SourceDNA, एक कोड एनालिटिक्स प्लेटफॉर्म जो Android और iOS ऐप्स का ऑडिट करता है, ने हाल ही में एक रिपोर्ट जारी की जिसमें संकेत दिया गया कि 1,000 से अधिक iOS ऐप्स में एक गंभीर सुरक्षा भेद्यता है जो उपयोगकर्ता के वित्तीय विवरणों से समझौता कर सकती है।
यह बग ऐप्स को SSL प्रमाणपत्रों को सही ढंग से प्रमाणित करने से रोकता है, जिससे ऐप्स कई मैन-इन-द-मिडिल हमलों के लिए खुल जाते हैं। हालांकि यह ऐप iOS की सुरक्षा को प्रभावित नहीं करता है, यह प्रभावित ऐप्स के माध्यम से प्रेषित उपयोगकर्ता डेटा से समझौता कर सकता है...
एक साधारण बग जो SSL को तोड़ता है
प्रश्नगत बग AFNetworking पैकेज में है, एक लोकप्रिय ओपन-सोर्स नेटवर्किंग समाधान जिसका उपयोग हजारों App Store ऐप्स में किया जाता है। बग एक साधारण तर्क त्रुटि है जो SSL जांच को वास्तव में होने से रोकती है, सभी प्रमाणपत्र जांच को वैध के रूप में लौटाती है। यह HeartBleed या ShellShock जैसे बड़े सुरक्षा आपदा नहीं है — लेकिन यह एक समस्या है यदि आप किसी ऐसे ऐप का उपयोग करते हैं जिसमें बग है। सौभाग्य से, बग केवल लगभग छह सप्ताह तक अस्तित्व में था, 2.5.1 में जोड़ा गया, और 2.5.2 में ठीक किया गया। आप उचित रूप से मान सकते हैं कि यह कहानी का अंत है।
दुर्भाग्य से, नहीं।
दुख की बात है, कई डेवलपर्स अपने ऐप्स को बग फिक्स के साथ सक्रिय रूप से अपडेट नहीं रखते हैं, और कई ऐप्स हैं जो अभी भी AFNetworking के टूटे हुए वर्जन का उपयोग कर रहे हैं, पैच की उपलब्धता के बावजूद। SourceDNA ने AFNetworking पैकेज के वर्जन वाले 20,000 ऐप्स का विश्लेषण किया, और निर्धारित किया कि लगभग 1,000 अभी भी टूटे हुए SSL चेक का उपयोग कर रहे हैं।
SourceDNA एनालिटिक्स टूल्स का उपयोग करके इस जांच को करने में सक्षम था जो हजारों ऐप्स की बाइनरी फाइलों का विश्लेषण करना संभव बनाते हैं। उनकी तकनीक उन्हें न केवल यह पहचानने देती है कि इन ऐप्स को किन लाइब्रेरी के साथ संकलित किया गया था, बल्कि उन लाइब्रेरी के कौन से वर्जन। जैसा कि यह पता चला है, यह ज्ञात बग्स और भेद्यताओं से प्रभावित हो सकने वाले ऐप्स की पहचान करने के लिए अविश्वसनीय रूप से उपयोगी है। जारी पेपर के अनुसार,
"SourceDNA ने उनसे एक डिफरेंशियल फिंगरप्रिंट बनाया ताकि कमजोर कोड ढूंढा जा सके। इसे उन अनूठी विशेषताओं के एक सेट के रूप में सोचें जो केवल लक्षित वर्जन में मौजूद या अनुपस्थित थीं और किसी अन्य में पहले या बाद में नहीं। हस्ताक्षरों के इस सेट के साथ, हमारा विश्लेषण इंजन हमें बताएगा कि प्रत्येक ऐप में AFNetworking का कौन सा वर्जन उपयोग में था।"
प्रभावित कई ऐप्स उपयोगकर्ता क्रेडिट कार्ड डेटा स्टोर और ट्रांसमिट करते हैं, जिनमें Alibaba.com मोबाइल ऐप, KYBankAgent 3.0, और Revo Restaurant Point of Sale शामिल हैं। कई मिलियन उपयोगकर्ताओं के पास अपने iOS डिवाइस पर एक कमजोर ऐप इंस्टॉल है — इतने संक्षिप्त बग से आश्चर्यजनक मात्रा में जोखिम।
"5% या लगभग 1,000 ऐप्स में दोष था। क्या ये ऐप्स महत्वपूर्ण हैं? हमने उनकी तुलना अपने रैंक डेटा से की और कुछ बड़े खिलाड़ी पाए: Yahoo!, Microsoft, Uber, Citrix, आदि। यह हमें चकित करता है कि एक ओपन-सोर्स लाइब्रेरी जिसने केवल 6 सप्ताह के लिए एक सुरक्षा दोष पेश किया, लाखों उपयोगकर्ताओं को हमले के लिए उजागर करती है।"
AFNetworking बग के प्रभाव का आकलन
यह भेद्यता कितनी खराब है? बग हमलावरों को ऐप्स को यह सोचने पर मजबूर करने की अनुमति देता है कि वे एक विश्वसनीय सर्वर के साथ एक सुरक्षित कनेक्शन पर संचार कर रहे हैं। यदि आप एक कमजोर ऐप का उपयोग कर रहे हैं, तो आपके समान वाईफाई नेटवर्क पर कोई भी मैन-इन-द-मिडिल अटैक सेट कर सकता है और ऐप्स से जानकारी इंटरसेप्ट कर सकता है, जिसमें क्रेडिट कार्ड जानकारी जैसे संवेदनशील डेटा शामिल हैं। इस जानकारी का उपयोग पहचान की चोरी और धोखाधड़ी के अन्य रूपों को सुविधाजनक बनाने के लिए किया जा सकता है। संभावित रूप से, इस प्रकार के हमले को लोकप्रिय ऐप्स को लक्षित करने के लिए स्वचालित किया जा सकता है।
समाचार टूटने के बाद से कई कंपनियों ने अपडेट और फिक्स जारी किए हैं, जिनमें Microsoft और Yahoo शामिल हैं। हालांकि, अधिकांश ऐप्स अनपैच्ड बने हुए हैं। यह देखने के लिए कि आपके द्वारा उपयोग किए जाने वाले ऐप्स प्रभावित हैं या नहीं, आप SourceDNA खोज टूल का उपयोग कर सकते हैं। यदि आप पाते हैं कि आपके ऐप्स में से कोई अभी भी कमजोर है, तो सबसे सुरक्षित रणनीति है इसे अस्थायी रूप से हटा दें, और डेवलपर्स को जल्द से जल्द पैच जारी करने के लिए संदेश भेजें।
SourceDNA एक चतुर टूल है, और यह दर्शाता है कि उनकी तकनीक वास्तव में उपयोगी है। कंप्यूटर सुरक्षा कठिन है, और एक टूल जो अनपैच्ड बग्स को देखने की प्रक्रिया को स्वचालित कर सकता है — डेवलपर सहयोग के साथ या बिना — उपयोगकर्ता सुरक्षा के लिए एक बड़ी जीत है। इस तरह की जांच के बिना, यह व्यापक बग संभवतः काफी लंबे समय तक बना रहता। इस तरह का विश्लेषण बड़े पैमाने पर सार्वजनिक शर्मिंदगी को सक्षम बनाता है जो डेवलपर्स को बहुत अधिक जवाबदेह बनाता है, और ऐसा लगता है कि SourceDNA आगे और अनदेखी और अनसुलझी समस्याओं को उजागर करेगा।
क्या आपका iOS डिवाइस AFNetworking बग से प्रभावित है? क्या आप इन नए एनालिटिक्स टूल्स से उत्साहित हैं? टिप्पणियों में हमें बताएं!
इमेज क्रेडिट: "US Navy Cyberwarfare," "iPhone front, "iPhone camera", by Wikimedia
