पासवर्ड बदलने का समय

आज मुख्य यैंडेक्स पर, हम सभी उपयोगकर्ताओं को आपके पासवर्ड की निगरानी करने और उन्हें नियमित रूप से बदलने के महत्व के बारे में हमारे सुझावों के साथ एक पेज का लिंक दिखाएंगे।

आप शायद जानते हैं कि हम ऐसा क्यों कर रहे हैं। CVE-2014-0160 हाल के वर्षों में पाए जाने वाले सबसे गंभीर कमजोरियों में से एक है। यह कहना नहीं है कि यह केवल कुछ सेवाओं और साइटों की चिंता करता है - भेद्यता लगभग पूरे इंटरनेट को प्रभावित करती है। ओपनएसएसएल सबसे आम क्रिप्टो लाइब्रेरी में से एक है। विभिन्न अनुमानों के अनुसार, इंटरनेट पर सभी HTTPS कनेक्शन के दो तिहाई तक इस लाइब्रेरी का उपयोग करके आयोजित किया जाता है।

इस पोस्ट में मैं आपको बताऊंगा कि हमने भेद्यता सूचना पर कैसे प्रतिक्रिया दी, क्या, कब और क्यों किया।

HeartBleed ने OpenSSL संस्करणों 1.0.1 के माध्यम से प्रभावित किया है। हमने दिसंबर 2013 में इस ओपनएसएसएल शाखा का उपयोग करना शुरू कर दिया था, क्योंकि पिछले संस्करणों ने नए मजबूत क्रिप्टोग्राफिक प्रोटोकॉल टीएलएस 1.1 और टीएलएस 1.2 का समर्थन नहीं किया था (आप जांच सकते हैं कि प्रोटोकॉल सेवा का कितना मजबूत समर्थन करते हैं, उदाहरण के लिए, यहां )।

हमने मंगलवार, 8 अप्रैल की रात को भेद्यता के बारे में सीखा, जैसे ही इसके बारे में जानकारी सार्वजनिक स्रोतों में दिखाई दी। समस्या की आलोचनात्मकता की डिग्री का विश्लेषण और आकलन करने में हमें थोड़ा समय लगा।

यहां यह ध्यान रखना महत्वपूर्ण है कि ऐसी सेवाओं के लिए जिनके लिए उच्च स्तर की पहुंच महत्वपूर्ण है - और यह लगभग सभी यैंडेक्स सेवाएं हैं जिनके पास मल्टी-मिलियन ऑडियंस है - कोई भी अपडेट "हॉट" या स्वचालित रूप से इंस्टॉल नहीं किया जा सकता है। थोड़ी असंगतता - और बड़ी संख्या में उपयोगकर्ताओं को सेवाओं के साथ काम करने में कठिनाइयों का अनुभव हो सकता है।

यैंडेक्स में, जैसा कि आप जानते हैं, बड़ी संख्या में सर्वर, और उनमें कमजोरियों की जांच एक बड़ी समस्या हो सकती है। सौभाग्य से, हमने लंबे समय तक सुरक्षा ऑडिट स्वचालन तंत्र लागू किया है। हमने उनके बारे में YaC 2011 सम्मेलन में विस्तार से बात की। हम सभी को सार्वजनिक मॉड्यूल PoC को एक ऐसी प्रणाली के लिए उपयुक्त मॉड्यूल बनाने की जरूरत थी जो कमजोरियों के लिए हमारी सेवाओं को स्कैन करे। एक घंटे के भीतर, हमारे पास पहले से ही एक पूरी तस्वीर थी, और सभी जिम्मेदार सिस्टम प्रशासकों को स्वचालित रूप से सूचित किया गया था और काम करने के लिए सेट किया गया था। परीक्षण, जिसे किया जाना चाहिए, इस मामले में कम से कम संभव समय के लिए किया गया था। दोपहर के भोजन तक, सबसे बड़ी यांडेक्स सेवाओं को अपडेट किया गया था। हमारा निगरानी तंत्र भविष्य में इस संभावना को खत्म करने में भी मदद करेगा कि कुछ प्रणाली ओपनएसएसएल के समस्याग्रस्त संस्करण के साथ होगी।

ओपनएसएसएल संस्करण को अपग्रेड करते हुए सबसे गंभीर समस्या का समाधान किया गया, जिसका संचालन व्यवहार में संभव है: वेब सर्वर के लिए अनुरोध और प्रतिक्रिया हेडर की चोरी। वेब सर्वर की निजी कुंजी की चोरी सैद्धांतिक रूप से संभव है, लेकिन व्यावहारिक रूप से कुछ तकनीकी कठिनाइयों को शामिल करता है। हम, साथ ही शोधकर्ताओं ने जो भेद्यता की खोज की, उनका मानना ​​है कि इस हमले के साथ निजी एसएसएल कुंजी की चोरी की संभावना नहीं है। यद्यपि आप वेब सर्वर की मेमोरी से 64 kb डेटा में पासवर्ड सुरक्षा के बारे में एक छोटा निबंध संलग्न कर सकते हैं, लेकिन इसमें प्रदर्शित होने के लिए SSL कुंजी के लिए कई कारक होने चाहिए। हालाँकि, हमने धीरे-धीरे अपनी सेवाओं पर एसएसएल प्रमाणपत्रों को बदलने का फैसला किया। वैसे, महत्वपूर्ण यैंडेक्स सेवाओं (मेल, पासपोर्ट, क्लाइंट और पार्टनर Yandex.Direct interfaces) में हम PFS सपोर्ट के साथ HTTPS का उपयोग करते हैं। इसलिए, यहां तक ​​कि अगर हम मानते हैं कि भविष्य में, किसी कारण से, एसएसएल सर्वर की निजी चाबियों से समझौता किया जाएगा, तो पहले से ही पूर्ण उपयोगकर्ता सत्रों का ट्रैफ़िक संरक्षित रहेगा।

इस अप्रिय कहानी में सबसे कठिन हिस्सा यह तय करना था कि संभावित रूप से प्रभावित उपयोगकर्ताओं के साथ क्या करना है। समस्या यह थी कि इस भेद्यता का शोषण वेब सर्वर लॉग में कोई निशान नहीं छोड़ता है। इसलिए, प्रत्यक्ष प्रमाण है कि समस्या का दोहन ड्रमों में किया गया था, हम नहीं कर सकते थे। हमने उस समयावधि पर निर्माण करने का निर्णय लिया जो भेद्यता के प्रकाशन के साथ शुरू हुई और उस पल के साथ समाप्त हो गई जब अपडेट हमारे सर्वर पर लुढ़का था। संभावित रूप से, लाखों उपयोगकर्ताओं के प्रमाणीकरण डेटा प्रभावित हो सकते हैं। बड़े पैमाने पर लॉग आउट करना और इससे भी अधिक उपयोगकर्ताओं के समझौता के तथ्य के बारे में सटीक जानकारी के अभाव में पासवर्ड परिवर्तन को मजबूर करना अच्छे से अधिक नुकसान कर सकता है।

सौभाग्य से, हमारे हाथ में उपयोगकर्ताओं की एक सूची है जो सैद्धांतिक रूप से पीड़ित हो सकते हैं। और उपयोगकर्ता सत्र के भीतर दुर्भावनापूर्ण गतिविधि का स्वत: पता लगाने की मदद से, हम ऐसे उपयोगकर्ताओं को razlogin को निर्देशित करेंगे और पासवर्ड बदल देंगे।

इसके अलावा, जैसा कि मैंने पहले ही उल्लेख किया है, आज Yandex मुख्य पृष्ठ पर सुरक्षा के लिए लिंक होंगे ।yandex.ru पेज। हमारा मानना ​​है कि सामान्य रूप से पासवर्ड को नियमित रूप से बदलना चाहिए और हाल के दिनों की घटनाओं को यह याद रखने का एक अच्छा कारण है।