ब्लीडिंग हार्ट की स्थिति: टूटी हुई अपग्रेड

जानकारी के लिए: इस लेख के कई संदर्भों में, लेखक गलती से मुझे ओपेरा सॉफ्टवेयर का कर्मचारी कहते हैं। वास्तव में, मैंने ओपेरा को एक साल से अधिक समय पहले छोड़ दिया था और आज मैं एक नई कंपनी - विवाल्डी टेक्नोलॉजीज एएस में काम करता हूं



12 मई का अपडेट

समस्या की अधिक गहन जांच के बाद, F5 के साथ मिलकर, यह पता चला कि F5 BigIP सर्वरों का पता लगाने के लिए उपयोग किए जाने वाले परीक्षण में यह संख्या अधिक होनी चाहिए, इसलिए परीक्षण के दौरान ऐसे सर्वरों की संख्या को कम करके आंका गया था। इसका मतलब यह है कि बिगआईपी सर्वर और निष्कर्ष के बारे में प्रासंगिक जानकारी गलत है, इसलिए मैं बिगआईपी सर्वर पर अध्याय पार करूंगा। मैं इस गलती के लिए F5 और उनके ग्राहकों से माफी मांगता हूं।



प्रागितिहास



जैसा कि मैंने अपने पिछले लेख में कहा था, ओपनएसएसएल लाइब्रेरी में एक भेद्यता ( सीवीई-2014-0160 ) की खोज की गई थी , जिसे जोर से " हार्टब्लेड " कहा जाता था। इस भेद्यता ने हमलावरों को इस तरह की महत्वपूर्ण जानकारी निकालने की अनुमति दी, उदाहरण के लिए, उपयोगकर्ता पासवर्ड या साइटों की निजी एन्क्रिप्शन कुंजी, कमजोर "सुरक्षित" वेब सर्वर ( व्याख्यात्मक कॉमिक बुक ) मर्मज्ञ।



नतीजतन, इस संकट से प्रभावित सभी वेबसाइटों को अपने सर्वर को पैच करना पड़ा, साथ ही साथ अपने उपयोगकर्ताओं की सुरक्षा के लिए अन्य कार्य भी करने पड़े। यह ध्यान देने योग्य है कि नेटवर्क पर फैली भेद्यता के बारे में जानकारी के बाद खतरे का स्तर काफी बढ़ गया (कई गंभीर घटनाएं दर्ज की गईं और कम से कम एक व्यक्ति जिसने व्यक्तिगत लाभ के लिए हार्टब्लेड का उपयोग करने की कोशिश की थी) को गिरफ्तार कर लिया गया।



Slowing पैच उपयोग



जिस दिन से भेद्यता का पता चला था, उसके कई हफ्तों तक, मैंने अपने टीएलएस प्रोबेर टेस्टर का उपयोग करके पैच लगाने की गतिविधि को ट्रैक किया। वर्तमान में, परीक्षक लगभग 500,000 व्यक्तिगत सर्वर स्कैन करता है, जो एलेक्सा टॉप से ​​लगभग एक लाख वेबसाइटों के नमूने के साथ विभिन्न डोमेन (कुल 23 मिलियन) में होस्ट नाम परिवर्तन का उपयोग करता है।



11 अप्रैल से किए गए छह स्कैन के अनुसार, कमजोर सर्वरों की संख्या इस सप्ताह 2.33% परीक्षण किए जा रहे कुल सर्वरों के 5.36% से तेजी से गिर गई। लगभग 20% स्कैन किए गए सर्वर हार्टबीट टीएलएस एक्सटेंशन का समर्थन करते हैं, जिसका अर्थ है कि भेद्यता का पता चलने के बाद पहले चार दिनों के दौरान 75% तक संवेदनशील सर्वरों को पैच किया गया था, अर्थात्। मेरे पहले स्कैन से पहले।



हालाँकि, यदि पहले दो हफ्तों में असुरक्षित सर्वरों की संख्या आधी हो गई थी - 2.77% तक, अगले कुछ हफ्तों में यह आंकड़ा केवल 2.33% तक गिर गया, जो कमजोर सर्वरों के "उपचार" की प्रक्रिया के लगभग पूर्ण विराम को इंगित करता है।







सामान्य तौर पर, एक स्कैन दिखाता है कि सबसे लोकप्रिय वेबसाइटों के सर्वरों को पैच किया गया है। लगभग 73% क्रॉल की गई वेबसाइट्स ब्राउज़र द्वारा मान्यता प्राप्त सर्टिफिकेट अथॉरिटी से सर्टिफिकेट का उपयोग करती हैं, और केवल 30% असुरक्षित वेबसाइट ही ऐसे सर्टिफिकेट का उपयोग करती हैं। यह सब कुछ के रूप में समस्या के महत्व को थोड़ा कम करता है, लेकिन भले ही कुछ सर्वर पूरे इंटरनेट के पैमाने पर महत्वहीन दिखते हों, लेकिन इन सर्वरों के वास्तविक उपयोगकर्ताओं के लिए यह आसान नहीं है।



एक समान रूप से गंभीर समस्या है: असुरक्षित सर्वर द्वारा उपयोग किए जाने वाले कई प्रमाण पत्र निश्चित सर्वर पर उपयोग किए जाते हैं। वास्तव में, यह मानते हुए कि पहले स्कैन पर हार्टबीट का समर्थन करने वाले सभी सर्वर असुरक्षित थे, तब पैच का उपयोग करने वाले सर्वर को ठीक करने के बाद प्रमाण पत्र के 2/3 अपडेट नहीं किए गए थे (क्योंकि वे सर्वर के फिक्सिंग से पहले के समान थे। )। यह देखते हुए कि प्रत्येक सर्वर को 7 अप्रैल के बाद पैच किया गया था, उसके पास एक समझौता प्रमाणपत्र निजी कुंजी थी (क्योंकि हमलावर इन सर्वरों पर हार्टब्लेड का उपयोग कर सकते हैं), हम एक गंभीर समस्या के बारे में बात कर सकते हैं जो अभी भी ऐसी वेबसाइटों के उपयोगकर्ताओं को धमकी देती है।



इसके अलावा, संख्या में खुदाई से दो और समस्याएं सामने आईं।



असुरक्षित F5 बिगआईपी सर्वरों की संख्या स्थिर बनी हुई है



पहली समस्या यह है कि ओपनएसएसएल के असुरक्षित संस्करणों का उपयोग करके एक विशिष्ट कॉन्फ़िगरेशन के साथ F5 बिगआईपी सर्वर (शक्तिशाली एसएसएल / टीएलएस एक्सेलेरेटर) की पूर्ण संख्या अपरिवर्तित बनी हुई है। आज BigIP सर्वर की पहचान करना बहुत आसान है, क्योंकि उन्हें कुछ प्रकार के टीएलएस हैंडशेक की समस्या है।



सच है, चार्ट थोड़ा अजीब लगता है, क्योंकि इस प्रकार के बिगिप सर्वर वास्तव में हार्टबीट का समर्थन करने वाले अधिकांश सर्वरों से बेहतर थे।



असुरक्षित BigIP सर्वरों की पूर्ण संख्या अपरिवर्तित रहने का कारण इस प्रकार है: OpenSSL संस्करण 1.0.1 (हार्टबीट सपोर्ट के साथ) का उपयोग करने वालों सहित BigIP सर्वरों की संख्या पिछले महीने में दोगुनी हो गई है (पिछले कुछ वर्षों में धीमी गिरावट के बाद), और कई नए सर्वर OpenSSL लाइब्रेरी के एक असुरक्षित संस्करण का उपयोग करते हैं।



मुझे लगता है कि आंशिक रूप से समस्या BigIP सर्वर के नए मालिकों द्वारा बनाई गई थी: शायद वे इसे स्थापित करने के बाद मूल सर्वर सॉफ़्टवेयर को अपडेट करना भूल गए।



यह देखते हुए कि बिगआईपी सर्वर आमतौर पर बड़ी संख्या में उपयोगकर्ताओं की सेवा के लिए उपयोग किए जाते हैं, हम मान सकते हैं कि इन सभी में सुरक्षा की गंभीर समस्याएं हैं।



टूटे हुए दिल के लिए अद्यतन



दूसरी समस्या भी कमजोर बिगआईपी सर्वरों की संख्या से संबंधित है, लेकिन यह बहुत बुरा लग रहा है: मेरे पिछले स्कैन के दौरान, वर्तमान में कमजोर सर्वरों का 20% (आईपी चयन) और 32% (!) कमजोर BigIP सर्वरों के दौरान जो कमजोर नहीं थे ! पिछले चेक। इसका मतलब यह है कि उन हजारों साइटों को जो पहले हार्टबल के साथ कोई समस्या नहीं थी, अब इन समस्याओं को प्राप्त कर लिया है!







यह माना जा सकता है कि पहचाने गए आंकड़े गलत हैं, क्योंकि विश्लेषण मानता है कि सर्वर के आईपी पते नहीं बदले जाते हैं, जो हमेशा नहीं होता है। हालांकि, सर्वर प्रमाणपत्रों को सत्यापित करने के लिए एक ही तकनीक को लागू करना एक ही प्रवृत्ति को दर्शाता है।



यह सुनिश्चित करना मुश्किल है कि यह समस्या कहां से आई है, लेकिन संभावनाओं में से एक यह है कि मीडिया से इस विषय पर ध्यान देने से सर्वर प्रशासकों को संदेह है कि उनके सर्वर काफी सुरक्षित हैं। इसके लिए "निष्क्रिय नहीं होने की मांग करने वाले अधिकारियों" से दबाव जोड़ा जा सकता है, परिणामस्वरूप, सॉफ़्टवेयर को अपडेट किया गया था जो सर्वरों की प्रतिकूलता से एक नए संस्करण के लिए पूरी तरह से सुरक्षित था, जो उस समय अभी तक डेवलपर्स द्वारा स्वयं तय नहीं किया गया था।



इस समस्या को ठीक करने के लिए, कमजोर सर्वर के मालिकों को फिर से पूरी पैच प्रक्रिया से गुजरना होगा, जिससे पैसे की लागत बढ़ेगी जो वास्तव में टाला जा सकता था। मोटे तौर पर, एक पैच लगाने, एक प्रमाण पत्र की जगह लेने और उचित परीक्षण करने के लिए चार घंटे के भीतर तीन सिस्टम प्रशासक के काम की आवश्यकता होगी। $ 40 पर प्रत्येक व्यवस्थापक घंटे की लागत के साथ, 2,500 "बीमार" सर्वर (मेरे उदाहरण में) को ठीक करने के लिए अनावश्यक खर्चों की अनुमानित कुल राशि लगभग $ 1.2 मिलियन हो सकती है। और यह देखते हुए कि मेरा परीक्षण नेटवर्क पर सभी सर्वरों का लगभग 10% ही शामिल है, कुल राशि। आकस्मिकताएँ कुल $ 12 मिलियन होंगी।



हार्दिक एक बहुत ही गंभीर समस्या है और इस "दुर्भाग्य" से प्रभावित सभी सर्वरों द्वारा इस भेद्यता को ठीक करने की आवश्यकता है, लेकिन मैं यह सोचना शुरू कर रहा हूं कि विषयगत प्रेस की गतिविधि, जो बहुत अधिक अशुद्धियों से ग्रस्त है और समय से पहले सलाह देती है (जैसे, उदाहरण के लिए, "अपना पासवर्ड तुरंत बदलें!" सर्वर सॉफ़्टवेयर अपडेट की प्रतीक्षा किए बिना या "हार्दिक के कारण प्रमाणपत्रों का निरसन नेटवर्क गति को काफी धीमा कर देगा"), कुछ हद तक प्रतिसंबंधी है।



सर्वर पर उपरोक्त डेटा जो "अद्यतन" किया गया है और इस तरह एक समस्या के प्रति संवेदनशील हो जाता है जो पहले उन्हें संबोधित नहीं किया गया था, समस्या का विकृत प्रेस कवरेज का परिणाम हो सकता है।



मेरी सिफारिशें अपरिवर्तित रहती हैं: पहले हम पैच को स्थापित करते हैं, फिर हम प्रमाणपत्रों को नवीनीकृत करते हैं, और उसके बाद ही हम पासवर्ड बदलते हैं (उस क्रम में)। विषय पत्रकारों को इस पर ध्यान केंद्रित करना चाहिए, और सभी आतंक के मूड को पूरी तरह से समाप्त करना चाहिए। समस्या पर चर्चा करते समय तथ्यात्मक सटीकता का निरीक्षण करें, पाठकों को जांचने के तरीके (चाहे वे एक भेद्यता का शिकार हो सकते हैं) की पेशकश करें, उदाहरण के लिए, मौजूदा सॉफ़्टवेयर टूल, जैसे एसएसएल लैब्स से सर्वर परीक्षक के बारे में बात करें, और यह बताना न भूलें कि आप समस्या से कैसे छुटकारा पा सकते हैं।