आम तौर पर, मैं सॉफ़्टवेयर सुरक्षा के बारे में बहुत संदेहजनक हूं। मुझे लगता है कि प्रासंगिक सॉफ़्टवेयर उद्योग के मुख्य उद्देश्यों में से एक लोगों को सुरक्षा उत्पाद खरीदने के लिए डराना है, ताकि वे कथित रूप से सुरक्षित महसूस कर सकें। इसका सबसे अच्छा उदाहरण Windows XP के निधन से पहले Windows मैलवेयर स्थिति पर परस्पर विरोधी विचारों का होगा, Microsoft की एक रिपोर्ट में दिखाया गया है कि इसके ऑपरेटिंग सिस्टम के नए संस्करण कैसे सुरक्षित हैं, और एंटी-मैलवेयर कंपनियों द्वारा एक जो इसके ठीक विपरीत का दावा करते हैं। यह नवीनतम openSSL मुद्दे पर मेरी बदबूदार नज़र लाता है।
कई उपयोगकर्ताओं, यानी एक से अधिक, ने मुझे इस पर विस्तार से बताने के लिए कहा, मेरे बल्कि शांत दृष्टिकोण को देखते हुए। वास्तव में, यह Windows नहीं है, यह Linux है। यह वेब है। यह कुछ पूरी तरह से अलग है। यह दिलचस्प होना चाहिए।
Heartbleed संक्षेप में
अनिवार्य रूप से, Heartbleed OpenSSL Heartbeat एक्सटेंशन में एक बग है, जो एक Heartbeat अनुरोधकर्ता को लक्ष्य सिस्टम पर OpenSSL लाइब्रेरी मेमोरी से मनमाना पेलोड प्राप्त करने की अनुमति देता है। दूसरे शब्दों में, TLS प्रोटोकॉल संचार के लिए आवश्यक डेटा को वापस करने के बजाय, पोल किया गया होस्ट उससे अधिक वापस करता है। इसका प्रभावी अर्थ है उन मेमोरी पेजों तक पहुंच जो अनुरोधकर्ता को भेजे जाने के लिए नहीं थे।
और बस इतना ही। अब, समस्या यह है कि यह बड़ी संख्या में वेब होस्टेड सेवाओं और साइटों को प्रभावित करता है, एक बड़े ग्राहक आधार के साथ। यहीं पर Heartbleed मुद्दा सिर्फ एक और बग से कहीं अधिक बन जाता है।
यह बुरा क्यों है
हां, आपने सही सुना। मुझे लगता है कि यह एक गंभीर मुद्दा है। लेकिन इस वजह से नहीं कि लक्षित साइटों से किस तरह का डेटा एकत्र किया जा सकता था। वह है, और हमेशा गोपनीय जानकारी चुराने का पूरा उद्देश्य रहेगा। यह मुद्दे के अलावा है।
जो मायने रखता है वह है जिस तरह से यह मुद्दा सामने आया। Heartbeat बग दो मुख्य समस्याओं के कारण हुआ। एक, खराब इनपुट सत्यापन, प्रोग्रामिंग का अनहोली ग्रेल, जब कोड डेवलपर्स अपने वेरिएबल्स को इनिशियलाइज़ करना, सीमाओं या रिटर्न मानों की जांच करना भूल जाते हैं। मुख्य कारण क्यों क्यूबिकल में लोगों पर भरोसा नहीं किया जा सकता। अफसोस, यह सर्वश्रेष्ठ के साथ भी होता है। जब आप Hello World! के दायरे से आगे जाते हैं तो आप बहुत कम कर सकते हैं।
दूसरी समस्या यह है कि openSSL के डेवलपर्स ने free और malloc के अपने स्वयं के कार्यान्वयन का उपयोग किया, दो रूटीन जो डायनामिक रूप से मेमोरी के टुकड़ों को हथियाने और जारी करने के लिए उपयोग किए जाते हैं। इसका मतलब है कि उन्होंने सोचा कि वे बाकी सभी से बेहतर जानते हैं।
तो हां, जब आप इस समस्या को इस तरह तोड़ते हैं, तो यह कष्टप्रद है। लगभग चेरनोबिल दुर्घटना की तरह। छोटे मुद्दों की एक श्रृंखला जो डिजिटल संभोग के एक सी.एल.यू.एस.टी.ई.आर. गुलदस्ते में ढेर हो जाती है।
आप क्या कर सकते हैं - सही परिप्रेक्ष्य
आपके लिए करने के लिए बहुत कम है। ईमानदारी से। समस्या ज्यादातर सर्वर-साइड पर है। सच है, यह उन सभी मशीनों को भी प्रभावित करता है जो कमजोर openSSL लाइब्रेरी का उपयोग करती हैं। लेकिन अपने आप से पूछें कि आपके उपकरण कितनी बार अन्य होस्ट के साथ सीधे TLS का उपयोग करके संवाद करते हैं, वेब से जानकारी प्राप्त करने के अलावा, शायद गेमिंग सर्वर से कनेक्ट करने के लिए, और इसी तरह?
हालांकि, बड़ी साइटों के लिए, मुझे व्यक्तिगत रूप से लगता है कि भले ही उन्हें ब्लीड किया गया हो, ट्रैफ़िक की मात्रा इतनी बड़ी है कि सभी जानकारी को संसाधित करने के लिए महत्वपूर्ण मात्रा में कंप्यूटिंग शक्ति लगती है, और मेमोरी सामग्री शायद एक सुसंगत दृश्य बनाने के लिए बहुत विरल है।
अब, यह मेरा अनुमान है, गणितीय थीसिस नहीं, इसलिए अपने विट्रियोल और क्या नहीं से दूर रहें। इसके बारे में सोचें। Google को लें, उदाहरण के लिए। इसके विशाल कंप्यूट फार्म हैं जिनमें हजारों सर्वर हैं जो वेब-संबंधित सेवाएं प्रदान करते हैं, प्रत्येक हर सेकंड सैकड़ों अनुरोधों की सेवा करता है। इसलिए भले ही आप इन संसाधनों को हार्टबीट करें, अपने सभी डेटा को प्राप्त करने के लिए आपके अपने सर्वर का एक समूह लगता है। साथ ही, अगर कोई उस प्यारे SSL सामान को प्राप्त करने के लिए कड़ी मेहनत कर रहा है, तो वे शायद उन संसाधनों को DoS नहीं करना चाहते। तीसरा, भले ही सभी क्रेडेंशियल चोरी हो गए हों, एक स्विच नेटवर्क पर सार्थक तरीके से ट्रैफ़िक सूंघना कोई आसान बात नहीं है।
मेरा मतलब आपको शांत करना नहीं है। यह बात नहीं है। आपको बस इस समस्या की तर्कसंगत तरीके से जांच करने की आवश्यकता है। तो हां, सिद्धांत में और शायद व्यवहार में, कुछ SSL डेटा लीक हो सकता है। एहतियात के तौर पर, कुछ वेबसाइटों ने सिफारिश की है कि आप अपने पासवर्ड बदलें। इस पर विचार करें। यह एक बुरी प्रथा नहीं है। इसके अलावा, टू-फैक्टर ऑथेंटिकेशन, और विभिन्न साइटों पर अलग-अलग पासवर्ड का उपयोग करना भी एक अच्छा विचार है।
एक चीज़ जो आपके डर को थोड़ा कम कर सकती है वह यह है कि कॉर्पोरेट दुनिया में दुनिया भर में अधिकांश इंस्टॉल बेस उद्यम फ्लेवर के पुराने संस्करण चला रहे हैं, जो ज्यादातर प्रभावित नहीं हुए हैं। आप पुराने CentOS और ऐसे को नापसंद कर सकते हैं, क्योंकि वे आधुनिक और कूल नहीं हैं, लेकिन इस मामले में, उनके कुछ उपयोग हैं।
एक अंतिम उपयोगकर्ता के रूप में
अब, यदि आप एक अच्छे सैनिक बनना चाहते हैं, तो कुछ चीजें हैं जो आप कर सकते हैं। जांचें कि क्या आपकी लोकप्रिय साइटें अभी भी खराब संस्करण का उपयोग कर रही हैं। यदि हां, तो रिपोर्ट करें, आगे बढ़ाएं, सुधार के लिए कहें। उपयोगकर्ता पक्ष से बस इतना ही।
पासवर्ड, हां हमने उन्हें पहले उल्लेख किया था। बस याद रखें कि यह बढ़िया बग 2012 की शुरुआत से अस्तित्व में है, दो साल से अधिक पहले। आप इस पूरे समय इससे अनजान थे, जिसका शायद मतलब है कि समस्या का व्यापक, गुप्त प्रकटीकरण नहीं था। और अगर ऐसा हुआ, तो दो साल पहले और अब के बीच, जानकारी लीक हो सकती थी। इसलिए आपको चीजों को सही परिप्रेक्ष्य में रखना चाहिए।
यदि आप अपनी खुद की साइट चला रहे हैं, तो आप सिस्टम को जिम्मेदारी से अपडेट कर सकते हैं, प्रभावित सेवाओं को रोक और शुरू कर सकते हैं ताकि नई लाइब्रेरी मेमोरी में लोड हो जाएं, और सबसे महत्वपूर्ण बात, सुनिश्चित करें कि आपके पास मध्यम दर्जे की सलाहकार कंपनियों द्वारा विकसित कोई घटिया एप्लिकेशन नहीं हैं जो अपने स्वयं के, स्टैटिकली-कंपाइल्ड openSSL का उपयोग करते हैं, जिसका प्रभावी अर्थ है कि वे आपके अपडेट को नहीं देखेंगे या उपयोग नहीं करेंगे।
षड्यंत्र
स्वाभाविक रूप से, एक ताज़ा नया NSA निगरानी षड्यंत्र है, जो दावा करता है कि तीन-अक्षर एजेंसी वर्षों से इस बग के बारे में जानती थी। यदि आप मुझसे पूछें, तो यह संदिग्ध है क्योंकि दो अलग-अलग कंपनियों, जिनमें Google के इंजीनियर और एक फिनिश (यानी अमेरिकी नहीं) कंपनी Codenomicon, ने बग को लगभग एक साथ रिपोर्ट किया। इसका मतलब है कि कुछ नया सामने आया।
तो, यदि आप NSA के बारे में चिंतित हैं, तो यहां एक उपाय है। क्या आप Michael Mann से परिचित हैं? वह वह व्यक्ति है जिसने Miami Vice, चेक, Heat, चेक, और कई अन्य बेहतरीन फिल्मों का निर्देशन किया, जिनमें Manhunter शामिल है, जो Red Dragon की तुलना में Hannibal Lecter चीज़ का एक बहुत, बहुत बेहतर संस्करण है। और थीम गीत Heartbeat है, जिसे Miami Vice के कई स्टेलर एपिसोड में से एक में भी दिखाया गया है। अब, यदि आप गीत सुनते हैं, तो आप इसे पूरी तरह से स्पष्ट रूप से समझ जाएंगे।
Heartbeat, heartbeat, listen to my hearbeat, oh-oh
निष्कर्ष
यह शायद पहली बार है जब आप Dedoimedo को यह कहते हुए सुनेंगे कि एक वास्तविक सुरक्षा मुद्दा है जिसे लोगों को गंभीरता से लेना चाहिए, सामान्य डराने के बजाय। हां, Heartbleed के कारण मेमोरी लीक सिर्फ आपका रोजमर्रा का मैलवेयर बकवास नहीं है। उसी नोट पर, यह एक ऐसा मुद्दा भी है जिसे मुख्य रूप से कंपनियों और सेवा प्रदाताओं द्वारा संबोधित किया जाना होगा। इस खेल में आपकी भूमिका छोटी है। महत्वपूर्ण बात यह है कि शांत और तर्कसंगत रहें।
बस याद रखें, जब इंटरनेट की रीढ़ की हड्डी दर्द करती है, तो पीछे झुकें और देखें। यह हर दिन नहीं होता है, और यह सामान्य आपके पीसी को खतरा हो सकता है बकवास से एक ताज़ा बदलाव है। इस मामले में, यह आपसे बड़ा है। तो आराम करें।
चीयर्स।
