पोस्ट-विश्लेषण: क्रिप्टो-कुञ्जी सर्भर SKS Keyserver को नेटवर्कमा पछिल्लो आक्रमणको बारेमा के थाहा छ

ह्याकरहरूले ओपनपीजीपी प्रोटोकलको एक विशेषता प्रयोग गरे जुन दस वर्ष भन्दा बढीको लागि परिचित छ।

हामी तपाईंलाई बताउँछौं कि बिन्दु के हो र किन तिनीहरूले यसलाई बन्द गर्न सक्दैनन्।

/ अनस्प्लास / चुनलिया जु

नेटवर्क समस्याहरू

जुन मध्यमा, अज्ञात आक्रमण गरे क्रिप्टोग्राफिक कुञ्जी सर्भरहरूको नेटवर्कमा SKS कीसर्भर, OpenPGP प्रोटोकलमा निर्मित। यो IETF मानक हो (RFC 4880), जुन इमेल र अन्य सन्देशहरू इन्क्रिप्ट गर्न प्रयोग गरिन्छ। एसकेएस नेटवर्क तीस वर्ष पहिले सार्वजनिक प्रमाणपत्र वितरण गर्न सिर्जना गरिएको थियो। जसमा उपकरणहरू समावेश छन् gnuPG डाटा इन्क्रिप्ट गर्न र इलेक्ट्रोनिक डिजिटल हस्ताक्षरहरू सिर्जना गर्न।

ह्याकरहरूले दुई GnuPG परियोजना प्रबन्धकहरू, रोबर्ट ह्यान्सन र डेनियल गिलमोरको प्रमाणपत्रहरू सम्झौता गरे। सर्भरबाट भ्रष्ट प्रमाणपत्र लोड गर्नाले GnuPG असफल हुन्छ — प्रणाली मात्र फ्रिज हुन्छ। त्यहाँ विश्वास गर्ने कारण छ कि आक्रमणकारीहरू त्यहाँ रोकिने छैनन्, र सम्झौता प्रमाणपत्रहरूको संख्या मात्र बढ्नेछ। हाल, समस्याको हद अज्ञात रहन्छ।

आक्रमणको सार

ह्याकरहरूले ओपनपीजीपी प्रोटोकलमा रहेको कमजोरीको फाइदा उठाए। उनी दशकौंदेखि समुदायमा परिचित छन्। GitHub मा पनि पाउन सक्नुहुन्छ अनुरूप शोषणहरू। तर अहिलेसम्म कसैले पनि "प्वाल" बन्द गर्ने जिम्मेवारी लिएको छैन (हामी पछि थप विवरणमा कारणहरूको बारेमा कुरा गर्नेछौं)।

Habré मा हाम्रो ब्लग देखि चयन को एक जोडी:

• SDN डाइजेस्ट - छवटा खुला स्रोत इमुलेटरहरू
• कसरी SDN निर्माण गर्ने - आठ खुला स्रोत उपकरणहरू
• नेटवर्क डाइजेस्ट: Wi-Fi र 17G बारे 5 विशेषज्ञ सामग्री

OpenPGP विनिर्देश अनुसार, जो कोहीले पनि आफ्नो मालिक प्रमाणित गर्न प्रमाणपत्रहरूमा डिजिटल हस्ताक्षरहरू थप्न सक्छन्। यसबाहेक, हस्ताक्षरहरूको अधिकतम संख्या कुनै पनि हिसाबले विनियमित छैन। र यहाँ एउटा समस्या उत्पन्न हुन्छ - SKS नेटवर्कले तपाईंलाई एक प्रमाणपत्रमा 150 हजार हस्ताक्षरहरू राख्न अनुमति दिन्छ, तर GnuPG ले यस्तो संख्यालाई समर्थन गर्दैन। यसरी, प्रमाणपत्र लोड गर्दा, GnuPG (साथै अन्य OpenPGP कार्यान्वयनहरू) स्थिर हुन्छ।

प्रयोगकर्ता मध्ये एक एक प्रयोग गरे - प्रमाणपत्र आयात गर्न उनलाई लगभग 10 मिनेट लाग्यो। प्रमाणपत्रमा 54 हजार भन्दा बढी हस्ताक्षरहरू थिए, र यसको वजन 17 एमबी थियो:

$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicate signatures removed
gpg: key F20691179038E5C6: 54614 signatures not checked due to missing keys
gpg: key F20691179038E5C6: 4 signatures reordered
gpg: key F20691179038E5C6: public key "Daniel Kahn Gillmor <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1
$ ls -lh pubring.gpg
-rw-r--r--  1 filippo  staff    17M  2 Jul 16:30 pubring.gpg

कुरालाई नराम्रो बनाउनको लागि, OpenPGP कुञ्जी सर्भरहरूले प्रमाणपत्र जानकारी हटाउँदैनन्। यो गरिन्छ ताकि तपाईंले प्रमाणपत्रहरूका साथ सबै कार्यहरूको श्रृंखला ट्रेस गर्न सक्नुहुन्छ र तिनीहरूको प्रतिस्थापन रोक्न सक्नुहुन्छ। तसर्थ, समझौता तत्वहरू हटाउन असम्भव छ।

अनिवार्य रूपमा, SKS नेटवर्क एक ठूलो "फाइल सर्भर" हो जसमा जो कोहीले डाटा लेख्न सक्छ। समस्या चित्रण गर्न, गत वर्ष GitHub निवासी फाइल प्रणाली सिर्जना गर्नुभयो, जसले क्रिप्टोग्राफिक कुञ्जी सर्भरहरूको नेटवर्कमा कागजातहरू भण्डार गर्दछ।

असुरक्षा किन बन्द भएन ?

कमजोरी बन्द गर्ने कुनै कारण थिएन। पहिले, यो ह्याकर आक्रमणको लागि प्रयोग गरिएको थिएन। यद्यपि आईटी समुदाय लामो समयको लागि सोधे SKS र OpenPGP विकासकर्ताहरूले समस्यामा ध्यान दिनुपर्छ।

निष्पक्ष हुन, यो जून मा तिनीहरू अझै पनि ध्यान दिएर लायक छ सुरु गरियो प्रयोगात्मक कुञ्जी सर्भर keys.openpgp.org। यसले यस प्रकारका आक्रमणहरू विरुद्ध सुरक्षा प्रदान गर्दछ। यद्यपि, यसको डाटाबेस स्क्र्याचबाट भरिएको छ, र सर्भर आफैं SKS को भाग होइन। तसर्थ, यसलाई प्रयोग गर्न पहिले समय लाग्नेछ।

/ अनस्प्लास / रुबेन बागुस

मूल प्रणालीमा बगको लागि, एक जटिल सिंक्रोनाइजेसन तंत्रले यसलाई फिक्स हुनबाट रोक्छ। कुञ्जी सर्भर नेटवर्क मूल रूपमा यारोन मिन्स्कीको पीएचडी थीसिसको अवधारणाको प्रमाणको रूपमा लेखिएको थियो। यसबाहेक, एक बरु विशिष्ट भाषा, OCaml, कामको लागि छनोट गरिएको थियो। द्वारा को अनुसार संरक्षक रोबर्ट ह्यान्सन, कोड बुझ्न गाह्रो छ, त्यसैले यसमा सानो सुधार मात्र गरिन्छ। SKS आर्किटेक्चर परिमार्जन गर्न, यसलाई स्क्र्याचबाट पुन: लेख्नु पर्छ।

कुनै पनि अवस्थामा, GnuPG ले सञ्जाल कहिल्यै निश्चित हुनेछ भन्ने विश्वास गर्दैन। GitHub मा एक पोस्टमा, विकासकर्ताहरूले पनि लेखे कि तिनीहरू SKS Keyserver सँग काम गर्न सिफारिस गर्दैनन्। वास्तवमा, तिनीहरूले नयाँ सेवा कुञ्जीहरू.openpgp.org मा संक्रमण सुरु गर्नुको मुख्य कारणहरू मध्ये यो एक हो। हामी घटनाहरूको थप विकास मात्र हेर्न सक्छौं।

हाम्रो कर्पोरेट ब्लगबाट केही सामग्रीहरू:

• राउटरहरू मार्फत बोटनेट "स्प्यामहरू": तपाईलाई के थाहा छ
• DDoS र 5G: बाक्लो "पाइप" भनेको थप समस्याहरू हो
• फायरवाल वा DPI - विभिन्न उद्देश्यका लागि सुरक्षा उपकरणहरू
• गाउँमा इन्टरनेट - एक रेडियो रिले Wi-Fi नेटवर्क निर्माण

स्रोत: www.habr.com