[अनुवाद] अमेज़न बग पर काम कर रहा है

शोधकर्ताओं के एक समूह ने सबसे बड़ी ऑनलाइन ट्रेडिंग साइटों पर एक व्यावहारिक हमला किया जो मुफ्त में या निर्धारित मूल्य पर सामान प्राप्त करने के लिए बाहरी भुगतान स्वीकृति प्रणालियों का उपयोग करते हैं।

ऑनलाइन भुगतान प्रसंस्करण में "सुरक्षा छेद" ने उन्हें इलेक्ट्रॉनिक्स, डीवीडी, आवधिक, स्वच्छता उत्पादों और अन्य उत्पादों के लिए उन कीमतों पर खरीदने की अनुमति दी जो वे खुद के लिए निर्धारित करते हैं। शोधकर्ताओं ने सुरक्षा कमजोरियों के प्रासंगिक भंडार की जानकारी दी और इसे ठीक करने में मदद की। (स्रोत: इंडियाना यूनिवर्सिटी, इंडियाना यूनिवर्सिटी )

कुछ मामलों में, वे ऑनलाइन स्टोरों को समझाने में कामयाब रहे कि उन्होंने अमेज़ॅन पेमेंट, एक बाहरी भुगतान सेवा ( कैशियर-ए-ए-ए-सर्विस, सीएएएस ) के माध्यम से खरीदारी के लिए भुगतान किया, जबकि उन्होंने अमेज़ॅन के साथ अपने स्वयं के वाणिज्यिक खाते का भुगतान किया। शोधकर्ताओं ने इंस्टीट्यूट ऑफ इलेक्ट्रिकल एंड इलेक्ट्रॉनिक्स इंजीनियर्स के तत्वावधान में ओकलैंड, कैलिफोर्निया में सुरक्षा और गोपनीयता पर एक संगोष्ठी में मई [2011] में विवरण प्रदान करने की योजना बनाई है।

NopCommerce और Interspire जैसे वाणिज्यिक अनुप्रयोगों के अग्रणी, अमेज़न भुगतान जैसी बाहरी भुगतान सेवाओं के प्रदाता और कुछ लोकप्रिय ऑनलाइन ट्रेडिंग प्लेटफॉर्म में डेटा प्रोसेसिंग लॉजिक में गंभीर खामियां हैं। यह हमलावरों को ट्रेडिंग फ्लोर और बाहरी भुगतान सेवाओं ( अमेज़ॅन पेमेंट्स , पेपाल और Google चेकआउट ) के बीच भुगतान की स्थिति को स्थानांतरित करते समय असंगतता का लाभ उठाने की अनुमति देता है।

उल्लिखित प्रत्येक मामले में, शोधकर्ताओं ने प्रभावित पक्षों को मिली कमजोरियों के बारे में सूचित किया, अवैध रूप से प्राप्त सामानों को वापस कर दिया और पाया त्रुटियों की प्रकृति के बारे में सेवाओं से परामर्श किया और उन्हें कैसे ठीक किया जाए।

"हम मानते हैं कि बाहरी भुगतान सेवाओं के साथ काम करते समय हमलावर की अनुपस्थिति को सत्यापित करना बहुत मुश्किल होता है जो मिली कमजोरियों का लाभ उठा सकते हैं," -

जिओफेंग वांग ने कहा, अध्ययन के सह-लेखक और इंडियाना विश्वविद्यालय में कंप्यूटर विज्ञान और कंप्यूटर विज्ञान के प्रोफेसर।

"इसके अलावा, त्रि-स्तरीय इंटरैक्शन (एक ट्रेडिंग एप्लिकेशन, एक ऑनलाइन स्टोर और एक बाहरी भुगतान सेवा के बीच) एक ब्राउज़र और सर्वर के बीच दो-स्तरीय इंटरैक्शन की तुलना में अधिक जटिल है, इसलिए इसमें कपटपूर्ण तार्किक त्रुटियों का पता लगाया जाता है।"

शोधकर्ताओं के अनुसार, अधिकांश भेद्यता व्यापारिक अनुप्रयोगों में पाई गई, लेकिन जिम्मेदारी का हिस्सा बाहरी भुगतान सेवाओं के साथ है। एक मामले में, अमेज़ॅन पेमेंट्स एसडीके में एक भेद्यता का पता चला था, जिसने कंपनी को भुगतान सूचनाओं की जांच करने के तरीके को गंभीरता से बदलने के लिए मजबूर किया था।

जैसा कि रिपोर्ट में कहा गया है, प्रारंभिक अध्ययन ने केवल सरल तीन-लिंक इंटरैक्शन को प्रभावित किया और अन्य दलों जैसे नीलामी और एकीकृत ट्रेडिंग प्लेटफॉर्म को शामिल करने के विकल्पों पर विचार नहीं किया। सबसे अधिक संभावना है, ऐसे विकल्प और भी कमजोर हैं।

इस अध्ययन के प्रमुख लेखक के अनुसार, स्नातक छात्र रुई वांग,

“मल्टी-टीयर वेब एप्लिकेशन को आगे सुरक्षा कार्य की आवश्यकता होगी। हमने बाहरी भुगतान सेवाओं पर आधारित प्रणालियों के जटिल तंत्रों का विश्लेषण किया और इस निष्कर्ष पर पहुंचे कि सुरक्षा प्रणालियों को ऐसे प्रणालियों के विकास और परीक्षण के स्तर पर उठाया जाना चाहिए। हम हाइब्रिड वेब अनुप्रयोगों के लिए सुरक्षा कार्यों के नए क्षेत्र में पहले कदम के रूप में अपने काम पर विचार करते हैं। ”

अनुसंधान दल, जिसमें माइक्रोसॉफ्ट रिसर्च (शूमंड, वॉशिंगटन) से शुओ चेन और शाज़ कादिर भी शामिल हैं, समान कमजोरियों पर विचार करने का प्रस्ताव रखते हैं, जिसमें एक हमलावर कीमत में बड़े अंतर के साथ दो खरीद कर सकता है, फिर सस्ता लौटाएं और अधिक से अधिक वापसी करें महंगा।

"यह दिलचस्प होगा अगर हमने $ 1 और $ 10 के लिए ऑर्डर दिया, $ 1 के ऑर्डर को रद्द कर दिया, और $ 10 के ऑर्डर के लिए फंड हमें वापस कर दिया गया,"

रुई वांग कहते हैं।

जनवरी [2011] में, रुई वांग और जिओफेंग वांग, इसके अनुसंधान पर्यवेक्षक, और माइक्रोसॉफ्ट के एक शोधकर्ता शुओ चेन, एक शोध टीम के सदस्य थे जो फेसबुक पर भेद्यता का पता लगाते थे। इस भेद्यता ने दुर्भावनापूर्ण साइटों को व्यक्तिगत उपयोगकर्ता डेटा प्राप्त करने और प्रसारित करने की अनुमति दी। बाद में फेसबुक ने पुष्टि की और त्रुटियों को ठीक किया।