ਸੁਰੱਖਿਅਤ ਪੁਸ਼ ਸੂਚਨਾਵਾਂ: ਸਿਧਾਂਤ ਤੋਂ ਅਭਿਆਸ ਤੱਕ

ਹੇ ਹਬਰ!

ਅੱਜ ਮੈਂ ਇਸ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗਾ ਕਿ ਮੇਰੇ ਸਾਥੀ ਅਤੇ ਮੈਂ ਪਿਛਲੇ ਕਈ ਮਹੀਨਿਆਂ ਤੋਂ ਕੀ ਕਰ ਰਹੇ ਹਾਂ: ਮੋਬਾਈਲ ਤਤਕਾਲ ਮੈਸੇਂਜਰਾਂ ਲਈ ਪੁਸ਼ ਸੂਚਨਾਵਾਂ। ਜਿਵੇਂ ਕਿ ਮੈਂ ਪਹਿਲਾਂ ਹੀ ਕਿਹਾ ਹੈ, ਸਾਡੀ ਅਰਜ਼ੀ ਵਿੱਚ ਮੁੱਖ ਜ਼ੋਰ ਸੁਰੱਖਿਆ 'ਤੇ ਹੈ। ਇਸ ਲਈ, ਸਾਨੂੰ ਪਤਾ ਲੱਗਾ ਹੈ ਕਿ ਕੀ ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਵਿੱਚ "ਕਮਜ਼ੋਰ ਪੁਆਇੰਟ" ਹਨ ਅਤੇ, ਜੇਕਰ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਇਸ ਉਪਯੋਗੀ ਵਿਕਲਪ ਨੂੰ ਸਾਡੀ ਸੇਵਾ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਲਈ ਉਹਨਾਂ ਨੂੰ ਕਿਵੇਂ ਪੱਧਰ ਬਣਾ ਸਕਦੇ ਹਾਂ।

ਮੈਂ ਸਾਡਾ ਅਨੁਵਾਦ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰ ਰਿਹਾ ਹਾਂ ਮਾਧਿਅਮ ਤੋਂ ਲੇਖ ਆਪਣੇ ਆਪ ਤੋਂ ਕੁਝ ਛੋਟੇ ਜੋੜਾਂ ਦੇ ਨਾਲ। ਇਸ ਵਿੱਚ "ਜਾਂਚ" ਦੇ ਨਤੀਜੇ ਅਤੇ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕਿਵੇਂ ਹੋਇਆ ਇਸ ਬਾਰੇ ਇੱਕ ਕਹਾਣੀ ਸ਼ਾਮਲ ਹੈ।

ਅਸੀਂ ਸਮੱਗਰੀ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹਾਂ

ਕਲਾਸਿਕ ਮਾਡਲ ਵਿੱਚ, ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਮੈਸੇਂਜਰਾਂ ਨੂੰ MITM (ਮੈਨ-ਇਨ-ਦਿ-ਮਿਡਲ) ਹਮਲਿਆਂ ਲਈ ਕਮਜ਼ੋਰ ਬਣਾਉਂਦੀਆਂ ਹਨ। ਉਦਾਹਰਨ ਲਈ, Google, Microsoft, ਅਤੇ iMessage ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਦੇ ਨਾਲ, ਐਪਲੀਕੇਸ਼ਨ ਐਪਲ ਸਰਵਰਾਂ ਨੂੰ ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਭੇਜਦੀ ਹੈ - ਸਰਵਰ 'ਤੇ, ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ ਅਤੇ ਸੁਨੇਹਾ ਹੈਡਰ (ਜਾਂ ਇਸਦੀ ਸਮੱਗਰੀ) ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਨਤੀਜੇ ਵਜੋਂ, ਪੁਸ਼ ਨੋਟੀਫਿਕੇਸ਼ਨ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਕੇ ਪੱਤਰ ਵਿਹਾਰ ਨੂੰ ਪੜ੍ਹਨ ਦਾ ਮੌਕਾ ਹੈ। ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਪੱਤਰ ਵਿਹਾਰ ਦੀ ਕੋਈ ਵੀ ਏਨਕ੍ਰਿਪਸ਼ਨ ਬੇਕਾਰ ਹੈ: ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਅਜੇ ਵੀ ਤੀਜੀ ਧਿਰ ਦੁਆਰਾ ਪੜ੍ਹੇ ਜਾਣ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਛੱਡ ਦੇਣਗੀਆਂ। ਲੇਖ ਦੇ ਲੇਖਕਾਂ ਨੇ ਇਸ ਸੰਭਾਵਨਾ ਬਾਰੇ ਵਧੇਰੇ ਵਿਸਥਾਰ ਨਾਲ ਚਰਚਾ ਕੀਤੀ. "ਸਹੀ ਢੰਗ ਨਾਲ ਐਨਕ੍ਰਿਪਟ ਕਰੋ" Xaker.ru 'ਤੇ, ਸੁਨੇਹਿਆਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਦੇ ਤਰੀਕਿਆਂ ਨੂੰ ਸਮਰਪਿਤ।

ਜੇ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ ਕਿ ਐਪਲ ਅਤੇ ਗੂਗਲ ਸਰਵਰ ਉਪਭੋਗਤਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਨੂੰ ਲੀਕ ਕਰਨ ਤੋਂ 100% ਸੁਰੱਖਿਅਤ ਹਨ, ਤਾਂ ਇਸ ਤੱਥ 'ਤੇ ਵਿਚਾਰ ਕਰੋ ਕਿ ਉਨ੍ਹਾਂ ਦੇ ਕਰਮਚਾਰੀਆਂ ਦੀ ਉਹਨਾਂ ਤੱਕ ਪਹੁੰਚ ਹੈ। ਅਤੇ ਕਰਮਚਾਰੀ ਲੋਕ ਹਨ.
ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਦੀਆਂ ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਬਾਵਜੂਦ, ਸਿਗਨਲ ਅਤੇ ਟੈਲੀਗ੍ਰਾਮ ਸਮੇਤ ਬਹੁਤ ਸਾਰੇ "ਸੁਰੱਖਿਅਤ" ਤਤਕਾਲ ਮੈਸੇਂਜਰ, ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਨਹੀਂ ਤਾਂ, ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਲਗਾਤਾਰ ਲੌਗਇਨ ਕਰਕੇ ਨਵੇਂ ਸੰਦੇਸ਼ਾਂ ਦੀ "ਹੱਥੀਂ" ਨਿਗਰਾਨੀ ਕਰਨੀ ਪਵੇਗੀ। ਜੋ ਕਿ ਬਹੁਤ ਅਸੁਵਿਧਾਜਨਕ ਹੈ, ਅਤੇ ਪ੍ਰਤੀਯੋਗੀ ਸੰਦੇਸ਼ਵਾਹਕਾਂ ਨੂੰ ਇੱਕ ਫਾਇਦਾ ਮਿਲੇਗਾ।

ਪੈਰਾਨੋਆ ਅਤੇ ਆਮ ਸਮਝ

ਸਾਡੇ ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ, ਅਸੀਂ ਕਈ ਮਹੀਨੇ ਪਹਿਲਾਂ ਇਸ ਮੁੱਦੇ ਨੂੰ ਨੇੜਿਓਂ ਚੁੱਕਿਆ ਸੀ। ਸਾਨੂੰ ਪ੍ਰਤੀਯੋਗੀ ਬਣਨ ਲਈ ਇੱਕ ਪੁਸ਼ ਨੋਟੀਫਿਕੇਸ਼ਨ ਵਿਕਲਪ ਜੋੜਨ ਦੀ ਲੋੜ ਸੀ। ਪਰ ਉਸੇ ਸਮੇਂ, ਇੱਕ ਸੁਰੱਖਿਆ ਮੋਰੀ ਨਾ ਖੋਲ੍ਹੋ, ਕਿਉਂਕਿ ਕੋਈ ਵੀ ਡੇਟਾ ਲੀਕ ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ ਵਿਸ਼ਵਾਸ ਨੂੰ ਕਮਜ਼ੋਰ ਕਰੇਗਾ।

ਹਾਲਾਂਕਿ, ਸਾਡੇ ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਫਾਇਦਾ ਹੈ: ਸਾਡਾ ਮੈਸੇਂਜਰ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਹੈ (ਡਾਟਾ ਬਲਾਕਚੈਨ 'ਤੇ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ), ਅਤੇ ਕਰਮਚਾਰੀਆਂ ਕੋਲ ਖਾਤਿਆਂ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। ਸਿਰਫ਼ ਉਪਭੋਗਤਾਵਾਂ ਕੋਲ ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਹਨ, ਅਤੇ MITM ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਉਣ ਲਈ ਬਲਾਕਚੈਨ 'ਤੇ ਵਾਰਤਾਕਾਰਾਂ ਦੀਆਂ ਜਨਤਕ ਕੁੰਜੀਆਂ ਉਪਲਬਧ ਹਨ।

ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਦੇ ਪਹਿਲੇ ਸੰਸਕਰਣ ਵਿੱਚ, ਅਸੀਂ ਇਸਨੂੰ ਜਿੰਨਾ ਸੰਭਵ ਹੋ ਸਕੇ ਸੁਰੱਖਿਅਤ ਚਲਾਉਣ ਅਤੇ ਸੁਨੇਹੇ ਦੇ ਟੈਕਸਟ ਨੂੰ ਬਿਲਕੁਲ ਵੀ ਪ੍ਰਸਾਰਿਤ ਨਾ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ। ਪੁਸ਼ ਸੇਵਾ ਨੂੰ ਨੋਡ ਤੋਂ ਸੰਦੇਸ਼ ਦਾ ਟੈਕਸਟ ਪ੍ਰਾਪਤ ਨਹੀਂ ਹੋਇਆ ਸੀ, ਪਰ ਇਸਦੀ ਰਸੀਦ ਦੇ ਤੱਥ ਬਾਰੇ ਸਿਰਫ ਇੱਕ ਸੰਕੇਤ ਸੀ. ਇਸ ਲਈ, ਉਪਭੋਗਤਾ ਨੇ "ਨਵਾਂ ਸੁਨੇਹਾ ਆ ਗਿਆ ਹੈ" ਨੋਟੀਫਿਕੇਸ਼ਨ ਦੇਖਿਆ। ਇਸ ਨੂੰ ਸਿਰਫ਼ ਮੈਸੇਂਜਰ ਵਿੱਚ ਪੜ੍ਹਨਾ ਸੰਭਵ ਸੀ।

ਇਹ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ: ਵੀਡੀਓ.

ਉਸ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਸਿੱਖਿਆ ਕਿ ਐਪਲ ਦੇ ਨੋਟੀਫਿਕੇਸ਼ਨਾਂ ਦੇ ਨਵੀਨਤਮ ਸੰਸਕਰਣ ਵਿੱਚ ਨਵੀਆਂ ਸੁਰੱਖਿਆ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ। ਉਹ ਜਾਰੀ ਕੀਤਾ UNNotificationServiceExtension, ਜੋ ਕਿ ਡਿਵੈਲਪਰਾਂ ਨੂੰ APNS ਉੱਤੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਐਨਕ੍ਰਿਪਟਡ ਸੂਚਨਾ ਡੇਟਾ ਭੇਜਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਅੰਤਮ ਉਪਭੋਗਤਾ ਦੀ ਡਿਵਾਈਸ 'ਤੇ ਐਪ ਫਿਰ ਡੀਕ੍ਰਿਪਸ਼ਨ ਕਰਦਾ ਹੈ (ਜਾਂ ਵਾਧੂ ਡੇਟਾ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ) ਅਤੇ ਇੱਕ ਸੂਚਨਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਅਸੀਂ ਇਸਨੂੰ ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਦੇ ਦੂਜੇ ਸੰਸਕਰਣ ਦੇ ਆਧਾਰ ਵਜੋਂ ਲਿਆ ਹੈ।

ਅਸੀਂ ਹੁਣ iOS ਲਈ ਪੁਸ਼ ਸੂਚਨਾਵਾਂ ਦਾ ਦੂਜਾ ਸੰਸਕਰਣ ਵਿਕਸਿਤ ਕੀਤਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਬਿਨਾਂ ਕਿਸੇ ਸੁਰੱਖਿਆ ਜੋਖਮ ਦੇ ਸੰਦੇਸ਼ ਦੇ ਟੈਕਸਟ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਨਵੀਂ ਧਾਰਨਾ ਵਿੱਚ, ਤਰਕ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

• ਪੁਸ਼ ਸੇਵਾ ਟ੍ਰਾਂਜੈਕਸ਼ਨ ਨੰਬਰ ਦੇ ਨਾਲ ਇੱਕ ਪੁਸ਼ ਸੂਚਨਾ ਭੇਜਦੀ ਹੈ (ਏਨਕ੍ਰਿਪਟਡ ਸੁਨੇਹਾ ਬਹੁਤ ਵੱਡਾ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਸੂਚਨਾਵਾਂ ਦਾ ਆਕਾਰ ਬਹੁਤ ਸੀਮਤ ਹੈ)
• ਜਦੋਂ ਡਿਵਾਈਸ ਨੂੰ ਇੱਕ ਨੋਟੀਫਿਕੇਸ਼ਨ ਪ੍ਰਾਪਤ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਇਹ ਸਾਡੀ ਨੋਟੀਫਿਕੇਸ਼ਨ ਸਰਵਿਸ ਐਕਸਟੈਂਸ਼ਨ ਨੂੰ ਲਾਂਚ ਕਰਦਾ ਹੈ - ਇੱਕ ਮਾਈਕ੍ਰੋਐਪਲੀਕੇਸ਼ਨ ਜੋ id ਦੁਆਰਾ ਨੋਡ ਤੋਂ ਇੱਕ ਲੈਣ-ਦੇਣ ਦੀ ਬੇਨਤੀ ਕਰਦਾ ਹੈ, ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਪਾਸਫ੍ਰੇਜ਼ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਿਸਟਮ ਨੂੰ ਇੱਕ ਨਵੀਂ ਸੂਚਨਾ ਭੇਜਦਾ ਹੈ। ਗੁਪਤਕੋਡ ਸੁਰੱਖਿਅਤ ਸਟੋਰੇਜ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਸਿਸਟਮ ਇੱਕ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਸੰਦੇਸ਼ ਜਾਂ ਅਨੁਵਾਦ ਦੇ ਨਾਲ ਇੱਕ ਸੂਚਨਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ।
• ਕੁੰਜੀਆਂ ਕਿਤੇ ਵੀ ਨਹੀਂ ਜਾਂਦੀਆਂ, ਜਿਵੇਂ ਕਿ ਸਧਾਰਨ ਟੈਕਸਟ ਸੁਨੇਹੇ। ਪੁਸ਼ ਸੇਵਾ ਕੋਲ ਸੁਨੇਹੇ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਹੈ।

ਅਸੀਂ ਇਸ ਸੰਸਕਰਣ ਨੂੰ ਕਾਰਜਸ਼ੀਲ ਵਜੋਂ ਸਵੀਕਾਰ ਕੀਤਾ ਹੈ ਅਤੇ ਇਸਨੂੰ iOS ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਨਵੀਨਤਮ ਅਪਡੇਟ ਵਿੱਚ ਲਾਗੂ ਕੀਤਾ ਹੈ।
ਤਕਨੀਕੀ ਪੱਖ ਵਿੱਚ ਦਿਲਚਸਪੀ ਰੱਖਣ ਵਾਲੇ ਸਰੋਤ ਕੋਡ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹਨ: github.com/Adamant-im/adamant-notificationService.

ਸਰੋਤ: www.habr.com