एन्क्रिप्टेड ट्रैफ़िक jabber.ru और xmpp.ru का अवरोधन दर्ज किया गया

Jabber सर्वर jabber.ru (xmpp.ru) के व्यवस्थापक ने जर्मन होस्टिंग प्रदाता हेट्ज़नर और लिनोड के नेटवर्क में 90 दिनों से 6 महीने की अवधि में किए गए उपयोगकर्ता ट्रैफ़िक (MITM) को डिक्रिप्ट करने के लिए एक हमले की पहचान की, जो होस्ट करता है प्रोजेक्ट सर्वर और सहायक वीपीएस। वातावरण। हमले का आयोजन ट्रैफ़िक को एक ट्रांज़िट नोड पर पुनर्निर्देशित करके किया जाता है जो STARTTLS एक्सटेंशन का उपयोग करके एन्क्रिप्ट किए गए XMPP कनेक्शन के लिए TLS प्रमाणपत्र को प्रतिस्थापित करता है।

यह हमला इसके आयोजकों की गलती के कारण देखा गया, जिनके पास स्पूफिंग के लिए इस्तेमाल किए गए टीएलएस प्रमाणपत्र को नवीनीकृत करने का समय नहीं था। 16 अक्टूबर को, jabber.ru के व्यवस्थापक को सेवा से जुड़ने का प्रयास करते समय प्रमाणपत्र की समाप्ति के कारण एक त्रुटि संदेश प्राप्त हुआ, लेकिन सर्वर पर स्थित प्रमाणपत्र की समय सीमा समाप्त नहीं हुई थी। परिणामस्वरूप, यह पता चला कि क्लाइंट को प्राप्त प्रमाणपत्र सर्वर द्वारा भेजे गए प्रमाणपत्र से भिन्न था। पहला नकली टीएलएस प्रमाणपत्र 18 अप्रैल, 2023 को लेट्स एनक्रिप्ट सेवा के माध्यम से प्राप्त किया गया था, जिसमें हमलावर, ट्रैफ़िक को रोकने में सक्षम होने के कारण, jabber.ru और xmpp.ru साइटों तक पहुंच की पुष्टि करने में सक्षम था।

सबसे पहले, ऐसी धारणा थी कि प्रोजेक्ट सर्वर से समझौता किया गया था और उसकी ओर से एक प्रतिस्थापन किया जा रहा था। लेकिन ऑडिट में हैकिंग का कोई निशान सामने नहीं आया। उसी समय, सर्वर पर लॉग में, नेटवर्क इंटरफ़ेस (एनआईसी लिंक डाउन/एनआईसी लिंक अप) का एक अल्पकालिक स्विचिंग ऑफ और ऑन देखा गया, जो 18 जुलाई को 12:58 बजे किया गया था और हो सकता है सर्वर से स्विच के कनेक्शन में हेरफेर का संकेत दें। गौरतलब है कि दो फर्जी टीएलएस प्रमाणपत्र कुछ मिनट पहले - 18 जुलाई को 12:49 और 12:38 बजे तैयार किए गए थे।

इसके अलावा, प्रतिस्थापन न केवल हेट्ज़नर प्रदाता के नेटवर्क में किया गया था, जो मुख्य सर्वर को होस्ट करता है, बल्कि लिनोड प्रदाता के नेटवर्क में भी, जिसने सहायक प्रॉक्सी के साथ वीपीएस वातावरण को होस्ट किया था जो अन्य पतों से ट्रैफ़िक को पुनर्निर्देशित करता है। परोक्ष रूप से, यह पाया गया कि दोनों प्रदाताओं के नेटवर्क में नेटवर्क पोर्ट 5222 (XMPP STARTTLS) पर ट्रैफ़िक को एक अतिरिक्त होस्ट के माध्यम से पुनर्निर्देशित किया गया था, जिसने यह मानने का कारण दिया कि हमला प्रदाताओं के बुनियादी ढांचे तक पहुंच वाले व्यक्ति द्वारा किया गया था।

सैद्धांतिक रूप से, प्रतिस्थापन 18 अप्रैल (jabber.ru के लिए पहले नकली प्रमाणपत्र के निर्माण की तारीख) से किया जा सकता था, लेकिन प्रमाणपत्र प्रतिस्थापन के पुष्टि किए गए मामले केवल 21 जुलाई से 19 अक्टूबर तक दर्ज किए गए थे, इस बार एन्क्रिप्टेड डेटा एक्सचेंज jabber.ru और xmpp.ru के साथ समझौता माना जा सकता है। जांच शुरू होने के बाद प्रतिस्थापन बंद हो गया, परीक्षण किए गए और 18 अक्टूबर को प्रदाताओं हेट्ज़नर और लिनोड की सहायता सेवा को एक अनुरोध भेजा गया। उसी समय, लिनोड में सर्वरों में से एक के पोर्ट 5222 पर भेजे गए पैकेटों को रूट करते समय एक अतिरिक्त संक्रमण आज भी देखा जाता है, लेकिन प्रमाणपत्र अब प्रतिस्थापित नहीं किया गया है।

यह माना जाता है कि हमला कानून प्रवर्तन एजेंसियों के अनुरोध पर प्रदाताओं के ज्ञान के साथ, दोनों प्रदाताओं के बुनियादी ढांचे को हैक करने के परिणामस्वरूप, या किसी कर्मचारी द्वारा किया गया हो सकता है जिसकी दोनों प्रदाताओं तक पहुंच थी। एक्सएमपीपी ट्रैफ़िक को रोकने और संशोधित करने में सक्षम होने से, हमलावर सभी खाते-संबंधित डेटा तक पहुंच प्राप्त कर सकता है, जैसे कि सर्वर पर संग्रहीत मैसेजिंग इतिहास, और दूसरों की ओर से संदेश भी भेज सकता है और अन्य लोगों के संदेशों में बदलाव कर सकता है। यदि कनेक्शन के दोनों तरफ उपयोगकर्ताओं द्वारा एन्क्रिप्शन कुंजी सत्यापित की जाती है, तो एंड-टू-एंड एन्क्रिप्शन (ओएमईएमओ, ओटीआर या पीजीपी) का उपयोग करके भेजे गए संदेशों को समझौता नहीं किया जा सकता है। Jabber.ru उपयोगकर्ताओं को सलाह दी जाती है कि वे अपने एक्सेस पासवर्ड बदलें और संभावित प्रतिस्थापन के लिए अपने PEP स्टोरेज में OMEMO और PGP कुंजियों की जांच करें।

स्रोत: opennet.ru