XMPP इंस्टेंट मैसेजिंग सिक्योरिटी: प्रेजेंट एंड फ्यूचर

तेजी से, अलग-अलग डिग्री में, ICQ को त्याग कर, त्वरित संदेश के लिए XMPP प्रोटोकॉल (Jabber) के आधार पर कई लोग समाधानों का उपयोग कर रहे हैं। यह दृष्टिकोण, निश्चित रूप से, जेबर के खुलेपन के कारण सही है - हर कोई चुन सकता है कि कौन सा सर्वर उसके लिए उपयोग करें या यहां तक ​​कि अपने स्वयं के काम को व्यवस्थित करें। इसके अलावा, एक्सएमपीपी ने खुद को कॉर्पोरेट वातावरण में साबित कर दिया है और कई कंपनियां सूचना के आदान-प्रदान के लिए ई-मेल के साथ कई वर्षों से सफलतापूर्वक जेबर का उपयोग कर रही हैं।
यह आमतौर पर स्वीकार किया जाता है कि सूचना सुरक्षा के संदर्भ में जब्बार प्रोटोकॉल पर आधारित संचार समाधान सबसे कम असुरक्षित हैं। इस लेख में मैं यह विश्लेषण करने की कोशिश करूंगा कि क्या वास्तव में ऐसा है और इस दिशा में एक्सएमपीपी की क्या वास्तविक संभावनाएं हैं। इस मुद्दे पर सार्वजनिक और निजी सेवाओं के लिए और कॉर्पोरेट सेटिंग में व्यक्तिगत उद्देश्यों के लिए संदेश भेजने के लिए प्रोटोकॉल का उपयोग करने के संदर्भ में विचार किया जाएगा।

व्यक्तिगत संचार के लिए जबेर

अनचाहे संदेश

व्यक्तिगत संचार के लिए, जेबर का उपयोग बड़े पैमाने पर अपेक्षाकृत हाल ही में किया जाना शुरू हुआ, जो वाणिज्यिक स्पैम की वास्तविक अनुपस्थिति (या एक्सएमपीपी स्टैंडर्ड फाउंडेशन की शब्दावली में घूमना) का कारण बनता है। मैंने विशेष रूप से वाणिज्यिक स्पैम की अनुपस्थिति पर ध्यान केंद्रित किया है, क्योंकि इस समय बड़े जैबर-सर्वर पर एकल मेलिंग हैं, जो कि "स्कूली बच्चों" द्वारा पायथन लिपियों का उपयोग केवल मनोरंजन के लिए किया जाता है और किसी भी सामान और सेवाओं को बढ़ावा देने के उद्देश्य से नहीं हैं। निकट भविष्य में, Jabber में वाणिज्यिक स्पैम दिखाई दे सकता है, लेकिन इसे ICQ की तरह बड़े पैमाने पर विकास प्राप्त नहीं होना चाहिए। इसका आधार इस पोस्ट में अच्छी तरह से लिखा गया है।

एक्सएमपीपी एक खुला और एक्स्टेंसिबल प्रोटोकॉल है जो डेवलपर्स को सभी प्रकार के शेपर्स और फिल्टर लिखने में सीमित नहीं करता है। तो qip.ru पर jabber-server URL- और JID- फिल्टर्स सफलतापूर्वक काम करते हैं, और jabber.ru पर आप थर्ड-पार्टी सर्विस (बॉट) का उपयोग करके अपने कॉन्फ्रेंस में म्यूक-फिल्टर को सक्षम कर सकते हैं। इसके अलावा, जेबर में गोपनीयता सूचियों को सक्रिय करने की क्षमता है, जिससे उपयोगकर्ता संपर्कों से संदेशों की प्राप्ति को विनियमित करने की अनुमति देता है, जिसमें रोस्टर से नहीं शामिल है।
यह ध्यान दिया जाना चाहिए कि XEP-0159 मौजूद है और वह विकसित कर रहा है जो स्पैम संदेशों को अवरुद्ध करने के तरीकों का वर्णन करता है।

उपयोगकर्ता या सम्मेलन JIDs के उद्देश्य से बाढ़ के हमले

फिलहाल, जैबर में बाढ़ के हमलों की समस्या अभी भी प्रासंगिक है। उसी समय, एक विशिष्ट उपयोगकर्ता JID पर इस तरह के हमले मुश्किल होते हैं, सबसे पहले शेपर्स के कारण जो सर्वर साइड पर प्रति यूनिट समय प्रेषित जानकारी की मात्रा को सीमित करता है, और दूसरा, गोपनीयता सूचियों का उपयोग करने की संभावना के कारण।
एक जैबर सम्मेलन में हमले धीरे-धीरे अतीत की बात बनते जा रहे हैं - आप उन्हें कमरे की सेटिंग्स में कैप्चा सुरक्षा को सक्षम करके लड़ सकते हैं (यदि सर्वर इस कार्यक्षमता का समर्थन करता है)। हालाँकि, सिक्के का एक दूसरा पहलू है - कई कैप्चा अनुरोधों के साथ, स्वयं कैप्चा जेनरेशन सेवा की सेवा से वंचित हो सकता है (जो कि इस तरह से सुरक्षित किए गए हमलावर सर्वर पर सभी चैट में लॉग इन करना असंभव बना देगा), और पूरे के रूप में नोड्स।

पासवर्ड सुरक्षा

सबसे लोकप्रिय Ejabberd जैबर-सर्वरों में से एक "बॉक्स से बाहर" पासवर्ड को स्पष्ट में संग्रहीत करता है, लेकिन ODBC का उपयोग करते समय पासवर्ड को md5 हैश ( इस पैच का उपयोग करके, उदाहरण के लिए) के रूप में संग्रहीत करना संभव है।
दुर्भावनापूर्ण सॉफ़्टवेयर जो JID के उपयोगकर्ता पासवर्ड से समझौता करता है, वह बहुत छोटा है। आमतौर पर, ये विभिन्न ओपन सोर्स क्लाइंट्स के संशोधन होते हैं, जिन्हें लोकप्रिय जैबर सम्मेलनों में मेलिंग सूचियों के माध्यम से वितरित किया जाता है। हाल ही में, लोकप्रिय मोबाइल जैबर क्लाइंट बॉम्बस का एक दुर्भावनापूर्ण संशोधन खोजा गया था, जो दर्ज किए गए JID और पासवर्ड को एक विशिष्ट ई-मेल (ट्रोजन-PSW.J2ME.Bomzuz.a को Kaspersky Lab के वर्गीकरण में) भेजता है। इस मामले में, उपयोगकर्ताओं को केवल ऐसे संशोधनों से सावधान रहने और ग्राहक कार्यक्रमों को केवल आधिकारिक / विश्वसनीय संसाधनों से डाउनलोड करने की सलाह दी जा सकती है।
लगभग सभी वर्तमान में मौजूद जैबर-सर्वर किसी भी तरह से जानवर बल के हमलों से सुरक्षित नहीं हैं, जो अभी तक बड़े पैमाने पर नहीं देखे गए हैं, लेकिन सिद्धांत रूप में संभव है। यह स्थिति ठीक करने योग्य है - अस्थायी अवरोधन समस्या को हल करने में मदद करेगा, पासवर्ड प्रयासों की संख्या को सीमित करेगा।

डेटा सुरक्षा

लगभग सभी बड़े सर्वर में ssl / tls एन्क्रिप्शन का उपयोग करके सुरक्षित कनेक्शन स्थापित करने की क्षमता होती है, जो पासवर्ड और पत्राचार को बाधित करने की संभावना को समाप्त करता है। एन्क्रिप्शन भी अपने सर्वर पर स्थापित करने के लिए आसान है।
कुछ समय पहले, ICQ में भी सुरक्षित डेटा अंतरण को सक्षम करना संभव था, लेकिन Mail.Ru Group द्वारा इस सेवा की खरीद के बाद इस फ़ंक्शन ने काम करना बंद कर दिया। यह इस तथ्य के कारण है कि एओएल ने इस सुविधा के कार्यान्वयन को नहीं बेचा।
कुछ क्लाइंट प्रोग्राम GPG और OTR का उपयोग करके प्रसारित जानकारी को अतिरिक्त रूप से एन्क्रिप्ट करने के लिए एक विशेष प्लगइन का उपयोग करने की अनुमति देते हैं। उसी समय, यह आवश्यक है कि इस तरह के एक प्लगइन को दोनों वार्ताकारों के लिए स्थापित किया जाए।

एक कॉर्पोरेट वातावरण में एक संचार उपकरण के रूप में जैबर

जब एक उद्यम वातावरण में जेबर का उपयोग करते हुए, असीमित बाहरी पहुंच (जैबर कॉन्फ्रेंस, ट्रांसपोर्ट, वीकार्ड खोज सेवा - vjud) के साथ विभिन्न सेवाएं एक संभावित खतरा पैदा करती हैं।
जाबेर-सम्मेलन, ज़ाहिर है, संचार का एक बहुत सुविधाजनक साधन है। हालाँकि, अक्सर, कॉर्पोरेट xmpp सर्वर के प्रशासक s2s (जो कि अन्य सर्वर के उपयोगकर्ताओं के लिए) पर सम्मेलनों की पहुँच को रोकना भूल जाते हैं और महत्वपूर्ण कॉर्पोरेट जानकारी सार्वजनिक डोमेन में दिखाई दे सकती है। इसके अलावा, हमलावर असुरक्षित सेवा पर सम्मेलनों का बाढ़ हमला आयोजित कर सकते हैं, जो बाद में पूरे के रूप में xmpp सर्वर के लिए सेवा से इनकार कर सकता है।
सभी सर्वरों के उपयोगकर्ताओं के लिए खुले ट्रांसपोर्ट हमलावरों को उनके असली आईपी को छिपाने में मदद कर सकते हैं (उदाहरण के लिए, यदि कोई तृतीय-पक्ष उपयोगकर्ता आईआरसी परिवहन में लॉग इन करता है, तो वह आईपी से आईआरसी चैट में लॉग इन करेगा जिसमें एंटरप्राइज जैबर सर्वर है)। अन्य वाहनों (आईसीक्यू, एमआरए, आदि) के मामले में, तीसरे पक्ष के उपयोगकर्ता एक अतिरिक्त भार बना सकते हैं, जिससे सेवा की गलती सहनशीलता कम हो जाती है।
व्यवसाय कार्ड (vjud) से डेटा के लिए सार्वजनिक पहुँच खोज सेवाओं के लिए सबसे बड़ा खतरा खुला है। बहुत बार jabber सर्वर आंतरिक स्रोतों से vcard के लिए डेटा लेता है (उदाहरण के लिए, LDAP का उपयोग करते समय) और परिणामस्वरूप, vcard में कर्मचारी (व्यक्तिगत और व्यावसायिक ई-मेल, फोन नंबर, विभाग का नाम और यहां तक ​​कि घर का पता) के बारे में बंद जानकारी हो सकती है। हमलावर लोकप्रिय नामों और उपनामों के लिए vjud के माध्यम से एक स्वचालित खोज का आयोजन कर सकते हैं, जिससे आधिकारिक उपयोग के लिए डेटा प्राप्त हो सकता है)।
कॉर्पोरेट जैबर-सर्वर के प्रशासकों को लॉन्च किए गए मॉड्यूल की बारीकी से निगरानी करने और अप्रयुक्त सेवाओं तक अक्षम या ब्लॉक करने की आवश्यकता है।
नए उपयोगकर्ताओं को पंजीकृत करने की नीति के लिए कॉर्पोरेट और निजी सर्वर दोनों के प्रशासकों को अधिक चौकस रहने की आवश्यकता है। कॉर्पोरेट सर्वर के मामले में, खुले पंजीकरण को पूरी तरह से प्रतिबंधित किया जाना चाहिए, क्योंकि कर्मचारी के खाते को उस समय व्यवस्थापक द्वारा स्थापित किया जाना चाहिए जब वह अन्य आंतरिक खातों के साथ काम करने के लिए स्वीकार किया जाता है। निजी सर्वर के मामले में, नए खातों के पंजीकरण को सीमित करने की सलाह दी जाती है (उदाहरण के लिए, कैप्चा का उपयोग करके), या इस सुविधा को अक्षम करें।

सारांश

जब्बार प्रोटोकॉल की बढ़ती लोकप्रियता के बावजूद, खतरे अभी भी गैर-लाभकारी हैं। हालांकि, निकट भविष्य में वाणिज्यिक स्पैम संदेशों को सक्रिय करना संभव है, साथ ही साथ दुर्भावनापूर्ण लिंक वाले संदेश भी। हालांकि, इसकी व्यापकता के कारण, प्रोटोकॉल इसे ऐसे खतरों का प्रभावी ढंग से मुकाबला करने और अंत-उपयोगकर्ताओं को अनुचित सामग्री प्राप्त होने की संभावना को कम करने की अनुमति देता है।
एक कॉर्पोरेट संचार उपकरण के रूप में जाबर काफी सुरक्षित और विश्वसनीय है, लेकिन सर्वर प्रशासकों को सेवाओं तक पहुंच के स्तर की सावधानीपूर्वक निगरानी करनी चाहिए।