एन्क्रिप्टेड रहदारीचे इंटरसेप्शन jabber.ru आणि xmpp.ru रेकॉर्ड केले आहे

Jabber सर्व्हर jabber.ru (xmpp.ru) च्या प्रशासकाने वापरकर्ता रहदारी (MITM) डिक्रिप्ट करण्यासाठी हल्ला ओळखला, जो जर्मन होस्टिंग प्रदात्या Hetzner आणि Linode च्या नेटवर्कमध्ये 90 दिवस ते 6 महिन्यांच्या कालावधीत केला गेला. प्रकल्प सर्व्हर आणि सहायक VPS. वातावरण. STARTTLS एक्स्टेंशन वापरून एन्क्रिप्ट केलेल्या XMPP कनेक्शनसाठी TLS प्रमाणपत्र पुनर्स्थित करणार्‍या ट्रान्झिट नोडवर रहदारी पुनर्निर्देशित करून हल्ला आयोजित केला जातो.

हा हल्ला त्याच्या आयोजकांच्या त्रुटीमुळे लक्षात आला, ज्यांना स्पूफिंगसाठी वापरलेल्या TLS प्रमाणपत्राचे नूतनीकरण करण्यासाठी वेळ मिळाला नाही. 16 ऑक्टोबर रोजी, jabber.ru चे प्रशासक, सेवेशी कनेक्ट करण्याचा प्रयत्न करत असताना, प्रमाणपत्राची मुदत संपल्यामुळे एक त्रुटी संदेश प्राप्त झाला, परंतु सर्व्हरवर असलेले प्रमाणपत्र कालबाह्य झाले नाही. परिणामी, असे दिसून आले की क्लायंटने प्राप्त केलेले प्रमाणपत्र सर्व्हरने पाठविलेल्या प्रमाणपत्रापेक्षा वेगळे होते. पहिले बनावट TLS प्रमाणपत्र 18 एप्रिल 2023 रोजी Let's Encrypt सेवेद्वारे प्राप्त झाले होते, ज्यामध्ये हल्लेखोर, रहदारी रोखण्यात सक्षम असल्याने, jabber.ru आणि xmpp.ru या साइट्सवर प्रवेश निश्चित करण्यात सक्षम होता.

सुरुवातीला, प्रकल्प सर्व्हरशी तडजोड केली गेली होती आणि त्याच्या बाजूने बदली केली जात होती असा समज होता. परंतु ऑडिटमध्ये हॅकिंगच्या कोणत्याही खुणा उघड झाल्या नाहीत. त्याच वेळी, सर्व्हरवरील लॉगमध्ये, नेटवर्क इंटरफेसचे अल्प-मुदतीचे स्विचिंग ऑफ आणि ऑन (NIC Link is Down/NIC Link is Up) लक्षात आले, जे 18 जुलै रोजी 12:58 वाजता केले गेले आणि शक्य झाले. स्विचवर सर्व्हरच्या कनेक्शनसह हाताळणी सूचित करा. हे लक्षात घेण्यासारखे आहे की दोन बनावट TLS प्रमाणपत्रे काही मिनिटांपूर्वी व्युत्पन्न करण्यात आली होती - 18 जुलै रोजी 12:49 आणि 12:38 वाजता.

याव्यतिरिक्त, प्रतिस्थापना केवळ मुख्य सर्व्हर होस्ट करणार्‍या हेटझनर प्रदात्याच्या नेटवर्कमध्येच नाही तर लिनोड प्रदात्याच्या नेटवर्कमध्ये देखील केली गेली, ज्याने इतर पत्त्यांवरून रहदारी पुनर्निर्देशित करणार्‍या सहायक प्रॉक्सीसह व्हीपीएस वातावरण होस्ट केले. अप्रत्यक्षपणे, असे आढळून आले की दोन्ही प्रदात्यांच्या नेटवर्कमधील नेटवर्क पोर्ट 5222 (XMPP STARTTLS) वरील रहदारी अतिरिक्त होस्टद्वारे पुनर्निर्देशित केली गेली होती, ज्यामुळे हा हल्ला प्रदात्याच्या पायाभूत सुविधांमध्ये प्रवेश असलेल्या व्यक्तीने केला होता असे मानण्याचे कारण दिले.

सैद्धांतिकदृष्ट्या, प्रतिस्थापन 18 एप्रिल (jabber.ru साठी प्रथम बनावट प्रमाणपत्र तयार करण्याची तारीख) पासून केले जाऊ शकते, परंतु प्रमाणपत्र प्रतिस्थापनाची पुष्टी प्रकरणे केवळ 21 जुलै ते 19 ऑक्टोबर या कालावधीत एन्क्रिप्टेड डेटा एक्सचेंजची नोंद केली गेली. jabber.ru आणि xmpp.ru सह तडजोड मानले जाऊ शकते. तपासणी सुरू झाल्यानंतर बदली थांबली, चाचण्या घेण्यात आल्या आणि 18 ऑक्टोबर रोजी हेटझनर आणि लिनोड या प्रदात्याच्या समर्थन सेवेला विनंती पाठविली गेली. त्याच वेळी, लिनोडमधील एका सर्व्हरच्या पोर्ट 5222 वर पाठवलेले पॅकेट्स राउटिंग करताना एक अतिरिक्त संक्रमण आजही पाळले जाते, परंतु प्रमाणपत्र यापुढे बदलले जाणार नाही.

असे गृहित धरले जाते की कायदा अंमलबजावणी एजन्सींच्या विनंतीनुसार, दोन्ही प्रदात्यांचे पायाभूत सुविधा हॅक केल्यामुळे किंवा दोन्ही प्रदात्यांकडे प्रवेश असलेल्या कर्मचाऱ्याने हा हल्ला केला असावा. XMPP रहदारी रोखण्यात आणि सुधारित करण्यात सक्षम होऊन, आक्रमणकर्ता सर्व खाते-संबंधित डेटामध्ये प्रवेश मिळवू शकतो, जसे की सर्व्हरवर संग्रहित संदेश इतिहास, आणि इतरांच्या वतीने संदेश पाठवू शकतो आणि इतर लोकांच्या संदेशांमध्ये बदल करू शकतो. एंड-टू-एंड एन्क्रिप्शन (ओएमईएमओ, ओटीआर किंवा पीजीपी) वापरून पाठवलेले मेसेज जर कनेक्शनच्या दोन्ही बाजूंच्या वापरकर्त्यांद्वारे एन्क्रिप्शन की सत्यापित केल्या असतील तर ते तडजोड केलेले मानले जाऊ शकतात. Jabber.ru वापरकर्त्यांना त्यांचे प्रवेश संकेतशब्द बदलण्याचा सल्ला दिला जातो आणि संभाव्य प्रतिस्थापनासाठी त्यांच्या PEP स्टोरेजमध्ये OMEMO आणि PGP की तपासा.

स्त्रोत: opennet.ru