यदि आप सुरक्षा दृश्य का अनुसरण करते हैं, तो आपने इस महीने खोजे गए विभिन्न सुरक्षा मुद्दों के आसपास बहुत चर्चा देखी होगी। अर्थात्, MS16-039 बुलेटिन में उल्लिखित Microsoft ग्राफिक्स घटक में एक महत्वपूर्ण भेद्यता, बैडलॉक बग नामक किसी चीज़ के आसपास की कहानियां और अफवाहें, और Firefox ऐड-ऑन का उपयोग करने से जुड़े जोखिम। सब ठीक और अच्छा, सिवाय इसके कि यह क्लिकबेट प्रचार बकवास से ज्यादा कुछ नहीं है।
संदिग्ध लेखों को पढ़ने से मेरा गुस्सा इतनी ऊंचाइयों तक पहुंच गया कि मुझे इस टुकड़े को लिखने से पहले एक या दो दिन इंतजार करना पड़ा। अन्यथा, यह सिर्फ जहर और गालियां होती। लेकिन खुद को व्यक्त करना और इंटरनेट उपयोगकर्ताओं को इस महीने उत्पादित बेकार, शौकिया, सनसनीखेज वानाबे हैकरिश सुरक्षा दस्त से बचाना महत्वपूर्ण है। मेरा अनुसरण करें।
तुम्हारे सभी रग्नारोक हमारे हैं।
Noscript और अन्य ऐड-ऑन लाखों को नए हमले के लिए खोलते हैं
मैं प्रश्न में लेख से लिंक नहीं करूंगा ताकि किसी ऐसी चीज़ पर ट्रैफ़िक न जाए जिसे केवल डिजिटल गोटफेस्ट के रूप में वर्णित किया जा सकता है। सार में, लेख हमें बताता है कि, चूंकि सभी Firefox ऐड-ऑन एक ही नेमस्पेस साझा करते हैं, यानी कोई मेमोरी आइसोलेशन नहीं, एक संभावित दुर्भावनापूर्ण ऐड-ऑन अन्य ऐड-ऑन पर जासूसी कर सकता है। यही कहानी है। Noscript, Firefox उपयोगकर्ताओं को जबरदस्त सिल्वर-बुलेट सुरक्षा प्रदान करने वाला एक सर्वोच्च उपयोगी और महत्वपूर्ण ऐड-ऑन, इस लेख में एक विडंबनापूर्ण स्पिन देने के लिए अलग किया गया है।
पूर्ण बकवास।
बात यह है, ट्रैफ़िक चलाने के अलावा, और कुछ भी डर की तरह पेज व्यू उत्पन्न नहीं करता, लेख पाठकों को एक भी उपयोगी, कार्रवाई योग्य जानकारी प्रदान नहीं करता है। क्योंकि हाइलाइट की गई समस्या केवल एक समस्या बन सकती है यदि कोई उपयोगकर्ता स्वयं एक दुर्भावनापूर्ण ऐड-ऑन इंस्टॉल करता है। हां, यह सही है। आप संक्रमित हो सकते हैं यदि आप स्वयं को संक्रमित करते हैं। पवित्र बकवास, शर्लक। अब, यह कैसे हो सकता है:
आप स्वयं एक अनसाइन्ड ऐड-ऑन इंस्टॉल करते हैं। कृपया खुद को इलेक्ट्रोक्यूट करें।
आप Mozilla रिपॉजिटरी से एक ऐड-ऑन इंस्टॉल करते हैं, स्क्रीनिंग, परीक्षण और डिजिटल हस्ताक्षर के बाद। दूसरे शब्दों में, यदि ऐड-ऑन सर्वर हैक हो गए होते, तो उपयोगकर्ताओं को एक एक्सटेंशन की तुलना में बहुत बड़ी समस्याएं होतीं जो अन्य एक्सटेंशन को लक्षित करता है।
फिर, ऐसे हमले की वैधता है। यदि आप सिस्टम में विशेषाधिकार प्राप्त पहुंच प्राप्त कर सकते हैं, उदाहरण के लिए, अन्य एक्सटेंशन पर छिपकर सुनना आपके द्वारा की जा सकने वाली कम से कम उपयोगी चीज है। यह किसी के फोन को वायरटैप करने और फिर बिस्तर के नीचे छिपकर कॉल सुनने जैसा है। या कुछ ऐसा सादृश्य। किसे परवाह है।
दूसरे शब्दों में, यह संभावित सुरक्षा मुद्दा बिल्कुल भी मुद्दा नहीं है। इसके लिए एक उपयोगकर्ता की सक्रिय, जानबूझकर बातचीत की आवश्यकता होती है जो अपने सिस्टम को नुकसान पहुंचाने पर उत्सुक हो। उस मामले के लिए, आप बस अपनी मशीन को किसी भी मैलवेयर से संक्रमित कर सकते हैं। आप जानते हैं कि और क्या एक ही नेमस्पेस है? आपका कर्नेल।
Microsoft बुलेटिन MS16-039
यह एक दिलचस्प है। इस विशेष आइटम के लिए शीर्ष 20 परिणाम सभी में एक चीज समान है - वास्तविक सलाह का एक शब्द-शब्द कॉपी पेस्ट, बिना एक भी मूल विचार या मूल्यवान टिप्पणी प्रदान किए। अगर वह पत्रकारिता है, तो मैं शेक्सपियर हूं।
इन बीस वेबसाइटों में से, केवल एक स्रोत ने EMET का उल्लेख किया, Microsoft द्वारा विकसित सर्वोच्च उपयोगी और महत्वपूर्ण शमन फ्रेमवर्क, जो शोषण के खिलाफ उत्कृष्ट सुरक्षा प्रदान करता है। लेकिन अरे, वह काफी नाटकीय नहीं है! और केवल एक अन्य वानाबे या बी सुरक्षा ब्लॉग ने वास्तव में मुद्दों को रेखांकित करने और वे कैसे सहन कर सकते हैं, इस पर कुछ लंबाई तक जाने की कोशिश की थी।
जाहिरा तौर पर, चार अलग-अलग भेद्यताएं हैं, जिनमें से तीन स्थानीय हैं। उबाऊ जब तक आप एक निगम नहीं हैं जिसमें संगठन में काम करने वाले बहुत सारे लोग हैं। एक दूरस्थ निष्पादन मुद्दा हो सकता है यदि कोई उपयोगकर्ता एक विशेष रूप से तैयार किया गया दस्तावेज़ खोलता है - कृपया खुद को इलेक्ट्रोक्यूट करें - या एम्बेडेड दुर्भावनापूर्ण फोंट वाले पृष्ठ पर जाता है।
यह सुरक्षा अद्यतन Microsoft Windows, Microsoft .NET Framework, Microsoft Office, Skype for Business, और Microsoft Lync में भेद्यताओं को हल करता है। सबसे गंभीर भेद्यता दूरस्थ कोड निष्पादन की अनुमति दे सकती है यदि कोई उपयोगकर्ता एक विशेष रूप से तैयार किया गया दस्तावेज़ खोलता है या एक वेबपेज पर जाता है जिसमें विशेष रूप से तैयार किए गए एम्बेडेड फोंट होते हैं।
अब, इस बिंदु पर, मैं पूछूंगा, ठीक है, तो आपने समस्या लिख दी है। ठीक है, आगे क्या? शोषण वास्तव में कैसे काम करता है? उपयोगकर्ता वास्तव में इस चीज़ से खुद को कैसे बचाते हैं?
कुछ नहीं। मौन। क्योंकि लोग शिकायत कर रहे हैं और यह सारा ड्रामा लिख रहे हैं वे वास्तव में मदद नहीं करना चाहते। वे सिर्फ ध्यान आकर्षित करना चाहते हैं और डर और प्रचार से लाभ उठाना चाहते हैं। और उनके पास वास्तव में मदद करने के लिए आवश्यक तकनीकी विशेषज्ञता नहीं है। जो उन्हें बेकार बनाता है।
उचित विश्लेषण
तो आइए देखें कि क्या देता है। सबसे पहले, आप वास्तव में Microsoft द्वारा प्रदान किए गए सुरक्षा अपडेट इंस्टॉल कर सकते हैं। कोई बड़ी बात नहीं। इसका मतलब है कि कोई विशेष सलाह किसी विशेष उल्लेख की गारंटी नहीं देती वास्तव में। लेकिन यदि आप तकनीकी जाना चाहते हैं, तो Microsoft के पास इस विषय पर बहुत सारी उपयोगी जानकारी है, उन ब्लॉग के विपरीत जो इसके बारे में लिख रहे हैं।
चार भेद्यताओं में से तीन निम्नलिखित श्रेणी में आते हैं: एकाधिक Win32k एलिवेशन ऑफ प्रिविलेज भेद्यताएं, सलाह CVE-2016-143, -165 और -167 द्वारा पहचानी गई। वे सभी स्थानीय हैं, और इनमें से दो के सक्रिय शोषण हैं। अधिकांश घरेलू उपयोगकर्ताओं के लिए दिलचस्प नहीं।
चौथा - ग्राफिक्स मेमोरी भ्रष्टाचार भेद्यता CVE-2016-0145, एम्बेडेड फोंट के बारे में है। वर्तमान में इसका सार्वजनिक रूप से खुलासा या शोषण नहीं किया गया है। हालांकि, यह वास्तव में आपको सांत्वना या चिंता नहीं करना चाहिए। क्योंकि यह सब शिक्षा के बारे में है। हम आज पैच की गई किसी चीज़ के बारे में चिंता नहीं करना चाहते। हम समान प्रकृति की सभी संभावित, भविष्य की भेद्यताओं को संबोधित करने में सक्षम होना चाहते हैं, चाहे उनका स्पॉटलाइट का क्षण हो या नहीं।
जिसका अर्थ है, हमें एम्बेडेड फोंट पर ध्यान केंद्रित करने की आवश्यकता है। यह समस्या का स्रोत है। यदि कोई दुर्भावनापूर्ण एम्बेडेड फोंट एक वेबपेज पर मौजूद हैं, और उपयोगकर्ता उस पृष्ठ पर जाता है, तो सिस्टम फॉन्ट लाइब्रेरी पागल हो सकती है और कोड के मनमाने निष्पादन की अनुमति दे सकती है।
दूसरे शब्दों में, हम एम्बेडेड फोंट को रोकना चाहते हैं और/या ब्राउज़र को फॉन्ट लाइब्रेरी को अवैध तरीके से कॉल करने से रोकना चाहते हैं। इनमें से एक या दोनों वैक्टर, यदि रोके जाते हैं, तो शोषण को रोक सकते हैं।
पहले को एम्बेडेड फोंट की अनुमति नहीं देकर संबोधित किया जा सकता है। सामान्य तौर पर, एम्बेडेड फोंट @font-face CSS नियम का उपयोग करके प्रदर्शित किए जाते हैं। दूसरे शब्दों में, यदि आप इस विशेष CSS नियम को पार्स होने से रोकते हैं जब कोई पेज लोड होता है, तो एम्बेडेड फोंट लोड नहीं होंगे, और संभावित शोषण नहीं चलेंगे।
अब Noscript को याद करें और कैसे इसे अभी पहले खलनायक बनाया गया था?
Noscript वास्तव में अविश्वसनीय पृष्ठों पर @font-face को ब्लॉक करता है!
तो वास्तव में न केवल Noscript लाखों को जोखिम में नहीं डालता, यह वास्तव में लाखों को एम्बेडेड फोंट के साथ संभावित मुद्दों के संपर्क में नहीं आने में मदद करता है। यह सिर्फ दिखाता है कि बिना किसी वास्तविक औचित्य के कितना प्रचार और ड्रामा है। लेकिन हमने अभी शुरू किया है।
दूसरा वैक्टर एक ब्राउज़र का अवैध तरीके से फॉन्ट लाइब्रेरी पर कॉल करके पागल हो जाना है। यह ठीक वही है जिसके लिए एन्हांस्ड मिटिगेशन एक्सपीरियंस टूलकिट है। 'टिस एक बहुत ही निफ्टी सुरक्षा टूल। शून्य पदचिह्न, कोई बकवास नहीं। यह उन प्रोग्राम के बीच अंतर नहीं करता जो इसके पंखों के नीचे चलते हैं, उनमें अवैध निर्देशों का पता लगाता है।
और फिर, एक व्यावहारिक, उपयोगी सवाल होगा - क्या किसी ने EMET का उपयोग करके किसी ब्राउज़र के साथ एम्बेडेड फॉन्ट शोषण का परीक्षण किया है? या शायद ऑफिस टूल या Skype या ऐसा? क्या किसी ने किसी भी प्रकार के एम्बेडेड फॉन्ट ट्रिक्स की कोशिश की है जो एक अवैध निर्देश को ट्रिगर करेगा?
शमन की बात करते हुए, Microsoft के पास अविश्वसनीय फोंट को ब्लॉक करने पर एक पूरा पेज है! यह बताता है कि शमन विकल्प कैसे जोड़ें, जो GDI को %windir%/Fonts डायरेक्टरी के बाहर किसी भी फॉन्ट को लोड करने से रोकते हैं। यह ठीक वही है जो आप इस मामले में चाहते हैं। और इसका मतलब है कि इस प्रकृति के शोषण किसी भी मुद्दे को ट्रिगर नहीं करेंगे। एर्गो, वे सभी सनसनीखेज लेख सिर्फ शुद्ध बकवास हैं।
लेख Windows 10 पर लागू होता है, और यह EMET 5.5 का भी उल्लेख करता है, जो इस क्षमता को अच्छी तरह से पूरक करता है। मुझे नहीं पता कि Windows 7 और Windows 8.1 उपयोगकर्ता भी सुरक्षा के सटीक समान स्तर से लाभान्वित होंगे, लेकिन फिर, वे निश्चित रूप से जितने हैं उससे बदतर नहीं होंगे।
अविश्वसनीय फोंट ब्लॉक करें
वैसे भी, यहां बताया गया है कि आप अविश्वसनीय फोंट कैसे ब्लॉक कर सकते हैं। Regedit.exe लॉन्च करें, और फिर जाएं:
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel\
इस हाइव के तहत, MitigationOptions कुंजी देखें। यदि यह मौजूद नहीं है, तो एक QWORD (64-बिट) मान बनाएं और उसका नाम तदनुसार बदलें। लेख 64-बिट आर्किटेक्चर मानता है, इसलिए मुझे लगता है कि आप 32-बिट सिस्टम पर DWORD (32-बिट) मान चाहते हैं। सही मान निर्दिष्ट करें। अविश्वसनीय फोंट को ब्लॉक करने के लिए, आप एक लंबी संख्या चाहते हैं - 1000000000000। इसे किसी भी अन्य शमन मान में जोड़ें जो आपके पास पहले से हो सकता है। यह संख्या वास्तव में एक फ़िल्टर है।
और वह बच्चों, है कि बच्चे कैसे बनाए जाते हैं!
अन्य सामान
अधिक सामान्य डराने वाली बातें हैं। फ्लैश। मेह, उबाऊ। अन्य व्यर्थ सामान, फिर से, बिना किसी समझदार लीड के कि आप वास्तव में खुद को कैसे बचा सकते हैं। यह कहने जैसा है, एक ट्रक आपको इस महीने मार सकता है। हां, लेकिन अगर आप सड़क के बीच में खड़े नहीं हैं, तो आप इसकी संभावना को काफी कम कर सकते हैं। केवल कोई परेशान नहीं करता, जानता है या उल्लेख करना चाहता है। शीर्ष 20 खोजों में से केवल 1 ने उपयोगकर्ताओं को वास्तविक सहायता प्रदान की, और तब भी, EMET और यह कैसे काम करता है पर बहुत अधिक जानकारी नहीं थी।
यह सारा प्रचार क्यों, प्रार्थना करें?
Dedoimedo, ये अन्य लोग मदद क्यों नहीं कर रहे हैं? वे सुरक्षा को इतना अधिक प्रचार क्यों कर रहे हैं? सभी अच्छे प्रश्न। इसके कई उत्तर हैं। पहला और स्पष्ट यह है कि कोई भी यूनिकॉर्न और इंद्रधनुष बेचकर अमीर नहीं हुआ। लोग ड्रामा पसंद करते हैं। दूसरे, बेहतर और अधिक ठोस सामग्री की कमी के लिए, सुरक्षा बुलेटिन को दोहराना शुद्ध सोने से बनी रोटी पकाने जितना अच्छा है। लेकिन सबसे महत्वपूर्ण बात ...
सैन्य सेवा
पश्चिमी दुनिया में, रे: कैलिफोर्निया, अधिकांश यदि सभी सुरक्षा ब्लॉगर्स ने किसी भी प्रकार की सैन्य सेवा से गुजरने का आनंद नहीं लिया है। मैं इसकी अत्यधिक अनुशंसा करता हूं। आपकी छाती पर बाल और मूली पर सरसों जोड़ता है। चरित्र बनाता है, आपको सामाजिककरण करने के लिए मजबूर करता है, आप अनुशासन सीखते हैं, लेकिन यह आपको जीवन पर एक अलग दृष्टिकोण भी देता है जितना आप सामान्य रूप से Spotify सुनते हुए अपने निकटतम बायो-मेटा-दूध कॉफी शॉप तक Segway करते हुए प्राप्त करते हैं।
और इसलिए, यदि आपका जीवन मानव अस्तित्व के कम शराबी पक्षों के संपर्क में नहीं आया है, जैसे गरीबी, अकाल, बीमारी, गुलामी, तस्करी, दंगे और क्रांतियां, युद्ध, और इस दुनिया के अन्य प्रसन्नता, तो एक ऑपरेटिंग सिस्टम में पाए गए सुरक्षा मुद्दे पर QWERTY - या DVORAK - जाना अचानक उत्साह की क्रीम डे ला क्रीम बन जाता है।
अगले सुरक्षा सलाहकार के रास्ते पर एक ब्लॉगर।
वास्तव में, यदि आप सभी हॉलीवुड ब्लॉकबस्टर मानसिकता में बहुत गहरे हैं, जहां विस्फोट नारंगी हैं और हैकिंग बीमार-हरे-काले टर्मिनल विंडो पर होती है, तो आप आसानी से वास्तविकता पर पकड़ खो सकते हैं और अचानक सोच सकते हैं कि एक साधारण फॉन्ट भेद्यता SARS और इबोला संयुक्त से कम महत्वपूर्ण नहीं है, और इसके बारे में ब्लॉगिंग करके, आप लगभग उतने ही बदमाश हैं जितना कि फ्रेंच लीजन की एक रेजिमेंट जो जिबूती के तट पर ताजा उतरी है।
निष्कर्ष
यह एक शब्द में अप्रैल का महीना है। कुछ नया नहीं। कुछ रोमांचक नहीं। कुछ मूल्यवान नहीं। इसके विपरीत, आपको स्क्रीन से चिपके रखने और पढ़ने, आपको सिखाए बिना कि कैसे खुद को बचाएं, डराने के लिए डिज़ाइन किया गया बहुत सारा हानिकारक बकवास। Noscript, EMET, अरे, डेटा बैकअप के बारे में क्या? कुछ नहीं।
आप सभी पहले से ही जानते हैं कि मैं सॉफ्टवेयर सुरक्षा के बारे में कैसा महसूस करता हूं। यह पूरी तरह से ओवररेटेड है। और इसके बारे में ब्लॉगिंग करने वाले लोग बिना वास्तव में उपयोगकर्ताओं को शिक्षित किए, उनके प्रचार करने वाले कथित दुश्मन से बेहतर नहीं हैं। यदि आपके पास योगदान करने के लिए कुछ भी मूल्यवान नहीं है, तो आप पहली जगह में कुछ भी लिखने से बेहतर होंगे। कोई भी Microsoft बुलेटिन पढ़ सकता है। उन्हें आपके द्वारा सटीक वही जानकारी दोहराने की आवश्यकता नहीं है। न ही FUD और प्रचार फैलाने के लिए बिना यह जाने कि बुनियादी चीजें कैसे काम करती हैं, जैसे Firefox एक्सटेंशन। लेकिन अरे, यह वह दुनिया है जिसमें हम रहते हैं। वास्तव में महत्वपूर्ण बात यह है, साइटें सभी मोबाइल-फ्रेंडली हैं, इसलिए उनकी अच्छी रैंकिंग है। है ना? मूल्यवान जानकारी, आखिरकार।
नोट: सभी पुरानी तस्वीरें सार्वजनिक डोमेन में हैं।
चीयर्स।
