NSA को दो साल पहले हार्टलेबल भेद्यता के बारे में पता था

राष्ट्रीय सुरक्षा एजेंसी को हाल ही में पिछले दो वर्षों में हार्टबल्ड नामक एक भेद्यता के बारे में पता था। एनएसए ने नियमित रूप से वांछित जानकारी तक पहुंच प्राप्त करने के लिए इस भेद्यता का फायदा उठाया। इस प्रकाशन के बारे में ब्लूमबर्ग दो अनाम लोगों से जाना जाता है।

फिर भी, इन आंकड़ों के प्रकाशन के जवाब में, एनएसए के प्रतिनिधियों ने कहा कि मीडिया में इसके बारे में जानकारी के व्यापक प्रसार के बाद ही एजेंसी के विशेषज्ञ बग CVE-2014-0160 से परिचित हो गए। लगभग सभी वेबसाइटों के लगभग दो-तिहाई के सुरक्षा मूल सिद्धांतों को प्रभावित करने के लिए इंटरनेट के इतिहास में हार्दिक शायद सबसे खतरनाक भेद्यता है।

इस भेद्यता का उपयोग करते हुए, एक हमलावर लक्ष्य सर्वर के रैम तक पहुंच प्राप्त कर सकता है, जो उसे उपयोगकर्ता पासवर्ड और निजी कुंजी चोरी करने का अवसर देता है। सूचना सुरक्षा विशेषज्ञ ब्रूस श्नेयर ने दस के 11-पैमाने पर जोखिम जोखिम रेटिंग का मूल्यांकन किया । डेवलपर, जिसने एक गलती की और इस भेद्यता के लेखक बन गए, का दावा है कि उसने इसे अनजाने में किया।

कई इंटरनेट कंपनियां और लाखों आम उपयोगकर्ता प्रयास के लिए कोई भुगतान प्राप्त किए बिना, कई हजार डेवलपर्स द्वारा लिखे गए मुफ्त सॉफ्टवेयर पर भरोसा करते हैं। यह इन डेवलपर्स पर है कि मुफ्त कोड की सुरक्षा टिकी हुई है।

एनएसए के पास अपने कर्मचारियों में एक हजार से अधिक सशुल्क विशेषज्ञ हैं जिनका मुख्य कार्य मुफ्त सॉफ्टवेयर में कमजोरियों की खोज करना है। मुख्य लक्ष्य सुरक्षा प्रोटोकॉल का खुला कार्यान्वयन है। बेशक, पाई गई कमजोरियों को सार्वजनिक नहीं किया जाता है और एजेंसी की खोज में उपयोग के लिए वर्गीकृत किया जाता है। खैर, जानकारी चुराने के लिए NSA ने लाखों डॉलर खर्च किए।

एक अनाम स्रोत के अनुसार, ओपनएसएसएल कोड में इसकी उपस्थिति के तुरंत बाद एजेंसी को भेद्यता CVE-2014-0160 के बारे में पता चला - यानी 2012 की शुरुआत में। एनएसए हैकर के हमले के टूलकिट का एक महत्वपूर्ण हिस्सा जल्दी से नाराज़ हो गया। सेंटर फॉर स्ट्रेटेजिक एंड इंटरनेशनल स्टडीज के कंप्यूटर सुरक्षा विशेषज्ञ जेम्स लेविस ने कहा कि भेद्यता खोज प्रक्रिया अच्छी तरह से स्थापित है और प्रबंधन द्वारा सामान्य विशेषज्ञों के साथ दिलचस्प कीड़े जल्दी साझा किए जाते हैं। एजेंसी के विशेषज्ञ भेद्यता और इसके उपयोग की संभावनाओं का मूल्यांकन करते हैं, साथ ही अमेरिकी संगठनों के लिए जोखिमों का मूल्यांकन करते हैं।

इसके अलावा, लुईस के अनुसार, एनएसए वर्गीकृत जानकारी प्राप्त करने के लिए खोजी गई कमजोरियों का उपयोग करने का निर्णय ले सकता है। विशेषज्ञ का दावा है कि इसके विकास के दौरान एसएसएल को कई समस्याएं हुई हैं, इसलिए यह राज्य संरचनाओं की जानकारी की रक्षा करने का मुख्य तरीका नहीं है। लाखों आम उपयोगकर्ताओं का डेटा हमला करने के लिए खुला था।

"छेद" की खोज एजेंसी का एक महत्वपूर्ण हिस्सा है। अमेरिकी राष्ट्रपति की परिषद, जिसने एडवर्ड स्नोडेन द्वारा लीक के बाद एनएसए की समीक्षा की, ने कहा कि एजेंसी को सॉफ्टवेयर कमजोरियों को इकट्ठा करने से रोकना चाहिए और इसके बजाय उन्हें ठीक करने में मदद करनी चाहिए। इस तरह की महत्वपूर्ण भेद्यता को छिपाना एनएसए की आलोचना का एक नया दौर शुरू कर सकता है।

CVE-2014-0160 बग, इसके प्रचलन के कारण, NSA को दुनिया भर में आम उपयोगकर्ताओं और निजी डेटा के लिए पासवर्ड प्राप्त करने की अनुमति दे सकता है। यह स्पष्ट नहीं है कि अमेरिकी सरकार ने हार्टब्लेड का इस्तेमाल अपने निजी उद्देश्यों के लिए किया था या नहीं।

एक अनाम स्रोत के अनुसार, एनएसए में वर्तमान में हजारों कमजोरियां हैं जो कई महत्वपूर्ण कंप्यूटर प्रणालियों की सुरक्षा के माध्यम से टूटने में मदद कर सकती हैं। खुफिया गाइड, हालांकि, कहता है कि हमलों के एक गठित सेट का उपयोग करने में असमर्थता आतंकवादी खतरों का पता लगाने और शत्रुतापूर्ण शासनों के इरादों के बारे में जानकारी प्राप्त करने की क्षमता को बहुत कमजोर कर देगी।