पोस्ट-विश्लेषण: क्रिप्टो-की सर्व्हर एसकेएस कीसर्व्हरच्या नेटवर्कवरील नवीनतम हल्ल्याबद्दल काय माहिती आहे

हॅकर्सनी ओपनपीजीपी प्रोटोकॉलचे वैशिष्ट्य वापरले जे दहा वर्षांहून अधिक काळ ज्ञात आहे.

आम्ही तुम्हाला सांगतो की मुद्दा काय आहे आणि ते ते का बंद करू शकत नाहीत.

/स्प्लॅश/ चुनल्या जु

नेटवर्क समस्या

जूनच्या मध्यभागी, अज्ञात हल्ला केला क्रिप्टोग्राफिक की सर्व्हरच्या नेटवर्कवर SKS कीसर्व्हर, OpenPGP प्रोटोकॉलवर तयार केलेले. हे एक IETF मानक आहे (आरएफसी 4880), ज्याचा वापर ईमेल आणि इतर संदेश एन्क्रिप्ट करण्यासाठी केला जातो. सार्वजनिक प्रमाणपत्रांचे वितरण करण्यासाठी SKS नेटवर्क तीस वर्षांपूर्वी तयार करण्यात आले होते. यांसारख्या साधनांचा समावेश होतो जीएनयूपीजी डेटा एन्क्रिप्ट करण्यासाठी आणि इलेक्ट्रॉनिक डिजिटल स्वाक्षरी तयार करण्यासाठी.

हॅकर्सनी दोन GnuPG प्रोजेक्ट मेंटेनर, रॉबर्ट हॅन्सन आणि डॅनियल गिलमोर यांच्या प्रमाणपत्रांशी तडजोड केली. सर्व्हरवरून दूषित प्रमाणपत्र लोड केल्याने GnuPG अयशस्वी होते—सिस्टम फक्त फ्रीझ होते. हल्लेखोर एवढ्यावरच थांबणार नाहीत आणि तडजोड केलेल्या प्रमाणपत्रांची संख्या वाढेल, असे मानण्याचे कारण आहे. याक्षणी, समस्येची व्याप्ती अज्ञात आहे.

आक्रमणाचे सार

हॅकर्सनी OpenPGP प्रोटोकॉलमधील असुरक्षिततेचा फायदा घेतला. ती अनेक दशकांपासून समाजाला परिचित आहे. अगदी GitHub वर शोधू शकतो संबंधित शोषण. परंतु आतापर्यंत कोणीही "होल" बंद करण्याची जबाबदारी घेतलेली नाही (आम्ही नंतर अधिक तपशीलवार कारणांबद्दल बोलू).

हॅब्रेवरील आमच्या ब्लॉगमधील काही निवडी:

• SDN डायजेस्ट - सहा ओपन सोर्स एमुलेटर
• SDN कसे तयार करावे - आठ मुक्त स्रोत साधने
• नेटवर्क डायजेस्ट: Wi-Fi आणि 17G बद्दल 5 तज्ञ साहित्य

OpenPGP विनिर्देशानुसार, कोणीही त्यांच्या मालकाची पडताळणी करण्यासाठी प्रमाणपत्रांमध्ये डिजिटल स्वाक्षरी जोडू शकतो. शिवाय, स्वाक्षरींची कमाल संख्या कोणत्याही प्रकारे नियंत्रित केली जात नाही. आणि येथे एक समस्या उद्भवते - SKS नेटवर्क आपल्याला एका प्रमाणपत्रावर 150 हजार स्वाक्षर्या ठेवण्याची परवानगी देते, परंतु GnuPG अशा संख्येस समर्थन देत नाही. अशा प्रकारे, प्रमाणपत्र लोड करताना, GnuPG (तसेच इतर OpenPGP अंमलबजावणी) फ्रीज होते.

वापरकर्त्यांपैकी एक एक प्रयोग केला — प्रमाणपत्र आयात करण्यासाठी त्याला सुमारे 10 मिनिटे लागली. प्रमाणपत्रावर 54 हजाराहून अधिक स्वाक्षऱ्या होत्या आणि त्याचे वजन 17 एमबी होते:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1
$ ls -lh pubring.gpg
-rw-r--r--  1 filippo  staff    17M  2 Jul 16:30 pubring.gpg

प्रकरण आणखी वाईट करण्यासाठी, OpenPGP की सर्व्हर प्रमाणपत्र माहिती काढत नाहीत. हे केले जाते जेणेकरून तुम्ही सर्व क्रियांची साखळी प्रमाणपत्रांसह शोधू शकाल आणि त्यांची बदली रोखू शकाल. म्हणून, तडजोड केलेल्या घटकांना दूर करणे अशक्य आहे.

मूलत:, SKS नेटवर्क हा एक मोठा “फाइल सर्व्हर” आहे ज्यावर कोणीही डेटा लिहू शकतो. समस्या स्पष्ट करण्यासाठी, गेल्या वर्षी GitHub रहिवासी फाइल सिस्टम तयार केली, जे क्रिप्टोग्राफिक की सर्व्हरच्या नेटवर्कवर दस्तऐवज संग्रहित करते.

असुरक्षितता का बंद झाली नाही?

अगतिकता बंद करण्याचे कारण नव्हते. पूर्वी, हॅकर हल्ल्यांसाठी याचा वापर केला जात नव्हता. जरी आयटी समुदाय बराच वेळ विचारला SKS आणि OpenPGP विकसकांनी समस्येकडे लक्ष दिले पाहिजे.

प्रामाणिकपणे, हे लक्षात घेण्यासारखे आहे की जूनमध्ये ते अजूनही आहेत लाँच केले प्रायोगिक की सर्व्हर keys.openpgp.org. हे अशा प्रकारच्या हल्ल्यांपासून संरक्षण प्रदान करते. तथापि, त्याचा डेटाबेस सुरवातीपासून भरलेला आहे आणि सर्व्हर स्वतः SKS चा भाग नाही. त्यामुळे, ते वापरण्यास वेळ लागेल.

/स्प्लॅश/ रुबेन बॅगेस

मूळ प्रणालीतील बगसाठी, एक जटिल सिंक्रोनाइझेशन यंत्रणा त्यास निराकरण करण्यापासून प्रतिबंधित करते. की सर्व्हर नेटवर्क मूळतः यारॉन मिन्स्कीच्या पीएचडी थीसिससाठी संकल्पनेचा पुरावा म्हणून लिहिले गेले होते. शिवाय, कामासाठी एक विशिष्ट भाषा, OCaml निवडली गेली. द्वारे त्यानुसार देखभालकर्ता रॉबर्ट हॅन्सन, कोड समजणे कठीण आहे, म्हणून त्यात फक्त किरकोळ सुधारणा केल्या आहेत. SKS आर्किटेक्चर सुधारण्यासाठी, ते सुरवातीपासून पुन्हा लिहावे लागेल.

कोणत्याही परिस्थितीत, नेटवर्क कधीही निश्चित केले जाईल यावर GnuPG विश्वास ठेवत नाही. GitHub वर एका पोस्टमध्ये, विकसकांनी असेही लिहिले की ते SKS Keyserver सह काम करण्याची शिफारस करत नाहीत. वास्तविक, त्यांनी नवीन सर्व्हिस keys.openpgp.org वर संक्रमण का सुरू केले हे मुख्य कारणांपैकी एक आहे. आम्ही केवळ घटनांचा पुढील विकास पाहू शकतो.

आमच्या कॉर्पोरेट ब्लॉगवरील काही साहित्य:

• राउटरद्वारे बोटनेट "स्पॅम": तुम्हाला काय माहित असणे आवश्यक आहे
• DDoS आणि 5G: जाड “पाईप” म्हणजे अधिक समस्या
• फायरवॉल किंवा डीपीआय - विविध उद्देशांसाठी संरक्षण साधने
• गावात इंटरनेट - रेडिओ रिले वाय-फाय नेटवर्क तयार करणे

स्त्रोत: www.habr.com