ການຂັດຂວາງການຈະລາຈອນທີ່ຖືກເຂົ້າລະຫັດ jabber.ru ແລະ xmpp.ru ບັນທຶກໄວ້

ຜູ້ບໍລິຫານຂອງເຊີບເວີ Jabber jabber.ru (xmpp.ru) ໄດ້ລະບຸການໂຈມຕີເພື່ອຖອດລະຫັດການຈາລະຈອນຂອງຜູ້ໃຊ້ (MITM), ດໍາເນີນການໃນໄລຍະ 90 ວັນຫາ 6 ເດືອນໃນເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງເຢຍລະມັນ Hetzner ແລະ Linode, ເຊິ່ງເປັນເຈົ້າພາບ. ເຊີບເວີຂອງໂຄງການ ແລະສະພາບແວດລ້ອມ VPS. ການໂຈມຕີໄດ້ຖືກຈັດຂື້ນໂດຍການປ່ຽນເສັ້ນທາງການຈາລະຈອນໄປຫາຈຸດຜ່ານແດນທີ່ປ່ຽນແທນໃບຢັ້ງຢືນ TLS ສໍາລັບການເຊື່ອມຕໍ່ XMPP ທີ່ເຂົ້າລະຫັດໂດຍໃຊ້ສ່ວນຂະຫຍາຍ STARTTLS.

ການໂຈມຕີໄດ້ຖືກສັງເກດເຫັນເນື່ອງຈາກຄວາມຜິດພາດໂດຍຜູ້ຈັດຕັ້ງຂອງຕົນ, ຜູ້ທີ່ບໍ່ມີເວລາທີ່ຈະຕໍ່ອາຍຸໃບຢັ້ງຢືນ TLS ທີ່ໃຊ້ສໍາລັບການປອມແປງ. ໃນວັນທີ 16 ເດືອນຕຸລາ, ຜູ້ບໍລິຫານຂອງ jabber.ru, ໃນເວລາທີ່ພະຍາຍາມເຊື່ອມຕໍ່ກັບການບໍລິການ, ໄດ້ຮັບຂໍ້ຄວາມສະແດງຂໍ້ຜິດພາດເນື່ອງຈາກການຫມົດອາຍຸຂອງໃບຢັ້ງຢືນ, ແຕ່ໃບຢັ້ງຢືນທີ່ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍບໍ່ຫມົດອາຍຸ. ດັ່ງນັ້ນ, ມັນໄດ້ຫັນອອກວ່າໃບຢັ້ງຢືນທີ່ລູກຄ້າໄດ້ຮັບແມ່ນແຕກຕ່າງຈາກໃບຢັ້ງຢືນທີ່ສົ່ງໂດຍເຄື່ອງແມ່ຂ່າຍ. ໃບຢັ້ງຢືນ TLS ປອມຄັ້ງທໍາອິດໄດ້ຮັບໃນວັນທີ 18 ເດືອນເມສາປີ 2023 ຜ່ານບໍລິການ Let's Encrypt, ເຊິ່ງຜູ້ໂຈມຕີ, ສາມາດຂັດຂວາງການເຂົ້າຊົມ, ສາມາດຢືນຢັນການເຂົ້າເຖິງເວັບໄຊທ໌ jabber.ru ແລະ xmpp.ru.

ໃນຕອນທໍາອິດ, ມີການສົມມຸດຕິຖານວ່າເຄື່ອງແມ່ຂ່າຍຂອງໂຄງການໄດ້ຖືກຫຼຸດຫນ້ອຍລົງແລະການທົດແທນໄດ້ຖືກປະຕິບັດຢູ່ຂ້າງຂອງມັນ. ແຕ່ການກວດສອບບໍ່ໄດ້ເປີດເຜີຍໃຫ້ເຫັນຮ່ອງຮອຍຂອງການ hacking. ໃນຂະນະດຽວກັນ, ໃນບັນທຶກເທິງເຊີຟເວີ, ການປິດໃນໄລຍະສັ້ນແລະເປີດການໂຕ້ຕອບເຄືອຂ່າຍ (NIC Link is Down / NIC Link is Up) ໄດ້ຖືກສັງເກດເຫັນ, ເຊິ່ງໄດ້ປະຕິບັດໃນວັນທີ 18 ກໍລະກົດເວລາ 12: 58 ແລະສາມາດ ຊີ້ບອກການຫມູນໃຊ້ກັບການເຊື່ອມຕໍ່ຂອງເຄື່ອງແມ່ຂ່າຍກັບສະວິດ. ມັນເປັນທີ່ຫນ້າສັງເກດວ່າສອງໃບຢັ້ງຢືນ TLS ປອມໄດ້ຖືກສ້າງຂື້ນສອງສາມນາທີກ່ອນຫນ້ານີ້ - ໃນວັນທີ 18 ກໍລະກົດເວລາ 12:49 ແລະ 12:38.

ນອກຈາກນັ້ນ, ການທົດແທນໄດ້ຖືກປະຕິບັດບໍ່ພຽງແຕ່ຢູ່ໃນເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການ Hetzner, ເຊິ່ງໂຮດເຄື່ອງແມ່ຂ່າຍຕົ້ນຕໍ, ແຕ່ຍັງຢູ່ໃນເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການ Linode, ເຊິ່ງໂຮດສະພາບແວດລ້ອມ VPS ກັບຕົວແທນຊ່ວຍທີ່ປ່ຽນເສັ້ນທາງການຈະລາຈອນຈາກທີ່ຢູ່ອື່ນ. ໂດຍທາງອ້ອມ, ມັນໄດ້ຖືກພົບເຫັນວ່າການຈະລາຈອນໄປຫາພອດເຄືອຂ່າຍ 5222 (XMPP STARTTLS) ໃນເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການທັງສອງໄດ້ຖືກໂອນຜ່ານ host ເພີ່ມເຕີມ, ເຊິ່ງໃຫ້ເຫດຜົນທີ່ຈະເຊື່ອວ່າການໂຈມຕີແມ່ນດໍາເນີນໂດຍບຸກຄົນທີ່ມີການເຂົ້າເຖິງໂຄງສ້າງພື້ນຖານຂອງຜູ້ໃຫ້ບໍລິການ.

ໃນທາງທິດສະດີ, ການທົດແທນສາມາດປະຕິບັດໄດ້ຕັ້ງແຕ່ວັນທີ 18 ເມສາ (ວັນທີສ້າງໃບຢັ້ງຢືນການປອມແປງຄັ້ງທໍາອິດສໍາລັບ jabber.ru), ແຕ່ກໍລະນີທີ່ໄດ້ຮັບການຢືນຢັນຂອງການທົດແທນໃບຢັ້ງຢືນໄດ້ຖືກບັນທຶກໄວ້ແຕ່ວັນທີ 21 ເດືອນກໍລະກົດຫາ 19 ເດືອນຕຸລາ, ທັງຫມົດນີ້ການແລກປ່ຽນຂໍ້ມູນເຂົ້າລະຫັດ. ກັບ jabber.ru ແລະ xmpp.ru ສາມາດຖືກພິຈາລະນາຫຼຸດຫນ້ອຍລົງ. ການທົດແທນໄດ້ຢຸດເຊົາຫຼັງຈາກການສືບສວນໄດ້ເລີ່ມຕົ້ນ, ການທົດສອບໄດ້ຖືກປະຕິບັດແລະການຮ້ອງຂໍຖືກສົ່ງໄປຫາການບໍລິການສະຫນັບສະຫນູນຂອງຜູ້ໃຫ້ບໍລິການ Hetzner ແລະ Linode ໃນວັນທີ 18 ເດືອນຕຸລາ. ໃນຂະນະດຽວກັນ, ການຫັນປ່ຽນເພີ່ມເຕີມໃນເວລາທີ່ routing packets ຖືກສົ່ງໄປຫາພອດ 5222 ຂອງຫນຶ່ງໃນເຄື່ອງແມ່ຂ່າຍຂອງ Linode ແມ່ນຍັງສັງເກດເຫັນໃນມື້ນີ້, ແຕ່ໃບຢັ້ງຢືນບໍ່ໄດ້ປ່ຽນແທນ.

ສົມມຸດວ່າການໂຈມຕີອາດຈະຖືກປະຕິບັດໂດຍຄວາມຮູ້ຂອງຜູ້ໃຫ້ບໍລິການຕາມຄໍາຮ້ອງຂໍຂອງອົງການບັງຄັບໃຊ້ກົດຫມາຍ, ເປັນຜົນມາຈາກການ hack ໂຄງສ້າງພື້ນຖານຂອງຜູ້ໃຫ້ບໍລິການທັງສອງ, ຫຼືໂດຍພະນັກງານທີ່ມີການເຂົ້າເຖິງຜູ້ໃຫ້ບໍລິການທັງສອງ. ໂດຍສາມາດຂັດຂວາງແລະດັດແປງການຈາລະຈອນ XMPP, ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງຂໍ້ມູນທີ່ກ່ຽວຂ້ອງກັບບັນຊີທັງຫມົດ, ເຊັ່ນ: ປະຫວັດການສົ່ງຂໍ້ຄວາມທີ່ເກັບໄວ້ໃນເຄື່ອງແມ່ຂ່າຍ, ແລະຍັງສາມາດສົ່ງຂໍ້ຄວາມໃນນາມຂອງຄົນອື່ນແລະເຮັດການປ່ຽນແປງຂໍ້ຄວາມຂອງຜູ້ອື່ນ. ຂໍ້ຄວາມທີ່ສົ່ງໂດຍໃຊ້ການເຂົ້າລະຫັດແບບຕົ້ນທາງເຖິງຈຸດຈົບ (OMEMO, OTR ຫຼື PGP) ສາມາດຖືກພິຈາລະນາວ່າບໍ່ໄດ້ຫຼຸດຫນ້ອຍລົງຖ້າລະຫັດການເຂົ້າລະຫັດຖືກກວດສອບໂດຍຜູ້ໃຊ້ທັງສອງດ້ານຂອງການເຊື່ອມຕໍ່. ຜູ້ໃຊ້ Jabber.ru ໄດ້ຖືກແນະນໍາໃຫ້ປ່ຽນລະຫັດຜ່ານການເຂົ້າເຖິງຂອງພວກເຂົາແລະກວດເບິ່ງປຸ່ມ OMEMO ແລະ PGP ຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ PEP ຂອງພວກເຂົາເພື່ອທົດແທນທີ່ເປັນໄປໄດ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru