एक साधारण उपयोगकर्ता के लिए हार्टबल को और क्या धमकी देता है?

अनुवादक सार

मेरे विषय में "एक साधारण उपयोगकर्ता के लिए हार्दिक खतरा क्या है" विषय में एक निश्चित अंतर भरना चाहिए, पोस्ट के लिए FFF के लिए धन्यवाद: habrahabr.ru/post/219151

किसी ने ग्राहक भेद्यताओं को रद्द नहीं किया है । लेकिन अगर टॉप-एंड पेमेंट सर्विसेज 24 घंटे के भीतर जवाब देती हैं, तो स्मार्टफोन के निर्माता से अपडेट के लिए कितना समय लगेगा या, "स्मार्ट" टीवी ? एक बुरी साइट आसानी से ग्राहक की मेमोरी को नष्ट कर सकती है - एक अधूरा ब्राउज़र, स्मार्टफोन, टैबलेट, बहुत स्मार्ट टीवी, वीडियो या गेम कंसोल, आदि। कोई भी उपकरण जो संवेदनशील डेटा को संसाधित करते समय वेब पेज (आपके होम लिनक्स सहित) लोड कर सकता है, और कभी-कभी कई वर्षों तक।
मैं आपको रोब VandenBrink के लेख का पूरा अनुवाद देता हूं, इसमें ज्यादा समय नहीं लगा है।

हार्दिक के दूसरे पक्ष: ग्राहक कमजोरियाँ

हमें ऐसे क्लाइंट एप्लिकेशन के बारे में बताया गया है जो हीटब्लेड के खतरे की चपेट में हैं। सर्वर अनुप्रयोगों के साथ, क्लाइंट कमजोरियों को ओपनएसएसएल संस्करण द्वारा निर्धारित किया जाता है।
क्या आपको लगता है कि श्रृंखला का एक और मामला "सुधार की प्रतीक्षा करें" है? अद्यतन तब होगा जब विक्रेता ... इसलिए, एक मिनट प्रतीक्षा करें। और जब आपके "स्मार्ट" टीवी निर्माता ने बिल्ट-इन टीवी ब्राउज़र के लिए एक पैच जारी करने का वादा किया था? और आप इसे कब स्थापित करने जा रहे थे? पत्नी के भाई के टीवी के बारे में क्या? ऐसा लगता है कि यह क्लाइंट भेद्यता सभी सर्वर की तुलना में अधिक समय तक जीवित रहेगी ...
हमारे पास एम्बेडेड उपकरणों की बारीकियों के साथ हार्दिक भेद्यता का एक अप्रिय संयोजन है जिसे कभी भी अपडेट नहीं किया जा सकता है। या रिलीज़ होने के कुछ वर्षों बाद उन्हें अपडेट किया जाता है, और एक नए मॉडल के रिलीज़ होने पर, निर्माता बस उन्हें अपने उपकरणों पर छोड़ देता है। अच्छे उदाहरण होम रूटर्स और स्मार्ट टीवी हैं, लेकिन वे चिकित्सा उपकरण भी हो सकते हैं।
विषय के लिए एक बहुत ही ठोस जोड़ Android डिवाइस हैं, जो टेलीकॉम ऑपरेटर कोड निर्माता (Google) को दरकिनार करके बेचता है और बनाए रखता है: ऐसे उपकरणों में या तो दुर्लभ अपडेट होते हैं, या कोई भी नहीं होता है, लेकिन उनका व्यापक रूप से उपयोग किया जाता है। पहली बात यह है कि आम तौर पर दिमाग में आता है, ऑनलाइन बैंकिंग अनुप्रयोगों। नतीजतन, हमारे पास उपभोक्ता वस्तुओं का एक संयोजन है और एक भेद्यता है जो लगभग किसी भी दुर्भावनापूर्ण (या हैक किए गए) सर्वर पर अपनी मेमोरी को खोलता है। यह व्यापक विनाश के हथियारों की क्षमता है, डिवाइस के एक लंबे जीवन चक्र के साथ (यह हफ्तों या महीनों के बजाय साल निकलता है)।
अन्य एन्क्रिप्टेड एप्लिकेशन जिनका हम "क्लाइंट" के रूप में उपयोग करने के लिए उपयोग नहीं कर रहे हैं उनमें शामिल हैं: पारंपरिक डेटाबेस सॉफ्टवेयर, क्लाउड सर्विस क्लाइंट, मनोरंजन पोर्टल के लिए विशेष ब्राउज़र प्रोग्राम और यहां तक ​​कि डिवाइस ड्राइवर। यह कहना पर्याप्त नहीं है कि "ऐसा और ऐसा कोई एप्लिकेशन असुरक्षित है", इसका उपयोग आपके पीसी, टैबलेट, स्मार्टफोन, टीवी, वीडियो सेट-टॉप बॉक्स, सिम्युलेटर, रेफ्रिजरेटर, जलवायु नियंत्रण पर किया जा सकता है - सूची बढ़ती रहती है और आगे बढ़ती है, छोटे उपकरणों की ओर अद्यतन करने की आवश्यकता होती है। निश्चित रूप से कोई नहीं जा रहा है।

यहाँ सिर्फ कुछ कमजोर अनुप्रयोगों (@teleghost: इस सूची में एक से अधिक बार उल्लेख किया गया है, थोड़ा पूरक, लिंक के स्रोत):

• मारियाडीबी 5.5.36 (@teleghost: विवादास्पद )
• 1.15 wget (पूर्व कनेक्शन और उसके राज्य की स्मृति का पता चलता है)
• कर्ल 7.36.0
• git 1.9.1 (क्लोन / पुश द्वारा जाँच, रिसाव कमजोर है)
• nginx 1.4.7 (प्रॉक्सी मोड में, पिछले अनुरोधों की मेमोरी का खुलासा करता है) (@teleghost: debatable )
• लिंक 2.8 (पिछली यात्राओं की सामग्री का खुलासा करता है!)
• KIO (डॉल्फिन, कोनेकर) का उपयोग करते हुए सभी केडीई अनुप्रयोग
• Apple iOS के लिए AnyConnect
• जुनिपर ओडिसी 802.1x क्लाइंट 5.6r5 और बाद में
• जूनो पल्स वीपीएन क्लाइंट के विभिन्न संस्करण
• OpenVPN
• ...

अनुवादक उत्पादन

मेरी निजी राय है कि कई हफ्तों या महीनों के लिए अनिष्ट शक्तियां पेमेंट सिस्टम और बैंकिंग सेवाओं से चिकना क्रीम, क्रीम और समान खट्टा क्रीम एकत्र करेंगी, और उसके बाद ही हमारे घरेलू स्तर पर आएगी। सबसे पहले, उन सभी चीजों से गुजरें जो हमारे पास एक या दूसरे तरीके से भुगतान कार्ड और सशुल्क सेवाओं से जुड़ी हैं। फिर, जब प्रौद्योगिकी हाथ से जाती है, वे बस एक पंक्ति में सब कुछ से पासवर्ड चुरा लेंगे। सभी चीजों में से सबसे ज्यादा स्मार्ट टीवी और कुछ स्मार्टफोन मॉडल के साथ हैं, वहां आप सालों तक अपडेट का इंतजार कर सकते हैं और कभी इंतजार नहीं कर सकते।
अगर पहले मैं समझता था कि केवल एनएसए मेरे स्मार्टफोन का उपयोग कर सकता है, तो अब यह मध्य हाथ का कोई भी बदमाश हो सकता है। पहले से ही इतना मज़ेदार नहीं है, है ना?

अपना ख्याल रखना।

संदर्भ

isc.sans.edu/forums/diary/The+Other+Side+of+Heartbleed+-+Client+Vulnerabilities/17945
security.stackexchange.com/questions/55119/does-the-heartbleed-vulnerability-affect-clients-as-severely
community.openvpn.net/openvpn/wiki/heartbleed