एन्क्रिप्शन और वीपीएन का उपयोग करते समय मेल्टडाउन और स्पेक्टर


12

क्या मेल्टडाउन और स्पेक्टर कमजोरियां एन्क्रिप्टेड होम डायरेक्टरी और वीपीएन सेवा के उपयोग के साथ कंप्यूटर को भी प्रभावित कर सकती हैं? दूसरे शब्दों में, क्या हैकर तब भी पासवर्ड चुरा सकते हैं जब एन्क्रिप्टेड ट्रांसमिशन और वीपीएन सेवाएं लागू की जाती हैं?


जबकि उत्तर तकनीकी रूप से सही हैं, उनमें से कोई भी इस तथ्य को संबोधित नहीं करता है कि मेल्टडाउन और स्पेक्टर स्थानीय हमले हैं। एक वीपीएन केवल एक दूरस्थ सहायक के खिलाफ उपयोगी होगा, और एन्क्रिप्टेड होम निर्देशिका केवल उपयोगी होती है, जबकि मशीन बंद हो जाती है - जिनमें से कोई भी मेलडाउन और स्पेक्टर के लिए प्रासंगिक नहीं है। यदि हमलावर आपकी मशीन पर नहीं है, तो मेल्टडाउन और स्पेक्टर (एक डिग्री तक) का उपयोग नहीं किया जा सकता है।
Qwerty01

जवाबों:


23

हाँ।

डिस्क एन्क्रिप्शन जब उपयोग में नहीं होता है तो डिस्क का उपयोग करने से बचाता है, उदाहरण के लिए यदि कोई आपका कंप्यूटर चुराता है। वीपीएन किसी को भी तार को सूँघने से बचाता है।

मेल्टडाउन और स्पेक्टर हमलावरों को डेटा तक स्थानीय पहुंच दे सकता है, इससे पहले कि यह एन्क्रिप्ट किया गया हो।

सिस्टम की जानकारी के किसी भी प्रकार का उपयोग करने के लिए, यह कम या ज्यादा है अन-एन्क्रिप्टेड रूप में उपलब्ध होने की। जब भी यह अन-इनक्रिप्टेड रूप में उपलब्ध होता है, तो कंप्यूटर पर सुपरयुसर पहुंच वाला कोई भी हमलावर इसे अपनी इच्छानुसार कॉपी कर सकता है।


1
"किसी भी तरह की जानकारी का उपयोग करने के लिए सिस्टम के लिए, यह कम या ज्यादा अन-इनक्रिप्टेड रूप में उपलब्ध होना है।" - यह सच नहीं है। प्रसिद्ध काउंटरएक्सप्लिमेंट पासवर्ड हैं, जिन्हें कभी भी संग्रहीत नहीं किया जाना चाहिए, एन्क्रिप्टेड भी नहीं। पासवर्ड सत्यापन सुरक्षित हैश पर निर्भर करता है। यह मेल्टडाउन-सेफ हो सकता है; हैशेड वैल्यू प्राप्त करने से आपको वह पासवर्ड नहीं मिलेगा जो उस वैल्यू पर हैश करता है।
MSalters

लेकिन यह सामान्य रूप से एन्क्रिप्टेड नेटवर्क ट्रैफ़िक और डिस्क सामग्री के लिए सही है । पासवर्ड एक विशेष मामला है। और न ही वे एन्क्रिप्टेड हैं; वे एक तरह से फ़ंक्शन के साथ हैशेड कर रहे हैं।
विदरालो

4
पासवर्ड को डिस्क पर संग्रहीत नहीं किया जा सकता है, लेकिन वे नेटवर्क के माध्यम से प्रेषित होते हैं और मेमोरी में रहते हैं या तो स्टोरेज के लिए या किसी अन्य हैश के साथ तुलना करने से पहले।
जॉनसोमोन

3
और इसके अलावा, एक पासवर्ड मैनेजर (मेल्टडाउन / स्पेक्टर के बारे में कहानियों में पसंदीदा लक्ष्यों में से एक) को अपने काम को करने के लिए [एन्क्रिप्टेड] पासवर्ड स्टोर करना चाहिए और उन्हें कई बार डिक्रिप्ट करना चाहिए।
ट्रिपहाउंड

@MSalters जब वीपीएन की बात आती है, तो पैकेट एन्क्रिप्शन पासवर्ड को संग्रहित किया जाना चाहिए, क्योंकि प्रारंभिक हैंडशेक के बाद डेटा को सिमिट्रिक कुंजी के माध्यम से एन्क्रिप्ट / डिक्रिप्ट किया जाता है। भले ही, मेमोरी से पासवर्ड ढूंढना और कॉपी करना बेहद मुश्किल होगा। यह सिर्फ कीलॉग के लिए कम काम होगा।
Qwerty01

9

हां, वास्तव में यह उन काल्पनिक स्थितियों में से एक है, जहां इन कमजोरियों पर हमला किया जा सकता है: एन्क्रिप्शन का उपयोग करते समय और इन-मेमोरी एन्क्रिप्शन कुंजी का उपयोग करने की कोशिश करना सामान्य रूप से अन्य प्रक्रियाओं के लिए अनुपलब्ध है।


1

हाँ। यह एक हमलावर को अनुमति दे सकता है, कह सकता है कि आप उसकी वेबसाइट पर जाकर, आपके द्वारा वर्तमान में चल रहे ऐप्स की मेमोरी पढ़ने के लिए। स्मृति सामग्री आपके द्वारा वर्तमान में लॉग इन की गई वेबसाइट, आपके पासवर्ड मैनेजर में सहेजे गए पासवर्ड, आपके वीपीएन कनेक्शन के कॉन्फ़िगरेशन या यहां तक ​​कि घर की निर्देशिका के लिए उपयोग की जाने वाली एन्क्रिप्शन कुंजी भी हो सकती है।

दूसरी ओर यदि आप 100% सुनिश्चित हैं कि आप किसी भी 3 पार्टी कोड को चलाने के लिए नहीं जा रहे हैं (कुछ अविशिष्ट सॉफ़्टवेयर डाउनलोड करके या ब्राउज़र / विज़िटिंग वेबसाइट चला रहे हैं), तो आप बहुत अधिक बचत कर रहे हैं। वास्तव में उस मामले पर Microsoft का दृष्टिकोण है: उन्होंने माना कि अधिकांश विंडोज सर्वर इंस्टेंसेस "पृथक" वातावरण में चलते हैं, जहां उपयोगकर्ता केवल भरोसेमंद ऐप डालते हैं, इसलिए मेल्टडाउन / स्पेक्टर फिक्स को डिफ़ॉल्ट रूप से वहां सक्षम करने की आवश्यकता नहीं है।


1

हाँ। अपने डिस्क और नेटवर्क कनेक्शन को एन्क्रिप्ट करना अभी भी आपकी संपूर्ण रैंडम एक्सेस मेमोरी को उसी कंप्यूटर पर चलने वाली दुर्भावनापूर्ण प्रक्रिया द्वारा पढ़ा जा सकता है। स्थानीय भंडारण, नेटवर्क ट्रैफ़िक, और रैम 3 पूरी तरह से अलग चीजें हैं।

मेल्टडाउन और स्पेक्टर खामियों का फायदा उठाने के लिए, आपके कंप्यूटर पर दुर्भावनापूर्ण प्रक्रिया चल रही है। यह तब हो सकता है, उदाहरण के लिए यदि आप किसी अज्ञात / अविश्वसनीय स्रोत से कोई प्रोग्राम चलाते हैं, या यदि कुछ वेबपेज आपके ब्राउज़र के जावास्क्रिप्ट इंजन के JIT कंपाइलर को इस तरह के कोड में चलाने का प्रबंधन करते हैं।


0

भेद्यता अन्य कार्यक्रमों से डेटा पढ़ने की अनुमति देती है, इसलिए यदि किसी अन्य प्रोग्राम में अनएन्क्रिप्टेड डेटा है, तो एक दुर्भावनापूर्ण प्रोग्राम इसे पढ़ सकता है। इसलिए यदि आप अपना पासवर्ड किसी अन्य प्रोग्राम में टाइप करते हैं, तो आपका पासवर्ड चोरी हो सकता है। इसके अलावा, यदि आप किसी एन्क्रिप्टेड डेटा का उपयोग करते हैं, तो इसे देखने के लिए आपको अनएन्क्रिप्टेड होना होगा, इसलिए इसे चुराया जा सकता है। आपके डिस्क एन्क्रिप्शन कैसे काम करता है इसके आधार पर, आपकी डिस्क पर डेटा भले ही आप इसे सीधे एक्सेस न करें, फिर भी अनएन्क्रिप्टेड हो सकता है। यदि आप एंड-टू-एंड एन्क्रिप्शन का उपयोग कर रहे हैं, जैसे कि वीपीएन, ठीक है, तो आपका कंप्यूटर एक अंत है, इसलिए आपके कंप्यूटर पर जाने के बाद डेटा अनएन्क्रिप्टेड हो रहा है, इसलिए यह असुरक्षित है।

यदि आपके पास एक एन्क्रिप्टेड फ़ाइल है, और पासवर्ड आपके कंप्यूटर पर संग्रहीत नहीं है, और आप इसे कभी एक्सेस नहीं करते हैं, तो अनएन्क्रिप्टेड डेटा असुरक्षित नहीं है (जब तक कि एन्क्रिप्शन अन्यथा नहीं तोड़ा जा सकता है)। लेकिन जैसे ही आप एक एन्क्रिप्टेड ड्राइव को माउंट करते हैं, यह असुरक्षित है।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.