ड्रॉपबॉक्स क्लाइंट रिवर्स इंजीनियरिंग

कुछ समय पहले तक, पायथन में लिखे गए रिवर्स इंजीनियरिंग अत्यधिक ओफ़्फ़ुसकेटेड अनुप्रयोगों की संभावना के बारे में संदेह थे। दो ड्रॉपबॉक्स क्लाइंट प्रोग्रामर द्वारा हाल ही में रिवर्स इंजीनियरिंग ने साबित कर दिया है कि यह संभव है।

इस साल के फरवरी में, मोबाइल वर्ल्ड कांग्रेस में, सीईओ ड्रू ह्यूस्टन ने खुशी से घोषणा की कि ड्रॉपबॉक्स, जो कि एक प्रसिद्ध स्टोरेज सेवा है, ने 100 मिलियन उपयोगकर्ता के निशान को पार कर लिया था, और यह कि 100 मिलियन उपयोगकर्ता हर दिन ड्रॉपबॉक्स सर्वर पर एक मिलियन से अधिक फाइलें अपलोड करते हैं। दो साल पहले, ड्रॉपबॉक्स के केवल 25 मिलियन उपयोगकर्ता थे और प्रति दिन बहुत कम डाउनलोड होते थे।

किस उद्देश्य से मैंने यह सब उल्लेख किया? ड्रॉपबॉक्स की सफलता कई समस्याग्रस्त मुद्दों पर काबू पाने के बिना नहीं आई, और ऐसा लगता है कि सेवा दल के पास अब एक नया सिरदर्द होगा - और सभी धीरू खोलिया और प्रेज़मिसलाव व्रेंजिन के कारण।

हम हुड के नीचे देखते हैं

अपनी रिपोर्ट " ड्रॉप" बॉक्स में , धीरू और प्रेज़मिसलाव सीधे बिंदु पर जाते हैं:

“हम ड्रॉपबॉक्स दो-कारक प्रमाणीकरण को दरकिनार करने और ड्रॉपबॉक्स खातों को चोरी करने के लिए तरीकों का वर्णन करते हैं। इसके अलावा, कोड इंजेक्शन और मंकी-पैचिंग की तकनीकों का उपयोग करके एसएसएल का उपयोग करके प्रेषित डेटा को इंटरसेप्ट करने के मूल सिद्धांत "

धीरू और प्रिज़्मिसलाव ने ड्रॉपबॉक्स क्लाइंट के रिवर्स इंजीनियरिंग के लिए एक समान परिणाम प्राप्त किया। ऐसा लगता है कि यह आश्चर्य की बात नहीं है, लेकिन केवल अगर आप मुख्य बात को ध्यान में नहीं रखते हैं, तो उनके काम की विशिष्टता यह है कि वे यह पता लगाने में कामयाब रहे कि इंजीनियर को पायथन में एक मोटे आवेदन को कैसे उल्टा करना है।

क्लाइंट में एक संशोधित पाइथन इंटरप्रेटर होता है जो पाइथन में ओफ़्सेटेड बाईटेकोड चलाता है। हालांकि, ड्रॉपबॉक्स एक मालिकाना मंच है, जिसका स्रोत कोड ग्राहकों के लिए बंद है, और इसके अलावा, यहां तक ​​कि क्लाइंट द्वारा उपयोग किए गए एपीआई को कहीं भी प्रलेखित नहीं किया गया है। इसलिए, रिवर्स इंजीनियरिंग में पिछले सभी प्रयास विशेष रूप से सफल नहीं हुए हैं। इस बार, धीरू और प्रिज़ीस्लाव न केवल ध्यान देने योग्य परिणाम प्राप्त करने में कामयाब रहे, बल्कि एक आवेदन के दायरे से भी आगे निकल गए, जो रिपोर्ट में संकेत देता है:

"वर्णित तकनीकों का उपयोग अन्य बंद पाइथन अनुप्रयोगों को उलटने के लिए किया जा सकता है।"

परिणाम

शोधकर्ता ड्रॉपबॉक्स के कई रहस्यों को उजागर करने में सक्षम रहे हैं। सबसे पहले, उन्होंने पंजीकरण प्रक्रियाओं का अध्ययन किया, एक खाता चोरी करने के लिए लॉगिन और "लॉन्च ड्रॉपबॉक्स वेबसाइट" फ़ंक्शन का अध्ययन किया। फिर वे निम्नलिखित का पता लगाने में कामयाब रहे:

• ड्रॉपबॉक्स सर्वर से एसएसएल ट्रैफिक को कैसे इंटरसेप्ट करें
• कैसे करें बायपास ड्रॉपबॉक्स टू-फैक्टर ऑथेंटिकेशन
• एक ओपन-सोर्स ड्रॉपबॉक्स क्लाइंट कैसे बनाएं

रिपोर्ट में पर्याप्त विस्तार से बताया गया है कि कैसे प्रोग्रामर सफलतापूर्वक पीड़ित के खाते और फाइलों तक पहुंच प्राप्त करते हैं। यह उल्लेख किया गया है कि संस्करण से संस्करण ड्रॉपबॉक्स डेवलपर्स ने क्लाइंट की सुरक्षा को जटिल कर दिया है, इसलिए ड्रॉपबॉक्स के विभिन्न संस्करणों को क्रैक करने के लिए विभिन्न हमलों का उपयोग किया गया था।

अध्ययन के लेखकों को उम्मीद है कि आयोजित इंजीनियरिंग ड्रॉपबॉक्स के डेवलपर्स को कई बार इसके पुनरावृत्ति की संभावना को और अधिक कठिन बनाने के लिए मजबूर करेगा। इसी समय, वे यह स्पष्ट करते हैं कि बंद स्रोत में कोई विशेष अर्थ नहीं है:

उसी समय, यह हमारे लिए स्पष्ट नहीं है कि ड्रॉपबॉक्स ऐसे प्रयास क्यों करता है ताकि उलट असंभव हो जाए। उनके "गुप्त अवयवों" में से अधिकांश अभी भी सर्वर साइड पर संग्रहीत हैं, जो पहले से ही अच्छी तरह से संरक्षित है। हमें यकीन नहीं है कि विरोधी उलट उपाय उपयोगकर्ताओं और ड्रॉपबॉक्स दोनों के लिए कोई लाभ लाते हैं।

अन्य विशेषज्ञों के अनुसार, दस्तावेज़ में ड्रॉपबॉक्स क्लाइंट के स्रोत कोड "अनपैकिंग" के लिए चरण-दर-चरण निर्देश हैं, जो कंपनी स्पष्ट रूप से नहीं चाहती थी। अब, कई इस स्रोत कोड को लेने और अपने स्वयं के प्रयोजनों के लिए इसका उपयोग करने में सक्षम होंगे। एक और बात यह है कि हम यह नहीं जानते कि किसी ने पहले अपने उद्देश्यों के लिए परिणामी रिवर्स का उपयोग करते हुए ऐसा किया है।