ਇਨਕ੍ਰਿਪਟਡ ਟ੍ਰੈਫਿਕ jabber.ru ਅਤੇ xmpp.ru ਦਾ ਇੰਟਰਸੈਪਸ਼ਨ ਰਿਕਾਰਡ ਕੀਤਾ ਗਿਆ

Jabber ਸਰਵਰ jabber.ru (xmpp.ru) ਦੇ ਪ੍ਰਸ਼ਾਸਕ ਨੇ ਉਪਭੋਗਤਾ ਟ੍ਰੈਫਿਕ (MITM) ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਇੱਕ ਹਮਲੇ ਦੀ ਪਛਾਣ ਕੀਤੀ, ਜੋ ਕਿ ਜਰਮਨ ਹੋਸਟਿੰਗ ਪ੍ਰਦਾਤਾ Hetzner ਅਤੇ Linode ਦੇ ਨੈਟਵਰਕ ਵਿੱਚ 90 ਦਿਨਾਂ ਤੋਂ 6 ਮਹੀਨਿਆਂ ਦੀ ਮਿਆਦ ਵਿੱਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਪ੍ਰੋਜੈਕਟ ਸਰਵਰ ਅਤੇ ਸਹਾਇਕ VPS ਵਾਤਾਵਰਣ. ਹਮਲੇ ਨੂੰ ਟਰਾਂਜ਼ਿਟ ਨੋਡ 'ਤੇ ਟਰੈਫਿਕ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਕੇ ਵਿਵਸਥਿਤ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ STARTTLS ਐਕਸਟੈਂਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੇ XMPP ਕਨੈਕਸ਼ਨਾਂ ਲਈ TLS ਸਰਟੀਫਿਕੇਟ ਦੀ ਥਾਂ ਲੈਂਦਾ ਹੈ।

ਹਮਲੇ ਨੂੰ ਇਸਦੇ ਪ੍ਰਬੰਧਕਾਂ ਦੁਆਰਾ ਇੱਕ ਗਲਤੀ ਦੇ ਕਾਰਨ ਦੇਖਿਆ ਗਿਆ ਸੀ, ਜਿਨ੍ਹਾਂ ਕੋਲ ਧੋਖਾਧੜੀ ਲਈ ਵਰਤੇ ਗਏ TLS ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਰੀਨਿਊ ਕਰਨ ਦਾ ਸਮਾਂ ਨਹੀਂ ਸੀ। 16 ਅਕਤੂਬਰ ਨੂੰ, jabber.ru ਦੇ ਪ੍ਰਸ਼ਾਸਕ, ਜਦੋਂ ਸੇਵਾ ਨਾਲ ਜੁੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਸਨ, ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਕਾਰਨ ਇੱਕ ਗਲਤੀ ਸੁਨੇਹਾ ਪ੍ਰਾਪਤ ਹੋਇਆ, ਪਰ ਸਰਵਰ 'ਤੇ ਸਥਿਤ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਖਤਮ ਨਹੀਂ ਹੋਈ ਸੀ। ਨਤੀਜੇ ਵਜੋਂ, ਇਹ ਸਾਹਮਣੇ ਆਇਆ ਕਿ ਕਲਾਇੰਟ ਨੂੰ ਪ੍ਰਾਪਤ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਸਰਵਰ ਦੁਆਰਾ ਭੇਜੇ ਗਏ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਵੱਖਰਾ ਸੀ। ਪਹਿਲਾ ਜਾਅਲੀ TLS ਸਰਟੀਫਿਕੇਟ 18 ਅਪ੍ਰੈਲ, 2023 ਨੂੰ Let's Encrypt ਸੇਵਾ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਵਿੱਚ ਹਮਲਾਵਰ, ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣ ਦੇ ਯੋਗ ਹੋਣ ਕਰਕੇ, ਸਾਈਟਾਂ jabber.ru ਅਤੇ xmpp.ru ਤੱਕ ਪਹੁੰਚ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਦੇ ਯੋਗ ਸੀ।

ਪਹਿਲਾਂ, ਇੱਕ ਧਾਰਨਾ ਸੀ ਕਿ ਪ੍ਰੋਜੈਕਟ ਸਰਵਰ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇਸਦੇ ਪਾਸੇ ਇੱਕ ਬਦਲ ਲਿਆ ਜਾ ਰਿਹਾ ਸੀ. ਪਰ ਆਡਿਟ ਨੇ ਹੈਕਿੰਗ ਦੇ ਕਿਸੇ ਵੀ ਨਿਸ਼ਾਨ ਦਾ ਖੁਲਾਸਾ ਨਹੀਂ ਕੀਤਾ। ਇਸ ਦੇ ਨਾਲ ਹੀ, ਸਰਵਰ 'ਤੇ ਲੌਗ ਵਿੱਚ, ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ (NIC ਲਿੰਕ ਡਾਊਨ/NIC ਲਿੰਕ ਇਜ਼ ਅੱਪ) ਦੀ ਇੱਕ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਸਵਿਚਿੰਗ ਆਫ ਅਤੇ ਆਨ ਦੇਖਿਆ ਗਿਆ, ਜੋ ਕਿ 18 ਜੁਲਾਈ ਨੂੰ 12:58 'ਤੇ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਹੋ ਸਕਦਾ ਸੀ। ਸਰਵਰ ਦੇ ਸਵਿੱਚ ਨਾਲ ਕੁਨੈਕਸ਼ਨ ਦੇ ਨਾਲ ਹੇਰਾਫੇਰੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਦੋ ਜਾਅਲੀ TLS ਸਰਟੀਫਿਕੇਟ ਕੁਝ ਮਿੰਟ ਪਹਿਲਾਂ ਤਿਆਰ ਕੀਤੇ ਗਏ ਸਨ - 18 ਜੁਲਾਈ ਨੂੰ 12:49 ਅਤੇ 12:38 'ਤੇ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਬਦਲਾਵ ਨਾ ਸਿਰਫ ਹੇਟਜ਼ਨਰ ਪ੍ਰਦਾਤਾ ਦੇ ਨੈਟਵਰਕ ਵਿੱਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਮੁੱਖ ਸਰਵਰ ਦੀ ਮੇਜ਼ਬਾਨੀ ਕਰਦਾ ਹੈ, ਬਲਕਿ ਲਿਨੋਡ ਪ੍ਰਦਾਤਾ ਦੇ ਨੈਟਵਰਕ ਵਿੱਚ ਵੀ, ਜਿਸ ਨੇ ਸਹਾਇਕ ਪ੍ਰੌਕਸੀਜ਼ ਦੇ ਨਾਲ VPS ਵਾਤਾਵਰਣ ਦੀ ਮੇਜ਼ਬਾਨੀ ਕੀਤੀ ਜੋ ਦੂਜੇ ਪਤਿਆਂ ਤੋਂ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਦੇ ਹਨ। ਅਸਿੱਧੇ ਤੌਰ 'ਤੇ, ਇਹ ਪਾਇਆ ਗਿਆ ਕਿ ਦੋਵਾਂ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਨੈਟਵਰਕਾਂ ਵਿੱਚ ਨੈਟਵਰਕ ਪੋਰਟ 5222 (XMPP STARTTLS) ਲਈ ਆਵਾਜਾਈ ਨੂੰ ਇੱਕ ਵਾਧੂ ਹੋਸਟ ਦੁਆਰਾ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ ਇਹ ਵਿਸ਼ਵਾਸ ਕਰਨ ਦਾ ਕਾਰਨ ਦਿੱਤਾ ਕਿ ਹਮਲਾ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੱਕ ਪਹੁੰਚ ਵਾਲੇ ਵਿਅਕਤੀ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਸੀ।

ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ, ਬਦਲੀ 18 ਅਪ੍ਰੈਲ (jabber.ru ਲਈ ਪਹਿਲੇ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਿਰਜਣਾ ਦੀ ਮਿਤੀ) ਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਸੀ, ਪਰ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੀ ਬਦਲੀ ਦੇ ਪੁਸ਼ਟੀ ਕੀਤੇ ਕੇਸ ਸਿਰਫ 21 ਜੁਲਾਈ ਤੋਂ 19 ਅਕਤੂਬਰ ਤੱਕ ਹੀ ਦਰਜ ਕੀਤੇ ਗਏ ਸਨ, ਇਸ ਸਾਰੇ ਸਮੇਂ ਦੌਰਾਨ ਐਨਕ੍ਰਿਪਟਡ ਡੇਟਾ ਐਕਸਚੇਂਜ jabber.ru ਅਤੇ xmpp.ru ਨਾਲ ਸਮਝੌਤਾ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਜਾਂਚ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਬਾਅਦ ਬਦਲਣਾ ਬੰਦ ਹੋ ਗਿਆ, ਟੈਸਟ ਕੀਤੇ ਗਏ ਅਤੇ 18 ਅਕਤੂਬਰ ਨੂੰ ਪ੍ਰਦਾਤਾ ਹੇਟਜ਼ਨਰ ਅਤੇ ਲਿਨੋਡ ਦੀ ਸਹਾਇਤਾ ਸੇਵਾ ਨੂੰ ਬੇਨਤੀ ਭੇਜੀ ਗਈ। ਇਸ ਦੇ ਨਾਲ ਹੀ, ਲਿਨੋਡ ਦੇ ਸਰਵਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਪੋਰਟ 5222 'ਤੇ ਭੇਜੇ ਗਏ ਪੈਕੇਟਾਂ ਨੂੰ ਰੂਟਿੰਗ ਕਰਨ ਵੇਲੇ ਇੱਕ ਵਾਧੂ ਤਬਦੀਲੀ ਅੱਜ ਵੀ ਵੇਖੀ ਜਾਂਦੀ ਹੈ, ਪਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹੁਣ ਬਦਲਿਆ ਨਹੀਂ ਜਾਂਦਾ ਹੈ।

ਇਹ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਇਹ ਹਮਲਾ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਵਾਲੀਆਂ ਏਜੰਸੀਆਂ ਦੀ ਬੇਨਤੀ 'ਤੇ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਗਿਆਨ ਨਾਲ, ਦੋਵਾਂ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਹੈਕ ਕਰਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ, ਜਾਂ ਕਿਸੇ ਕਰਮਚਾਰੀ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਸੀ ਜਿਸਦੀ ਦੋਵਾਂ ਪ੍ਰਦਾਤਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਸੀ। XMPP ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣ ਅਤੇ ਸੰਸ਼ੋਧਿਤ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣ ਦੁਆਰਾ, ਹਮਲਾਵਰ ਸਾਰੇ ਖਾਤਾ-ਸੰਬੰਧੀ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਸਰਵਰ 'ਤੇ ਸਟੋਰ ਕੀਤੇ ਮੈਸੇਜਿੰਗ ਇਤਿਹਾਸ, ਅਤੇ ਦੂਜਿਆਂ ਦੀ ਤਰਫੋਂ ਸੁਨੇਹੇ ਵੀ ਭੇਜ ਸਕਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਲੋਕਾਂ ਦੇ ਸੰਦੇਸ਼ਾਂ ਵਿੱਚ ਬਦਲਾਅ ਕਰ ਸਕਦਾ ਹੈ। ਐਂਡ-ਟੂ-ਐਂਡ ਐਨਕ੍ਰਿਪਸ਼ਨ (OMEMO, OTR ਜਾਂ PGP) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਭੇਜੇ ਗਏ ਸੁਨੇਹਿਆਂ ਨੂੰ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੇਕਰ ਕਨੈਕਸ਼ਨ ਦੇ ਦੋਵਾਂ ਪਾਸਿਆਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। Jabber.ru ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਹ ਆਪਣੇ ਐਕਸੈਸ ਪਾਸਵਰਡ ਨੂੰ ਬਦਲਣ ਅਤੇ ਸੰਭਾਵਿਤ ਬਦਲ ਲਈ ਉਹਨਾਂ ਦੇ PEP ਸਟੋਰੇਜ ਵਿੱਚ OMEMO ਅਤੇ PGP ਕੁੰਜੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨ।

ਸਰੋਤ: opennet.ru