CloudFlare प्रतियोगी सर्वर से SSL कुंजी चोरी सफलतापूर्वक

11 अप्रैल को, क्लाउडफेयर के शोधकर्ताओं ने अपने ब्लॉग पर एक लेख प्रकाशित किया, " क्रिटिकल क्वेश्चन का उत्तर देते हुए: क्या आप हार्टब्लड का उपयोग करके निजी एसएसएल कुंजी प्राप्त कर सकते हैं?" ", जिसमें उन्होंने सोचा कि क्या सनसनीखेज हार्दिक भेद्यता का उपयोग करके निजी कुंजी निकालना संभव है। सर्वर की RAM से निजी कुंजी निकालने का प्रयास असफल रहा। परिणामस्वरूप, शोधकर्ताओं ने निष्कर्ष निकाला कि हार्टलेड के साथ एसएसएल प्रमाणपत्रों की चोरी की संभावना नहीं है:

हमारा मानना ​​है कि अधिकांश NGINX सर्वरों पर निजी कुंजी चुराना कम से कम अत्यंत कठिन और शायद असंभव है। हमें विश्वास है कि अपाचे का उपयोग करते समय भी, जो, हमारी राय में, थोड़ा अधिक असुरक्षित हो सकता है, और जिसे हम क्लाउडफ़ेयर में उपयोग नहीं करते हैं, हार्टलेबल भेद्यता का उपयोग करके एसएसएल कुंजी को प्रकट करने की संभावना बहुत छोटी है। यह इस सप्ताह की कुछ अच्छी खबरों में से एक है।

कई ऑनलाइन मीडिया पहले ही इस अध्ययन ( एक उदाहरण ) का प्रसार कर चुके हैं और इसके आधार पर आत्मविश्वास से कहा गया है कि हार्टलेड का उपयोग करके निजी कुंजी की चोरी असंभव है। जैसा कि यह निकला, CloudFlare शोधकर्ताओं गलत थे।

CloudFlare प्रतिनिधियों ने हैकर समुदाय से संपर्क करने का फैसला किया। लगभग बारह घंटे पहले हैकर न्यूज़ पर, तीसरी पार्टियों ने आधिकारिक तौर पर CloudFlare के साथ संबद्ध नहीं किया, यहां तक ​​कि प्रतियोगिता के अपने पहले सफल समापन के लिए $ 10,000 का इनाम भी नामांकित किया । प्रतिभागियों को इस सर्वर के लिए विशेष रूप से बनाए गए सर्वर से क्लाउडफ्लारचैलेज डॉट कॉम डोमेन नाम से सुलभ और समस्या के समाधान के विवरण प्रकाशित करने के लिए कहा गया था। सर्वर nginx-1.5.13 और OpenSSL 1.0.1.f को Ubuntu 13.10 x86_64 पर चला रहा था।

कुछ घंटे पहले, एक दिखाई दिया, और फिर एक दूसरा विजेता। Muscovite Fyodor Indutny ( donnerjack13589 ) इस कार्य के साथ सामना करने वाले पहले व्यक्ति थे। ऐसा करने के लिए, उन्हें 2.5 मिलियन अनुरोधों की आवश्यकता थी (यह सभी अनुरोधों का लगभग एक तिहाई था) और केवल 3 घंटे । फेडर ने HTTPS कनेक्शन की स्थापना करके निजी कुंजी के स्वामित्व को प्रदर्शित करने के लिए अपने सर्वर पर cloudflarechallenge.com डोमेन नाम को पुनर्निर्देशित करने के लिए मेजबानों की फाइल के मापदंडों को निर्धारित करने का भी सुझाव दिया । 50 मिनट के अंतराल के साथ दूसरा 100,000 अनुरोधों के साथ फिनलैंड के कंप्यूटर सुरक्षा के लिए राष्ट्रीय केंद्र से इल्का मटिला था।

इस प्रकार, हार्दिक भेद्यता को ठीक करने के बाद भी, अद्यतन किए जाने से पहले पहले चोरी हुई निजी कुंजी का उपयोग करके हमलों की एक गैर-शून्य संभावना है। प्रतियोगिता के परिणाम भी CloudFlare अनुसंधान का खंडन करते हैं। जाहिर है, निर्णय और निष्कर्ष का विवरण शीघ्र ही प्रकाशित किया जाएगा।