जब "कालो टोपी" - साइबरस्पेसको जंगली जंगलको अर्डरलीहरू - तिनीहरूको फोहोर काममा विशेष रूपमा सफल हुन थाल्छन्, पहेंलो मिडियाहरू खुसीले चिच्याउछन्। फलस्वरूप, विश्वले साइबर सुरक्षालाई अझ गम्भीरतापूर्वक हेर्न थालेको छ। तर दुर्भाग्य तुरुन्तै होइन। त्यसकारण, विनाशकारी साइबर घटनाहरूको बढ्दो संख्याको बावजुद, विश्व सक्रिय सक्रिय उपायहरूको लागि अझै परिपक्व छैन। यद्यपि, यो आशा गरिएको छ कि निकट भविष्यमा, "ब्ल्याक ह्याट्स" लाई धन्यवाद, संसारले साइबर सुरक्षालाई गम्भीरताका साथ लिन थाल्छ। [७]

आगो जत्तिकै गम्भीर... सहरहरू कुनै समय विनाशकारी आगोको जोखिममा थिए। यद्यपि, सम्भावित खतराको बावजुद, सक्रिय सुरक्षात्मक उपायहरू लिइएनन् - शिकागोमा 1871 मा विशाल आगलागी पछि पनि, जसले सयौंको ज्यान लियो र सयौं हजारौं मानिसहरूलाई विस्थापित गरे। तीन वर्षपछि फेरि यस्तै प्रकोप आएपछि मात्र सक्रिय सुरक्षात्मक उपायहरू लिइयो। यो साइबरसुरक्षाको साथ पनि हो - विनाशकारी घटनाहरू नभएसम्म संसारले यो समस्या समाधान गर्दैन। तर यस्ता घटना भए पनि विश्वले यो समस्या तत्काल समाधान गर्दैन । [७] त्यसकारण, "बग नआएसम्म मानिसलाई प्याच हुँदैन" भनाइले पनि काम गर्दैन। त्यसैले 7 मा हामीले व्यापक असुरक्षाको 2018 वर्ष मनायौं।

लिरिकल डिग्रेशन

यस लेखको सुरुवात, जुन मैले सुरुमा प्रणाली प्रशासक पत्रिकाको लागि लेखेको थिएँ, एक अर्थमा भविष्यसूचक हुन पुग्यो। यस लेखको साथ पत्रिकाको अंक जारी शाब्दिक रूपमा केमेरोवो किनमेल केन्द्र "विन्टर चेरी" (2018, मार्च 20) मा दुखद आगो संग दिन पछि।

३० मिनेटमा इन्टरनेट स्थापना गर्नुहोस्

1988 मा, पौराणिक ह्याकर ग्यालेक्सी L0pht, सबैभन्दा प्रभावशाली पश्चिमी अधिकारीहरूको बैठक अघि पूर्ण शक्तिमा बोल्दै, घोषणा गर्‍यो: "तपाईंको कम्प्युटरीकृत उपकरणहरू इन्टरनेटबाट साइबर आक्रमणहरूको लागि जोखिममा छन्। र सफ्टवेयर, र हार्डवेयर, र दूरसंचार। तिनीहरूका विक्रेताहरू यस अवस्थाको बारेमा चिन्तित छैनन्। किनभने आधुनिक कानूनले निर्मित सफ्टवेयर र हार्डवेयरको साइबर सुरक्षा सुनिश्चित गर्न लापरवाह दृष्टिकोणको लागि कुनै दायित्व प्रदान गर्दैन। सम्भावित असफलताहरूको लागि जिम्मेवारी (चाहे सहज वा साइबर अपराधीहरूको हस्तक्षेपको कारणले गर्दा) उपकरणको प्रयोगकर्तामा मात्र निहित हुन्छ। संघीय सरकारसँग यो समस्या समाधान गर्ने क्षमता र इच्छाशक्ति छैन । तसर्थ, यदि तपाइँ साइबर सुरक्षा खोज्दै हुनुहुन्छ भने, इन्टरनेट यसलाई फेला पार्ने ठाउँ होइन। तपाइँको अगाडि बसिरहेका सात व्यक्ति मध्ये प्रत्येकले इन्टरनेटलाई पूर्ण रूपमा तोड्न सक्छ र तदनुसार, यसमा जडान गरिएको उपकरणमा पूर्ण नियन्त्रण कब्जा गर्न सक्छ। आफैले। कोरियोग्राफ गरिएको किस्ट्रोकहरूको 30 मिनेट र यो सकियो।" [७]

अधिकारीहरूले अर्थपूर्ण रूपमा टाउको हल्लाए, उनीहरूले अवस्थाको गम्भीरता बुझेका थिए तर केही गरेनन्। आज, L30pht को पौराणिक प्रदर्शनको ठीक 0 वर्ष पछि, संसार अझै पनि "व्यापक असुरक्षा" द्वारा ग्रस्त छ। कम्प्युटराइज्ड, इन्टरनेट-जडित उपकरणहरू ह्याक गर्न यति सजिलो छ कि इन्टरनेट, सुरुमा आदर्शवादी वैज्ञानिकहरू र उत्साहीहरूको राज्य, बिस्तारै सबैभन्दा व्यावहारिक पेशेवरहरू: घोटाला गर्नेहरू, ठगहरू, जासूसहरू, आतंककारीहरूद्वारा कब्जा गरिएको छ। तिनीहरू सबैले वित्तीय वा अन्य फाइदाहरूका लागि कम्प्युटराइज्ड उपकरणहरूको कमजोरीहरूको शोषण गर्छन्। [७]

विक्रेताहरूले साइबर सुरक्षालाई बेवास्ता गर्छन्

विक्रेताहरू कहिलेकाहीं, निश्चित रूपमा, पहिचान गरिएका कमजोरीहरू समाधान गर्ने प्रयास गर्छन्, तर तिनीहरू धेरै अनिच्छुकतासाथ गर्छन्। किनभने तिनीहरूको नाफा ह्याकरहरूबाट सुरक्षाबाट होइन, तर तिनीहरूले उपभोक्ताहरूलाई प्रदान गर्ने नयाँ कार्यक्षमताबाट आउँछ। छोटो अवधिको मुनाफामा मात्र केन्द्रित भएर, विक्रेताहरूले वास्तविक समस्याहरू समाधान गर्न मात्र पैसा लगानी गर्छन्, काल्पनिक समस्याहरू होइन। साइबर सुरक्षा, तिनीहरूमध्ये धेरैको नजरमा, एक काल्पनिक कुरा हो। [७]

साइबर सुरक्षा एक अदृश्य, अमूर्त चीज हो। समस्या आएपछि मात्रै बुझिन्छ । यदि तिनीहरूले यसको राम्रो हेरचाह गरे (तिनीहरूले यसको प्रावधानमा धेरै पैसा खर्च गरे), र त्यहाँ कुनै समस्याहरू छैनन्, अन्त उपभोक्ताले यसको लागि अधिक भुक्तानी गर्न चाहँदैनन्। थप रूपमा, वित्तीय लागतहरू बढाउनुको अतिरिक्त, सुरक्षात्मक उपायहरूको कार्यान्वयनलाई थप विकास समय चाहिन्छ, उपकरणहरूको क्षमताहरू सीमित गर्न आवश्यक छ, र यसको उत्पादकतामा कमी ल्याउँछ। [८]

सूचीबद्ध लागतहरूको सम्भाव्यताको बारेमा हाम्रा आफ्नै मार्केटरहरूलाई पनि मनाउन गाह्रो छ, उपभोक्ताहरूलाई एक्लै छोड्नुहोस्। र आधुनिक विक्रेताहरू छोटो अवधिको बिक्री मुनाफामा मात्र रुचि राख्ने भएकाले, तिनीहरू आफ्नो सिर्जनाको साइबर सुरक्षा सुनिश्चित गर्न जिम्मेवारी लिन चाहँदैनन्। [१] अर्कोतर्फ, आफ्नो उपकरणको साइबर सुरक्षाको ख्याल राख्ने बढी होशियार विक्रेताहरूले कर्पोरेट उपभोक्ताहरूले सस्तो र प्रयोग गर्न सजिलो विकल्पहरू रुचाउँछन् भन्ने तथ्यको सामना गरिरहेका छन्। त्यो। यो स्पष्ट छ कि कर्पोरेट उपभोक्ताहरूले साइबरसुरक्षाको बारेमा धेरै वास्ता गर्दैनन्। [८]

माथिको प्रकाशमा, यो अचम्मको कुरा होइन कि विक्रेताहरूले साइबरसुरक्षालाई बेवास्ता गर्छन्, र निम्न दर्शनको पालना गर्छन्: "निर्माण जारी राख्नुहोस्, बिक्री जारी राख्नुहोस् र आवश्यक हुँदा प्याच गर्नुहोस्। के सिस्टम क्र्यास भयो? हराएको जानकारी? क्रेडिट कार्ड नम्बरहरूको डाटाबेस चोरी भयो? के तपाइँको उपकरणमा पहिचान गरिएको कुनै घातक कमजोरीहरू छन्? समस्या छैन!" उपभोक्ताहरूले, बारीमा, सिद्धान्त पछ्याउनु पर्छ: "प्याच र प्रार्थना।" [७]

यो कसरी हुन्छ: जंगली उदाहरणहरू

विकासको क्रममा साइबर सुरक्षाको बेवास्ताको एक उल्लेखनीय उदाहरण माइक्रोसफ्टको कर्पोरेट प्रोत्साहन कार्यक्रम हो: "यदि तपाईंले समयसीमा छुटाउनुभयो भने, तपाईंलाई जरिवाना गरिनेछ। यदि तपाइँसँग तपाइँको नवाचारको रिलीज समयमै पेश गर्न समय छैन भने, यो लागू हुनेछैन। यदि यो लागू गरिएन भने, तपाईंले कम्पनीको सेयर (माइक्रोसफ्टको नाफाबाट पाईको एक टुक्रा) प्राप्त गर्नुहुनेछैन।" 1993 देखि, माइक्रोसफ्ट सक्रिय रूपमा इन्टरनेटमा आफ्ना उत्पादनहरू लिङ्क गर्न थाले। यस पहलले एउटै प्रेरक कार्यक्रमको साथ लाइनमा सञ्चालन गरेको हुनाले, कार्यक्षमता यसको साथ राख्न सक्ने रक्षा भन्दा छिटो विस्तार भयो। व्यावहारिक कमजोरी शिकारीहरूको खुशीको लागि ... [7]

अर्को उदाहरण कम्प्युटर र ल्यापटपहरूको अवस्था हो: तिनीहरू पूर्व-स्थापित एन्टिभाइरसको साथ आउँदैनन्; र तिनीहरूले बलियो पासवर्डहरूको पूर्वसेटको लागि पनि प्रदान गर्दैनन्। यो मानिन्छ कि अन्तिम प्रयोगकर्ताले एन्टिभाइरस स्थापना गर्नेछ र सुरक्षा कन्फिगरेसन प्यारामिटरहरू सेट गर्नेछ। [१]

अर्को, थप चरम उदाहरण: खुद्रा उपकरणहरूको साइबर सुरक्षाको अवस्था (नगद दर्ताहरू, किनमेल केन्द्रहरूको लागि PoS टर्मिनलहरू, आदि)। यस्तो भयो कि व्यापारिक उपकरणका बिक्रेताहरूले बेचेको मात्रै बेच्छन्, सुरक्षित छैन। [२] यदि त्यहाँ एउटा कुरा छ जुन व्यावसायिक उपकरण विक्रेताहरूले साइबर सुरक्षाको सन्दर्भमा ख्याल राख्छन्, यसले यो सुनिश्चित गर्दैछ कि यदि विवादास्पद घटना भयो भने, जिम्मेवारी अरूमा पर्छ। [३]

घटनाहरूको यस विकासको एक सूचक उदाहरण: बैंक कार्डहरूको लागि EMV मानकको लोकप्रियता, जुन, बैंक मार्केटरहरूको सक्षम कामको लागि धन्यवाद, "पुरानो" को सुरक्षित विकल्पको रूपमा प्राविधिक रूपमा परिष्कृत नभएका जनताको नजरमा देखा पर्दछ। चुम्बकीय कार्डहरू। एकै समयमा, बैंकिंग उद्योगको मुख्य प्रेरणा, जुन EMV मानक विकास गर्न जिम्मेवार थियो, धोखाधडीका घटनाहरू (कार्डरहरूको गल्तीका कारण हुने) को जिम्मेवारी पसलबाट उपभोक्ताहरूमा सार्नु थियो। जबकि पहिले (जब भुक्तान चुम्बकीय कार्डहरू द्वारा गरिन्थ्यो), डेबिट/क्रेडिटमा विसंगतिहरूको लागि वित्तीय जिम्मेवारी पसलहरूमा राखिएको थियो। [३] यसरी भुक्तानी प्रशोधन गर्ने बैंकहरूले या त व्यापारीहरू (जसले आफ्नो रिमोट बैंकिङ प्रणाली प्रयोग गर्छन्) वा भुक्तानी कार्ड जारी गर्ने बैंकहरूलाई जिम्मेवारी हस्तान्तरण गर्छन्; पछिल्ला दुई, बारीमा, कार्डधारकलाई जिम्मेवारी सार्न। [२]

विक्रेताहरूले साइबर सुरक्षामा बाधा पुर्‍याइरहेका छन्

डिजिटल आक्रमणको सतह असह्य रूपमा विस्तार हुँदै जाँदा-इन्टरनेट-जडित यन्त्रहरूको विस्फोटको लागि धन्यवाद-कर्पोरेट नेटवर्कमा के जोडिएको छ भनेर ट्र्याक राख्नु झन्झटिलो हुँदै गइरहेको छ। उही समयमा, विक्रेताहरूले इन्टरनेटमा जडान भएका सबै उपकरणहरूको सुरक्षाको बारेमा अन्त प्रयोगकर्तामा सरोकार राख्छन् [१]: "डुबिरहेका मानिसहरूको उद्धार आफैं डुबेका मानिसहरूको काम हो।"

बिक्रेताहरूले आफ्नो सिर्जनाको साइबर सुरक्षाको ख्याल गर्दैनन्, तर केही अवस्थामा तिनीहरूले यसको प्रावधानमा हस्तक्षेप पनि गर्छन्। उदाहरण को लागी, जब 2009 मा कन्फिकर नेटवर्क कीराले बेथ इजरायल मेडिकल सेन्टरमा चुहावट भयो र त्यहाँको चिकित्सा उपकरणको भागलाई संक्रमित गर्यो, यस चिकित्सा केन्द्रका प्राविधिक निर्देशकले भविष्यमा यस्तै घटनाहरू हुन नदिनको लागि, असक्षम गर्ने निर्णय गरे। नेटवर्क संग कीरा द्वारा प्रभावित उपकरण मा सञ्चालन समर्थन प्रकार्य। यद्यपि, उनले "नियामक प्रतिबन्धका कारण उपकरणहरू अद्यावधिक गर्न सकिएन" भन्ने तथ्यको सामना गर्नुपरेको थियो। नेटवर्क प्रकार्यहरू असक्षम गर्न विक्रेतासँग वार्ता गर्न उसलाई पर्याप्त प्रयास गरियो। [४]

इन्टरनेटको आधारभूत साइबर-असुरक्षा

डेभिड क्लार्क, पौराणिक एमआईटी प्रोफेसर जसको प्रतिभाले उनलाई "एल्बस डम्बलडोर" उपनाम दिएका थिए, इन्टरनेटको अँध्यारो पक्ष संसारमा प्रकट भएको दिन सम्झन्छ। क्लार्क नोभेम्बर 1988 मा एक टेलिकम्युनिकेसन सम्मेलनको अध्यक्षता गर्दै थिए जब समाचार तोडियो कि इतिहासमा पहिलो कम्प्युटर कीरा नेटवर्क तारहरू मार्फत चिप्लिएको थियो। क्लार्कले यो क्षण सम्झे किनभने उनको सम्मेलनमा उपस्थित वक्ता (एक अग्रणी दूरसञ्चार कम्पनीको कर्मचारी) यस कीराको फैलावटको लागि जिम्मेवार थिए। यो वक्ता, भावनाको तापमा, अनजानमा भन्यो: "यहाँ जानुहोस्!" मैले यो कमजोरी बन्द गरेको जस्तो देखिन्छ, "उनले यी शब्दहरूको लागि भुक्तान गरे। [५]

यद्यपि, पछि यो पत्ता लाग्यो कि उल्लेखित कीरा फैलिएको जोखिम कुनै पनि व्यक्तिको योग्यता थिएन। र यो, कडाईका साथ भन्नुपर्दा, यो एक कमजोरी पनि थिएन, तर इन्टरनेट को एक आधारभूत विशेषता: इन्टरनेट को संस्थापक, आफ्नो दिमाग को विकास गर्दा, डाटा स्थानान्तरण गति र गल्ती सहिष्णुता मा विशेष ध्यान केन्द्रित। तिनीहरूले साइबर सुरक्षा सुनिश्चित गर्ने कार्य आफैलाई सेट गरेनन्। [५]

आज, इन्टरनेटको स्थापना भएको दशकौं पछि — साइबरसुरक्षामा व्यर्थ प्रयासहरूमा सयौं बिलियन डलर खर्च भइसकेको छ—इन्टरनेट पनि कम कमजोर छैन। यसको साइबर सुरक्षा समस्याहरू प्रत्येक वर्ष मात्र खराब हुँदै गइरहेका छन्। तर, के हामीसँग इन्टरनेटका संस्थापकहरूलाई यसको लागि निन्दा गर्ने अधिकार छ? आखिर, उदाहरणका लागि, कसैले पनि "उनीहरूको सडक" मा दुर्घटनाहरू हुने तथ्यको लागि एक्सप्रेसवे निर्माण गर्नेहरूलाई निन्दा गर्नेछैन; र कसैले पनि शहर योजनाकारहरूलाई "तिनीहरूका सहरहरूमा" डकैती हुने तथ्यको लागि निन्दा गर्नेछैन। [५]

ह्याकर उपसंस्कृति कसरी जन्मियो

ह्याकर उपसंस्कृति प्रारम्भिक 1960 मा, "रेलवे प्राविधिक मोडलिङ क्लब" मा (म्यासाचुसेट्स इन्स्टिच्युट अफ टेक्नोलोजीको पर्खाल भित्र सञ्चालन भएको) मा उत्पन्न भयो। क्लब उत्साहीहरूले एक मोडेल रेलमार्ग डिजाइन र भेला गरे, यति ठूलो कि यसले सम्पूर्ण कोठा भर्यो। क्लब सदस्यहरू सहज रूपमा दुई समूहमा विभाजित: शान्तिकर्ता र प्रणाली विशेषज्ञहरू। [६]

पहिलोले मोडेलको माथिल्लो भागको साथ काम गर्यो, दोस्रो - भूमिगत संग। पहिलो व्यक्तिहरूले रेलहरू र शहरहरूको मोडेलहरू सङ्कलन र सजावट गरे: तिनीहरूले सारा संसारलाई लघुमा मोडेल गरे। पछिल्लोले यो सबै शान्ति निर्माणको लागि प्राविधिक सहयोगमा काम गर्‍यो: मोडेलको भूमिगत भागमा अवस्थित तारहरू, रिले र समन्वय स्विचहरूको जटिलता - "माथिको" भागलाई नियन्त्रण गर्ने र ऊर्जाको साथ खुवाउने सबै चीज। [६]

जब त्यहाँ ट्राफिक समस्या थियो र कसैले यसलाई समाधान गर्न नयाँ र सरल समाधानको साथ आयो, समाधानलाई "ह्याक" भनिन्छ। क्लब सदस्यहरूका लागि, नयाँ ह्याकहरूको खोजी जीवनको आन्तरिक अर्थ भएको छ। त्यसैले उनीहरूले आफूलाई "ह्याकर" भन्न थाले। [६]

ह्याकरहरूको पहिलो पुस्ताले सिमुलेशन रेलवे क्लबमा पञ्च कार्डहरूमा कम्प्युटर प्रोग्रामहरू लेखेर हासिल गरेका सीपहरू लागू गरे। त्यसपछि, जब ARPANET (इन्टरनेटको पूर्ववर्ती) 1969 मा क्याम्पसमा आइपुग्यो, ह्याकरहरू यसको सबैभन्दा सक्रिय र दक्ष प्रयोगकर्ता भए। [६]

अब, दशकौं पछि, आधुनिक इन्टरनेट मोडेल रेलको त्यो धेरै "भूमिगत" भाग जस्तै देखिन्छ। किनभने यसको संस्थापकहरू उही ह्याकरहरू थिए, "रेलरोड सिमुलेशन क्लब" का विद्यार्थीहरू। ह्याकरहरूले मात्र सिमुलेटेड लघुचित्रहरूको सट्टा वास्तविक शहरहरू सञ्चालन गर्छन्। [६]

BGP राउटिंग कसरी भयो

८० को दशकको अन्त्यमा, इन्टरनेटमा जडान भएका यन्त्रहरूको संख्यामा हिमपहिरोजस्तै वृद्धिको परिणाम स्वरूप, इन्टरनेटले आधारभूत इन्टरनेट प्रोटोकलहरू मध्ये एउटामा निर्मित कठिन गणितीय सीमामा पुग्यो। त्यसकारण, त्यस समयका इन्जिनियरहरू बीचको कुनै पनि कुराकानी अन्ततः यो समस्याको छलफलमा परिणत भयो। दुई साथीहरू अपवाद थिएनन्: ज्याकब रेक्टर (आईबीएमबाट इन्जिनियर) र किर्क लकहिड (सिस्कोका संस्थापक)। डिनर टेबलमा संयोगले भेटेपछि, तिनीहरूले इन्टरनेटको कार्यक्षमता जोगाउन उपायहरू छलफल गर्न थाले। साथीहरूले हातमा आएका विचारहरू लेखे - केचपले दागिएको रुमाल। त्यसपछि दोस्रो। त्यसपछि तेस्रो। "तीन नेपकिन प्रोटोकल," जसका आविष्कारकहरूले मजाकमा यसलाई बोलाए - आधिकारिक सर्कलहरूमा BGP (बोर्डर गेटवे प्रोटोकल) भनेर चिनिन्छ - चाँडै इन्टरनेटमा क्रान्ति भयो। [८]

Rechter र Lockheed को लागि, BGP केवल एक अनौपचारिक ह्याक थियो, माथि उल्लेखित मोडेल रेलरोड क्लब को भावना मा विकसित, एक अस्थायी समाधान छिट्टै प्रतिस्थापन हुनेछ। साथीहरूले 1989 मा BGP विकास गरे। आज, तथापि, 30 वर्ष पछि, धेरैजसो इन्टरनेट ट्राफिक अझै पनि "थ्री नैपकिन प्रोटोकल" को प्रयोग गरी रुट गरिएको छ - यसको साइबर सुरक्षामा गम्भीर समस्याहरूको बारेमा बढ्दो चिन्ताजनक कलहरूको बावजुद। अस्थायी ह्याक आधारभूत इन्टरनेट प्रोटोकलहरू मध्ये एक बन्यो, र यसको विकासकर्ताहरूले आफ्नै अनुभवबाट सिके कि "अस्थायी समाधानहरू भन्दा स्थायी अरू केहि छैन।" [८]

संसारभरका नेटवर्कहरू BGP मा स्विच भएका छन्। प्रभावशाली विक्रेताहरू, धनी ग्राहकहरू र दूरसञ्चार कम्पनीहरू BGP सँग चाँडै मायामा परे र यसको अभ्यस्त भए। तसर्थ, यस प्रोटोकलको असुरक्षाको बारेमा धेरै भन्दा धेरै खतराको घण्टीको बावजुद, आईटी जनताले अझै पनि नयाँ, अधिक सुरक्षित उपकरणहरूमा संक्रमणको लागि उत्साह देखाउँदैन। [८]

साइबर-असुरक्षित BGP मार्ग

किन BGP राउटिङ यति राम्रो छ र किन IT समुदाय यसलाई त्याग्न कुनै हतारमा छैन? BGP ले राउटरहरूलाई प्रतिच्छेदन सञ्चार लाइनहरूको विशाल नेटवर्कमा पठाइएका डेटाको विशाल स्ट्रिमहरू कहाँ रुट गर्ने भन्ने निर्णय गर्न मद्दत गर्दछ। BGP ले राउटरहरूलाई उपयुक्त मार्गहरू छनोट गर्न मद्दत गर्छ यद्यपि नेटवर्क निरन्तर परिवर्तन भइरहेको छ र लोकप्रिय मार्गहरूले प्रायः ट्राफिक जाम अनुभव गर्छन्। समस्या यो हो कि इन्टरनेटमा ग्लोबल रूटिङ नक्सा छैन। BGP प्रयोग गर्ने राउटरहरूले साइबरस्पेसमा छिमेकीहरूबाट प्राप्त जानकारीको आधारमा एउटा वा अर्को बाटो छनोट गर्ने निर्णय गर्छन्, जसले आफ्नो छिमेकीहरूबाट जानकारी सङ्कलन गर्छन्, आदि। यद्यपि, यो जानकारी सजिलैसँग झूटो हुन सक्छ, जसको अर्थ BGP राउटिङ MiTM आक्रमणहरूको लागि अत्यधिक जोखिममा छ। [८]

तसर्थ, निम्न जस्ता प्रश्नहरू नियमित रूपमा उठ्छन्: "किन डेनभरमा दुई कम्प्युटरहरू बीचको ट्राफिकले आइसल्याण्ड हुँदै विशाल घुमाउरो बाटो लियो?", "किन वर्गीकृत पेन्टागन डाटा एक पटक बेइजिङ हुँदै ट्रान्जिटमा स्थानान्तरण गरियो?" यी जस्ता प्रश्नहरूको प्राविधिक जवाफहरू छन्, तर ती सबै तथ्यमा आउँछन् कि BGP विश्वासमा आधारित हुन्छ: छिमेकी राउटरहरूबाट प्राप्त सिफारिसहरूमा विश्वास। BGP प्रोटोकलको विश्वासयोग्य प्रकृतिको लागि धन्यवाद, रहस्यमय ट्राफिक ओभरलर्डहरूले अन्य व्यक्तिको डाटालाई तिनीहरूको डोमेनमा प्रवाह गर्न प्रलोभन दिन सक्छन् यदि तिनीहरूले चाहेमा। [८]

एउटा जीवित उदाहरण अमेरिकी पेन्टागनमा चीनको BGP आक्रमण हो। अप्रिल 2010 मा, सरकारी स्वामित्वको दूरसञ्चार कम्पनी चाइना टेलिकमले संयुक्त राज्य अमेरिकामा 16 लगायत विश्वभरि दशौं हजार राउटरहरू पठायो, BGP सन्देशले उनीहरूसँग राम्रो मार्गहरू छन् भनी बताएको थियो। चाइना टेलिकमको BGP सन्देशको वैधता प्रमाणित गर्न सक्ने प्रणाली बिना, विश्वभरका राउटरहरूले बेइजिङ मार्फत ट्रान्जिटमा डाटा पठाउन थाले। पेन्टागन र अमेरिकी रक्षा विभागको अन्य साइटहरूबाट ट्राफिक सहित। ट्राफिकलाई पुन: रुट गरिएको सहजता र यस प्रकारको आक्रमण विरुद्ध प्रभावकारी सुरक्षाको अभाव BGP मार्गको असुरक्षाको अर्को संकेत हो। [८]

BGP प्रोटोकल सैद्धान्तिक रूपमा अझ खतरनाक साइबर आक्रमणको लागि कमजोर छ। साइबरस्पेसमा अन्तर्राष्ट्रिय द्वन्द्वहरू पूर्ण रूपमा बढेको अवस्थामा, चाइना टेलिकम, वा केही अन्य दूरसंचार विशाल, इन्टरनेटका अंशहरूको स्वामित्व दाबी गर्न प्रयास गर्न सक्छ जुन वास्तवमा यसको सम्बन्धित छैन। यस्तो चालले राउटरहरूलाई भ्रमित गर्नेछ, जसले इन्टरनेट ठेगानाहरूको समान ब्लकहरूको लागि प्रतिस्पर्धी बोलीहरू बीच बाउन्स गर्नुपर्नेछ। नक्कलीबाट वैध अनुप्रयोग छुट्याउन सक्ने क्षमता बिना, राउटरहरूले अनियमित रूपमा कार्य गर्न थाल्छन्। नतिजाको रूपमा, हामीले आणविक युद्धको बराबर इन्टरनेटको सामना गर्नुपर्नेछ - एक खुला, ठूलो मात्रामा शत्रुताको प्रदर्शन। सापेक्षिक शान्तिको समयमा यस्तो विकास अवास्तविक देखिन्छ, तर प्राविधिक रूपमा यो एकदम सम्भव छ। [८]

BGP बाट BGPSEC मा सार्नको लागि व्यर्थ प्रयास

BGP विकसित हुँदा साइबर सुरक्षालाई ध्यानमा राखिएको थिएन, किनभने त्यस समयमा ह्याकहरू दुर्लभ थिए र तिनीहरूबाट हुने क्षति नगण्य थियो। BGP को विकासकर्ताहरू, किनभने तिनीहरूले दूरसंचार कम्पनीहरूको लागि काम गरे र तिनीहरूको नेटवर्क उपकरणहरू बेच्न रुचि राखेका थिए, एक थप दबाबपूर्ण कार्य थियो: इन्टरनेटको सहज ब्रेकडाउनबाट बच्न। किनभने इन्टरनेटमा अवरोधहरूले प्रयोगकर्ताहरूलाई अलग गर्न सक्छ, र यसैले नेटवर्क उपकरणहरूको बिक्री घटाउन सक्छ। [८]

अप्रिल 2010 मा बेइजिङ मार्फत अमेरिकी सैन्य ट्राफिक प्रसारण संग घटना पछि, BGP मार्ग को साइबर सुरक्षा सुनिश्चित गर्न को काम को गति निश्चित रूप देखि तीव्र भयो। यद्यपि, टेलिकम विक्रेताहरूले असुरक्षित BGP को प्रतिस्थापनको रूपमा प्रस्तावित नयाँ सुरक्षित रूटिङ प्रोटोकल BGPSEC मा स्थानान्तरणसँग सम्बन्धित लागतहरू वहन गर्न थोरै उत्साह देखाएका छन्। ट्राफिक अवरोधका अनगिन्ती घटनाहरूको बाबजुद पनि विक्रेताहरूले BGP लाई स्वीकार्य मान्छन्। [८]

Radia Perlman, 1988 (BGP अघि) मा अर्को प्रमुख नेटवर्क प्रोटोकल आविष्कार गर्न को लागी "इन्टरनेट को आमा" भनेर डब गरिएको थियो, MIT मा एक भविष्यसूचक डॉक्टरेट शोध प्रबंध कमाई। पर्लम्यानले भविष्यवाणी गरे कि साइबरस्पेसमा छिमेकीहरूको इमानदारीमा निर्भर राउटिंग प्रोटोकल मौलिक रूपमा असुरक्षित छ। पर्लम्यानले क्रिप्टोग्राफीको प्रयोगको वकालत गरे, जसले जालीको सम्भावनालाई सीमित गर्न मद्दत गर्नेछ। यद्यपि, BGP को कार्यान्वयन पहिले नै पूर्ण जोशमा थियो, प्रभावशाली आईटी समुदाय यसमा अभ्यस्त थियो, र केहि परिवर्तन गर्न चाहँदैनन्। त्यसकारण, पर्लम्यान, क्लार्क र केही अन्य प्रख्यात विश्व विशेषज्ञहरूबाट तर्कसंगत चेतावनीहरू पछि, क्रिप्टोग्राफिक रूपमा सुरक्षित BGP राउटिङको सापेक्ष हिस्सा बढेको छैन, र अझै पनि ०% छ। [८]

BGP राउटिङ मात्र ह्याक होइन

र BGP राउटिंग एक मात्र ह्याक होइन जसले यो विचारलाई पुष्टि गर्छ कि "अस्थायी समाधानहरू भन्दा स्थायी केहि छैन।" कहिलेकाहीँ इन्टरनेट, हामीलाई काल्पनिक संसारमा डुबाउने, रेसिङ कार जस्तै सुरुचिपूर्ण देखिन्छ। यद्यपि, वास्तविकतामा, ह्याकहरू एक अर्काको माथि थुप्रिएको कारणले गर्दा, इन्टरनेट फेरारी भन्दा फ्रान्केस्टाइन जस्तै छ। किनभने यी ह्याकहरू (अधिक आधिकारिक रूपमा प्याच भनिन्छ) कहिल्यै भरपर्दो प्रविधिद्वारा प्रतिस्थापन हुँदैनन्। यस दृष्टिकोणको नतिजाहरू गम्भीर छन्: दैनिक र घण्टामा, साइबर अपराधीहरूले कमजोर प्रणालीहरूमा ह्याक गर्छन्, साइबर अपराधको दायरालाई पहिलेको अकल्पनीय अनुपातमा विस्तार गर्दै। [८]

साइबर अपराधीहरूद्वारा शोषण गरिएका धेरै त्रुटिहरू लामो समयदेखि ज्ञात छन्, र IT समुदायको उभरिरहेको समस्याहरू समाधान गर्ने प्रवृत्तिको कारणले मात्र सुरक्षित गरिएको छ - अस्थायी ह्याक्स/प्याचहरू सहित। कहिलेकाहीँ, यसको कारण, पुरानो प्रविधिहरू लामो समयसम्म एकअर्काको माथि थुप्रिन्छन्, जसले मानिसहरूको जीवन कष्टकर बनाउँछ र तिनीहरूलाई खतरामा पार्छ। आफ्नो बैंकले पराल र माटोको जगमा आफ्नो भल्ट निर्माण गरिरहेको थाहा पाएमा के सोच्नुहुन्छ? के तपाईं आफ्नो बचत राख्न उहाँलाई विश्वास गर्नुहुन्छ? [८]

लिनस Torvalds को लापरवाह रवैया

इन्टरनेट आफ्नो पहिलो सय कम्प्युटरमा पुग्न वर्षौं लाग्यो। आज, 100 नयाँ कम्प्युटरहरू र अन्य उपकरणहरू प्रत्येक सेकेन्डमा जोडिएका छन्। जसरी इन्टरनेट जडान भएका यन्त्रहरू विस्फोट हुन्छन्, त्यसैगरी साइबरसुरक्षा मुद्दाहरूको अत्यावश्यकता पनि हुन्छ। यद्यपि, यी समस्याहरू समाधान गर्न सबैभन्दा ठूलो प्रभाव पार्ने व्यक्ति साइबर सुरक्षालाई घृणाको साथ हेर्ने व्यक्ति हो। यो मान्छे एक प्रतिभाशाली, एक बदमाश, एक आध्यात्मिक नेता र एक परोपकारी तानाशाह भनिन्छ। लिनस टोरवाल्ड्स। इन्टरनेटमा जडान भएका अधिकांश यन्त्रहरूले यसको अपरेटिङ सिस्टम लिनक्स चलाउँछन्। छिटो, लचिलो, नि: शुल्क - लिनक्स समय संग अधिक र अधिक लोकप्रिय हुँदैछ। एकै समयमा, यो धेरै स्थिर व्यवहार गर्दछ। र यसले धेरै वर्षसम्म रिबुट नगरी काम गर्न सक्छ। यसैले लिनक्सले प्रमुख अपरेटिङ सिस्टमको सम्मान पाएको छ। आज हामीसँग उपलब्ध लगभग सबै कम्प्यूटरीकृत उपकरणहरू लिनक्स चलाउँछन्: सर्भरहरू, चिकित्सा उपकरणहरू, उडान कम्प्युटरहरू, साना ड्रोनहरू, सैन्य विमानहरू र अधिक। [९]

लिनक्स धेरै हदसम्म सफल हुन्छ किनभने Torvalds प्रदर्शन र गल्ती सहिष्णुतालाई जोड दिन्छ। यद्यपि, उसले साइबर सुरक्षाको खर्चमा यो जोड दिन्छ। साइबरस्पेस र वास्तविक भौतिक संसार एकअर्कासँग गाँसिएको र साइबरसुरक्षा विश्वव्यापी मुद्दा बने पनि टोर्भाल्ड्सले आफ्नो अपरेटिङ सिस्टममा सुरक्षित आविष्कारहरू ल्याउने प्रतिरोध गर्न जारी राख्छ। [९]

तसर्थ, धेरै लिनक्स प्रशंसकहरू बीच पनि, यस अपरेटिङ सिस्टमको कमजोरीहरूको बारेमा बढ्दो चिन्ता छ। विशेष गरी, लिनक्सको सबैभन्दा घनिष्ठ भाग, यसको कर्नेल, जुन Torvalds व्यक्तिगत रूपमा काम गर्दछ। लिनक्स फ्यानहरूले देख्छन् कि Torvalds साइबर सुरक्षा मुद्दाहरूलाई गम्भीर रूपमा लिदैन। यसबाहेक, Torvalds ले यो लापरवाह मनोवृत्ति साझा गर्ने विकासकर्ताहरूसँग आफूलाई घेरेको छ। यदि Torvalds को भित्री सर्कलबाट कसैले सुरक्षित आविष्कारहरू परिचय गर्ने बारे कुरा गर्न थाल्छ भने, उसलाई तुरुन्तै अराजक बनाइन्छ। टोर्भाल्ड्सले त्यस्ता आविष्कारकहरूको एउटा समूहलाई "हस्तमैथुन गर्ने बाँदरहरू" भनी खारेज गरे। टोरभाल्ड्सले सुरक्षा-सचेत विकासकर्ताहरूको अर्को समूहलाई बिदाइ गरेपछि, उनले उनीहरूलाई भने, "के तपाई आफैंलाई मार्ने दयालु हुनुहुनेछ। संसार यसको कारणले राम्रो ठाउँ हुनेछ।" जब पनि यो सुरक्षा सुविधाहरू थप्नको लागि आयो, Torvalds सधैं यसको विरुद्ध थियो। [९] टोर्भाल्ड्ससँग पनि यस सम्बन्धमा सम्पूर्ण दर्शन छ, जुन सामान्य ज्ञानको दाना बिना छैन:

"पूर्ण सुरक्षा अप्राप्य छ। त्यसकारण, यसलाई सधैं अन्य प्राथमिकताहरूको सम्बन्धमा मात्र विचार गर्नुपर्छ: गति, लचिलोपन र प्रयोगको सजिलो। सुरक्षा प्रदान गर्न आफूलाई पूर्ण रूपमा समर्पित गर्ने मानिसहरू पागल हुन्। तिनीहरूको सोच सीमित, कालो र सेतो छ। सुरक्षा आफैमा बेकार छ। सार सधैं कतै अर्को छ। त्यसकारण, तपाईले पूर्ण सुरक्षा सुनिश्चित गर्न सक्नुहुन्न, यदि तपाई वास्तवमै चाहानुहुन्छ भने। निस्सन्देह, त्यहाँ मानिसहरू छन् जसले Torvalds भन्दा सुरक्षामा बढी ध्यान दिन्छन्। जे होस्, यी केटाहरूले उनीहरूको चासो केमा मात्र काम गरिरहेका छन् र यी चासोहरूलाई चित्रण गर्ने साँघुरो सापेक्ष ढाँचा भित्र सुरक्षा प्रदान गरिरहेका छन्। थप छैन। त्यसैले तिनीहरूले पूर्ण सुरक्षा बढाउन कुनै पनि हालतमा योगदान गर्दैनन्। ” [९]

साइडबार: ओपनसोर्स पाउडर केग जस्तै हो [१०]

ओपनसोर्स कोडले सफ्टवेयर विकास लागतमा अरबौं बचत गरेको छ, नक्कल प्रयासहरूको आवश्यकतालाई हटाउँदै: ओपनसोर्सको साथ, प्रोग्रामरहरूसँग कुनै प्रतिबन्ध वा भुक्तानी बिना हालको आविष्कारहरू प्रयोग गर्ने अवसर छ। OpenSource जताततै प्रयोग गरिन्छ। यदि तपाईंले आफ्नो विशेष समस्यालाई स्क्र्याचबाट समाधान गर्न सफ्टवेयर विकासकर्तालाई काममा राख्नुभयो भने पनि, यो विकासकर्ताले सम्भवतः कुनै प्रकारको OpenSource पुस्तकालय प्रयोग गर्नेछ। र सायद एक भन्दा बढी। यसैले, OpenSource तत्वहरू लगभग सबै ठाउँमा उपस्थित छन्। एकै समयमा, यो बुझ्नु पर्छ कि कुनै सफ्टवेयर स्थिर छैन; यसको कोड निरन्तर परिवर्तन भइरहेको छ। त्यसकारण, "सेट गर्नुहोस् र यसलाई बिर्सनुहोस्" सिद्धान्तले कोडको लागि कहिल्यै काम गर्दैन। OpenSource कोड सहित: ढिलो वा पछि अद्यावधिक संस्करण आवश्यक हुनेछ।

2016 मा, हामीले यस अवस्थाको नतिजा देख्यौं: एक 28-वर्षीय विकासकर्ताले आफ्नो OpenSource कोड मेटाएर इन्टरनेटलाई संक्षिप्त रूपमा "ब्रेक" गर्यो, जुन उसले पहिले सार्वजनिक रूपमा उपलब्ध गराएको थियो। यो कथाले बताउँछ कि हाम्रो साइबर पूर्वाधार धेरै कमजोर छ। केही व्यक्तिहरू - जसले OpenSource परियोजनाहरूलाई समर्थन गर्छन् - यसलाई कायम राख्नको लागि यति महत्त्वपूर्ण छन् कि यदि, भगवानले नबनाउनुहोस्, उनीहरूलाई बसले ठक्कर दियो भने, इन्टरनेट बिग्रन्छ।

हार्ड-टु-मेन्टेन कोड भनेको सबैभन्दा गम्भीर साइबर सुरक्षा कमजोरीहरू लुकेको हुन्छ। कतिपय कम्पनीहरूले हार्ड-टु-मेन्टेन कोडको कारण तिनीहरू कति कमजोर छन् भन्ने महसुस गर्दैनन्। यस्तो कोडसँग सम्बन्धित कमजोरीहरू वास्तविक समस्यामा धेरै बिस्तारै परिपक्व हुन सक्छन्: प्रणालीहरू बिस्तारै सड्छन्, सड्ने प्रक्रियामा देखिने असफलताहरू प्रदर्शन नगरी। र जब तिनीहरू असफल हुन्छन्, परिणामहरू घातक हुन्छन्।

अन्तमा, किनकि OpenSource परियोजनाहरू सामान्यतया उत्साहीहरूको समुदाय द्वारा विकसित गरिन्छ, जस्तै लिनस टोरभाल्ड्स वा लेखको सुरुमा उल्लेख गरिएको मोडेल रेलरोड क्लबका ह्याकरहरू जस्तै, कठिन-टु-मेन्टेन कोडको समस्याहरू परम्परागत तरिकामा समाधान गर्न सकिँदैन (प्रयोग गरेर। वाणिज्य र सरकारी लिभरहरू)। किनभने त्यस्ता समुदायका सदस्यहरू स्वेच्छापूर्वक हुन्छन् र उनीहरूको स्वतन्त्रतालाई अरू सबै भन्दा माथि मूल्यवान् हुन्छन्।

साइडबार: हुनसक्छ खुफिया सेवाहरू र एन्टिभाइरस विकासकर्ताहरूले हाम्रो सुरक्षा गर्नेछन्?

2013 मा, यो ज्ञात भयो कि Kaspersky Lab मा एक विशेष इकाई थियो जसले सूचना सुरक्षा घटनाहरूको अनुकूलन अनुसन्धान गर्यो। हालसम्म, यो विभाग एक पूर्व पुलिस प्रमुख, रुस्लान स्टोयानोभको नेतृत्वमा थियो, जसले पहिले राजधानीको विभाग "K" (मस्को मुख्य आन्तरिक मामिला निर्देशनालयको USTM) मा काम गर्यो। Kaspersky प्रयोगशालाको यस विशेष एकाईका सबै कर्मचारीहरू अनुसन्धान समिति र निर्देशनालय "K" सहित कानून प्रवर्तन एजेन्सीहरूबाट आउँछन्। [एघार]

2016 को अन्त्यमा, FSB ले रुस्लान स्टोयानोभलाई गिरफ्तार गर्यो र उनलाई देशद्रोहको आरोप लगायो। एउटै अवस्थामा, सर्गेई मिखाइलोभ, एफएसबी सीआईबी (सूचना सुरक्षा केन्द्र) को उच्च-स्तरीय प्रतिनिधि, जसलाई गिरफ्तार गर्नु अघि, देशको सम्पूर्ण साइबर सुरक्षा बाँधिएको थियो। [एघार]

साइडबार: साइबर सुरक्षा लागू

चाँडै रूसी उद्यमीहरू साइबर सुरक्षामा गम्भीर ध्यान दिन बाध्य हुनेछन्। जनवरी 2017 मा, सूचना संरक्षण र विशेष सञ्चार केन्द्रका प्रतिनिधि निकोलाई मुराशोभले भने कि रूसमा मात्र 2016 मा CII वस्तुहरू (महत्वपूर्ण सूचना पूर्वाधार) 70 मिलियन भन्दा बढी पटक आक्रमण भएको थियो। CII वस्तुहरूमा सरकारी निकायहरूको सूचना प्रणाली, रक्षा उद्योग उद्यमहरू, यातायात, ऋण र वित्तीय क्षेत्रहरू, ऊर्जा, इन्धन र आणविक उद्योगहरू समावेश छन्। उनीहरूलाई बचाउनको लागि, जुलाई 26 मा, रूसी राष्ट्रपति भ्लादिमिर पुटिनले "सीआईआईको सुरक्षामा" कानूनको प्याकेजमा हस्ताक्षर गरे। जनवरी 1, 2018 सम्म, जब कानून लागू हुन्छ, CII सुविधाहरूका मालिकहरूले आफ्नो पूर्वाधारलाई ह्याकर आक्रमणहरूबाट जोगाउन उपायहरूको सेट लागू गर्नुपर्छ, विशेष गरी, GosSOPKA सँग जडान गर्नुहोस्। [१२]

बाइबिल

1. जोनाथन मिलेट। IoT: तपाईंको स्मार्ट उपकरणहरू सुरक्षित गर्ने महत्त्व // २।
2. रस एन्डरसन। कसरी स्मार्टकार्ड भुक्तानी प्रणाली असफल हुन्छ // ब्ल्याक ह्याट। २०१४।
3. एसजे मर्डोक। चिप र पिन टुटेको छ // सुरक्षा र गोपनीयता मा IEEE संगोष्ठी को कार्यवाही। 2010। pp। ४३३-४४६।
4. डेभिड ट्याल्बोट। कम्प्यूटर भाइरसहरू अस्पतालहरूमा मेडिकल उपकरणहरूमा "व्यापक" छन् // एमआईटी टेक्नोलोजी समीक्षा (डिजिटल)। २०१२।
5. क्रेग टिम्बर्ग। असुरक्षाको जाल: डिजाइनमा एक प्रवाह // द वाशिंगटन पोस्ट। २०१५।
6. माइकल लिस्टा। उनी एक किशोर ह्याकर थिए जसले कार, लुगा र घडीहरूमा लाखौं खर्च गरे - एफबीआईले पक्राउ नगरेसम्म। // टोरन्टो जीवन। 2018।
7. क्रेग टिम्बर्ग। असुरक्षाको जाल: एक प्रकोप भविष्यवाणी - र बेवास्ता // द वाशिंगटन पोस्ट। २०१५।
8. क्रेग टिम्बर्ग। द्रुत 'फिक्स' को लामो जीवन: 1989 बाट इन्टरनेट प्रोटोकलले डाटा अपहरणकर्ताहरूको लागि असुरक्षित छोड्छ // द वाशिंगटन पोस्ट। २०१५।
9. क्रेग टिम्बर्ग। असुरक्षाको जाल: तर्कको कर्नेल // द वाशिंगटन पोस्ट। २०१५।
10. जोशुआ गान्स। के खुला स्रोत कोडले हाम्रो Y2K डरलाई अन्ततः सत्य बनाउन सक्छ? // हार्वर्ड व्यापार समीक्षा (डिजिटल)। 2017।
11. क्यास्परस्कीका शीर्ष प्रबन्धक एफएसबी द्वारा गिरफ्तार // CNews। 2017. URL।
12. मारिया कोलोमिचेन्को। साइबर खुफिया सेवा: Sberbank ले ह्याकरहरूसँग लड्न मुख्यालय बनाउन प्रस्ताव गर्यो // आरबीसी। 2017।

स्रोत: www.habr.com