जेव्हा "ब्लॅक हॅट्स" - सायबर स्पेसच्या जंगली जंगलाचे ऑर्डरली असतात - त्यांच्या घाणेरड्या कामात विशेषतः यशस्वी होतात, तेव्हा पिवळा मीडिया आनंदाने ओरडतो. परिणामी, जग सायबर सुरक्षेकडे अधिक गांभीर्याने पाहू लागले आहे. पण दुर्दैवाने लगेच नाही. त्यामुळे, आपत्तीजनक सायबर घटनांची संख्या वाढत असूनही, सक्रिय सक्रिय उपायांसाठी जग अद्याप योग्य नाही. तथापि, अशी अपेक्षा आहे की नजीकच्या भविष्यात, “ब्लॅक हॅट्स” मुळे जग सायबरसुरक्षा गांभीर्याने घेण्यास सुरुवात करेल. [७]

आग लागण्याइतकीच गंभीर... शहरे एकेकाळी आपत्तीजनक आगीसाठी अत्यंत असुरक्षित होती. तथापि, संभाव्य धोका असूनही, सक्रिय संरक्षणात्मक उपाय केले गेले नाहीत - जरी 1871 मध्ये शिकागोमध्ये महाकाय आग लागल्यानंतरही, ज्याने शेकडो लोकांचा बळी घेतला आणि शेकडो हजारो लोक विस्थापित झाले. तीन वर्षांनंतर पुन्हा अशीच आपत्ती आल्यानंतरच सक्रिय संरक्षणात्मक उपाययोजना करण्यात आल्या. सायबरसुरक्षाबाबतही असेच आहे - जोपर्यंत आपत्तीजनक घटना घडत नाहीत तोपर्यंत जग या समस्येचे निराकरण करणार नाही. पण अशा घटना घडल्या तरी जगाचा हा प्रश्न लगेच सुटणार नाही. [७] म्हणून, “जोपर्यंत बग येत नाही तोपर्यंत माणसाला पॅच केले जाणार नाही” ही म्हणही फारशी चालत नाही. म्हणूनच 7 मध्ये आम्ही असुरक्षिततेची 2018 वर्षे साजरी केली.

गीतात्मक विचलन

या लेखाची सुरुवात, जी मी मूळतः सिस्टम प्रशासक मासिकासाठी लिहिली होती, ती एका अर्थाने भविष्यसूचक ठरली. या लेखासह मासिकाचा अंक बाहेर गेला अक्षरशः दिवसेंदिवस केमेरोवो शॉपिंग सेंटर "विंटर चेरी" (2018, मार्च 20) मध्ये भीषण आग लागली.

३० मिनिटांत इंटरनेट इन्स्टॉल करा

1988 मध्ये, दिग्गज हॅकर गॅलेक्सी L0pht ने, सर्वात प्रभावशाली पाश्चात्य अधिकार्‍यांच्या बैठकीपूर्वी पूर्ण ताकदीने बोलताना घोषित केले: “तुमची संगणकीकृत उपकरणे इंटरनेटवरील सायबर हल्ल्यांना असुरक्षित आहेत. आणि सॉफ्टवेअर, आणि हार्डवेअर आणि दूरसंचार. त्यांच्या विक्रेत्यांना या स्थितीची अजिबात काळजी नाही. कारण आधुनिक कायदे उत्पादित सॉफ्टवेअर आणि हार्डवेअरची सायबर सुरक्षा सुनिश्चित करण्यासाठी निष्काळजी दृष्टिकोनासाठी कोणतेही दायित्व प्रदान करत नाही. संभाव्य बिघाडांची जबाबदारी (मग उत्स्फूर्त असो किंवा सायबर गुन्हेगारांच्या हस्तक्षेपामुळे) ही केवळ उपकरणाच्या वापरकर्त्याची असते. फेडरल सरकारच्या बाबतीत, या समस्येचे निराकरण करण्याचे कौशल्य किंवा इच्छा नाही. म्हणूनच, जर तुम्ही सायबरसुरक्षा शोधत असाल, तर इंटरनेट हे ते शोधण्याचे ठिकाण नाही. तुमच्या समोर बसलेल्या सात लोकांपैकी प्रत्येकजण इंटरनेट पूर्णपणे खंडित करू शकतो आणि त्यानुसार, त्याच्याशी जोडलेल्या उपकरणांवर संपूर्ण नियंत्रण मिळवू शकतो. स्वतःहून. 30 मिनिटे कोरिओग्राफ केलेले कीस्ट्रोक आणि ते पूर्ण झाले.” [७]

अधिकाऱ्यांनी अर्थपूर्णपणे होकार दिला आणि स्पष्ट केले की त्यांना परिस्थितीचे गांभीर्य समजले आहे, परंतु त्यांनी काहीही केले नाही. आज, L30pht च्या दिग्गज कामगिरीच्या बरोबर 0 वर्षांनंतर, जग अजूनही "उत्साही असुरक्षिततेने" त्रस्त आहे. संगणकीकृत, इंटरनेट-कनेक्टेड उपकरणे हॅक करणे इतके सोपे आहे की इंटरनेट, सुरुवातीला आदर्शवादी शास्त्रज्ञ आणि उत्साही लोकांचे साम्राज्य, हळूहळू सर्वात व्यावहारिक व्यावसायिकांनी व्यापले आहे: घोटाळेबाज, फसवणूक करणारे, हेर, दहशतवादी. हे सर्वजण आर्थिक किंवा इतर फायद्यांसाठी संगणकीकृत उपकरणांच्या असुरक्षिततेचा फायदा घेतात. [७]

सायबर सुरक्षेकडे विक्रेते दुर्लक्ष करतात

विक्रेते काहीवेळा, अर्थातच, ओळखल्या गेलेल्या काही असुरक्षा दूर करण्याचा प्रयत्न करतात, परंतु ते ते अगदी अनिच्छेने करतात. कारण त्यांचा नफा हॅकर्सपासून संरक्षणातून मिळत नाही, तर ते ग्राहकांना प्रदान केलेल्या नवीन कार्यक्षमतेतून मिळतो. केवळ अल्पकालीन नफ्यावर लक्ष केंद्रित केल्यामुळे, विक्रेते केवळ वास्तविक समस्या सोडवण्यासाठी पैसे गुंतवतात, काल्पनिक समस्या नाही. सायबरसुरक्षा ही त्यांच्यापैकी अनेकांच्या दृष्टीने एक काल्पनिक गोष्ट आहे. [७]

सायबर सुरक्षा ही एक अदृश्य, अमूर्त गोष्ट आहे. जेव्हा समस्या उद्भवतात तेव्हाच ते मूर्त बनते. जर त्यांनी त्याची चांगली काळजी घेतली (त्यांनी त्याच्या तरतुदीवर बरेच पैसे खर्च केले), आणि त्यात कोणतीही अडचण नसेल तर अंतिम ग्राहक त्यासाठी जास्त पैसे देऊ इच्छित नाही. याव्यतिरिक्त, वाढत्या आर्थिक खर्चाव्यतिरिक्त, संरक्षणात्मक उपायांच्या अंमलबजावणीसाठी अतिरिक्त विकास वेळ आवश्यक आहे, उपकरणांची क्षमता मर्यादित करणे आवश्यक आहे आणि त्याची उत्पादकता कमी होते. [८]

आमच्या स्वतःच्या विक्रेत्यांना देखील सूचीबद्ध खर्चाच्या व्यवहार्यतेबद्दल पटवून देणे कठीण आहे, ग्राहकांना सोडून द्या. आणि आधुनिक विक्रेत्यांना केवळ अल्पकालीन विक्री नफ्यातच रस असल्याने, ते त्यांच्या निर्मितीची सायबर सुरक्षा सुनिश्चित करण्याची जबाबदारी घेण्यास अजिबात इच्छुक नाहीत. [१] दुसरीकडे, अधिक सावध विक्रेते ज्यांनी त्यांच्या उपकरणांच्या सायबर सुरक्षेची काळजी घेतली आहे त्यांना या वस्तुस्थितीचा सामना करावा लागतो की कॉर्पोरेट ग्राहक स्वस्त आणि वापरण्यास सुलभ पर्यायांना प्राधान्य देतात. ते. हे स्पष्ट आहे की कॉर्पोरेट ग्राहकांना सायबरसुरक्षिततेची फारशी काळजी नाही. [८]

वरील प्रकाशात, हे आश्चर्यकारक नाही की विक्रेते सायबरसुरक्षिततेकडे दुर्लक्ष करतात आणि खालील तत्त्वज्ञानाचे पालन करतात: “बांधत रहा, विक्री करत रहा आणि आवश्यक असेल तेव्हा पॅच करा. यंत्रणा क्रॅश झाली आहे का? माहिती गमावली? क्रेडिट कार्ड क्रमांकासह डेटाबेस चोरीला गेला? तुमच्या उपकरणांमध्ये काही घातक असुरक्षा आहेत का? हरकत नाही!" ग्राहकांना, यामधून, तत्त्वाचे पालन करावे लागेल: "पॅच करा आणि प्रार्थना करा." [७]

हे कसे घडते: जंगलातील उदाहरणे

विकासादरम्यान सायबरसुरक्षिततेकडे दुर्लक्ष करण्याचे एक उल्लेखनीय उदाहरण म्हणजे मायक्रोसॉफ्टचा कॉर्पोरेट प्रोत्साहन कार्यक्रम: “तुम्ही मुदत चुकवली तर तुम्हाला दंड आकारला जाईल. जर तुमच्याकडे तुमच्या नवकल्पनाचे प्रकाशन वेळेवर सबमिट करण्यासाठी वेळ नसेल, तर त्याची अंमलबजावणी केली जाणार नाही. त्याची अंमलबजावणी न केल्यास, तुम्हाला कंपनीचे शेअर्स (मायक्रोसॉफ्टच्या नफ्यातील पाईचा एक तुकडा) मिळणार नाहीत.” 1993 पासून, मायक्रोसॉफ्टने सक्रियपणे त्याच्या उत्पादनांना इंटरनेटशी जोडण्यास सुरुवात केली. हा उपक्रम त्याच प्रेरक कार्यक्रमाच्या अनुषंगाने चालत असल्याने, कार्यक्षमतेचा विस्तार संरक्षणापेक्षा अधिक वेगाने झाला. व्यावहारिक अगतिकता शिकारींच्या आनंदासाठी... [७]

दुसरे उदाहरण म्हणजे संगणक आणि लॅपटॉपची परिस्थिती: ते पूर्व-स्थापित अँटीव्हायरससह येत नाहीत; आणि ते मजबूत पासवर्डच्या प्रीसेटसाठी देखील प्रदान करत नाहीत. असे गृहीत धरले जाते की अंतिम वापरकर्ता अँटीव्हायरस स्थापित करेल आणि सुरक्षा कॉन्फिगरेशन पॅरामीटर्स सेट करेल. [१]

दुसरे, अधिक टोकाचे उदाहरण: किरकोळ उपकरणांच्या सायबर सुरक्षा (रोख नोंदणी, खरेदी केंद्रांसाठी PoS टर्मिनल इ.) ची परिस्थिती. असे झाले की व्यावसायिक उपकरणांचे विक्रेते जे विकले जाते तेच विकतात, सुरक्षित नसतात. [२] व्यावसायिक उपकरणे विक्रेते सायबर सुरक्षेच्या दृष्टीने काळजी घेतात अशी एक गोष्ट असेल तर, एखादी वादग्रस्त घटना घडल्यास त्याची जबाबदारी इतरांवर पडेल याची खात्री करून घेत आहे. [३]

घटनांच्या या विकासाचे एक सूचक उदाहरण: बँक कार्ड्ससाठी EMV मानक लोकप्रिय करणे, जे बँक मार्केटर्सच्या सक्षम कार्याबद्दल धन्यवाद, "कालबाह्य" ला सुरक्षित पर्याय म्हणून तांत्रिकदृष्ट्या परिष्कृत नसलेल्या लोकांच्या नजरेत दिसते. चुंबकीय कार्ड. त्याच वेळी, बँकिंग उद्योगाची मुख्य प्रेरणा, जी ईएमव्ही मानक विकसित करण्यास जबाबदार होती, फसवणूकीच्या घटनांसाठी (कार्डर्सच्या दोषामुळे उद्भवलेल्या) - स्टोअरपासून ग्राहकांपर्यंत जबाबदारी हलवण्याची होती. यापूर्वी (जेव्हा चुंबकीय कार्डद्वारे पेमेंट केले जात होते), डेबिट/क्रेडिटमधील विसंगतींसाठी आर्थिक जबाबदारी स्टोअरवर होती. [३] अशा प्रकारे ज्या बँका पेमेंट्सवर प्रक्रिया करतात त्यांची जबाबदारी एकतर व्यापाऱ्यांकडे (जे त्यांची रिमोट बँकिंग प्रणाली वापरतात) किंवा पेमेंट कार्ड जारी करणाऱ्या बँकांकडे जातात; नंतरचे दोन, बदल्यात, कार्डधारकाकडे जबाबदारी हलवतात. [२]

विक्रेते सायबर सुरक्षेत अडथळा आणत आहेत

जसजसे डिजिटल अटॅक पृष्ठभाग असह्यपणे विस्तारत आहे—इंटरनेट-कनेक्ट केलेल्या उपकरणांच्या स्फोटामुळे-कॉर्पोरेट नेटवर्कशी काय जोडले आहे त्याचा मागोवा ठेवणे अधिक कठीण होत आहे. त्याच वेळी, विक्रेते इंटरनेटशी कनेक्ट केलेल्या सर्व उपकरणांच्या सुरक्षिततेबद्दल चिंता शेवटच्या वापरकर्त्याकडे वळवतात [१]: "बुडणार्‍या लोकांना वाचवणे हे बुडणार्‍या लोकांचे स्वतःचे काम आहे."

विक्रेते केवळ त्यांच्या निर्मितीच्या सायबरसुरक्षेची काळजी घेत नाहीत, परंतु काही प्रकरणांमध्ये ते त्याच्या तरतुदीमध्ये हस्तक्षेप देखील करतात. उदाहरणार्थ, जेव्हा 2009 मध्ये बेथ इस्रायल मेडिकल सेंटरमध्ये कॉन्फिकर नेटवर्क वर्म लीक झाला आणि तेथील वैद्यकीय उपकरणांचा काही भाग संक्रमित झाला, तेव्हा या वैद्यकीय केंद्राच्या तांत्रिक संचालकाने, भविष्यात अशा घटना घडू नयेत म्हणून, अक्षम करण्याचा निर्णय घेतला. नेटवर्कसह वर्ममुळे प्रभावित उपकरणांवर ऑपरेशन समर्थन कार्य. तथापि, "नियामक निर्बंधांमुळे उपकरणे अद्ययावत होऊ शकली नाहीत" या वस्तुस्थितीचा त्याला सामना करावा लागला. नेटवर्क कार्ये अक्षम करण्यासाठी विक्रेत्याशी वाटाघाटी करण्यासाठी त्याला बरेच प्रयत्न करावे लागले. [४]

इंटरनेटची मूलभूत सायबर-असुरक्षितता

डेव्हिड क्लार्क, दिग्गज MIT प्रोफेसर ज्यांच्या अलौकिक बुद्धिमत्तेने त्याला "अल्बस डंबलडोर" हे टोपणनाव मिळवून दिले, तो दिवस आठवतो ज्या दिवशी इंटरनेटची काळी बाजू जगासमोर आली होती. नोव्हेंबर 1988 मध्ये क्लार्क एका टेलिकम्युनिकेशन कॉन्फरन्सचे अध्यक्षपद भूषवत होते जेव्हा बातमी आली की इतिहासातील पहिला संगणक वर्म नेटवर्क वायर्समधून घसरला आहे. क्लार्कला हा क्षण आठवला कारण त्याच्या परिषदेत उपस्थित असलेल्या वक्त्याला (एका आघाडीच्या दूरसंचार कंपनीचा कर्मचारी) या किडीच्या प्रसारासाठी जबाबदार धरण्यात आले होते. हा वक्ता, भावनेच्या भरात अनवधानाने म्हणाला: “हा घ्या!” मी ही भेद्यता बंद केली आहे असे दिसते,” त्याने या शब्दांसाठी पैसे दिले. [५]

तथापि, नंतर असे दिसून आले की उल्लेखित अळी ज्या असुरक्षिततेद्वारे पसरली ती कोणत्याही वैयक्तिक व्यक्तीची योग्यता नव्हती. आणि हे, काटेकोरपणे सांगायचे तर, ही एक असुरक्षितता देखील नव्हती, परंतु इंटरनेटची एक मूलभूत वैशिष्ट्य होती: इंटरनेटच्या संस्थापकांनी, त्यांचे विचार विकसित करताना, डेटा हस्तांतरण गती आणि दोष सहिष्णुतेवर विशेष लक्ष केंद्रित केले. त्यांनी स्वतःला सायबर सुरक्षा सुनिश्चित करण्याचे कार्य निश्चित केले नाही. [५]

आज, इंटरनेटच्या स्थापनेनंतर अनेक दशकांनंतर- सायबरसुरक्षेच्या निरर्थक प्रयत्नांवर शेकडो अब्ज डॉलर्स आधीच खर्च केले गेले आहेत- इंटरनेटही कमी असुरक्षित नाही. त्याची सायबरसुरक्षा समस्या दरवर्षी अधिकच बिकट होत चालली आहे. मात्र, यासाठी इंटरनेटच्या संस्थापकांचा निषेध करण्याचा आम्हाला अधिकार आहे का? शेवटी, उदाहरणार्थ, "त्यांच्या रस्त्यावर" अपघात होतात या वस्तुस्थितीबद्दल कोणीही एक्स्प्रेसवे बांधणाऱ्यांचा निषेध करणार नाही; आणि "त्यांच्या शहरांमध्ये" दरोडे पडतात या वस्तुस्थितीबद्दल कोणीही शहर नियोजकांचा निषेध करणार नाही. [५]

हॅकर उपसंस्कृतीचा जन्म कसा झाला

हॅकर उपसंस्कृतीचा उगम 1960 च्या दशकाच्या सुरुवातीस, “रेल्वे टेक्निकल मॉडेलिंग क्लब” (मॅसॅच्युसेट्स इन्स्टिट्यूट ऑफ टेक्नॉलॉजीच्या भिंतीमध्ये कार्यरत) मध्ये झाला. क्लबच्या उत्साही लोकांनी एक मॉडेल रेल्वेमार्ग डिझाइन केला आणि एकत्र केला, इतका मोठा की त्याने संपूर्ण खोली भरली. क्लब सदस्य उत्स्फूर्तपणे दोन गटांमध्ये विभागले गेले: शांतता निर्माण करणारे आणि प्रणाली विशेषज्ञ. [६]

प्रथम मॉडेलच्या वरील-ग्राउंड भागासह काम केले, दुसरे - भूमिगत सह. प्रथम लोकांनी गाड्या आणि शहरांचे मॉडेल गोळा केले आणि सजवले: त्यांनी संपूर्ण जगाचे लघुचित्रात मॉडेल केले. नंतरच्याने या सर्व शांततेसाठी तांत्रिक समर्थनावर काम केले: मॉडेलच्या भूमिगत भागात स्थित वायर, रिले आणि समन्वय स्विचची गुंतागुंत - "वरील" भाग नियंत्रित करणारे आणि उर्जेसह दिलेली प्रत्येक गोष्ट. [६]

जेव्हा ट्रॅफिकची समस्या उद्भवली आणि ती सोडवण्यासाठी कोणीतरी नवीन आणि कल्पक उपाय शोधून काढला, तेव्हा त्या उपायाला “हॅक” असे म्हणतात. क्लब सदस्यांसाठी, नवीन हॅकचा शोध हा जीवनाचा एक आंतरिक अर्थ बनला आहे. म्हणूनच त्यांनी स्वतःला "हॅकर्स" म्हणायला सुरुवात केली. [६]

हॅकर्सच्या पहिल्या पिढीने सिम्युलेशन रेल्वे क्लबमध्ये पंच केलेल्या कार्डांवर संगणक प्रोग्राम लिहून प्राप्त केलेली कौशल्ये लागू केली. त्यानंतर, जेव्हा ARPANET (इंटरनेटचा पूर्ववर्ती) 1969 मध्ये कॅम्पसमध्ये आला, तेव्हा हॅकर्स त्याचे सर्वात सक्रिय आणि कुशल वापरकर्ते बनले. [६]

आता, अनेक दशकांनंतर, आधुनिक इंटरनेट मॉडेल रेल्वेमार्गाच्या त्या "भूमिगत" भागासारखे दिसते. कारण त्याचे संस्थापक हेच हॅकर्स होते, “रेल्वे सिम्युलेशन क्लब” चे विद्यार्थी. सिम्युलेटेड लघुचित्रांऐवजी आता फक्त हॅकर्स वास्तविक शहरे चालवतात. [६]

BGP राउटिंग कसे झाले

80 च्या दशकाच्या अखेरीस, इंटरनेटशी कनेक्ट केलेल्या उपकरणांच्या संख्येत हिमस्खलनासारख्या वाढीचा परिणाम म्हणून, इंटरनेट मूलभूत इंटरनेट प्रोटोकॉलपैकी एकामध्ये तयार केलेल्या कठीण गणिती मर्यादेपर्यंत पोहोचले. म्हणून, त्या काळातील अभियंत्यांमधील कोणतेही संभाषण अखेरीस या समस्येच्या चर्चेत बदलले. दोन मित्र अपवाद नव्हते: जेकब रेक्टर (IBM मधील अभियंता) आणि कर्क लॉकहीड (सिस्कोचे संस्थापक). रात्रीच्या जेवणाच्या टेबलावर योगायोगाने भेटल्यानंतर, त्यांनी इंटरनेटची कार्यक्षमता टिकवून ठेवण्याच्या उपायांवर चर्चा करण्यास सुरवात केली. जे काही हाती आले त्यावरून आलेल्या कल्पना मित्रांनी लिहून ठेवल्या - केचपने डागलेला रुमाल. मग दुसरा. मग तिसरा. “तीन नॅपकिन्स प्रोटोकॉल”, कारण त्याच्या शोधकांनी त्याला गंमतीने म्हटले—अधिकृत मंडळांमध्ये BGP (बॉर्डर गेटवे प्रोटोकॉल) म्हणून ओळखले जाते—लवकरच इंटरनेटमध्ये क्रांती झाली. [८]

Rechter आणि Lockheed साठी, BGP हा फक्त एक कॅज्युअल हॅक होता, जो वर नमूद केलेल्या मॉडेल रेलरोड क्लबच्या भावनेने विकसित केला गेला होता, एक तात्पुरता उपाय जो लवकरच बदलला जाईल. मित्रांनी 1989 मध्ये बीजीपी विकसित केली. आज, तथापि, 30 वर्षांनंतर, बहुतेक इंटरनेट ट्रॅफिक अजूनही "थ्री नॅपकिन प्रोटोकॉल" वापरून राउट केले जाते - त्याच्या सायबरसुरक्षेच्या गंभीर समस्यांबद्दल वाढत्या चिंताजनक कॉल्स असूनही. तात्पुरता हॅक हा मूलभूत इंटरनेट प्रोटोकॉलपैकी एक बनला आणि त्याच्या विकासकांनी त्यांच्या स्वतःच्या अनुभवातून हे शिकले की "तात्पुरत्या उपायांपेक्षा कायमस्वरूपी काहीही नाही." [८]

जगभरातील नेटवर्क BGP वर स्विच झाले आहेत. प्रभावशाली विक्रेते, श्रीमंत ग्राहक आणि दूरसंचार कंपन्या लगेच BGP च्या प्रेमात पडल्या आणि त्यांची सवय झाली. म्हणूनच, या प्रोटोकॉलच्या असुरक्षिततेबद्दल अधिकाधिक धोक्याची घंटा असूनही, आयटी लोक अजूनही नवीन, अधिक सुरक्षित उपकरणांमध्ये संक्रमणासाठी उत्साह दाखवत नाहीत. [८]

सायबर-असुरक्षित BGP राउटिंग

बीजीपी रूटिंग इतके चांगले का आहे आणि आयटी समुदाय ते सोडण्याची घाई का करत नाही? बीजीपी राउटरना एकमेकांना छेदणार्‍या कम्युनिकेशन लाईन्सच्या मोठ्या नेटवर्कवर पाठवलेल्या डेटाच्या प्रचंड प्रवाहांना कोठे मार्गस्थ करायचे याचा निर्णय घेण्यात मदत करते. नेटवर्क सतत बदलत असले तरीही आणि लोकप्रिय मार्गांना अनेकदा ट्रॅफिक जामचा सामना करावा लागतो तरीही BGP राउटरला योग्य मार्ग निवडण्यात मदत करते. समस्या अशी आहे की इंटरनेटकडे जागतिक राउटिंग नकाशा नाही. BGP वापरणारे राउटर सायबरस्पेसमधील शेजाऱ्यांकडून मिळालेल्या माहितीच्या आधारे एक किंवा दुसरा मार्ग निवडण्याचे निर्णय घेतात, जे त्यांच्या शेजाऱ्यांकडून माहिती गोळा करतात इ. तथापि, ही माहिती सहजपणे खोटी केली जाऊ शकते, याचा अर्थ BGP राउटिंग MiTM हल्ल्यांसाठी अत्यंत असुरक्षित आहे. [८]

म्हणून, खालील सारखे प्रश्न नियमितपणे उद्भवतात: "डेन्व्हरमधील दोन संगणकांमधली रहदारी आइसलँडमधून एक विशाल वळण का घेते?", "वर्गीकृत पेंटागॉन डेटा एकदा बीजिंग मार्गे पारगमनात का हस्तांतरित केला गेला?" यासारख्या प्रश्नांची तांत्रिक उत्तरे आहेत, परंतु ते सर्व या वस्तुस्थितीवर येतात की BGP विश्वासावर आधारित कार्य करते: शेजारच्या राउटरकडून मिळालेल्या शिफारसींवर विश्वास ठेवा. बीजीपी प्रोटोकॉलच्या विश्वासार्ह स्वरूपाबद्दल धन्यवाद, रहस्यमय ट्रॅफिक अधिपती इतर लोकांचा डेटा त्यांच्या डोमेनमध्ये प्रवाहित करू इच्छित असल्यास त्यांना आकर्षित करू शकतात. [८]

अमेरिकन पेंटागॉनवर चीनचा बीजीपी हल्ला हे त्याचे जिवंत उदाहरण आहे. एप्रिल 2010 मध्ये, सरकारी मालकीची दूरसंचार कंपनी चायना टेलिकॉमने जगभरात हजारो राउटर पाठवले, ज्यात युनायटेड स्टेट्समधील 16 राउटर होते, त्यांच्याकडे अधिक चांगले मार्ग असल्याचे सांगणारा BGP संदेश. चायना टेलीकॉमच्या बीजीपी संदेशाची वैधता सत्यापित करू शकणार्‍या प्रणालीशिवाय, जगभरातील राउटरने बीजिंगद्वारे ट्रांझिटमध्ये डेटा पाठवण्यास सुरुवात केली. पेंटागॉन आणि यूएस डिपार्टमेंट ऑफ डिफेन्सच्या इतर साइट्सच्या ट्रॅफिकसह. वाहतूक ज्या सहजतेने मार्गस्थ झाली आणि या प्रकारच्या हल्ल्यापासून प्रभावी संरक्षणाचा अभाव हे BGP मार्गाच्या असुरक्षिततेचे आणखी एक लक्षण आहे. [८]

BGP प्रोटोकॉल सैद्धांतिकदृष्ट्या आणखी धोकादायक सायबर हल्ल्यासाठी असुरक्षित आहे. सायबरस्पेसमध्ये आंतरराष्ट्रीय संघर्ष पूर्ण ताकदीने वाढल्यास, चायना टेलिकॉम किंवा इतर काही दूरसंचार कंपनी, इंटरनेटच्या काही भागांच्या मालकीचा दावा करण्याचा प्रयत्न करू शकते जे प्रत्यक्षात त्याच्याशी संबंधित नाहीत. अशा हालचालीमुळे राउटर गोंधळात टाकतील, ज्यांना इंटरनेट पत्त्यांच्या समान ब्लॉक्ससाठी प्रतिस्पर्धी बिड्समध्ये बाउंस करावे लागेल. बनावट अर्जापासून कायदेशीर अनुप्रयोग वेगळे करण्याच्या क्षमतेशिवाय, राउटर अनियमितपणे कार्य करण्यास सुरवात करतात. परिणामस्वरुप, आम्हाला अणुयुद्धाच्या समतुल्य इंटरनेटचा सामना करावा लागेल - एक खुले, मोठ्या प्रमाणात शत्रुत्वाचे प्रदर्शन. सापेक्ष शांततेच्या काळात असा विकास अवास्तव वाटतो, परंतु तांत्रिकदृष्ट्या ते अगदी व्यवहार्य आहे. [८]

BGP वरून BGPSEC कडे जाण्याचा निरर्थक प्रयत्न

BGP विकसित करताना सायबरसुरक्षा विचारात घेतली गेली नाही, कारण त्यावेळी हॅक दुर्मिळ होते आणि त्यांच्यापासून होणारे नुकसान नगण्य होते. बीजीपीचे विकसक, कारण ते दूरसंचार कंपन्यांसाठी काम करत होते आणि त्यांची नेटवर्क उपकरणे विकण्यात स्वारस्य होते, त्यांच्याकडे अधिक दबावपूर्ण कार्य होते: इंटरनेटचे उत्स्फूर्त ब्रेकडाउन टाळण्यासाठी. कारण इंटरनेटमधील व्यत्यय वापरकर्त्यांना दूर करू शकतात आणि त्यामुळे नेटवर्क उपकरणांची विक्री कमी करू शकते. [८]

एप्रिल 2010 मध्ये बीजिंगमधून अमेरिकन लष्करी वाहतूक प्रसारित झाल्याच्या घटनेनंतर, बीजीपी मार्गाची सायबर सुरक्षा सुनिश्चित करण्यासाठी कामाची गती निश्चितच वेगवान झाली. तथापि, दूरसंचार विक्रेत्यांनी असुरक्षित BGP च्या बदली म्हणून प्रस्तावित असलेल्या BGPSEC या नवीन सुरक्षित राउटिंग प्रोटोकॉलमध्ये स्थलांतरित होण्याशी संबंधित खर्च सहन करण्यास फारसा उत्साह दाखवला नाही. वाहतूक व्यत्यय आणण्याच्या असंख्य घटना घडूनही विक्रेते अजूनही BGP ला स्वीकार्य मानतात. [८]

Radia Perlman, ज्याला 1988 मध्ये (BGP च्या एक वर्ष आधी) दुसर्‍या मोठ्या नेटवर्क प्रोटोकॉलचा शोध लावल्याबद्दल “इंटरनेटची जननी” म्हणून संबोधले गेले, त्यांनी MIT मध्ये भविष्यसूचक डॉक्टरेट प्रबंध मिळवला. पर्लमनने भाकीत केले की सायबरस्पेसमधील शेजाऱ्यांच्या प्रामाणिकपणावर अवलंबून असलेला रूटिंग प्रोटोकॉल मूलभूतपणे असुरक्षित आहे. पर्लमन यांनी क्रिप्टोग्राफीच्या वापराची वकिली केली, ज्यामुळे बनावटीची शक्यता मर्यादित करण्यात मदत होईल. तथापि, बीजीपीची अंमलबजावणी आधीच जोरात सुरू होती, प्रभावशाली आयटी समुदायाला त्याची सवय झाली होती आणि त्यांना काहीही बदलायचे नव्हते. म्हणून, पर्लमन, क्लार्क आणि इतर काही प्रमुख जागतिक तज्ञांच्या तर्कशुद्ध इशाऱ्यांनंतर, क्रिप्टोग्राफिकदृष्ट्या सुरक्षित BGP राउटिंगचा सापेक्ष वाटा अजिबात वाढला नाही आणि अजूनही 0% आहे. [८]

बीजीपी राउटिंग हा एकमेव हॅक नाही

आणि BGP राउटिंग हा एकमेव हॅक नाही जो "तात्पुरत्या उपायांपेक्षा कायमस्वरूपी काहीही नाही" या कल्पनेची पुष्टी करतो. कधीकधी इंटरनेट, आपल्याला काल्पनिक जगामध्ये बुडवून, रेसिंग कारसारखे मोहक वाटते. तथापि, प्रत्यक्षात, एकमेकांच्या वर ढीग असलेल्या हॅकमुळे, इंटरनेट हे फेरारीपेक्षा फ्रँकेनस्टाईनसारखे आहे. कारण हे हॅक (अधिक अधिकृतपणे पॅचेस म्हणतात) कधीही विश्वसनीय तंत्रज्ञानाद्वारे बदलले जात नाहीत. या दृष्टिकोनाचे परिणाम भयंकर आहेत: दररोज आणि तासाला, सायबर गुन्हेगार असुरक्षित सिस्टममध्ये हॅक करतात, सायबर गुन्ह्यांची व्याप्ती पूर्वीच्या अकल्पनीय प्रमाणात वाढवतात. [८]

सायबर गुन्हेगारांद्वारे शोषण केलेल्या अनेक त्रुटी बर्याच काळापासून ज्ञात आहेत आणि केवळ IT समुदायाच्या उदयोन्मुख समस्यांचे निराकरण करण्याच्या प्रवृत्तीमुळे - तात्पुरत्या हॅक/पॅचसह जतन केल्या गेल्या आहेत. काहीवेळा, यामुळे, कालबाह्य तंत्रज्ञान बर्याच काळासाठी एकमेकांवर ढीग करतात, ज्यामुळे लोकांचे जीवन कठीण होते आणि त्यांना धोका निर्माण होतो. तुमची बँक पेंढा आणि चिखलाच्या पायावर तिची तिजोरी बांधत आहे हे तुम्हाला कळले तर तुम्हाला काय वाटेल? तुमची बचत ठेवण्यासाठी तुम्ही त्याच्यावर विश्वास ठेवाल का? [८]

लिनस टोरवाल्ड्सची निश्चिंत वृत्ती

पहिल्या शंभर संगणकांपर्यंत इंटरनेट पोहोचायला अनेक वर्षे लागली. आज, प्रत्येक सेकंदाला 100 नवीन संगणक आणि इतर उपकरणे त्याच्याशी जोडली जातात. इंटरनेट-कनेक्ट केलेली उपकरणे जशी स्फोट होतात, त्याचप्रमाणे सायबरसुरक्षा समस्यांची निकड वाढते. तथापि, या समस्या सोडविण्यावर ज्या व्यक्तीचा सर्वात मोठा प्रभाव पडू शकतो तो सायबरसुरक्षाकडे तिरस्काराने पाहतो. या माणसाला अलौकिक बुद्धिमत्ता, गुंडगिरी, आध्यात्मिक नेता आणि परोपकारी हुकूमशहा म्हटले गेले आहे. लिनस टॉरवाल्ड्स. इंटरनेटशी कनेक्ट केलेली बहुसंख्य उपकरणे त्याची ऑपरेटिंग सिस्टम, लिनक्स चालवतात. जलद, लवचिक, विनामूल्य - लिनक्स कालांतराने अधिकाधिक लोकप्रिय होत आहे. त्याच वेळी, ते अतिशय स्थिरपणे वागते. आणि ते बर्याच वर्षांपासून रीबूट न ​​करता कार्य करू शकते. त्यामुळे लिनक्सला प्रबळ ऑपरेटिंग सिस्टीमचा मान मिळाला आहे. आज आमच्याकडे उपलब्ध असलेली जवळजवळ सर्व संगणकीकृत उपकरणे लिनक्स चालवतात: सर्व्हर, वैद्यकीय उपकरणे, फ्लाइट संगणक, लहान ड्रोन, लष्करी विमाने आणि बरेच काही. [९]

लिनक्स मोठ्या प्रमाणावर यशस्वी होतो कारण Torvalds कार्यप्रदर्शन आणि दोष सहिष्णुतेवर जोर देते. तथापि, तो सायबरसुरक्षिततेच्या खर्चावर हा भर देतो. जरी सायबरस्पेस आणि वास्तविक भौतिक जग एकमेकांशी जोडलेले आहे आणि सायबर सुरक्षा ही जागतिक समस्या बनली आहे, तरीही Torvalds त्याच्या ऑपरेटिंग सिस्टममध्ये सुरक्षित नवकल्पनांचा परिचय करून देण्यास विरोध करत आहे. [९]

त्यामुळे, अनेक लिनक्स चाहत्यांमध्येही, या ऑपरेटिंग सिस्टमच्या भेद्यतेबद्दल चिंता वाढत आहे. विशेषतः, लिनक्सचा सर्वात जवळचा भाग, त्याचे कर्नल, ज्यावर Torvalds वैयक्तिकरित्या कार्य करते. लिनक्सचे चाहते पाहतात की टोरवाल्ड्स सायबरसुरक्षा समस्या गांभीर्याने घेत नाहीत. शिवाय, टोरवाल्ड्सने स्वत: ला विकसकांनी वेढले आहे जे ही निश्चिंत वृत्ती सामायिक करतात. जर टॉरवाल्ड्सच्या आतील वर्तुळातील कोणीतरी सुरक्षित नवकल्पना सादर करण्याबद्दल बोलू लागला, तर त्याला ताबडतोब अ‍ॅथेमेटिज्ड केले जाते. टॉरवाल्ड्सने अशा नवकल्पकांच्या एका गटाला "हस्तमैथुन करणारी माकडे" असे संबोधले. टॉरवाल्ड्सने सुरक्षा-सजग विकासकांच्या दुसर्‍या गटाला निरोप देताना, तो त्यांना म्हणाला, “तुम्ही स्वत: ला मारण्याइतके दयाळू आहात का? यामुळे जग एक चांगले ठिकाण होईल. ” जेव्हा जेव्हा सुरक्षा वैशिष्ट्ये जोडण्याची वेळ आली तेव्हा टोरवाल्ड्स नेहमी विरोधात होते. [९] टॉरवाल्ड्सचे या संदर्भात एक संपूर्ण तत्वज्ञान आहे, जे सामान्य ज्ञानाशिवाय नाही:

“संपूर्ण सुरक्षा अप्राप्य आहे. म्हणून, ते नेहमी इतर प्राधान्यांच्या संबंधात विचारात घेतले पाहिजे: वेग, लवचिकता आणि वापरणी सुलभता. जे लोक स्वतःला संरक्षण देण्यासाठी पूर्णपणे वाहून घेतात ते वेडे असतात. त्यांची विचारसरणी मर्यादित, कृष्णधवल आहे. स्वतःहून सुरक्षा निरुपयोगी आहे. सार नेहमी कोठेतरी असते. त्यामुळे, तुम्हाला खरोखर हवे असले तरीही तुम्ही परिपूर्ण सुरक्षा सुनिश्चित करू शकत नाही. अर्थात, असे लोक आहेत जे Torvalds पेक्षा सुरक्षिततेकडे अधिक लक्ष देतात. तथापि, हे लोक फक्त त्यांना कशात स्वारस्य आहे यावर कार्य करत आहेत आणि या स्वारस्यांचे वर्णन करणार्‍या अरुंद सापेक्ष चौकटीत सुरक्षा प्रदान करतात. आणखी नाही. त्यामुळे पूर्ण सुरक्षा वाढवण्यात ते कोणत्याही प्रकारे हातभार लावत नाहीत.” [९]

साइडबार: ओपनसोर्स हे पावडर केगसारखे आहे [१०]

ओपनसोर्स कोडने सॉफ्टवेअर डेव्हलपमेंटच्या खर्चात अब्जावधींची बचत केली आहे, डुप्लिकेट प्रयत्नांची गरज नाहीशी केली आहे: ओपनसोर्ससह, प्रोग्रामरना निर्बंध किंवा पेमेंटशिवाय वर्तमान नवकल्पना वापरण्याची संधी आहे. ओपनसोर्स सर्वत्र वापरले जाते. तुमची विशेष समस्या सुरवातीपासून सोडवण्यासाठी तुम्ही सॉफ्टवेअर डेव्हलपरची नियुक्ती केली असली तरीही, हा विकासक बहुधा कोणत्यातरी प्रकारची OpenSource लायब्ररी वापरेल. आणि कदाचित एकापेक्षा जास्त. अशा प्रकारे, ओपनसोर्स घटक जवळजवळ सर्वत्र उपस्थित असतात. त्याच वेळी, हे समजले पाहिजे की कोणतेही सॉफ्टवेअर स्थिर नसते; त्याचा कोड सतत बदलत असतो. म्हणून, "सेट करा आणि विसरा" हे तत्त्व कोडसाठी कधीही काम करत नाही. ओपनसोर्स कोडसह: लवकरच किंवा नंतर अद्यतनित आवृत्ती आवश्यक असेल.

2016 मध्ये, आम्ही या स्थितीचे परिणाम पाहिले: एका 28-वर्षीय विकासकाने त्याचा ओपनसोर्स कोड हटवून इंटरनेट थोडक्यात “तोडले”, जो त्याने यापूर्वी सार्वजनिकरित्या उपलब्ध केला होता. ही कथा आपली सायबर इन्फ्रास्ट्रक्चर अतिशय नाजूक असल्याचे दर्शवते. काही लोक - जे ओपनसोर्स प्रकल्पांना समर्थन देतात - ते राखण्यासाठी इतके महत्वाचे आहेत की, देवाने मना करू नये, जर त्यांना बसने धडक दिली तर इंटरनेट खंडित होईल.

हार्ड-टू-मेन्टेन कोड हा सर्वात गंभीर सायबरसुरक्षा भेद्यता लपलेला असतो. हार्ड-टू-मेंटेन कोडमुळे काही कंपन्यांना ते किती असुरक्षित आहेत याची जाणीवही नसते. अशा कोडशी संबंधित भेद्यता वास्तविक समस्येत खूप हळूहळू परिपक्व होऊ शकतात: सडण्याच्या प्रक्रियेत दृश्यमान अपयश दर्शविल्याशिवाय सिस्टम हळूहळू सडतात. आणि जेव्हा ते अयशस्वी होतात तेव्हा त्याचे परिणाम घातक असतात.

शेवटी, ओपनसोर्स प्रकल्प सहसा उत्साही लोकांच्या समुदायाद्वारे विकसित केले जातात, जसे की लिनस टोरवाल्ड्स किंवा लेखाच्या सुरुवातीला नमूद केलेल्या मॉडेल रेलरोड क्लबच्या हॅकर्सप्रमाणे, राखण्यासाठी कठीण कोड असलेल्या समस्या पारंपारिक मार्गांनी सोडवल्या जाऊ शकत नाहीत (वापरून व्यावसायिक आणि सरकारी लीव्हर्स). कारण अशा समुदायांचे सदस्य जाणीवपूर्वक असतात आणि त्यांच्या स्वातंत्र्याला इतर सर्वांपेक्षा महत्त्व देतात.

साइडबार: कदाचित गुप्तचर सेवा आणि अँटीव्हायरस विकसक आमचे संरक्षण करतील?

2013 मध्ये, हे ज्ञात झाले की कॅस्परस्की लॅबमध्ये एक विशेष युनिट आहे ज्याने माहिती सुरक्षा घटनांची सानुकूल तपासणी केली. अलीकडे पर्यंत, या विभागाचे प्रमुख माजी पोलिस प्रमुख रुस्लान स्टोयानोव्ह होते, ज्यांनी पूर्वी राजधानीच्या विभाग "के" (मॉस्को मुख्य अंतर्गत व्यवहार संचालनालयाचे यूएसटीएम) मध्ये काम केले होते. कॅस्परस्की लॅबच्या या विशेष युनिटचे सर्व कर्मचारी तपास समिती आणि संचालनालय "के" सह कायद्याची अंमलबजावणी करणार्‍या एजन्सींकडून येतात. [अकरा]

2016 च्या शेवटी, एफएसबीने रुस्लान स्टोयानोव्हला अटक केली आणि त्याच्यावर देशद्रोहाचा आरोप लावला. त्याच प्रकरणात, एफएसबी सीआयबी (माहिती सुरक्षा केंद्र) चे उच्च-स्तरीय प्रतिनिधी सर्गेई मिखाइलोव्ह यांना अटक करण्यात आली, ज्यांच्यावर, अटक करण्यापूर्वी, देशाची संपूर्ण सायबर सुरक्षा बांधली गेली होती. [अकरा]

साइडबार: सायबर सुरक्षा लागू

लवकरच रशियन उद्योजकांना सायबरसुरक्षाकडे गांभीर्याने लक्ष देण्यास भाग पाडले जाईल. जानेवारी 2017 मध्ये, सेंटर फॉर इन्फॉर्मेशन प्रोटेक्शन अँड स्पेशल कम्युनिकेशन्सचे प्रतिनिधी निकोलाई मुराशोव्ह यांनी सांगितले की, रशियामध्ये 2016 मध्ये केवळ CII ऑब्जेक्ट्स (महत्वपूर्ण माहिती पायाभूत सुविधा) वर 70 दशलक्षाहून अधिक वेळा हल्ला झाला. CII ऑब्जेक्ट्समध्ये सरकारी संस्था, संरक्षण उद्योग उपक्रम, वाहतूक, पत आणि वित्तीय क्षेत्रे, ऊर्जा, इंधन आणि आण्विक उद्योगांची माहिती प्रणाली समाविष्ट आहे. त्यांचे संरक्षण करण्यासाठी, 26 जुलै रोजी, रशियाचे अध्यक्ष व्लादिमीर पुतिन यांनी "CII च्या सुरक्षिततेवर" कायद्यांच्या पॅकेजवर स्वाक्षरी केली. 1 जानेवारी, 2018 पर्यंत, जेव्हा कायदा लागू होईल, तेव्हा CII सुविधांच्या मालकांनी त्यांच्या पायाभूत सुविधांना हॅकर हल्ल्यांपासून संरक्षित करण्यासाठी, विशेषतः GosSOPKA शी कनेक्ट करण्यासाठी उपायांचा एक संच लागू करणे आवश्यक आहे. [१२]

ग्रंथसंग्रह

1. जोनाथन मिलेट. IoT: तुमचे स्मार्ट डिव्हाइस सुरक्षित करण्याचे महत्त्व // २०.
2. रॉस अँडरसन. स्मार्टकार्ड पेमेंट सिस्टम कसे अयशस्वी होतात // ब्लॅक हॅट. 2014.
3. एसजे मर्डोक. चिप आणि पिन तुटलेला आहे // सुरक्षा आणि गोपनीयतेवर IEEE सिम्पोजियमची कार्यवाही. 2010. pp. ४३३-४४६.
4. डेव्हिड टॅलबोट. हॉस्पिटलमधील वैद्यकीय उपकरणांवर कॉम्प्युटर विषाणू मोठ्या प्रमाणावर पसरलेले आहेत // एमआयटी तंत्रज्ञान पुनरावलोकन (डिजिटल). 2012.
5. क्रेग टिम्बर्ग. असुरक्षिततेचे जाळे: डिझाइनमधील एक प्रवाह // वॉशिंग्टन पोस्ट. 2015.
6. मायकेल लिस्टा. तो एक किशोरवयीन हॅकर होता ज्याने कार, कपडे आणि घड्याळे यावर लाखो खर्च केले—जोपर्यंत एफबीआयने त्याला पकडले नाही. // टोरोंटो लाइफ. 2018.
7. क्रेग टिम्बर्ग. असुरक्षिततेचे जाळे: एक आपत्ती भाकीत - आणि दुर्लक्षित // वॉशिंग्टन पोस्ट. 2015.
8. क्रेग टिम्बर्ग. द्रुत 'फिक्स'चे दीर्घ आयुष्य: 1989 मधील इंटरनेट प्रोटोकॉल डेटा अपहरणकर्त्यांसाठी असुरक्षित ठेवतो // वॉशिंग्टन पोस्ट. 2015.
9. क्रेग टिम्बर्ग. असुरक्षिततेचे जाळे: युक्तिवादाचा कर्नल // वॉशिंग्टन पोस्ट. 2015.
10. जोशुआ गन्स. ओपन-सोर्स कोडमुळे आमची Y2K भीती शेवटी खरी ठरू शकते का? // हार्वर्ड व्यवसाय पुनरावलोकन (डिजिटल). 2017.
11. कॅस्परस्कीच्या शीर्ष व्यवस्थापकाला एफएसबीने अटक केली // CNews. 2017. URL.
12. मारिया कोलोमिचेन्को. सायबर इंटेलिजन्स सेवा: Sberbank ने हॅकर्सचा सामना करण्यासाठी मुख्यालय तयार करण्याचा प्रस्ताव दिला // आरबीसी. 2017.

स्त्रोत: www.habr.com