प्रचार के माध्यम से खुदाई: क्या वास्तव में किसी को नुकसान पहुँचाया गया है?

विज्ञापन

हार्दिक बग हार्दिक - आप सुरक्षित रहने के लिए क्या कर सकते हैं? अधिक पढ़ें बहुत हाथ से लिखने का विषय रहा है और इसे एक कहा जाता है सभी समय के सबसे गंभीर कंप्यूटर सुरक्षा उल्लंघनों में से ओपनएसएसएल में बड़े पैमाने पर बग बहुत जोखिम में इंटरनेट डालता हैयदि आप उन लोगों में से एक हैं, जिन्होंने हमेशा माना है कि खुले स्रोत क्रिप्टोग्राफी ऑनलाइन संवाद करने का सबसे सुरक्षित तरीका है, तो आप थोड़ा आश्चर्य में हैं। अधिक पढ़ें . लेकिन कुछ लोगों को यकीन नहीं है - आखिरकार, हार्दिक ने वास्तव में किसे नुकसान पहुंचाया है? खैर, हार्टब्लेड के कई कथित हमलों को वास्तविक नुकसान पहुंचाने के लिए इस्तेमाल किया गया है। अगर आपको लगता है कि हार्टलेड सभी प्रचार है, तो फिर से सोचें।

कनाडा के राजस्व एजेंसी से 900 एसआईएन चोरी

कनाडा में, एक हमलावर ने कनाडाई राजस्व एजेंसी के खिलाफ हार्टलेड बग का इस्तेमाल किया, जो लगभग 900 सामाजिक बीमा संख्या (एसआईएन) पर कब्जा कर रहे थे, जो अपने आयकर दाखिल करने वाले लोगों से संबंधित थे। यह मूल रूप से यूएसए में आईआरएस से सामाजिक सुरक्षा संख्या (एसएसएन) पर कब्जा करने वाले हमलावर के बराबर कनाडाई है। कनाडाई व्यवसायों से संबंधित कुछ डेटा भी चोरी हो गए थे।

इन नंबरों को कैप्चर करने के लिए हमलावर को गिरफ्तार किया गया था, लेकिन हम यह नहीं जानते हैं कि हमलावर ने SIN बेच दिया या उन्हें किसी और के साथ भेज दिया। संयुक्त राज्य अमेरिका में सामाजिक सुरक्षा संख्याओं की तरह, ये संख्याएँ आमतौर पर परिवर्तनशील नहीं होती हैं - इन्हें केवल तभी बदला जा सकता है जब आप साबित करते हैं कि आप धोखाधड़ी के शिकार हैं। प्रभावित करदाताओं को क्रेडिट मॉनिटरिंग सेवा की सदस्यता लेनी होगी और अपने नाम पर बैंक खाते और क्रेडिट कार्ड खोलने का प्रयास करने वाले लोगों पर नज़र रखनी होगी। चोरी की पहचान डिजिटल पहचान की चोरी के 6 चेतावनी संकेत आपको नजरअंदाज नहीं करना चाहिएपहचान की चोरी इन दिनों बहुत कम नहीं होती है, फिर भी हम अक्सर इस सोच के जाल में पड़ जाते हैं कि यह हमेशा "किसी" के साथ ही होगा। चेतावनी के संकेतों को अनदेखा न करें। अधिक पढ़ें यहाँ एक गंभीर चिंता का विषय है।

Mumsnet और अन्य पासवर्ड चोरी

Mumsnet ने हाल ही में घोषणा की कि यह सभी उपयोगकर्ताओं को अपने पासवर्ड बदलने के लिए मजबूर कर रहा है। यह केवल एक निवारक उपाय नहीं था - Mumsnet के पास ऐसा विश्वास करने का कारण था हमलावरों ने पासवर्ड और निजी संदेशों तक पहुंच प्राप्त कर ली थी 1.5 मिलियन यूजर्स तक।

यह शायद एकमात्र ऐसी वेबसाइट नहीं है जिसके संवेदनशील पासवर्ड चोरी हो गए हैं। अगर लोग हैं कई वेबसाइटों पर एक ही पासवर्ड का पुन: उपयोग करने की बड़ी गलती पासवर्ड प्रबंधन गाइडपासवर्ड से अभिभूत महसूस न करें, या हर साइट पर उसी का उपयोग करें, ताकि आप उन्हें याद रखें: अपनी पासवर्ड प्रबंधन रणनीति डिज़ाइन करें। अधिक पढ़ें एक हमलावर अन्य खातों में जा सकता है। उदाहरण के लिए, यदि कोई अपने Mumsnet खाते और अपने Mumsnet खाते से बंधे हुए ईमेल खाते के लिए एक ही पासवर्ड का उपयोग कर रहा है, तो हमलावर उस ईमेल खाते में जा सकता है। वहां से, हमलावर अन्य पासवर्ड रीसेट कर सकता है और अन्य खातों में जा सकता है

यदि आपको अपना पासवर्ड बदलने की सलाह देने वाली सेवा से एक ईमेल प्राप्त हुआ है और सुनिश्चित करें कि आप उसका उपयोग नहीं कर रहे हैं पासवर्ड कहीं और, यह संभव है कि सेवा के पास उसके पासवर्ड चोरी हो गए हों - या उसके पासवर्ड चोरी हो गए हों और ऐसा नहीं हुआ हो ज़रूर।

वीपीएन अपहरण और निजी कुंजी चोरी

सुरक्षा कंपनी मैंडियेंट ने घोषणा की आंतरिक कॉर्पोरेट वीपीएन को भंग करने के लिए हमलावरों ने हार्टब्लेड का इस्तेमाल कियाया आभासी निजी नेटवर्क, उनके ग्राहकों में से एक से संबंधित है। वीपीएन का उपयोग कर रहा था मल्टीकॉलर प्रमाणीकरण दो-कारक प्रमाणीकरण क्या है, और आपको इसका उपयोग क्यों करना चाहिएटू-फैक्टर ऑथेंटिकेशन (2FA) एक सुरक्षा विधि है जिसमें आपकी पहचान साबित करने के दो अलग-अलग तरीकों की आवश्यकता होती है। आमतौर पर इसका इस्तेमाल रोजमर्रा की जिंदगी में किया जाता है। उदाहरण के लिए क्रेडिट कार्ड से भुगतान करने पर न केवल कार्ड की आवश्यकता होती है, ... अधिक पढ़ें , लेकिन वह बात नहीं थी - - हमलावर हार्टबल हमले के साथ एक वीपीएन उपकरण से निजी एन्क्रिप्शन कुंजी चोरी करने में सक्षम था और फिर वीपीएन सत्र को सक्रिय करने में सक्षम था।

हमें नहीं पता कि यहाँ किस निगम पर हमला किया गया था - मैंडियंट ने घोषणा की कि यह एक "प्रमुख" था निगम। " इस तरह के हमलों का उपयोग संवेदनशील कॉर्पोरेट डेटा चोरी करने या आंतरिक को संक्रमित करने के लिए किया जा सकता है कॉर्पोरेट नेटवर्क। यदि निगम यह सुनिश्चित नहीं करते हैं कि उनके नेटवर्क हार्टलेड के लिए असुरक्षित नहीं हैं, तो उनकी सुरक्षा आसानी से बायपास हो सकती है।

इसके बारे में हम केवल यही सुन रहे हैं क्योंकि मैंडिएंट लोगों को अपनी सुरक्षा के लिए प्रोत्साहित करना चाहता है वीपीएन सर्वर सर्वश्रेष्ठ वीपीएन सेवाएंहमने एक ऐसी सूची तैयार की है जिसे हम सबसे अच्छा वर्चुअल प्राइवेट नेटवर्क (वीपीएन) सेवा प्रदाता मानते हैं, जिसे प्रीमियम, फ्री और टोरेंट-फ्रेंडली द्वारा समूहीकृत किया जाता है। अधिक पढ़ें . हमें पता नहीं है कि निगम पर यहाँ क्या हमला हुआ क्योंकि निगम यह घोषणा नहीं करना चाहते कि उनके साथ समझौता किया गया है।

यह चल रहे सर्वर की मेमोरी से एक निजी एन्क्रिप्शन कुंजी को चुराने के लिए इस्तेमाल किए जा रहे हार्टबेड का एकमात्र पुष्ट मामला नहीं है। CloudFlare को संदेह हुआ कि हार्टलेड का उपयोग निजी एन्क्रिप्शन कुंजी चोरी करने के लिए किया जा सकता है और एक चुनौती जारी की है - यदि आप कर सकते हैं तो हमारे सर्वर से निजी एन्क्रिप्शन कुंजी प्राप्त करने का प्रयास करें। कई लोगों ने एक ही दिन में निजी कुंजी प्राप्त कर ली.

राज्य निगरानी एजेंसियां

विवादास्पद रूप से, हार्दिक बग को सार्वजनिक निगरानी बनने से पहले राज्य की निगरानी और खुफिया एजेंसियों द्वारा खोजा जा सकता था और उनका शोषण किया जा सकता था। ब्लूमबर्ग ने बताया कि एनएसए ने हार्टबल का कम से कम दो साल तक शोषण किया है. एनएसए और व्हाइट हाउस ने इससे इनकार किया, लेकिन राष्ट्रीय खुफिया निदेशक जेम्स क्लैपर ने कहा कि एनएसए की निगरानी गतिविधियों से पहले एनएसए ने लाखों अमेरिकियों पर कोई डेटा एकत्र नहीं किया, कुछ कहा अब हम जानते हैं कि यह सच नहीं है PRISM क्या है? सब कुछ जो आपके लिए जानना ज़रूरी हैअमेरिका की राष्ट्रीय सुरक्षा एजेंसी के पास Google Microsoft, Yahoo, और Facebook जैसे अमेरिकी सेवा प्रदाताओं के साथ जो भी डेटा आप स्टोर कर रहे हैं, उसकी पहुंच है। वे भी संभवत: उस पार बहने वाले अधिकांश ट्रैफ़िक की निगरानी कर रहे हैं ... अधिक पढ़ें . हम यह भी जानते हैं एनएसए भंडार सुरक्षा सुरक्षा कमजोरियों रिपोर्ट करने के बजाय निगरानी लक्ष्यों के विरुद्ध उपयोग के लिए ताकि उन्हें ठीक किया जा सके।

एनएसए एक तरफ, दुनिया में अन्य राज्य निगरानी एजेंसियां ​​हैं। यह संभव है कि किसी अन्य देश की राज्य निगरानी एजेंसी ने इस बग की खोज की और इसका उपयोग निगरानी लक्ष्यों, संभवतः यूएस-आधारित निगमों और सरकारी एजेंसियों के खिलाफ भी कर रहा था। हम यहाँ निश्चित रूप से कुछ भी नहीं जान सकते हैं, लेकिन यह बहुत संभव है कि हार्टब्लेड का उपयोग जासूसी के लिए किया गया हो सार्वजनिक रूप से प्रकट किए जाने से पहले की गतिविधियों - यह निश्चित रूप से इन उद्देश्यों के लिए उपयोग किया जाएगा कि यह सार्वजनिक है ज्ञान!

हम सिर्फ जानते नहीं हैं

हम अभी तक नहीं जानते हैं कि हार्टबल्ड ने अभी तक कितना नुकसान पहुंचाया है। हार्टलेड के लिए धन्यवाद के साथ समाप्त होने वाले व्यवसाय अक्सर किसी भी शर्मनाक घोषणा से बचना चाहेंगे जो उनके व्यवसाय को नुकसान पहुंचा सकते हैं या उनके स्टॉक की कीमतों को नुकसान पहुंचा सकते हैं। आमतौर पर दुनिया को यह बताने की बजाय आंतरिक रूप से समस्या से निपटना आसान होता है।

कई अन्य मामलों में, सेवाओं को यह पता नहीं होता है कि उन्हें हार्दिक द्वारा काट लिया गया है। हार्दिक भेद्यता का उपयोग करने के अनुरोध के प्रकार के लिए धन्यवाद, हार्दिक हमले कई सर्वर लॉग में दिखाई नहीं देते हैं। यदि आप जानते हैं कि क्या देखना है, तो यह अभी भी नेटवर्क ट्रैफ़िक लॉग में दिखाई देगा, लेकिन हर संगठन नहीं जानता कि क्या देखना है।

यह भी संभव है कि सार्वजनिक ज्ञान बनने से पहले हार्टलेड बग का शोषण किया गया हो। यह संभव है कि साइबर अपराधियों या - अधिक संभावना है - राज्य निगरानी एजेंसियों ने बग की खोज की और इसका उपयोग किया गया है। यहाँ उदाहरण हम जानते हैं कि कुछ चीजों का सिर्फ एक स्नैपशॉट हैं।

प्रचार जायज है - यह महत्वपूर्ण है कि हम सेवाओं और उपकरणों को जल्द से जल्द प्राप्त करें ताकि क्षति को कम करने और भविष्य में बदतर हमलों से बचने में मदद मिल सके।

छवि क्रेडिट: फ़्लिकर पर snoopsmas, फ़्लिकर पर क्रिसडैग