एक साधारण उपयोगकर्ता को दिल का खतरा क्या है?

कई लोग पहले से ही ओपनएसएसएल में पाई गई भेद्यता के बारे में सुन चुके हैं। यह कहना सुरक्षित है कि इंटरनेट मीडिया में कवरेज के मामले में यह एक सम्मानजनक पहला स्थान लेगा। वे न केवल उसके बारे में लिखते हैं, बल्कि विशेष साइटें भी बनाते हैं जो सेवाओं की जांच करती हैं और कॉमिक्स भी बनाती हैं। और आश्चर्य की बात नहीं, हार का पैमाना वास्तव में प्रभावशाली है, कुछ अनुमानों के अनुसार, ssl समर्थन वाली सभी साइटों के 17% से अधिक असुरक्षित हैं, ऑपरेशन को आसानी को देखते हुए, इस घटना की तुलना महामारी से की जा सकती है। दुर्भाग्य से, यहां तक ​​कि कई लोगों के लिए यह पर्याप्त तर्क नहीं है - एक हफ्ते बाद कई साइटें जोखिम में हैं। यह साधारण सेवाओं के लिए महत्वपूर्ण नहीं हो सकता है, लेकिन वित्तीय लोगों के लिए नहीं। यह भुगतान गेटवे के लिए विशेष रूप से दर्दनाक हो सकता है जिसके माध्यम से भुगतान किया जाता है। मैं इनमें से एक के बारे में बात करूंगा।

दूसरे दिन, मैंने एक रूसी इंटरनेट कंपनी में ऑनलाइन खरीदारी की। जब मैं भुगतान के समय पर पहुंचा, तो मुझे बैंक कार्ड से डेटा दर्ज करने के लिए एक फॉर्म के साथ एक बड़े बैंक के भुगतान गेटवे पर स्थानांतरित कर दिया गया। यह एकमात्र भुगतान पद्धति थी और मैंने फॉर्म भरना शुरू कर दिया।

छठी इंद्री के अलावा कुछ भी परेशानी नहीं हुई। "पे" बटन पर क्लिक करने से पहले, मैंने भेद्यता के लिए भुगतान गेटवे की जांच करने का निर्णय लिया। सत्यापन के लिए सभी सार्वजनिक सेवाओं ने सकारात्मक जवाब दिया। यह महसूस करते हुए कि आपको खरीदारी जारी नहीं रखनी चाहिए, मैंने यह पता लगाने का फैसला किया कि वास्तव में उन उपयोगकर्ताओं को क्या खतरा हो सकता है जो यह भी संदेह नहीं करते हैं कि वे एक असुरक्षित प्रवेश द्वार के माध्यम से भुगतान कर रहे हैं और यह सत्यापित करना कितना आसान है?

यह सत्यापित करना आसान नहीं था, लेकिन बहुत सरल था। गितुब पर तैयार किए गए कारनामों में से एक के कोड को संशोधित करने के बाद, मैंने 64 किलोबाइट टुकड़ों की डंप फ़ाइल के साथ समाप्त किया। उसमें क्या था?



यह सब कुछ था। मूल रूप से भुगतान गेटवे से गुजरने वाली सभी चीजें: ऑर्डर नंबर, कार्ड नंबर, सीवीवी 2, पूरा नाम, वर्ष और महीना जब तक कि यह वैध नहीं है। डंप में स्क्रिप्ट के आधे घंटे के लिए, उनके मालिकों पर कई सौ वास्तविक बैंक कार्ड और डेटा थे।

बेशक, सभी आवश्यक जानकारी तुरंत भुगतान गेटवे और उसके सबसे बड़े ग्राहकों के संपर्कों को भेज दी गई थी, लेकिन फिलहाल भेद्यता को समाप्त नहीं किया गया है। मैं आपको याद दिलाता हूं कि लगभग एक सप्ताह का समय बीत चुका है जब यह सार्वजनिक रूप से हार्टबल्ड के बारे में जाना जाता है। केवल कुछ बड़ी कंपनियों की सुरक्षा सेवाओं की लापरवाही से कोई भी आश्चर्यचकित हो सकता है और डरावनी कल्पना के साथ इस दौरान कितने कार्ड और अन्य महत्वपूर्ण व्यक्तिगत जानकारी वास्तविक हमलावरों के हाथों में लीक हो सकती है।

अपडेट किया गया (04.15.2014): हार्टब्लड के बारे में जानकारी के प्रकाशन के बाद, और मेरे अनुरोध के क्षण से तीन दिन बाद भेद्यता तय की गई।

अपडेट किया गया (04.16.2014): यह भेद्यता VTB24 बैंक के भुगतान गेटवे में खोजी गई थी, जिसका उपयोग विशेष रूप से रूसी रेलवे की वेबसाइट पर किया गया था। मुझे sos-rzd.com और इसके लेखकों से कोई लेना-देना नहीं है। मैं उन सभी को सलाह देता हूं जिन्होंने कार्ड के माध्यम से 7 अप्रैल से 14 अप्रैल तक खरीदारी की।