विश्लेषण के बाद: क्रिप्टो कुंजी सर्वरों के एसकेएस कीसर्वर नेटवर्क पर नवीनतम हमले के बारे में क्या पता है

हैकर्स ने ओपनपीजीपी प्रोटोकॉल की एक सुविधा का उपयोग किया जो दस वर्षों से अधिक समय से ज्ञात है।

हम आपको बताते हैं कि मुद्दा क्या है और वे इसे बंद क्यों नहीं कर सकते।

/अनस्प्लैश/ चुनलिया जू

नेटवर्क समस्या

जून के मध्य में, अज्ञात हमला किया क्रिप्टोग्राफ़िक कुंजी सर्वरों के एक नेटवर्क के लिए एसकेएस कुंजीसर्वर, OpenPGP प्रोटोकॉल पर निर्मित। यह एक IETF मानक है (RFC 4880), जिसका उपयोग ईमेल और अन्य संदेशों को एन्क्रिप्ट करने के लिए किया जाता है। SKS नेटवर्क तीस साल पहले सार्वजनिक प्रमाणपत्र वितरित करने के लिए बनाया गया था। इसमें जैसे उपकरण शामिल हैं GnuPG डेटा एन्क्रिप्ट करने और इलेक्ट्रॉनिक डिजिटल हस्ताक्षर बनाने के लिए।

हैकर्स ने दो जीएनयूपीजी परियोजना अनुरक्षकों, रॉबर्ट हैनसेन और डैनियल गिल्मर के प्रमाणपत्रों से छेड़छाड़ की। सर्वर से दूषित प्रमाणपत्र लोड करने से GnuPG विफल हो जाती है—सिस्टम बस रुक जाता है। यह मानने का कारण है कि हमलावर यहीं नहीं रुकेंगे, और समझौता किए गए प्रमाणपत्रों की संख्या केवल बढ़ेगी। फिलहाल, समस्या की सीमा अज्ञात बनी हुई है।

हमले का सार

हैकर्स ने ओपनपीजीपी प्रोटोकॉल में भेद्यता का फायदा उठाया। वह दशकों से समुदाय के लिए जानी जाती है। GitHub पर भी पा सकते हैं संबंधित कारनामे. लेकिन अभी तक किसी ने भी "छेद" को बंद करने की ज़िम्मेदारी नहीं ली है (हम कारणों के बारे में बाद में अधिक विस्तार से बात करेंगे)।

हैबे पर हमारे ब्लॉग से कुछ चयन:

• एसडीएन डाइजेस्ट - छह ओपन सोर्स एमुलेटर
• एसडीएन कैसे बनाएं - आठ ओपन सोर्स टूल्स
• नेटवर्क डाइजेस्ट: वाई-फाई और 17जी के बारे में 5 विशेषज्ञ सामग्री

ओपनपीजीपी विनिर्देश के अनुसार, कोई भी अपने मालिक को सत्यापित करने के लिए प्रमाणपत्रों में डिजिटल हस्ताक्षर जोड़ सकता है। इसके अलावा, हस्ताक्षरों की अधिकतम संख्या किसी भी तरह से विनियमित नहीं है। और यहां एक समस्या उत्पन्न होती है - एसकेएस नेटवर्क आपको एक प्रमाणपत्र पर 150 हजार हस्ताक्षर रखने की अनुमति देता है, लेकिन जीएनयूपीजी इतनी संख्या का समर्थन नहीं करता है। इस प्रकार, प्रमाणपत्र लोड करते समय, GnuPG (साथ ही अन्य OpenPGP कार्यान्वयन) रुक जाता है।

उपयोगकर्ताओं में से एक एक प्रयोग किया — प्रमाणपत्र आयात करने में उसे लगभग 10 मिनट लगे। प्रमाणपत्र पर 54 हजार से अधिक हस्ताक्षर थे, और इसका वजन 17 एमबी था:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1
$ ls -lh pubring.gpg
-rw-r--r--  1 filippo  staff    17M  2 Jul 16:30 pubring.gpg

मामले को बदतर बनाने के लिए, OpenPGP कुंजी सर्वर प्रमाणपत्र जानकारी नहीं हटाते हैं। ऐसा इसलिए किया जाता है ताकि आप प्रमाणपत्रों के साथ सभी कार्यों की श्रृंखला का पता लगा सकें और उनके प्रतिस्थापन को रोक सकें। इसलिए, समझौता किए गए तत्वों को ख़त्म करना असंभव है।

मूलतः, SKS नेटवर्क एक बड़ा "फ़ाइल सर्वर" है जिस पर कोई भी डेटा लिख ​​सकता है। समस्या को स्पष्ट करने के लिए, पिछले वर्ष GitHub निवासी एक फ़ाइल सिस्टम बनाया, जो क्रिप्टोग्राफ़िक कुंजी सर्वर के नेटवर्क पर दस्तावेज़ संग्रहीत करता है।

भेद्यता को बंद क्यों नहीं किया गया?

भेद्यता को बंद करने का कोई कारण नहीं था। पहले, इसका उपयोग हैकर हमलों के लिए नहीं किया जाता था। हालांकि आईटी समुदाय बहुत देर तक पूछा एसकेएस और ओपनपीजीपी डेवलपर्स को समस्या पर ध्यान देना चाहिए।

निष्पक्ष होने के लिए, यह ध्यान देने योग्य है कि जून में वे अभी भी हैं का शुभारंभ किया प्रायोगिक कुंजी सर्वर key.openpgp.org. यह इस प्रकार के हमलों से सुरक्षा प्रदान करता है। हालाँकि, इसका डेटाबेस स्क्रैच से भरा हुआ है, और सर्वर स्वयं SKS का हिस्सा नहीं है। इसलिए इसे इस्तेमाल में लाने में समय लगेगा.

/अनस्प्लैश/ रूबेन बागुएस

जहां तक ​​मूल सिस्टम में बग की बात है, एक जटिल सिंक्रनाइज़ेशन तंत्र इसे ठीक होने से रोकता है। मुख्य सर्वर नेटवर्क मूल रूप से यारोन मिंस्की की पीएचडी थीसिस की अवधारणा के प्रमाण के रूप में लिखा गया था। इसके अलावा, कार्य के लिए एक विशिष्ट भाषा, OCaml को चुना गया था। द्वारा के अनुसार अनुरक्षक रॉबर्ट हेन्सन के अनुसार, कोड को समझना कठिन है, इसलिए इसमें केवल मामूली सुधार किए गए हैं। SKS आर्किटेक्चर को संशोधित करने के लिए, इसे स्क्रैच से फिर से लिखना होगा।

किसी भी स्थिति में, जीएनयूपीजी को विश्वास नहीं है कि नेटवर्क कभी ठीक हो पाएगा। GitHub पर एक पोस्ट में, डेवलपर्स ने यहां तक ​​लिखा कि वे SKS Keyserver के साथ काम करने की अनुशंसा नहीं करते हैं। दरअसल, यही एक मुख्य कारण है कि उन्होंने नई सेवा key.openpgp.org पर परिवर्तन शुरू किया। हम केवल घटनाओं के आगे के विकास को देख सकते हैं।

हमारे कॉर्पोरेट ब्लॉग से कुछ सामग्री:

• राउटर के माध्यम से बॉटनेट "स्पैम": आपको क्या जानने की आवश्यकता है
• DDoS और 5G: मोटे "पाइप" का मतलब है अधिक समस्याएं
• फ़ायरवॉल या डीपीआई - विभिन्न उद्देश्यों के लिए सुरक्षा उपकरण
• गाँव तक इंटरनेट - रेडियो रिले वाई-फाई नेटवर्क का निर्माण

स्रोत: www.habr.com