अपडेट 2014-04-11
क्लाउडफेयर ने यह सत्यापित करने के लिए एक चुनौती की स्थापना की कि निजी कुंजी निष्कर्षण वास्तव में संभव था। यह लगभग 100 हजार अनुरोधों के साथ किया गया है, और यह आशंकाओं को सत्यापित करता है। यह अब सैद्धांतिक नहीं है, लेकिन सिद्ध है । इसके बारे में पढ़ने के लिए आप यहां जा सकते हैं ।
साथ ही, ब्लूमबर्ग ने बताया है कि एनएसए कम से कम दो साल तक इस शोषण के बारे में जानता है । यह समझ में आता है क्योंकि एनएसए के पास विश्लेषकों को काम पर रखने के लिए संसाधन हैं जिनका एकमात्र काम इस तरह से सॉफ्टवेयर में होने वाले कारनामों को खोजना है। अब जब हम जानते हैं कि अमेरिकी सरकार इतने लंबे समय से इसका उपयोग कर रही है, तो अन्य राज्यों ने इस संभावना का फायदा उठाया है और इसका फायदा उठाया है।
टीएल; डीआर
अपने सिस्टम की स्थिति के बारे में संगठनों से घोषणाओं के लिए देखें, अपने सभी पासवर्ड बदलें
, और बैंकिंग या अन्य वित्तीय प्रणालियों जैसे महत्वपूर्ण खातों पर धोखाधड़ी / संदिग्ध गतिविधि के लिए देखें।
यह समझने के लिए कि स्थिति इतनी खतरनाक क्यों है, हमें पहले यह समझना होगा कि यह हमला वास्तव में क्या करता है। CVE-2014-0160, AKA हार्टब्लेड, एक बफर ओवर्रेड बग है जो एक हमलावर को OpenSSL के कमजोर संस्करण को चलाने वाले सर्वर से 64 kB तक की मेमोरी प्राप्त करने की अनुमति देता है।
जो वाकई बहुत बुरा लगता है। यह व्यवहार में कैसे काम करता है
आप सही हैं, यह एक गंभीर दोष है, लेकिन हम थोड़ी देर बाद वापस आ जाएंगे। फिलहाल हम बात करते हैं कि शोषण क्यों होता है। ट्रांसपोर्ट लेयर सिक्योरिटी (TLS) का उपयोग HTTP ( HTTPS ) सहित कई अनुप्रयोगों की जानकारी सुरक्षित करने या SMTP को सुरक्षित करने के लिए किया जाता हैयदि उदाहरण के लिए सक्षम है। आरएफसी 5246 में, जो टीएलएस के लिए मानक निर्धारित करता है, एक समारोह है जिसे दिल की धड़कन के रूप में जाना जाता है। क्लाइंट और सर्वर कनेक्शन को जीवित रखने के लिए कुछ डेटा आगे-पीछे भेजते हैं ताकि बाद में इसका इस्तेमाल किया जा सके। अब व्यवहार में क्लाइंट कुछ डेटा भेजेगा और सर्वर इसे वापस भेज देगा, और सब कुछ बहुत अच्छा है। हालांकि प्रभावित ओपनएसएसएल संस्करणों में यह देखने के लिए कोई चेक नहीं है कि क्या ग्राहक ने वास्तव में डेटा की मात्रा भेजी है जो उसने कहा था। इसलिए अगर मैं इसे 1 बाइट भेजता हूं और सर्वर को बताता हूं कि मैंने वास्तव में इसे 64 केबी भेजा है तो यह खुशी से मुझे 64 बीबी भेजने वाला है। वे अन्य बाइट्स कहां से आते हैं? यही समस्या की कुंजी है। OpenSSL आपको 64 kB - 1 बाइट्स वापस भेजने जा रहा है जिसकी प्रक्रिया तक पहुँच है और जिसे आपने मूल रूप से नहीं भेजा है, इस पर निर्भर करता है कि आपका 1 बाइट कहाँ संग्रहीत है।निजी कुंजी सामग्री और जानकारी जिसे सर्वर उपयोग करने के लिए डिक्रिप्ट कर रहा है। इसके उदाहरण होंगे: पासवर्ड, क्रेडिट कार्ड की जानकारी और / या पिन ।
ठीक। सूचना सुरक्षा के लिए इसका क्या मतलब है?
यदि आप समझते हैं कि असममित क्रिप्टोग्राफी कैसे काम करती है, तो आप पहले से ही जानते हैं कि यह गंभीर है क्योंकि प्रकटीकरण एन्क्रिप्शन को ऑबफसिकेशन से अधिक नहीं प्रदान करता है। इसका मतलब यह है कि भले ही सर्वरों को पैच किया जा सकता है और अब मेमोरी लीक नहीं हो रही है, सत्र अभी भी असुरक्षित हो सकते हैं। यह संभव है कि सार्वजनिक रूप से ज्ञात होने के दौरान या पैचिंग हो रही थी, इससे पहले इसका शोषण किया गया था, लेकिन वर्तमान में यह साबित करने के लिए कोई तरीका साबित नहीं हुआ है कि हमला हुआ था। यह संभव है कि आईडीएस के लिए नियम उपलब्ध हो सकते हैं, लेकिन अभी तक ऐसा नहीं है। आईडीएस के नियम जारी किए गए हैं । यह अपने आप में बेहद खतरनाक है, क्योंकि ऑपरेटरों को यह नहीं पता है कि उनकी कुंजी अभी भी सुरक्षित है या नहीं।
हमें यह मानने के लिए मजबूर किया जाता है कि चाबियाँ लीक हो गई हैं, जिसका अर्थ है कि यह संभव है कि आप जो भी तार भेजते हैं, वह किसी तीसरे पक्ष द्वारा डिक्रिप्ट किया जा सकता है। इसे कम करने का एकमात्र तरीका यह है कि चाबियों को फिर से बनाया जाए और पुराने प्रमाणपत्रों को निरस्त करते हुए नए प्रमाणपत्र प्राप्त किए जाएं। दुर्भाग्य से, इसमें समय लगता है क्योंकि सीए को इन अनुरोधों से अभी कोई संदेह नहीं है। फिर भी यह एक आदमी के बीच में हमले , या अन्य फ़िशिंग अवसरों की संभावना को छोड़ देता है ।
यह कब सुरक्षित होगा?
यह कब सुरक्षित होगा यह जानना एक कठिन सवाल है। कुछ चीजें जो मैं देखने का सुझाव दूंगा, सार्वजनिक घोषणाएं हैं जो बताती हैं कि बग को उनके वातावरण में पैच किया गया है या वे कभी कमजोर नहीं थे, क्योंकि उन्होंने कभी प्रभावित संस्करणों का उपयोग नहीं किया। जब उन्होंने घोषणा की कि उन्होंने ओपनएसएसएल के एक नए संस्करण में अपग्रेड किया है तो मैं यह सुनिश्चित करूंगा कि वे शोषण के सार्वजनिक रिलीज की तारीख के बाद हस्ताक्षरित एक नए प्रमाण पत्र का उपयोग कर रहे हैं जो 2014-04-07 था।
** ध्यान दें कि पहले दर्ज की गई ट्रैफ़िक को डिक्रिप्ट किया जा सकता है यदि निजी कुंजी बाद में लीक हो गई थी।
मैं खुद को बचाने के लिए एक उपयोगकर्ता के रूप में क्या कर सकता हूं
अगले कुछ दिनों के लिए यदि आप ऑनलाइन बैंकिंग या ऑनलाइन मेडिकल चार्ट एक्सेस जैसी महत्वपूर्ण साइटों का उपयोग करने से बच सकते हैं तो मैं आपको ऐसा करने का सुझाव दूंगा। यदि आपको ऐसा समझना चाहिए कि आपका सत्र संभावित रूप से जोखिम में है और उस के परिणामों को स्वीकार करने के लिए तैयार रहें। इसके अलावा, संगठनों द्वारा यह घोषणा करने के बाद कि वे अब कमजोर नहीं हैं, आपको अपना पासवर्ड बदलना चाहिए ; पासवर्ड मैनेजर का उपयोग करने से मदद मिल सकती है। आपको किसी भी अन्य जानकारी को बदलने या मॉनिटर करने के लिए तैयार होना चाहिए जो आपने बैंक विवरण या क्रेडिट कार्ड नंबर का उपयोग किया था।
कार्यकर्ताओं को विशेष नोटिस
कुछ भी जो OpenSSL का उपयोग करता है प्रभावित हो सकता है, जिसमें Tor भी शामिल है । यह संभव है कि सरकारें दो साल पहले से ओपनएसएसएल रिलीज में शामिल किए जाने के बाद से इस दोष का उपयोग कर सकें, क्योंकि उनके पास इस तरह के कारनामों की तलाश के लिए आवश्यक विशाल संसाधन होंगे, और इस तरह आपको तैयार किया जाना चाहिए कि जानकारी हो सके अब निजी नहीं रहें
** ध्यान दें कि पहले से दर्ज ट्रैफ़िक को डिक्रिप्ट किया जा सकता है यदि बाद में निजी कुंजी को लीक नहीं किया गया जब तक कि पूर्ण अग्रेषित सुरक्षा (PFS) को लागू नहीं किया गया।
Been- ऐसे दावे किए गए हैं कि यह संभावना है कि निजी चाबियाँ स्मृति में नहीं होंगी, लेकिन साथ ही साथ सफल कुंजी निष्कर्षण के दावे भी किए गए हैं। इस बिंदु पर यह अनिश्चित है कि कौन सा पक्ष सही है।