എൻക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക് jabber.ru, xmpp.ru എന്നിവയുടെ തടസ്സം രേഖപ്പെടുത്തി

ജർമ്മൻ ഹോസ്റ്റിംഗ് ദാതാക്കളായ ഹെറ്റ്‌സ്‌നർ, ലിനോഡ് എന്നിവയുടെ നെറ്റ്‌വർക്കുകളിൽ 90 ദിവസം മുതൽ 6 മാസം വരെ കാലയളവിൽ നടത്തിയ ഉപയോക്തൃ ട്രാഫിക് (MITM) ഡീക്രിപ്റ്റ് ചെയ്യുന്നതിനുള്ള ആക്രമണം Jabber സെർവർ jabber.ru (xmpp.ru) അഡ്മിനിസ്ട്രേറ്റർ തിരിച്ചറിഞ്ഞു. പ്രോജക്റ്റ് സെർവറും സഹായ വിപിഎസും. STARTTLS എക്സ്റ്റൻഷൻ ഉപയോഗിച്ച് എൻക്രിപ്റ്റ് ചെയ്ത XMPP കണക്ഷനുകൾക്കായുള്ള TLS സർട്ടിഫിക്കറ്റ് മാറ്റിസ്ഥാപിക്കുന്ന ഒരു ട്രാൻസിറ്റ് നോഡിലേക്ക് ട്രാഫിക് റീഡയറക്ട് ചെയ്തുകൊണ്ടാണ് ആക്രമണം സംഘടിപ്പിക്കുന്നത്.

കബളിപ്പിക്കലിനായി ഉപയോഗിച്ച TLS സർട്ടിഫിക്കറ്റ് പുതുക്കാൻ സമയമില്ലാത്ത സംഘാടകരുടെ പിശക് കാരണം ആക്രമണം ശ്രദ്ധയിൽപ്പെട്ടു. ഒക്ടോബർ 16 ന്, jabber.ru ൻ്റെ അഡ്മിനിസ്ട്രേറ്റർ, സേവനത്തിലേക്ക് കണക്റ്റുചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, സർട്ടിഫിക്കറ്റിൻ്റെ കാലഹരണപ്പെട്ടതിനാൽ ഒരു പിശക് സന്ദേശം ലഭിച്ചു, എന്നാൽ സെർവറിൽ സ്ഥിതിചെയ്യുന്ന സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടില്ല. തൽഫലമായി, ക്ലയൻ്റിന് ലഭിച്ച സർട്ടിഫിക്കറ്റ് സെർവർ അയച്ച സർട്ടിഫിക്കറ്റിൽ നിന്ന് വ്യത്യസ്തമാണെന്ന് തെളിഞ്ഞു. ആദ്യത്തെ വ്യാജ TLS സർട്ടിഫിക്കറ്റ് 18 ഏപ്രിൽ 2023-ന് ലെറ്റ്സ് എൻക്രിപ്റ്റ് സേവനത്തിലൂടെ ലഭിച്ചു, അതിൽ അക്രമിക്ക് ട്രാഫിക് തടസ്സപ്പെടുത്താൻ കഴിയും, jabber.ru, xmpp.ru എന്നീ സൈറ്റുകളിലേക്കുള്ള ആക്സസ് സ്ഥിരീകരിക്കാൻ കഴിഞ്ഞു.

പ്രോജക്ട് സെർവറിൽ വിട്ടുവീഴ്ച ചെയ്തതായും അതിൻ്റെ വശത്ത് പകരം വയ്ക്കൽ നടക്കുന്നുവെന്നും ആദ്യം അനുമാനമുണ്ടായിരുന്നു. എന്നാൽ ഹാക്കിംഗിൻ്റെ സൂചനകളൊന്നും ഓഡിറ്റിൽ കണ്ടെത്തിയില്ല. അതേ സമയം, സെർവറിലെ ലോഗിൽ, നെറ്റ്‌വർക്ക് ഇൻ്റർഫേസിൻ്റെ ഒരു ഹ്രസ്വകാല സ്വിച്ച് ഓഫും ഓണും ശ്രദ്ധയിൽപ്പെട്ടു (NIC ലിങ്ക് ഡൗൺ ആണ്/NIC ലിങ്ക് അപ്പ് ആണ്), ഇത് ജൂലൈ 18 ന് 12:58 ന് നിർവ്വഹിച്ചു. സ്വിച്ചിലേക്കുള്ള സെർവറിൻ്റെ കണക്ഷനുമായി കൃത്രിമത്വം സൂചിപ്പിക്കുക. രണ്ട് വ്യാജ TLS സർട്ടിഫിക്കറ്റുകൾ കുറച്ച് മിനിറ്റ് മുമ്പ് ജനറേറ്റുചെയ്‌തു എന്നത് ശ്രദ്ധേയമാണ് - ജൂലൈ 18 ന് 12:49 നും 12:38 നും.

കൂടാതെ, പ്രധാന സെർവർ ഹോസ്റ്റുചെയ്യുന്ന ഹെറ്റ്‌സ്‌നർ ദാതാവിൻ്റെ നെറ്റ്‌വർക്കിൽ മാത്രമല്ല, മറ്റ് വിലാസങ്ങളിൽ നിന്ന് ട്രാഫിക് റീഡയറക്‌ടുചെയ്യുന്ന ഓക്‌സിലറി പ്രോക്‌സികളുള്ള VPS പരിതസ്ഥിതികൾ ഹോസ്റ്റ് ചെയ്‌ത ലിനോഡ് ദാതാവിൻ്റെ നെറ്റ്‌വർക്കിലും പകരക്കാരൻ നടപ്പിലാക്കി. പരോക്ഷമായി, രണ്ട് ദാതാക്കളുടെയും നെറ്റ്‌വർക്കുകളിലെ നെറ്റ്‌വർക്ക് പോർട്ട് 5222 (XMPP STARTTLS)-ലേക്കുള്ള ട്രാഫിക് ഒരു അധിക ഹോസ്റ്റിലൂടെ റീഡയറക്‌ട് ചെയ്‌തതായി കണ്ടെത്തി, ദാതാക്കളുടെ ഇൻഫ്രാസ്ട്രക്ചറിലേക്ക് പ്രവേശനമുള്ള ഒരു വ്യക്തിയാണ് ആക്രമണം നടത്തിയതെന്ന് വിശ്വസിക്കാൻ ഇത് കാരണമായി.

സൈദ്ധാന്തികമായി, പകരം വയ്ക്കൽ ഏപ്രിൽ 18 മുതൽ നടത്താമായിരുന്നു (jabber.ru- നായുള്ള ആദ്യത്തെ വ്യാജ സർട്ടിഫിക്കറ്റ് സൃഷ്ടിച്ച തീയതി), എന്നാൽ സർട്ടിഫിക്കറ്റ് പകരക്കാരൻ്റെ സ്ഥിരീകരിച്ച കേസുകൾ ജൂലൈ 21 മുതൽ ഒക്ടോബർ 19 വരെ മാത്രമേ രേഖപ്പെടുത്തിയിട്ടുള്ളൂ, ഇക്കാലമത്രയും എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റാ എക്സ്ചേഞ്ച്. jabber.ru, xmpp.ru എന്നിവയ്ക്കൊപ്പം വിട്ടുവീഴ്ച ചെയ്തതായി കണക്കാക്കാം. അന്വേഷണം ആരംഭിച്ചതിന് ശേഷം മാറ്റിസ്ഥാപിക്കൽ നിർത്തി, പരിശോധനകൾ നടത്തി, പ്രൊവൈഡർമാരായ ഹെറ്റ്‌സ്‌നർ, ലിനോഡ് എന്നിവരുടെ പിന്തുണാ സേവനത്തിലേക്ക് ഒക്ടോബർ 18 ന് ഒരു അഭ്യർത്ഥന അയച്ചു. അതേ സമയം, ലിനോഡിലെ സെർവറുകളിൽ ഒന്നിൻ്റെ പോർട്ട് 5222-ലേക്ക് അയച്ച പാക്കറ്റുകൾ റൂട്ട് ചെയ്യുമ്പോൾ ഒരു അധിക പരിവർത്തനം ഇന്നും നിരീക്ഷിക്കപ്പെടുന്നു, എന്നാൽ സർട്ടിഫിക്കറ്റ് ഇനി മാറ്റിസ്ഥാപിക്കില്ല.

നിയമ നിർവ്വഹണ ഏജൻസികളുടെ അഭ്യർത്ഥന പ്രകാരം ദാതാക്കളുടെ അറിവോടെ, രണ്ട് ദാതാക്കളുടെയും അടിസ്ഥാന സൗകര്യങ്ങൾ ഹാക്ക് ചെയ്തതിൻ്റെ ഫലമായി അല്ലെങ്കിൽ രണ്ട് ദാതാക്കളിലേക്കും പ്രവേശനമുള്ള ഒരു ജീവനക്കാരൻ ആക്രമണം നടത്തിയിരിക്കാമെന്ന് അനുമാനിക്കപ്പെടുന്നു. XMPP ട്രാഫിക്കിനെ തടസ്സപ്പെടുത്താനും പരിഷ്‌ക്കരിക്കാനും കഴിയുന്നതിലൂടെ, ആക്രമണകാരിക്ക് സെർവറിൽ സംഭരിച്ചിരിക്കുന്ന സന്ദേശമയയ്‌ക്കൽ ചരിത്രം പോലുള്ള അക്കൗണ്ടുമായി ബന്ധപ്പെട്ട എല്ലാ ഡാറ്റയിലേക്കും ആക്‌സസ് നേടാനും മറ്റുള്ളവരുടെ പേരിൽ സന്ദേശങ്ങൾ അയയ്‌ക്കാനും മറ്റുള്ളവരുടെ സന്ദേശങ്ങളിൽ മാറ്റങ്ങൾ വരുത്താനും കഴിയും. എൻഡ്-ടു-എൻഡ് എൻക്രിപ്ഷൻ (OMEMO, OTR അല്ലെങ്കിൽ PGP) ഉപയോഗിച്ച് അയച്ച സന്ദേശങ്ങൾ, കണക്ഷൻ്റെ ഇരുവശത്തുമുള്ള ഉപയോക്താക്കൾ എൻക്രിപ്ഷൻ കീകൾ പരിശോധിച്ചാൽ വിട്ടുവീഴ്ച ചെയ്യപ്പെടാത്തതായി കണക്കാക്കാം. Jabber.ru ഉപയോക്താക്കൾക്ക് അവരുടെ ആക്‌സസ് പാസ്‌വേഡുകൾ മാറ്റാനും സാധ്യമായ പകരത്തിനായി അവരുടെ PEP സ്റ്റോറേജുകളിലെ OMEMO, PGP കീകൾ പരിശോധിക്കാനും നിർദ്ദേശിക്കുന്നു.

അവലംബം: opennet.ru