अचानक 2012: ओएस एक्स में सुरक्षा का क्या होगा?

2012 ओएस एक्स सुरक्षा के लिए एक "ताज़ा" वर्ष था - कम से कम पेशेवरों या शोधकर्ताओं के लिए। बात यह है कि वर्ष के दौरान कई घटनाएं हुईं जो हर किसी की नसों को थपथपाने में कामयाब रहीं। लेकिन, इस तथ्य के बावजूद कि उनमें से कुछ खुद ही Apple को शर्मिंदा करने में कामयाब रहे, कंपनी ने इस मामले को गंभीरता से लिया जब उसने अपने उपयोगकर्ताओं की सुरक्षा को छुआ।

यह लेख कम से कम आपको कई कंप्यूटर सुरक्षा आंकड़ों के विचारों से परिचित कराएगा, जिन्होंने पूरे वर्ष में ओएस एक्स दुनिया में विकास का बारीकी से पालन किया है।

वापस फ्लैशबैक में

फ्लैशबैक याद है? यह मैलवेयर पहली बार 2011 में मैक पर दिखाई दिया था, लेकिन यह बहुत आम नहीं था और इस वर्ष की शुरुआत तक - सभी उपयोगकर्ताओं को धमकी देने की संभावना नहीं थी। अचानक, Apple का सामना OS X के लिए पहले वास्तव में योग्य "वायरस" से हुआ था, और ऐसे समय में जब Apple पहले से कहीं अधिक प्रेस पर दिखाई दिया।

इस घटना ने Apple के लिए "अस्पष्टता के माध्यम से सुरक्षा" (मूल रूप से "अस्पष्टता के माध्यम से सुरक्षा") के अंत के बारे में चर्चा की लहर उठाई। शोधकर्ताओं और वैज्ञानिकों ने तब सर्वसम्मति से कहा कि Apple की बढ़ती लोकप्रियता से ओएस एक्स और आईओएस सुरक्षा प्रणालियों पर हमलों में वृद्धि होगी। बेशक, इस बात से इनकार करना मुश्किल है कि मैक उपयोगकर्ताओं पर दुर्भावनापूर्ण हमले लगातार हो रहे हैं, और Apple ने खुद एक दुर्भाग्यपूर्ण गलती की, ओरेकल से एक पैच द्वारा तय किए जाने के बाद पूरे दो महीनों के लिए अपने जावा में एक छेद छोड़ दिया ।

जावा हटाना

और फिर भी, ऐप्पल की देरी के बावजूद, फ्लैशबैक की विफलता ओएस एक्स सुरक्षा के बारे में सबसे महत्वपूर्ण निर्णयों में से एक के लिए प्रेरणा थी।

कंप्यूटर सुरक्षा विशेषज्ञ (और ओबामा के अमेरिका में वरिष्ठ कंप्यूटर सुरक्षा इंजीनियर) ने कहा , "फ्लैशबैक से ऐप्पल की दोनों पहलें हुईं: जावा को मानक प्रणाली से हटाकर और सिस्टम को साफ करने के लिए एक अलग कार्यक्रम बनाया गया ।" "जब ओएस निर्माता सिस्टम को साफ करने के लिए एक विशेष उपयोगिता जारी करता है, तो इसका मतलब केवल एक चीज है - चीजें घटिया हो जाती हैं।"

हेगन बताते हैं कि ऐप्पल को अपने स्वयं के फ्लैशबैक सिस्टम क्लीनअप प्रोग्राम को जारी करने की आवश्यकता इंगित करती है कि मैक ऐप स्टोर और उपयोगकर्ता "इसके लिए परिपक्व नहीं हैं।" लेकिन बहुत अधिक महत्वपूर्ण समाधान ओएस एक्स उपयोगकर्ताओं के जीवन में जावा की भूमिका को कम करने के लिए संभव था, जो कि उपयोगकर्ता द्वारा डाउनलोड और इंस्टॉलेशन तक सही है।

“जावा को हटाना एक बहुत ही दिलचस्प समाधान है, और वास्तव में यह एप्पल का एक बयान है। उपयोगकर्ता प्रणालियों के जावा में खोलने के कुछ तरीके हैं; नए, दूरस्थ कमजोरियों को इस वर्ष एक या अधिक बार पाया गया है, ”हेगन कहते हैं। "जावा को हटाने से ऐप्पल का जीवन आसान हो जाता है और जीवन आसान और सुरक्षित हो जाता है।"

व्यापक रूप से संकीर्ण क्षेत्रों में जाना जाता है, चार्ली मिलर (आईओएस और ओएस एक्स के "हैकर") इस कथन से सहमत हैं, यह जोड़ना कि शायद यह 2012 में एप्पल द्वारा किए गए सभी का सबसे महत्वपूर्ण निर्णय है।

“अब ओएस एक्स के लिए एक शोषण लिखने के लिए जितना प्रयास करने की आवश्यकता है, उतना ही विंडोज के लिए एक शोषण लिखने के बारे में है। बात यह है कि विंडोज के तहत ओएस एक्स की तुलना में अधिक उपयोगकर्ता हैं - इसलिए, ओएस एक्स के तहत एक शोषण खोजना इतना आसान नहीं है। लेकिन यह शर्त केवल तभी मान्य होती है जब हम सूची से जावा के लिए शोषण को बाहर करते हैं, ”मिलर कहते हैं। "जावा एप्लेट के लिए"

मिलर का यह भी दावा है कि जावा वास्तव में एकमात्र कारण है जो हम मैक के लिए कारनामे देखते हैं। "एप्पल द्वारा ओएस एक्स पर स्थापित जावा पैकेज की संख्या को कम करने का कोई भी प्रयास पूरे सिस्टम की सुरक्षा के लिए एक प्लस है, उपयोगकर्ताओं के वास्तविक जीवन के लिए एक वास्तविक लाभ है," वे कहते हैं।

हस्ताक्षरित अनुप्रयोगों के लिए संक्रमण

लेकिन भले ही फ्लैशबैक "तुला", और जावा "स्वयं" चला गया, एप्पल पहले से ही उपयोगकर्ताओं के मैक अनुप्रयोगों के साथ बातचीत करने के तरीके में कई अन्य महत्वपूर्ण बदलाव लाने की प्रक्रिया में था। माउंटेन लायन की एक नई विशेषता, 2012 की गर्मियों में जारी (डिफ़ॉल्ट रूप से) सिस्टम पर तृतीय-पक्ष एप्लिकेशन की स्थापना को प्रतिबंधित करेगी, इस प्रकार उपयोगकर्ता को अज्ञात स्रोतों से एप्लिकेशन इंस्टॉल करने से बचाएगी - जिसमें दुर्भावनापूर्ण भी शामिल हैं।

गेटकीपर नामक इस सुविधा के लिए, ऐप्पल डेवलपर इकोसिस्टम की आवश्यकता होती है, ताकि वे अपने ऐप्स को एक पंजीकृत प्रमाण पत्र के साथ भी हस्ताक्षरित कर सकें - फिर भी उन्हें गलत काम करने के लिए सभी ज़िम्मेदारियों को छोड़कर - या मैक ऐप स्टोर के माध्यम से अपने ऐप को बेचना और उन्हें ऐप्पल 30 को देना आपके लाभ का प्रतिशत। डेवलपर्स की प्रतिक्रिया आश्चर्यजनक रूप से शांत हो गई, अधिकांश ने बताया कि वे उपयोगकर्ताओं को दिए गए नियंत्रण के बारे में आशावादी थे और यह वास्तव में सार्थक अनुप्रयोगों के वितरण में बाधा नहीं होगी।

जब, कुछ महीनों के बाद, हमने फिर से मैक के लिए डेवलपर्स की ओर रुख किया, तब भी उनके पास पूरे पारिस्थितिकी तंत्र पर गेटकीपर द्वारा प्रदान किए गए प्रभाव के बारे में बहुत अच्छा बदलाव था। “यह मुझे लगता है कि गेटकीयर उपयोगकर्ता के लिए सिर्फ एक प्लस है। यह प्रच्छन्न हमलों के खिलाफ काफी प्रभावी है, और वे मैलवेयर डेवलपर्स के बीच बहुत लोकप्रिय हैं, “डेल्ही मॉन्स्टर के विली शिपले ने हमें सितंबर में बताया था। क्रेग होकेनबेरी उससे सहमत थे: “निश्चित रूप से, यह मुझे लगता है कि गेट कीपर उपयोगकर्ताओं की मदद करता है। अब, यहां तक ​​कि गलती से आवेदन पर क्लिक करने और एक संदेश देखकर यह कहते हुए कि यह हस्ताक्षरित नहीं है, मैं इसे स्थापित करने से पहले सौ बार सोच सकता हूं। ”

वास्तव में, हमने गेटकीपर के अनुभव को इतना सकारात्मक होने की उम्मीद नहीं की थी - जितना हम उम्मीद करते हैं, उससे कहीं बेहतर है। और सुरक्षा विशेषज्ञ इस बारे में आशावादी हैं कि इस विचार ने उन्हें कितना आगे बढ़ाया है। "सुरक्षा के दृष्टिकोण से, ऐप्पल ओएस एक्स में ऐपस्टोर में जाना जारी रखता है, और अनुप्रयोगों के लिए सख्ती से सत्यापन योग्य प्रमाण पत्र के अलावा पारिस्थितिकी तंत्र में एक महत्वपूर्ण बदलाव करता है," हेगन कहते हैं। “ऐप स्टोर में होने वाला गुणवत्ता नियंत्रण उपयोगकर्ताओं के लिए सॉफ़्टवेयर की गुणवत्ता में महत्वपूर्ण सुधार करने का एक तरीका है। और रास्ते में, आप वायरस से संक्रमण की संभावना से छुटकारा पा सकते हैं। ”

एक अच्छे समय में एक सफल हैक

अब तक हमने जो कुछ भी बात की थी वह 2012 में कंप्यूटर सुरक्षा के मामले में मैक उपयोगकर्ताओं की दुनिया में चर्चा का एकमात्र विषय नहीं था। वायर्ड एडिटर मैट होनान के अगस्त " हैक " ने एक कारण के लिए जोर से सुर्खियां बटोरीं - एक रिमोट हमले का उपयोग करके हॉनन के आईफोन, आईपैड और मैक से सभी डेटा हटा दिए गए थे, और वह बैकअप नहीं बना सका। लेकिन इस मामले में एक और बात आश्चर्यजनक है - इसके लिए किन तकनीकों का उपयोग किया गया था। सामान्य तौर पर, ये Apple प्रौद्योगिकियां हैं - बहुत ही जो आमतौर पर आईक्लाउड क्लाउड सेवा के नवीनतम संस्करण से जुड़ी होती हैं।

यह सिर्फ आईक्लाउड बग नहीं था। अमेज़ॅन भी इसमें शामिल था , और हमलावरों के पास अमेज़ॅन और ऐप्पल दोनों के लिए पर्याप्त सामाजिक इंजीनियरिंग कौशल थे - उन्हें हर उस चीज तक पहुंच मिली जो उन्हें होनान के डिजिटल जीवन को नष्ट करने के लिए आवश्यक थी।

और यहाँ Apple, सच में है? कंपनी सीधे तौर पर होनान के डेटा को नष्ट करने में शामिल नहीं थी, लेकिन, जैसा कि हेगन बताते हैं, यह मामला इस साल इसलिए ध्यान देने योग्य हो गया क्योंकि इसने "ऑनलाइन खातों के साथ कई प्रणालियों में मानवीय कारकों पर जोर दिया और Apple के iCloud को धोखे के साधन के रूप में उपयोग किया" ।

होनन के आईक्लाउड खाते के साथ छेड़छाड़ किए जाने के बाद, उसके उपकरण पूरी तरह से नष्ट होने के साथ हमला करने के लिए खुले थे। “उपयोगकर्ताओं को अभी तक इस तरह की समस्या का सामना नहीं करना पड़ा है; अपने ऑनलाइन खातों की रक्षा करने में असमर्थता उनके उपकरणों को बेकार बना देती है, ”हेगन कहते हैं। "इस हमले ने ऐप्पल को सामाजिक हमलों से अपने खातों की रक्षा शुरू करने की आवश्यकता को रेखांकित किया और सभी को अपने एप्पल खातों को विशेष सावधानी और देखभाल के साथ इलाज करने के लिए याद दिलाया।"

वास्तव में, कॉनन का उद्घाटन हममें से कई लोगों के पासवर्ड बदलने, दो-स्तरीय प्राधिकरण चालू करने और सुनिश्चित करने के लिए किया गया था कि बैकअप हमेशा हमारे जीवन में रहने की जगह हो। अमेज़ॅन और ऐप्पल दोनों ने अपने निष्कर्ष बनाए और समझौतों की शर्तों को बदल दिया, इसलिए अब इस प्रकार के हमले को अंजाम देना अधिक कठिन होगा। इस कहानी का सुखद अंत नहीं है, लेकिन होनान की हार हमारे लिए अच्छी खबर है।

2013 के लिए पूर्वानुमान

यह पता चला कि 2012 Apple और OS X सुरक्षा के लिए कमजोरियों का वर्ष था, लेकिन, अंत में, "यह मुझे लगता है कि Apple बहुत अच्छे आकार में है," मिलर ने कहा।

लेकिन यह व्यर्थ नहीं है कि पूर्णता की कोई सीमा नहीं है। ओएस एक्स में उपयोगकर्ता और पेशेवर 2013 में क्या देखना चाहते हैं?

मिलर एप्पल से ही अधिक पारदर्शिता चाहते हैं। "मैं अधिक से अधिक" पारदर्शिता "और सूचना सुरक्षा समुदाय के साथ बातचीत का अवसर प्राप्त करना चाहूंगा। ब्लैकहैट में उनका प्रदर्शन, जहाँ वे एक भी सवाल नहीं पूछ सकते थे, एक फरेस की तरह था, ”मिलर कहते हैं। "मैं उनके परीक्षण के तरीकों के बारे में अधिक जानकारी देखना चाहूंगा, AppStore में समीक्षा प्रक्रिया के बारे में जानूंगा और अंत में उनके सिस्टम की सुरक्षा के बारे में सवालों के जवाब सुनूंगा।"

हम सभी जानते हैं कि "पारदर्शिता" और "ऐप्पल" शब्द शायद ही कभी एक वाक्य में एक साथ पाए जाते हैं, लेकिन विशेष रूप से सीईओ टिम कुक के रूप में धीरे-धीरे (और बहुत सावधानी से) एप्पल के खुले दुनिया के बाकी मामलों के बारे में स्थिति को बदलना शुरू कर देता है। लेकिन हेगन जो देखना चाहेगा वह उनके वर्तमान व्यवहार से बहुत आगे निकल जाएगा - वह चाहेगा कि समुदाय अपनी सुरक्षा का ख्याल रखने में सक्षम हो।

“मुझे लगता है कि OSX के लिए एंटीवायरस और एंटी-स्पाइवेयर सॉफ़्टवेयर अगले संभावित खतरों के मामले में जल्दी से शक्ति प्राप्त करेंगे। इस तरह का अपना सॉफ्टवेयर बनाने के लिए माइक्रोसॉफ्ट के दृष्टिकोण ने भुगतान किया है, इसलिए यह बहुत अच्छा होगा अगर Apple ने सूट किया, ”हेगन कहते हैं। "ऐप स्टोर और सिस्टम अपडेट के संयोजन से चीजें बहुत आसान हो जाती हैं, और ओएसएक्स उपयोगकर्ताओं को बस नियमित अपडेट के लिए उपयोग करने की आवश्यकता होती है।"