिणाम गंभीर हैं: दैनिक और प्रति घंटा, साइबर अपराधी कमजोर प्रणालियों में सेंध लगाते हैं, जिससे साइबर अपराध का दायरा पहले से अकल्पनीय अनुपात तक बढ़ जाता है। [8]

साइबर अपराधियों द्वारा उपयोग की जाने वाली कई खामियां लंबे समय से ज्ञात हैं, और अस्थायी हैक/पैच के साथ उभरती समस्याओं को हल करने के लिए आईटी समुदाय की प्रवृत्ति के कारण पूरी तरह से संरक्षित हैं। कभी-कभी इसकी वजह से पुरानी प्रौद्योगिकियां लंबे समय तक एक-दूसरे के ऊपर जमा हो जाती हैं, जिससे लोगों का जीवन कठिन हो जाता है और वे खतरे में पड़ जाते हैं। अगर आपको पता चले कि आपका बैंक पुआल और मिट्टी की नींव पर अपनी तिजोरी बना रहा है तो आप क्या सोचेंगे? क्या आप अपनी बचत रखने के लिए उस पर भरोसा करेंगे? [8]

लिनस टोरवाल्ड्स का लापरवाह रवैया

इंटरनेट को अपने पहले सौ कंप्यूटरों तक पहुंचने में कई साल लग गए। आज हर सेकंड 100 नए कंप्यूटर और अन्य उपकरण इससे जुड़े होते हैं। जैसे-जैसे इंटरनेट से जुड़े उपकरणों में विस्फोट होता है, वैसे-वैसे साइबर सुरक्षा के मुद्दों की तात्कालिकता भी बढ़ती है। हालाँकि, वह व्यक्ति जो इन समस्याओं को हल करने में सबसे अधिक प्रभाव डाल सकता है वह वह है जो साइबर सुरक्षा को तिरस्कार की दृष्टि से देखता है। इस व्यक्ति को प्रतिभाशाली, गुंडा, आध्यात्मिक नेता और परोपकारी तानाशाह कहा गया है। लिनस टोरवाल्ड्स। इंटरनेट से जुड़े अधिकांश उपकरण इसके ऑपरेटिंग सिस्टम, लिनक्स पर चलते हैं। तेज़, लचीला, मुफ़्त - लिनक्स समय के साथ अधिक से अधिक लोकप्रिय होता जा रहा है। साथ ही, यह बहुत ही स्थिर व्यवहार करता है। और यह कई वर्षों तक रिबूट किए बिना काम कर सकता है। यही कारण है कि लिनक्स को प्रमुख ऑपरेटिंग सिस्टम होने का सम्मान प्राप्त है। आज हमारे पास उपलब्ध लगभग सभी कम्प्यूटरीकृत उपकरण लिनक्स पर चलते हैं: सर्वर, चिकित्सा उपकरण, उड़ान कंप्यूटर, छोटे ड्रोन, सैन्य विमान और भी बहुत कुछ। [9]

लिनक्स बड़े पैमाने पर सफल होता है क्योंकि टोरवाल्ड्स प्रदर्शन और दोष सहनशीलता पर जोर देता है। हालाँकि, वह यह जोर साइबर सुरक्षा की कीमत पर देता है। भले ही साइबरस्पेस और वास्तविक भौतिक दुनिया आपस में जुड़ गई हो और साइबर सुरक्षा एक वैश्विक मुद्दा बन गई हो, टोरवाल्ड्स अपने ऑपरेटिंग सिस्टम में सुरक्षित नवाचारों को पेश करने का विरोध कर रहा है। [9]

इसलिए, कई लिनक्स प्रशंसकों के बीच भी इस ऑपरेटिंग सिस्टम की कमजोरियों के बारे में चिंता बढ़ रही है। विशेष रूप से, लिनक्स का सबसे अंतरंग हिस्सा, इसका कर्नेल, जिस पर टोरवाल्ड्स व्यक्तिगत रूप से काम करता है। लिनक्स प्रशंसक देखते हैं कि टोरवाल्ड्स साइबर सुरक्षा मुद्दों को गंभीरता से नहीं लेता है। इसके अलावा, टोरवाल्ड्स ने खुद को ऐसे डेवलपर्स से घेर लिया है जो इस लापरवाह रवैये को साझा करते हैं। यदि टोरवाल्ड्स के अंदरूनी सर्कल का कोई व्यक्ति सुरक्षित नवाचारों को पेश करने के बारे में बात करना शुरू कर देता है, तो वह तुरंत निराश हो जाता है। टोरवाल्ड्स ने ऐसे नवप्रवर्तकों के एक समूह को "हस्तमैथुन करने वाले बंदर" कहकर खारिज कर दिया। जैसे ही टोरवाल्ड्स ने सुरक्षा के प्रति जागरूक डेवलपर्स के एक अन्य समूह को अलविदा कहा, उन्होंने उनसे कहा, “क्या आप इतने दयालु होंगे कि खुद को मार डालें। इससे दुनिया एक बेहतर जगह बन जायेगी।” जब भी सुरक्षा सुविधाएँ जोड़ने की बात आई, टोरवाल्ड्स हमेशा इसके खिलाफ रहे। [9] टोरवाल्ड्स के पास इस संबंध में एक संपूर्ण दर्शन है, जो सामान्य ज्ञान के कण से रहित नहीं है:

“पूर्ण सुरक्षा अप्राप्य है। इसलिए, इसे हमेशा अन्य प्राथमिकताओं के संबंध में ही माना जाना चाहिए: गति, लचीलापन और उपयोग में आसानी। जो लोग खुद को पूरी तरह से सुरक्षा प्रदान करने के लिए समर्पित कर देते हैं वे पागल हैं। उनकी सोच सीमित, काली और सफेद है। सुरक्षा अपने आप में बेकार है. सार हमेशा कहीं और होता है. इसलिए, आप पूर्ण सुरक्षा सुनिश्चित नहीं कर सकते, भले ही आप वास्तव में चाहें। बेशक, ऐसे लोग भी हैं जो टोरवाल्ड्स की तुलना में सुरक्षा पर अधिक ध्यान देते हैं। हालाँकि, ये लोग केवल इस बात पर काम कर रहे हैं कि उनकी क्या रुचि है और इन हितों को चित्रित करने वाले संकीर्ण सापेक्ष ढांचे के भीतर सुरक्षा प्रदान कर रहे हैं। अब और नहीं। इसलिए वे किसी भी तरह से पूर्ण सुरक्षा बढ़ाने में योगदान नहीं देते हैं।” [9]

साइडबार: ओपनसोर्स एक पाउडर केग की तरह है [10]

ओपनसोर्स कोड ने सॉफ्टवेयर विकास लागत में अरबों की बचत की है, जिससे डुप्लिकेट प्रयासों की आवश्यकता समाप्त हो गई है: ओपनसोर्स के साथ, प्रोग्रामर को बिना किसी प्रतिबंध या भुगतान के वर्तमान नवाचारों का उपयोग करने का अवसर मिलता है। ओपनसोर्स का उपयोग हर जगह किया जाता है। भले ही आपने अपनी विशेष समस्या को शुरू से हल करने के लिए एक सॉफ्टवेयर डेवलपर को काम पर रखा हो, यह डेवलपर संभवतः किसी प्रकार की ओपनसोर्स लाइब्रेरी का उपयोग करेगा। और संभवतः एक से अधिक. इस प्रकार, ओपनसोर्स तत्व लगभग हर जगह मौजूद हैं। साथ ही यह भी समझ लेना चाहिए कि कोई भी सॉफ्टवेयर स्थिर नहीं होता, उसका कोड लगातार बदलता रहता है। इसलिए, "इसे सेट करें और इसे भूल जाएं" सिद्धांत कभी भी कोड के लिए काम नहीं करता है। ओपनसोर्स कोड सहित: देर-सबेर एक अद्यतन संस्करण की आवश्यकता होगी।

2016 में, हमने इस स्थिति के परिणाम देखे: एक 28 वर्षीय डेवलपर ने अपने ओपनसोर्स कोड को हटाकर इंटरनेट को कुछ समय के लिए "ब्रेक" कर दिया, जिसे उसने पहले सार्वजनिक रूप से उपलब्ध कराया था। यह कहानी बताती है कि हमारा साइबर इंफ्रास्ट्रक्चर बहुत नाजुक है। कुछ लोग - जो ओपनसोर्स परियोजनाओं का समर्थन करते हैं - इसे बनाए रखने के लिए इतने महत्वपूर्ण हैं कि अगर, भगवान न करे, वे किसी बस की चपेट में आ जाएं, तो इंटरनेट टूट जाएगा।

कठिन-से-रखरखाव कोड वह जगह है जहां सबसे गंभीर साइबर सुरक्षा कमजोरियां छिपी रहती हैं। कुछ कंपनियों को इस बात का अहसास भी नहीं है कि मुश्किल से बनाए रखने वाले कोड के कारण वे कितनी असुरक्षित हैं। ऐसे कोड से जुड़ी कमजोरियां बहुत धीरे-धीरे एक वास्तविक समस्या में बदल सकती हैं: सिस्टम धीरे-धीरे सड़ता है, सड़ने की प्रक्रिया में दृश्यमान विफलताओं को प्रदर्शित किए बिना। और जब वे असफल होते हैं, तो परिणाम घातक होते हैं।

अंत में, चूंकि ओपनसोर्स परियोजनाएं आम तौर पर उत्साही लोगों के समुदाय द्वारा विकसित की जाती हैं, जैसे लिनस टोरवाल्ड्स या लेख की शुरुआत में उल्लिखित मॉडल रेलरोड क्लब के हैकर्स की तरह, कठिन-से-रखरखाव कोड वाली समस्याओं को पारंपरिक तरीकों से हल नहीं किया जा सकता है (का उपयोग करके) वाणिज्यिक और सरकारी लीवर)। क्योंकि ऐसे समुदायों के सदस्य दृढ़ इच्छाशक्ति वाले होते हैं और अपनी स्वतंत्रता को बाकी सब से ऊपर महत्व देते हैं।

साइडबार: शायद ख़ुफ़िया सेवाएँ और एंटीवायरस डेवलपर हमारी रक्षा करेंगे?

2013 में, यह ज्ञात हुआ कि कैस्परस्की लैब की एक विशेष इकाई थी जो सूचना सुरक्षा घटनाओं की कस्टम जांच करती थी। कुछ समय पहले तक, इस विभाग का नेतृत्व एक पूर्व पुलिस प्रमुख, रुस्लान स्टॉयनोव करते थे, जो पहले राजधानी के विभाग "के" (मॉस्को मुख्य आंतरिक मामलों के निदेशालय के यूएसटीएम) में काम करते थे। कास्परस्की लैब की इस विशेष इकाई के सभी कर्मचारी जांच समिति और निदेशालय "के" सहित कानून प्रवर्तन एजेंसियों से आते हैं। [ग्यारह]

2016 के अंत में, FSB ने रुस्लान स्टोयानोव को गिरफ्तार किया और उस पर राजद्रोह का आरोप लगाया। इसी मामले में एफएसबी सीआईबी (सूचना सुरक्षा केंद्र) के एक उच्च पदस्थ प्रतिनिधि सर्गेई मिखाइलोव को गिरफ्तार किया गया था, जिन पर गिरफ्तारी से पहले देश की पूरी साइबर सुरक्षा की जिम्मेदारी थी। [ग्यारह]

साइडबार: साइबर सुरक्षा लागू

जल्द ही रूसी उद्यमी साइबर सुरक्षा पर गंभीरता से ध्यान देने के लिए मजबूर होंगे। जनवरी 2017 में, सेंटर फॉर इंफॉर्मेशन प्रोटेक्शन एंड स्पेशल कम्युनिकेशंस के प्रतिनिधि निकोलाई मुराशोव ने कहा कि रूस में, 2016 में अकेले सीआईआई वस्तुओं (महत्वपूर्ण सूचना बुनियादी ढांचे) पर 70 मिलियन से अधिक बार हमला किया गया था। सीआईआई वस्तुओं में सरकारी एजेंसियों, रक्षा उद्योग उद्यमों, परिवहन, ऋण और वित्तीय क्षेत्रों, ऊर्जा, ईंधन और परमाणु उद्योगों की सूचना प्रणाली शामिल हैं। उनकी सुरक्षा के लिए, 26 जुलाई को रूसी राष्ट्रपति व्लादिमीर पुतिन ने "सीआईआई की सुरक्षा पर" कानूनों के एक पैकेज पर हस्ताक्षर किए। 1 जनवरी, 2018 तक, जब कानून लागू होता है, सीआईआई सुविधाओं के मालिकों को अपने बुनियादी ढांचे को हैकर हमलों से बचाने के लिए उपायों का एक सेट लागू करना होगा, विशेष रूप से, GosSOPKA से जुड़ना होगा। [12]

ग्रंथ सूची

1. जोनाथन मिलेट. IoT: आपके स्मार्ट उपकरणों को सुरक्षित करने का महत्व // 2017।
2. रॉस एंडरसन. स्मार्टकार्ड भुगतान प्रणालियाँ कैसे विफल होती हैं // ब्लैक हैट। 2014.
3. एस जे मर्डोक. चिप और पिन टूट गया है // सुरक्षा और गोपनीयता पर आईईईई संगोष्ठी की कार्यवाही। 2010. पीपी. 433-446.
4. डेविड टैलबोट. अस्पतालों में चिकित्सा उपकरणों पर कंप्यूटर वायरस "प्रचंड" हैं // एमआईटी प्रौद्योगिकी समीक्षा (डिजिटल)। 2012.
5. क्रेग टिम्बर्ग. असुरक्षा का जाल: डिज़ाइन में एक प्रवाह // द वाशिंगटन पोस्ट। 2015.
6. माइकल लिस्टा. वह एक किशोर हैकर था जिसने कारों, कपड़ों और घड़ियों पर लाखों रुपये खर्च किए - जब तक कि एफबीआई ने पकड़ नहीं लिया // टोरंटो लाइफ। 2018.
7. क्रेग टिम्बर्ग. असुरक्षा का जाल: एक आपदा की भविष्यवाणी की गई - और नजरअंदाज कर दिया गया // द वाशिंगटन पोस्ट। 2015.
8. क्रेग टिम्बर्ग. त्वरित 'फिक्स' का लंबा जीवन: 1989 से इंटरनेट प्रोटोकॉल डेटा को अपहर्ताओं के लिए असुरक्षित बना देता है // द वाशिंगटन पोस्ट। 2015.
9. क्रेग टिम्बर्ग. असुरक्षा का जाल: तर्क का मूल // द वाशिंगटन पोस्ट। 2015.
10. जोशुआ गन्स. क्या ओपन-सोर्स कोड हमारे Y2K डर को आखिरकार सच कर सकता है? // हार्वर्ड बिजनेस रिव्यू (डिजिटल)। 2017.
11. कैस्पर्सकी के शीर्ष प्रबंधक को एफएसबी ने गिरफ्तार किया // सीन्यूज़। 2017. यूआरएल।
12. मारिया कोलोमीचेंको. साइबर खुफिया सेवा: सर्बैंक ने हैकर्स से निपटने के लिए एक मुख्यालय बनाने का प्रस्ताव रखा // आरबीसी। 2017.

स्रोत: www.habr.com