हैकिंग खाता और यूनिकोड वर्ण

Spotifaya तकनीकी ब्लॉग ने उपयोगकर्ता इनपुट के विहितकरण की सुविधाओं का उपयोग करके हैकिंग सेवा खातों पर एक दिलचस्प अध्ययन प्रकाशित किया है । यह संभव हो गया था कि स्पॉटिफ़ेव को गर्व है - एक पूरी तरह से यूनिकोड लॉगिन। उदाहरण के लिए, एक उपयोगकर्ता के पास आसानी से एक स्नोमैन हो सकता है, जिसका नाम खाता है, यदि वह ऐसा चाहता है। हालाँकि, इसे लागू करना शुरू से ही कुछ असुविधा का कारण था।

गुड फ्राइडे पर कुछ साल पहले, टेक सपोर्ट फोरम पर सेवा पर किसी भी खाते को हैक करने की संभावना के बारे में एक संदेश पोस्ट किया गया था। एक कंपनी के प्रतिनिधि ने एक उदाहरण के रूप में अपने स्वयं के खाते का उपयोग करके इसे प्रदर्शित करने के लिए कहा, और कुछ मिनटों के बाद उसे एक नया पासवर्ड दिया गया और एक नई प्लेलिस्ट बनाई गई। इसने तुरंत "छेद" को बंद करने के प्रयास में ईस्टर खर्च करने के लिए मजबूर कई कर्मचारियों का ध्यान आकर्षित किया। भेद्यता की प्रकृति के कारण, नए खातों का पंजीकरण अस्थायी रूप से बंद कर दिया गया था।

हैकर ने निम्नानुसार कार्य किया: नाम के साथ एक खाता हैक करने के लिए, कहो, बड़ा, उसने नाम के साथ एक खाता पंजीकृत किया as (पायथन में, यह रेखा u'\u1d2e\u1d35\u1d33\u1d2e\u1d35\u1d3f\u1d30′ ) पासवर्ड रीसेट करने के लिए लिंक का अनुरोध करने के बाद, एक नया पासवर्ड सेट किया गया था, जो कि बिगबर्ड खाते के लिए उपयुक्त था।

समस्या एक उपयोगकर्ता नाम को कैनोनिकलाइज़ करना थी जो गलत तरीके से निषिद्ध और समान वर्णों को संसाधित करता है। जाहिर है, उपयोगकर्ता नाम में रिक्त स्थान की अनुमति नहीं है, और बिगबर्ड और बिगबर्ड एक ही लॉगिन हैं। पहला मामला निषिद्ध वर्णों का प्रसंस्करण है, दूसरा कुछ वर्णों का एक दूसरे के समतुल्य प्रसंस्करण है। यह उपयोगकर्ता नाम को कैनोनिकलाइज़ करके प्राप्त किया जाता है।

यदि केवल लैटिन वर्ण (ए - जेड, ए - जेड) की अनुमति है, तो यह पर्याप्त होगा

 canonical_username = username.lower() 

इस प्रकार, बिगबर्ड, बिगबर्ड, बिगबर्ड और किसी भी डेरिवेटिव का एक ही लॉगिन होगा। बिगबर्ड को तब सटीक उपयोगकर्ता नाम कहा जाता है, और बिगबर्ड को विहित कहा जाता है। एक खाता बनाते समय, यह आवश्यक है कि सिस्टम में विहित लॉगिन मुफ्त है।

लोअर केस में आइडम्पोटेंसी की संपत्ति होती है, यानी इसे एक ही लाइन पर एक या अधिक बार लगाने से समान परिणाम मिलता है:

 x.lower() == x.lower().lower() 

यूनिकोड वर्णों के संकल्प के साथ, विभिन्न प्रकार की समस्याएं शुरू होती हैं। उदाहरण के लिए, बाह्य रूप से Ω को ly से अलग करना मुश्किल है, हालांकि पहला अक्षर ओमेगा है, और दूसरा माप की इकाई का प्रतीक है, और यूनिकोड में ये अलग-अलग प्रतीक हैं। जाहिर है, केवल लोअरकेस पर्याप्त नहीं होगा। डेवलपर्स के लिए सौभाग्य से, हमें अपने स्वयं के कैनोनेज़ेशन सिस्टम को विकसित करने की आवश्यकता नहीं थी, ट्विस्टेड फ्रेमवर्क में एक्सएमपीपी के लिए भी आवश्यक तरीके विकसित किए गए थे।

 from twisted.words.protocols.jabber.xmpp_stringprep import nodeprep def canonical_username(name): return nodeprep.prepare(name) 

विशिष्टताओं में आय का वादा किया जाता है । तो क्या बात है? आइए देखें कि जब आप you टाइप करते हैं तो क्या होता है।

 >>> canonical_username(u'\u1d2e\u1d35\u1d33\u1d2e\u1d35\u1d3f\u1d30') u'BIGBIRD' >>> canonical_username(canonical_username(u'\u1d2e\u1d35\u1d33\u1d2e\u1d35\u1d3f\u1d30')) u'bigbird' 

जैसा कि देखा जा सकता है, इन प्रतीकों के लिए बेनामी संपत्ति संतुष्ट नहीं है। तथ्य यह है कि, आधिकारिक प्रलेखन के अनुसार, यूनिकोड 3.2 वर्णों को ध्यान में रखा गया था, जिसमें कोई भी of वर्ण शामिल नहीं है। जब विहितकरण फ़ंक्शन के एकल उपयोग के बाद खाता पंजीकृत करते हैं, BIGBIRD लॉगिन बनाया गया था, जो कि अनुमेय था, क्योंकि विहित नाम मौजूदा बिगबर्ड खाते के साथ ओवरलैप नहीं हुआ था। पासवर्ड रीसेट करने के लिए एक लिंक के साथ एक ई-मेल संदेश भेजते समय, एक बार once canonized किया गया था, इसलिए उपयोगकर्ता को BIGBIRD संदेश प्राप्त हुआ। लेकिन लिंक का उपयोग करते समय, कैनोनिज़लाइज़ेशन फ़ंक्शन का पुन: उपयोग किया गया था, जिससे बिगबर्ड खाते के लिए पासवर्ड रीसेट हो गया था, न कि बिगबर्ड।

X==canonical_username(X) शर्त की अनिवार्य पूर्ति के माध्यम से भेद्यता पहले तय की गई थी। बाद में, एक फ़ंक्शन जोड़ा गया था, वास्तव में, केवल old_prepare(old_prepare(name)) != old_prepare(name) फ़ंक्शन का प्रदर्शन किया और रजिस्टर करने से इनकार कर दिया अगर old_prepare(old_prepare(name)) != old_prepare(name) । ट्विस्टेड में समस्या 11.0.0 संस्करण में तय की गई थी, और, जैसा कि यह निकला, बग केवल पायथन संस्करण को 2.4 से 2.5 तक अपडेट करते समय दिखाई दिया, जो मानक पुस्तकालय में परिवर्तन के कारण हुआ था।

ऐसे मामले एक बार फिर उपयोगकर्ता इनपुट को सत्यापित करने और उपयोगकर्ताओं और कर्मचारियों के बीच नकारात्मक संचार से बचने की आवश्यकता पर जोर देते हैं। हैकरों को जो भेद्यता मिली, उन्हें कई महीनों तक निशुल्क प्रीमियम सदस्यता दी गई, और यह चरित्र प्रसंस्करण सुविधाओं के साथ समस्याओं का पहला और अंतिम मामला नहीं था। इसके अलावा, यह मत भूलो कि अपडेट हमेशा बग से छुटकारा पाने का वादा नहीं करते हैं और कभी-कभी नए को जन्म देते हैं।