HTTPS 'ਤੇ ਸੰਭਾਵੀ ਹਮਲੇ ਅਤੇ ਉਹਨਾਂ ਤੋਂ ਕਿਵੇਂ ਬਚਾਅ ਕਰਨਾ ਹੈ

ਅੱਧੀਆਂ ਸਾਈਟਾਂ HTTPS ਵਰਤਦਾ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਦੀ ਗਿਣਤੀ ਲਗਾਤਾਰ ਵਧ ਰਹੀ ਹੈ। ਪ੍ਰੋਟੋਕੋਲ ਟ੍ਰੈਫਿਕ ਰੁਕਾਵਟ ਦੇ ਖਤਰੇ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ, ਪਰ ਅਜਿਹੇ ਹਮਲਿਆਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਖਤਮ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਅਸੀਂ ਉਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗੇ - ਪੂਡਲ, ਬੀਸਟ, ਡਰਾਊਨ ਅਤੇ ਹੋਰ - ਅਤੇ ਸਾਡੀ ਸਮੱਗਰੀ ਵਿੱਚ ਸੁਰੱਖਿਆ ਦੇ ਤਰੀਕਿਆਂ ਬਾਰੇ।

/flickr/ ਸਵੈਨ ਗ੍ਰੀਮ / CC BY-SA

ਪੂਡਲ

ਹਮਲੇ ਬਾਰੇ ਪਹਿਲੀ ਵਾਰ ਏ ਪੂਡਲ 2014 ਵਿੱਚ ਜਾਣਿਆ ਗਿਆ। ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਮਾਹਰ ਬੋਡੋ ਮੋਲਰ ਅਤੇ ਗੂਗਲ ਦੇ ਸਹਿਯੋਗੀਆਂ ਦੁਆਰਾ SSL 3.0 ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ।

ਇਸਦਾ ਸਾਰ ਹੇਠ ਲਿਖੇ ਅਨੁਸਾਰ ਹੈ: ਹੈਕਰ ਕਲਾਇੰਟ ਨੂੰ SSL 3.0 ਦੁਆਰਾ ਕਨੈਕਟ ਕਰਨ ਲਈ ਮਜ਼ਬੂਰ ਕਰਦਾ ਹੈ, ਕੁਨੈਕਸ਼ਨ ਬਰੇਕਾਂ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ। ਫਿਰ ਇਹ ਐਨਕ੍ਰਿਪਟਡ ਵਿੱਚ ਖੋਜ ਕਰਦਾ ਹੈ ਸੀਬੀਸੀ-ਟ੍ਰੈਫਿਕ ਮੋਡ ਵਿਸ਼ੇਸ਼ ਟੈਗ ਸੁਨੇਹੇ. ਜਾਅਲੀ ਬੇਨਤੀਆਂ ਦੀ ਇੱਕ ਲੜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਇੱਕ ਹਮਲਾਵਰ ਦਿਲਚਸਪੀ ਦੇ ਡੇਟਾ, ਜਿਵੇਂ ਕਿ ਕੂਕੀਜ਼ ਦੀ ਸਮੱਗਰੀ ਦਾ ਪੁਨਰਗਠਨ ਕਰਨ ਦੇ ਯੋਗ ਹੁੰਦਾ ਹੈ।

SSL 3.0 ਇੱਕ ਪੁਰਾਣਾ ਪ੍ਰੋਟੋਕੋਲ ਹੈ। ਪਰ ਉਸਦੀ ਸੁਰੱਖਿਆ ਦਾ ਸਵਾਲ ਅਜੇ ਵੀ ਢੁਕਵਾਂ ਹੈ। ਗਾਹਕ ਸਰਵਰਾਂ ਨਾਲ ਅਨੁਕੂਲਤਾ ਮੁੱਦਿਆਂ ਤੋਂ ਬਚਣ ਲਈ ਇਸਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਕੁਝ ਡੇਟਾ ਦੇ ਅਨੁਸਾਰ, 7 ਹਜ਼ਾਰ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਸਾਈਟਾਂ ਵਿੱਚੋਂ ਲਗਭਗ 100% ਅਜੇ ਵੀ SSL 3.0 ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ. ਵੀ ਮੌਜੂਦ ਹੈ POODLE ਵਿੱਚ ਸੋਧਾਂ ਜੋ ਵਧੇਰੇ ਆਧੁਨਿਕ TLS 1.0 ਅਤੇ TLS 1.1 ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੀਆਂ ਹਨ। ਇਸ ਸਾਲ ਪ੍ਰਗਟ ਹੋਇਆ ਨਵੇਂ Zombie POODLE ਅਤੇ GOLDENDOODLE ਹਮਲੇ ਜੋ TLS 1.2 ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦੇ ਹਨ (ਉਹ ਅਜੇ ਵੀ CBC ਐਨਕ੍ਰਿਪਸ਼ਨ ਨਾਲ ਜੁੜੇ ਹੋਏ ਹਨ)।

ਆਪਣੀ ਰੱਖਿਆ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਅਸਲੀ POODLE ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਤੁਹਾਨੂੰ SSL 3.0 ਸਮਰਥਨ ਨੂੰ ਅਯੋਗ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਹਾਲਾਂਕਿ, ਇਸ ਕੇਸ ਵਿੱਚ ਅਨੁਕੂਲਤਾ ਸਮੱਸਿਆਵਾਂ ਦਾ ਖਤਰਾ ਹੈ. ਇੱਕ ਵਿਕਲਪਿਕ ਹੱਲ TLS_FALLBACK_SCSV ਵਿਧੀ ਹੋ ਸਕਦੀ ਹੈ - ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ SSL 3.0 ਦੁਆਰਾ ਡੇਟਾ ਐਕਸਚੇਂਜ ਕੇਵਲ ਪੁਰਾਣੇ ਸਿਸਟਮਾਂ ਨਾਲ ਹੀ ਕੀਤਾ ਜਾਵੇਗਾ। ਹਮਲਾਵਰ ਹੁਣ ਪ੍ਰੋਟੋਕੋਲ ਡਾਊਨਗ੍ਰੇਡ ਸ਼ੁਰੂ ਕਰਨ ਦੇ ਯੋਗ ਨਹੀਂ ਹੋਣਗੇ। Zombie POODLE ਅਤੇ GOLDENDOODLE ਤੋਂ ਬਚਾਉਣ ਦਾ ਇੱਕ ਤਰੀਕਾ ਹੈ TLS 1.2-ਅਧਾਰਿਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ CBC ਸਹਾਇਤਾ ਨੂੰ ਅਸਮਰੱਥ ਕਰਨਾ। ਰੈਡੀਕਲ ਹੱਲ TLS 1.3 ਵਿੱਚ ਤਬਦੀਲੀ ਹੋਵੇਗਾ - ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਨਵਾਂ ਸੰਸਕਰਣ CBC ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦਾ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਵਧੇਰੇ ਟਿਕਾਊ AES ਅਤੇ ChaCha20 ਵਰਤੇ ਜਾਂਦੇ ਹਨ।

ਬਸਟ

SSL ਅਤੇ TLS 1.0 'ਤੇ ਪਹਿਲੇ ਹਮਲਿਆਂ ਵਿੱਚੋਂ ਇੱਕ, 2011 ਵਿੱਚ ਖੋਜਿਆ ਗਿਆ ਸੀ। POODLE, BEAST ਵਾਂਗ ਵਰਤਦਾ ਹੈ CBC ਇਨਕ੍ਰਿਪਸ਼ਨ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ। ਹਮਲਾਵਰ ਕਲਾਇੰਟ ਮਸ਼ੀਨ 'ਤੇ JavaScript ਏਜੰਟ ਜਾਂ Java ਐਪਲਿਟ ਸਥਾਪਤ ਕਰਦੇ ਹਨ, ਜੋ TLS ਜਾਂ SSL 'ਤੇ ਡਾਟਾ ਸੰਚਾਰਿਤ ਕਰਨ ਵੇਲੇ ਸੰਦੇਸ਼ਾਂ ਨੂੰ ਬਦਲਦਾ ਹੈ। ਕਿਉਂਕਿ ਹਮਲਾਵਰ "ਡਮੀ" ਪੈਕੇਟਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਜਾਣਦੇ ਹਨ, ਇਸ ਲਈ ਉਹ ਇਹਨਾਂ ਦੀ ਵਰਤੋਂ ਸ਼ੁਰੂਆਤੀ ਵੈਕਟਰ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਅਤੇ ਸਰਵਰ ਨੂੰ ਹੋਰ ਸੁਨੇਹਿਆਂ ਨੂੰ ਪੜ੍ਹਨ ਲਈ ਕਰ ਸਕਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ ਪ੍ਰਮਾਣੀਕਰਨ ਕੂਕੀਜ਼।

ਅੱਜ ਤੱਕ, BEAST ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਬਰਕਰਾਰ ਹਨ ਕਈ ਨੈੱਟਵਰਕ ਟੂਲ ਸੰਵੇਦਨਸ਼ੀਲ ਹਨ: ਸਥਾਨਕ ਇੰਟਰਨੈਟ ਗੇਟਵੇ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ।

ਆਪਣੀ ਰੱਖਿਆ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਹਮਲਾਵਰ ਨੂੰ ਡੇਟਾ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਨਿਯਮਤ ਬੇਨਤੀਆਂ ਭੇਜਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। VMware ਵਿੱਚ ਸਿਫਾਰਸ਼ SSLSessionCacheTimeout ਦੀ ਮਿਆਦ ਨੂੰ ਪੰਜ ਮਿੰਟ (ਡਿਫੌਲਟ ਸਿਫ਼ਾਰਿਸ਼) ਤੋਂ ਘਟਾ ਕੇ 30 ਸਕਿੰਟ ਕਰੋ। ਇਹ ਪਹੁੰਚ ਹਮਲਾਵਰਾਂ ਲਈ ਆਪਣੀਆਂ ਯੋਜਨਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਬਣਾ ਦੇਵੇਗੀ, ਹਾਲਾਂਕਿ ਇਸਦਾ ਪ੍ਰਦਰਸ਼ਨ 'ਤੇ ਕੁਝ ਨਕਾਰਾਤਮਕ ਪ੍ਰਭਾਵ ਪਵੇਗਾ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਤੁਹਾਨੂੰ ਇਹ ਸਮਝਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ ਕਿ BEAST ਕਮਜ਼ੋਰੀ ਜਲਦੀ ਹੀ ਆਪਣੇ ਆਪ 'ਤੇ ਅਤੀਤ ਦੀ ਗੱਲ ਬਣ ਸਕਦੀ ਹੈ - 2020 ਤੋਂ, ਸਭ ਤੋਂ ਵੱਡੇ ਬ੍ਰਾਉਜ਼ਰ ਰੂਕੋ TLS 1.0 ਅਤੇ 1.1 ਲਈ ਸਮਰਥਨ। ਕਿਸੇ ਵੀ ਹਾਲਤ ਵਿੱਚ, ਸਾਰੇ ਬ੍ਰਾਊਜ਼ਰ ਉਪਭੋਗਤਾਵਾਂ ਵਿੱਚੋਂ 1,5% ਤੋਂ ਘੱਟ ਇਹਨਾਂ ਪ੍ਰੋਟੋਕੋਲਾਂ ਨਾਲ ਕੰਮ ਕਰਦੇ ਹਨ।

ਡੁੱਬਣਾ

ਇਹ ਇੱਕ ਕਰਾਸ-ਪ੍ਰੋਟੋਕੋਲ ਹਮਲਾ ਹੈ ਜੋ 2-ਬਿੱਟ RSA ਕੁੰਜੀਆਂ ਨਾਲ SSLv40 ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਬੱਗਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ। ਹਮਲਾਵਰ ਟੀਚੇ ਦੇ ਸੈਂਕੜੇ TLS ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਸੁਣਦਾ ਹੈ ਅਤੇ ਉਸੇ ਨਿੱਜੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ SSLv2 ਸਰਵਰ ਨੂੰ ਵਿਸ਼ੇਸ਼ ਪੈਕੇਟ ਭੇਜਦਾ ਹੈ। ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਬਲੀਚੇਨਬਾਕਰ ਹਮਲਾ, ਇੱਕ ਹੈਕਰ ਲਗਭਗ ਇੱਕ ਹਜ਼ਾਰ ਕਲਾਇੰਟ TLS ਸੈਸ਼ਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰ ਸਕਦਾ ਹੈ।

DROWN ਪਹਿਲੀ ਵਾਰ 2016 ਵਿੱਚ ਜਾਣਿਆ ਗਿਆ - ਫਿਰ ਇਹ ਨਿਕਲਿਆ ਇੱਕ ਤਿਹਾਈ ਸਰਵਰ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੇ ਹਨ ਦੁਨੀਆ ਵਿੱਚ. ਅੱਜ ਇਸ ਨੇ ਆਪਣੀ ਸਾਰਥਕਤਾ ਨੂੰ ਨਹੀਂ ਗੁਆਇਆ ਹੈ. 150 ਹਜ਼ਾਰ ਸਭ ਤੋਂ ਵੱਧ ਪ੍ਰਸਿੱਧ ਸਾਈਟਾਂ ਵਿੱਚੋਂ, 2% ਅਜੇ ਵੀ ਹਨ ਸਹਾਇਤਾ SSLv2 ਅਤੇ ਕਮਜ਼ੋਰ ਐਨਕ੍ਰਿਪਸ਼ਨ ਵਿਧੀ।

ਆਪਣੀ ਰੱਖਿਆ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਪ੍ਰਸਤਾਵਿਤ ਪੈਚਾਂ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ ਜੋ SSLv2 ਸਮਰਥਨ ਨੂੰ ਅਸਮਰੱਥ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਦੋ ਅਜਿਹੇ ਪੈਚ OpenSSL ਲਈ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਸਨ (2016 ਵਿੱਚ ਇਹ ਅੱਪਡੇਟ ਸਨ 1.0.1s ਅਤੇ 1.0.2g)। ਨਾਲ ਹੀ, ਕਮਜ਼ੋਰ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਅਯੋਗ ਕਰਨ ਲਈ ਅੱਪਡੇਟ ਅਤੇ ਨਿਰਦੇਸ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਸਨ Red Hat, ਅਪਾਚੇ, ਡੇਬੀਅਨ.

ਵਿਕਾਸ ਵਿਭਾਗ ਦੇ ਮੁਖੀ ਨੋਟ ਕਰਦੇ ਹਨ, "ਇੱਕ ਸਰੋਤ ਡੁੱਬਣ ਲਈ ਕਮਜ਼ੋਰ ਹੋ ਸਕਦਾ ਹੈ ਜੇਕਰ ਇਸ ਦੀਆਂ ਕੁੰਜੀਆਂ SSLv2 ਵਾਲੇ ਕਿਸੇ ਤੀਜੀ-ਧਿਰ ਸਰਵਰ ਦੁਆਰਾ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਜਿਵੇਂ ਕਿ ਇੱਕ ਮੇਲ ਸਰਵਰ," IaaS ਪ੍ਰਦਾਤਾ 1cloud.ru ਸਰਗੇਈ ਬੇਲਕਿਨ. — ਇਹ ਸਥਿਤੀ ਉਦੋਂ ਵਾਪਰਦੀ ਹੈ ਜੇਕਰ ਕਈ ਸਰਵਰ ਇੱਕ ਆਮ SSL ਸਰਟੀਫਿਕੇਟ ਵਰਤਦੇ ਹਨ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਤੁਹਾਨੂੰ ਸਾਰੀਆਂ ਮਸ਼ੀਨਾਂ 'ਤੇ SSLv2 ਸਹਾਇਤਾ ਨੂੰ ਅਯੋਗ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।"

ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ ਕਿ ਕੀ ਤੁਹਾਡੇ ਸਿਸਟਮ ਨੂੰ ਕਿਸੇ ਵਿਸ਼ੇਸ਼ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਸਹੂਲਤ - ਇਹ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਮਾਹਰਾਂ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ ਜਿਨ੍ਹਾਂ ਨੇ DROWN ਦੀ ਖੋਜ ਕੀਤੀ ਸੀ। ਤੁਸੀਂ ਇਸ ਕਿਸਮ ਦੇ ਹਮਲੇ ਦੇ ਵਿਰੁੱਧ ਸੁਰੱਖਿਆ ਸੰਬੰਧੀ ਸਿਫ਼ਾਰਸ਼ਾਂ ਬਾਰੇ ਹੋਰ ਪੜ੍ਹ ਸਕਦੇ ਹੋ OpenSSL ਵੈੱਬਸਾਈਟ 'ਤੇ ਪੋਸਟ ਕਰੋ.

heartbleed

ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਸਭ ਤੋਂ ਵੱਡੀ ਕਮਜ਼ੋਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ heartbleed. ਇਹ 2014 ਵਿੱਚ OpenSSL ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਖੋਜਿਆ ਗਿਆ ਸੀ। ਬੱਗ ਘੋਸ਼ਣਾ ਦੇ ਸਮੇਂ, ਕਮਜ਼ੋਰ ਵੈੱਬਸਾਈਟਾਂ ਦੀ ਗਿਣਤੀ ਅੱਧਾ ਮਿਲੀਅਨ ਦਾ ਅਨੁਮਾਨ ਲਗਾਇਆ ਗਿਆ ਸੀ - ਇਹ ਨੈੱਟਵਰਕ 'ਤੇ ਸੁਰੱਖਿਅਤ ਸਰੋਤਾਂ ਦਾ ਲਗਭਗ 17% ਹੈ।

ਹਮਲੇ ਨੂੰ ਛੋਟੇ ਹਾਰਟਬੀਟ TLS ਐਕਸਟੈਂਸ਼ਨ ਮੋਡੀਊਲ ਰਾਹੀਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। TLS ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਲੋੜ ਹੈ ਕਿ ਡੇਟਾ ਲਗਾਤਾਰ ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਵੇ। ਲੰਬੇ ਸਮੇਂ ਤੱਕ ਡਾਊਨਟਾਈਮ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਇੱਕ ਬ੍ਰੇਕ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕੁਨੈਕਸ਼ਨ ਨੂੰ ਦੁਬਾਰਾ ਸਥਾਪਿਤ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਨਾਲ ਨਜਿੱਠਣ ਲਈ, ਸਰਵਰ ਅਤੇ ਗਾਹਕ ਨਕਲੀ ਤੌਰ 'ਤੇ ਚੈਨਲ ਨੂੰ "ਸ਼ੋਰ" ਕਰਦੇ ਹਨ (RFC 6520, p.5), ਬੇਤਰਤੀਬ ਲੰਬਾਈ ਦਾ ਇੱਕ ਪੈਕੇਟ ਪ੍ਰਸਾਰਿਤ ਕਰਨਾ। ਜੇਕਰ ਇਹ ਪੂਰੇ ਪੈਕੇਟ ਤੋਂ ਵੱਡਾ ਸੀ, ਤਾਂ OpenSSL ਦੇ ​​ਕਮਜ਼ੋਰ ਸੰਸਕਰਣ ਨਿਰਧਾਰਤ ਬਫਰ ਤੋਂ ਪਰੇ ਮੈਮੋਰੀ ਪੜ੍ਹਦੇ ਹਨ। ਇਸ ਖੇਤਰ ਵਿੱਚ ਕੋਈ ਵੀ ਡਾਟਾ ਹੋ ਸਕਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਪ੍ਰਾਈਵੇਟ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਅਤੇ ਹੋਰ ਕਨੈਕਸ਼ਨਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ।

ਕਮਜ਼ੋਰੀ ਲਾਇਬ੍ਰੇਰੀ ਦੇ 1.0.1 ਅਤੇ 1.0.1f ਦੇ ਵਿਚਕਾਰ ਦੇ ਸਾਰੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਮੌਜੂਦ ਸੀ, ਅਤੇ ਨਾਲ ਹੀ ਕਈ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਵਿੱਚ - 12.04.4 ਤੱਕ ਉਬੰਟੂ, 6.5 ਤੋਂ ਪੁਰਾਣੇ CentOS, OpenBSD 5.3 ਅਤੇ ਹੋਰਾਂ ਵਿੱਚ। ਇੱਕ ਪੂਰੀ ਸੂਚੀ ਹੈ ਹਾਰਟਬਲੀਡ ਨੂੰ ਸਮਰਪਿਤ ਇੱਕ ਵੈਬਸਾਈਟ 'ਤੇ. ਹਾਲਾਂਕਿ ਇਸ ਕਮਜ਼ੋਰੀ ਦੇ ਵਿਰੁੱਧ ਪੈਚ ਇਸਦੀ ਖੋਜ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ ਜਾਰੀ ਕੀਤੇ ਗਏ ਸਨ, ਪਰ ਇਹ ਸਮੱਸਿਆ ਅੱਜ ਵੀ ਢੁਕਵੀਂ ਹੈ। 2017 ਵਿੱਚ ਵਾਪਸ ਲਗਭਗ 200 ਹਜ਼ਾਰ ਸਾਈਟਾਂ ਨੇ ਕੰਮ ਕੀਤਾ, ਹਾਰਟਬਲੀਡ ਲਈ ਸੰਵੇਦਨਸ਼ੀਲ।

ਆਪਣੀ ਰੱਖਿਆ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਇਹ ਜ਼ਰੂਰੀ ਹੈ OpenSSL ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ ਸੰਸਕਰਣ 1.0.1g ਜਾਂ ਵੱਧ ਤੱਕ। ਤੁਸੀਂ DOPENSSL_NO_HEARTBEATS ਵਿਕਲਪ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਦਿਲ ਦੀ ਧੜਕਣ ਦੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਹੱਥੀਂ ਅਯੋਗ ਵੀ ਕਰ ਸਕਦੇ ਹੋ। ਅਪਡੇਟ ਤੋਂ ਬਾਅਦ, ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਮਾਹਰ ਸਿਫਾਰਸ਼ SSL ਸਰਟੀਫਿਕੇਟ ਮੁੜ ਜਾਰੀ ਕਰੋ। ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ 'ਤੇ ਡੇਟਾ ਹੈਕਰਾਂ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਖਤਮ ਹੋਣ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਇੱਕ ਤਬਦੀਲੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਸਰਟੀਫਿਕੇਟ ਬਦਲ

ਇੱਕ ਜਾਇਜ਼ SSL ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ ਇੱਕ ਪ੍ਰਬੰਧਿਤ ਨੋਡ ਉਪਭੋਗਤਾ ਅਤੇ ਸਰਵਰ ਵਿਚਕਾਰ ਸਥਾਪਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਸਰਗਰਮੀ ਨਾਲ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਦਾ ਹੈ। ਇਹ ਨੋਡ ਇੱਕ ਵੈਧ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਕੇ ਇੱਕ ਜਾਇਜ਼ ਸਰਵਰ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਇੱਕ MITM ਹਮਲੇ ਨੂੰ ਅੰਜਾਮ ਦੇਣਾ ਸੰਭਵ ਹੋ ਜਾਂਦਾ ਹੈ।

ਦੇ ਅਨੁਸਾਰ ਖੋਜ ਮੋਜ਼ੀਲਾ, ਗੂਗਲ ਅਤੇ ਕਈ ਯੂਨੀਵਰਸਿਟੀਆਂ ਦੀਆਂ ਟੀਮਾਂ, ਨੈੱਟਵਰਕ 'ਤੇ ਲਗਭਗ 11% ਸੁਰੱਖਿਅਤ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਛੁਪਿਆ ਹੋਇਆ ਹੈ। ਇਹ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਕੰਪਿਊਟਰਾਂ 'ਤੇ ਸ਼ੱਕੀ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਥਾਪਤ ਕਰਨ ਦਾ ਨਤੀਜਾ ਹੈ।

ਆਪਣੀ ਰੱਖਿਆ ਕਿਵੇਂ ਕਰਨੀ ਹੈ। ਭਰੋਸੇਮੰਦ ਦੀਆਂ ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ SSL ਪ੍ਰਦਾਤਾ. ਤੁਸੀਂ ਸੇਵਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ "ਗੁਣਵੱਤਾ" ਦੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ ਸਰਟੀਫਿਕੇਟ ਪਾਰਦਰਸ਼ਤਾ (ਸੀ.ਟੀ.)। ਕਲਾਉਡ ਪ੍ਰਦਾਤਾ ਵੀ ਇਵਸਡ੍ਰੌਪਿੰਗ ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦੇ ਹਨ; ਕੁਝ ਵੱਡੀਆਂ ਕੰਪਨੀਆਂ ਪਹਿਲਾਂ ਹੀ TLS ਕਨੈਕਸ਼ਨਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਵਿਸ਼ੇਸ਼ ਟੂਲ ਪੇਸ਼ ਕਰਦੀਆਂ ਹਨ।

ਸੁਰੱਖਿਆ ਦਾ ਇੱਕ ਹੋਰ ਤਰੀਕਾ ਇੱਕ ਨਵਾਂ ਹੋਵੇਗਾ ਮਾਨਕ ACME, ਜੋ SSL ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਰਸੀਦ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਦਾ ਹੈ। ਉਸੇ ਸਮੇਂ, ਇਹ ਸਾਈਟ ਦੇ ਮਾਲਕ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਵਾਧੂ ਵਿਧੀਆਂ ਨੂੰ ਜੋੜ ਦੇਵੇਗਾ. ਇਸ ਬਾਰੇ ਹੋਰ ਅਸੀਂ ਆਪਣੀ ਪਿਛਲੀ ਸਮੱਗਰੀ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਲਿਖਿਆ ਸੀ.

/flickr/ ਯੂਰੀ ਸਮੋਇਲੋਵ / CC ਦੁਆਰਾ

HTTPS ਲਈ ਸੰਭਾਵਨਾਵਾਂ

ਬਹੁਤ ਸਾਰੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਬਾਵਜੂਦ, ਆਈਟੀ ਦਿੱਗਜ ਅਤੇ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਮਾਹਰ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਭਵਿੱਖ ਵਿੱਚ ਭਰੋਸਾ ਰੱਖਦੇ ਹਨ। HTTPS ਦੇ ਸਰਗਰਮ ਲਾਗੂ ਕਰਨ ਲਈ ਮਿਹਰਬਾਨੀ ਕਰਦਾ ਹੈ WWW ਸਿਰਜਣਹਾਰ ਟਿਮ ਬਰਨਰਸ-ਲੀ। ਉਸ ਦੇ ਅਨੁਸਾਰ, ਸਮੇਂ ਦੇ ਨਾਲ TLS ਹੋਰ ਸੁਰੱਖਿਅਤ ਹੋ ਜਾਵੇਗਾ, ਜਿਸ ਨਾਲ ਕੁਨੈਕਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਸੁਧਾਰ ਹੋਵੇਗਾ। ਬਰਨਰਸ-ਲੀ ਨੇ ਵੀ ਇਹ ਸੁਝਾਅ ਦਿੱਤਾ ਭਵਿੱਖ ਵਿੱਚ ਦਿਖਾਈ ਦੇਵੇਗਾ ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ। ਉਹ ਹਮਲਾਵਰਾਂ ਤੋਂ ਸਰਵਰ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰਨਗੇ।

ਮਸ਼ੀਨ ਲਰਨਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ SSL/TLS ਤਕਨਾਲੋਜੀ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਦੀ ਵੀ ਯੋਜਨਾ ਹੈ - ਸਮਾਰਟ ਐਲਗੋਰਿਦਮ ਖਤਰਨਾਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੋਣਗੇ। HTTPS ਕਨੈਕਸ਼ਨਾਂ ਦੇ ਨਾਲ, ਪ੍ਰਬੰਧਕਾਂ ਕੋਲ ਮਾਲਵੇਅਰ ਤੋਂ ਬੇਨਤੀਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਸਮੇਤ, ਏਨਕ੍ਰਿਪਟਡ ਸੁਨੇਹਿਆਂ ਦੀ ਸਮੱਗਰੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਹੈ। ਪਹਿਲਾਂ ਹੀ ਅੱਜ, ਨਿਊਰਲ ਨੈੱਟਵਰਕ 90% ਸ਼ੁੱਧਤਾ ਨਾਲ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਪੈਕੇਟਾਂ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਦੇ ਸਮਰੱਥ ਹਨ। (ਪੇਸ਼ਕਾਰੀ ਸਲਾਈਡ 23).

ਸਿੱਟਾ

HTTPS 'ਤੇ ਜ਼ਿਆਦਾਤਰ ਹਮਲੇ ਪ੍ਰੋਟੋਕੋਲ ਦੀਆਂ ਸਮੱਸਿਆਵਾਂ ਨਾਲ ਸਬੰਧਤ ਨਹੀਂ ਹਨ, ਪਰ ਪੁਰਾਣੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਵਿਧੀਆਂ ਲਈ ਸਮਰਥਨ ਕਰਨ ਲਈ ਹਨ। IT ਉਦਯੋਗ ਹੌਲੀ-ਹੌਲੀ ਪਿਛਲੀ ਪੀੜ੍ਹੀ ਦੇ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਛੱਡਣਾ ਸ਼ੁਰੂ ਕਰ ਰਿਹਾ ਹੈ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਖੋਜ ਲਈ ਨਵੇਂ ਸਾਧਨ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਭਵਿੱਖ ਵਿੱਚ, ਇਹ ਸੰਦ ਤੇਜ਼ੀ ਨਾਲ ਬੁੱਧੀਮਾਨ ਬਣ ਜਾਣਗੇ.

ਵਿਸ਼ੇ 'ਤੇ ਵਾਧੂ ਲਿੰਕ:

• ਕਲਾਉਡ ਵਿੱਚ ਵਿਕਾਸ, ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਅਤੇ ਨਿੱਜੀ ਡੇਟਾ: 1 ਕਲਾਉਡ ਤੋਂ ਡਾਇਜੈਸਟ
• SSL ਡਾਇਜੈਸਟ: ਹੈਬਰੇ ਅਤੇ ਹੋਰ 'ਤੇ ਸਭ ਤੋਂ ਵਧੀਆ ਵਿਹਾਰਕ ਸਮੱਗਰੀ
• VPN ਡਾਇਜੈਸਟ: ਹੈਬਰੇ ਅਤੇ ਹੋਰ 'ਤੇ ਸ਼ੁਰੂਆਤੀ ਲੇਖ

ਸਰੋਤ: www.habr.com