लास्टपास ब्राउज़र एक्सटेंशन में बग्स ने हैकर्स को पासवर्ड चुराने की अनुमति दी

महीने की शुरुआत में हमने साइबर सुरक्षा विशेषज्ञों को वॉल्ट 7 लीक के संबंध में हर जगह हथियार उठाते देखा जहां CIA के हैकिंग टूल्स से लेकर उनके "मीम मैजिक" के अन्वेषण तक सब कुछ विकीलीक्स पर दुनिया के देखने के लिए डाल दिया गया था।

बमुश्किल कुछ हफ्ते बीते हैं, और मार्च एक्शन से भरपूर महीना बना हुआ है क्योंकि लास्टपास के ब्राउज़र एक्सटेंशन में बग्स हैकर्स को अनजान उपयोगकर्ताओं से पासवर्ड हथियाने की अनुमति देंगे।

बग्स

लास्टपास के Google Chrome एक्सटेंशन में एक बग सोमवार को Tavis Ormandy द्वारा खोजा गया था, जो Google के प्रोजेक्ट ज़ीरो के सदस्य हैं। पहला बग - जो हैकर्स को कोड लिखने की अनुमति देता है जबकि आपके कंप्यूटर के उस सर्वर के साथ संचार को हाईजैक कर लेता है जिसमें आप लॉग इन कर रहे हैं और आपके पासवर्ड तक पहुंच प्राप्त करता है - इस रिपोर्ट में पाया जा सकता है जिसमें उनका प्रूफ-ऑफ-कॉन्सेप्ट कोड भी शामिल है यदि आप रुचि रखते हैं।

Ormandy द्वारा पाया गया दूसरा बग लास्टपास के फ़ायरफ़ॉक्स एक्सटेंशन संस्करण 3.3.2 (पुराना, लेकिन अभी भी बहुत लोकप्रिय) में था। यह हैकर्स को एक यूनिवर्सल क्रॉस-साइट स्क्रिप्ट निष्पादित करने की अनुमति देता है जो अलर्ट के माध्यम से उपयोगकर्ता के पासवर्ड को प्रकट करता है।

मंगलवार को लास्टपास ने आंतरिक सेवा डोमेन को जिम्मेदार ठहराया जो प्रमाणीकरण जानकारी ट्रांसफर करने के लिए जिम्मेदार था, वह अस्तित्वहीन प्रतीत होता है (जैसे NXDOMAIN-ing) जब तक उन्होंने समस्या की जांच की, फिर बुधवार को एक घोषणा पोस्ट की जिसमें कहा गया कि उन्होंने क्रोम एक्सटेंशन में मुद्दों को ठीक कर दिया है।

जहां तक फ़ायरफ़ॉक्स एक्सटेंशन का सवाल था, उन्होंने इसे वैसे ही छोड़ दिया क्योंकि 3.x संस्करण शाखा को वैसे भी अप्रैल में रिटायर किया जाना है। स्पष्ट होने के लिए, यह आरोप नहीं है। उन्होंने अपनी घोषणा में खुले तौर पर कहा है: "इस बग की सूचना हमारी टीम को पिछले साल दी गई थी और उस समय इसे ठीक कर दिया गया था। हालांकि, सुधार को हमारे लिगेसी फ़ायरफ़ॉक्स 3.3.x शाखा में नहीं भेजा गया; इस शाखा को औपचारिक रूप से अप्रैल में रिटायर करने का कार्यक्रम है।"

आपको क्या करना चाहिए

यदि आप लास्टपास की सेवाओं का उपयोग करते हैं, तो मैं दृढ़ता से सुझाव देता हूं कि यह सुनिश्चित करें कि आपके ब्राउज़र एक्सटेंशन यथासंभव अप टू डेट हैं। इसके अलावा, चिंतित होने के लिए कोई तत्काल खतरा नहीं है। सामान्य तौर पर, आपको अपने सभी एक्सटेंशन के साथ ऐसा करना चाहिए। डिफ़ॉल्ट रूप से, क्रोम और फ़ायरफ़ॉक्स दोनों आपके लिए ये अपडेट करेंगे, इसलिए यदि आपने ऑप्ट आउट किया है, तो शायद अब उस पर पुनर्विचार करने का अच्छा समय है।

हालांकि एक बड़ी चिंता है...

आज के तकनीकी उद्योग के माहौल में यह कहना निश्चित रूप से किसी को अंक नहीं दिलाएगा, लेकिन यह कहा जाना चाहिए: सुविधा और सुरक्षा आमतौर पर एक द्विभाजन हैं। हमारे सबसे उत्साही कमेंटर्स में से एक ने पहले इसी तरह का बयान दिया था जब हमने CIA के वॉल्ट 7 लीक पर रिपोर्ट की थी।

जैसे-जैसे हम अपने द्वारा उपयोग की जाने वाली तकनीक के साथ अधिक अंतरंग होते जाते हैं (जैसे हमारे पासवर्ड, हमारी व्यक्तिगत जानकारी आदि साझा करना), हम प्रभावी रूप से हैकर्स को हमें समझौता करने का एक और तरीका दे रहे हैं। उल्लंघन इसलिए होते हैं क्योंकि हम खुले तौर पर प्रौद्योगिकियों पर भरोसा करते हैं इससे पहले कि हम खुद से पूछें कि क्या वे हमें नुकसान से बचाने में सक्षम हैं।

लास्टपास एक ऐसी सेवा है जो यह सुनिश्चित करने के लिए हर संभव प्रयास करती है कि उसके उपयोगकर्ता अपने पासवर्ड - उनकी ऑनलाइन अस्तित्व की कुंजी - उस पर भरोसा कर सकें। लेकिन उनके लिए पूरे सम्मान के साथ, हमें खुद से पूछना होगा: क्या होगा अगर एक दिन हम इतने भाग्यशाली नहीं होंगे कि किसी बग का शोषण होने से पहले उसे पैच कर दिया जाए? क्या होगा अगर एप्लिकेशन कोड में एक अप्रत्याशित समस्या किसी हैकर को अंदर घुसने और आपकी सभी जानकारी को खुले में देखने की अनुमति दे दे?

लास्टपास में घुसपैठ पहले भी हुई है, सबसे हालिया 2015 में। उसके बाद, जुलाई 2016 में, एक अधिक परोपकारी हैकर ने एक बग का खुलासा करने का फैसला किया जिसे जनता के सामने शोषित किया जा सकता था।

यहां विचार यह है कि आपको कभी आत्मसंतुष्ट नहीं होना चाहिए। निश्चित रूप से, इनमें से बहुत से शोषण स्वीकार्य रूप से थोड़ा अधिक प्रचारित हैं जितना उन्हें होना चाहिए। लेकिन आपको इस तथ्य से अवगत होना चाहिए कि आप हर बार खतरनाक क्षेत्र में कदम रख रहे हैं जब आप किसी सेवा को कुछ व्यक्तिगत देते हैं। कभी-कभी लाभ जोखिम से अधिक होता है, लेकिन केवल आप ही यह निर्धारण कर सकते हैं जब आप पूरी तरह से सूचित हों कि आप किस चीज के लिए साइन अप कर रहे हैं।

क्या आप पासवर्ड मैनेजर का उपयोग करते हैं? आप जिस सेवा का उपयोग कर रहे हैं उसके उल्लंघन की संभावना के बारे में आप कैसा महसूस करते हैं? हमें एक कमेंट में बताएं!