भेद्यता खोज महीना: हमने इसके लिए कैसे तैयारी की और हम इससे कैसे बचे

21 अप्रैल को, हमने हैकर वन के साथ भेद्यता खोज कार्यक्रम शुरू किया। 20 मई को, प्रतियोगिता समाप्त हो गई, जो इस कार्यक्रम का पहला चरण था। आज हम यह बताना चाहते हैं कि हमने अपने बचाव को कैसे मजबूत किया, प्रतियोगिता की तैयारी की, शोधकर्ताओं ने इसमें अंतराल की तलाश की और उन्होंने हमें खोजने में क्या मदद की।



बेशक, हम ईबेब्रस बग बाउंटी पर खुले सीने में जल्दबाज़ी नहीं करने वाले थे। हमने उन सुरक्षा विशेषताओं के लिए सबसे गंभीर और प्रभावी शक्ति परीक्षण के रूप में भेद्यता खोज कार्यक्रम लॉन्च किया, जिन्हें हमने पिछले कुछ वर्षों में लागू किया है। हमारी रक्षा की सबसे शक्तिशाली लाइनों में से एक एसडीसी की शुरुआत थी। लेकिन थोड़ा पृष्ठभूमि के साथ शुरू करते हैं।



Mail.Ru डोमेन द्वारा एकजुट की जाने वाली परियोजनाएं एक विशाल विषम संरचना हैं। अब डोमेन में Mail.Ru ने 50 से अधिक विभिन्न परियोजनाओं को अपने स्वयं के उप डोमेन के साथ पोस्ट किया है। उनके मौजूदा दृष्टिकोण, उपकरण और गुणवत्ता मानकों वाली टीमें उनके विकास में भाग लेती हैं। इसके अलावा, एक बार की परियोजनाएं हैं जो एक विशिष्ट घटना के लिए बनाई गई हैं। और यह भागीदार परियोजनाओं का उल्लेख नहीं करना है।



इतनी मात्रा में कोड के साथ मैं उपयोगकर्ता के लिए इसे कैसे सुविधाजनक बना सकता हूं (और प्रत्येक सेवा पर पासवर्ड दोबारा दर्ज नहीं करना है), और साथ ही सुरक्षा को नुकसान नहीं पहुंचाता है (ताकि गायन बिल्लियों के साथ वेबसाइट-पोस्टकार्ड में कोई त्रुटि मेलबॉक्स की चोरी का कारण न बने)? हमने तय किया: अलग से @ खंड।



अलग से @ खंड



हमारी उपयोगकर्ता सुरक्षा योजना का पहला भाग - विशेषाधिकार अलगाव - कई वर्षों तक Mail.Ru के लिए काम किया है; सुरक्षा को मजबूत करने के हमारे काम के हिस्से के रूप में, हमने इसे पुनर्गठित किया है, इसे एक मानक तक घटा दिया है और इसे मजबूत किया है। योजना का दूसरा भाग - पहुंच विभाजन - हमने अपेक्षाकृत हाल ही में लागू किया।



विशेषाधिकारों के पृथक्करण का तात्पर्य है कि सीमित कार्यक्षमता और न्यूनतम एपीआई वाले एप्लिकेशन का केवल एक नियंत्रित हिस्सा ही महत्वपूर्ण डेटा तक पहुंच रखता है।



एक्सेस सेगमेंटेशन का मतलब है कि एक अनुप्रयोग से समझौता अन्य अनुप्रयोगों से समझौता नहीं करता है।



उपयोगकर्ता सत्रों को व्यवस्थित करने में, यह दृष्टिकोण सत्र जुदाई, या सुरक्षित डोमेन कुकीज़ (एसडीसी) का उपयोग करके कार्यान्वित किया जाता है, जिसे हम एक अलग पोस्ट में अधिक विस्तार से चर्चा करेंगे। एसडीसी की शुरूआत ने हमें विभिन्न परियोजनाओं के लिए तार्किक रूप से अलग-अलग पहुंच के साथ-साथ विभिन्न परियोजनाओं में उपयोगकर्ता की पहुंच को नियंत्रित करने के लिए कोड को मानकीकृत और कम से कम करने की अनुमति दी।



हम सभी Mail.Ru समूह परियोजनाओं को SDC के हस्तांतरण पर सक्रिय रूप से काम कर रहे हैं, लेकिन यह प्रक्रिया त्वरित नहीं है। फिर भी, हम सबसे महत्वपूर्ण परियोजना को सुरक्षित करने में सक्षम थे। सबसे पहले, Mail.Ru मेल ने SDC पर स्विच किया।



इसलिए, हमने परियोजनाओं का एक ऑडिट किया, पाया दोषों को समाप्त किया, एसडीसी को लागू किया। समय आ गया है कि हम अपनी सुरक्षा व्यवस्था को तनावपूर्ण परिस्थितियों में जांचने की व्यवस्था करें, और हमने फैसला किया कि सबसे अच्छा तरीका एक भेद्यता खोज कार्यक्रम शुरू करना होगा।



हमने मेल, क्लाउड और कैलेंडर के वेब संस्करणों और मोबाइल अनुप्रयोगों में कमजोरियों का पता लगाने के लिए एक पुरस्कार से सम्मानित किया, साथ ही बिजनेस और मेल के लिए Mail.Ru में भी। एक भागीदार और साइट के रूप में, उन्होंने HackerOne.com संसाधन को चुना। HackerOne साइबर सुरक्षा के लिए समर्पित एक गैर-लाभकारी संगठन है। बिल्कुल हैकर क्यों? सबसे पहले, यह दुनिया में सबसे सम्मानित हैकर समुदायों में से एक है। सह-संस्थापकों में इस क्षेत्र में दुनिया के अग्रणी विशेषज्ञ हैं। साइट पर हो रही प्रमुख पहलों में से एक लोकप्रिय ओपन सोर्स सॉफ्टवेयर में कमजोरियों की खोज है। वे वाणिज्यिक सेवाओं द्वारा योगदान किए गए धन का 30% अनुसंधान करते हैं (हमारे सहित), हम हैकरऑन में पहली रूसी कंपनी बन गए)। यह हैकरोन प्लेटफॉर्म के माध्यम से कुख्यात हार्दिक भेद्यता का पता लगाने के लिए एक पुरस्कार का भुगतान किया गया था, जिसने हाल ही में मानव इतिहास में सबसे बड़ा डेटा लीक किया था। दूसरे, HackerOne में बहुत सुविधाजनक स्थितियां और प्रतिभागियों के लिए एक इंटरफ़ेस है।



इसलिए, हमने बग बाउंटी लॉन्च किया और रिपोर्ट की प्रतीक्षा करने लगे।



बचाव के लिए स्कैनर की सेना



मुझे लंबा इंतजार नहीं करना पड़ा। कार्यक्रम शुरू होने के लगभग पहले सेकंड में, रिपोर्टों ने हम पर बारिश की। ऐसा लगता है कि दुनिया भर के शोधकर्ताओं (विशेषकर एशिया से, विशेष रूप से शुरुआती), आदर्श वाक्य के तहत "यहाँ यह है, मेरा सबसे अच्छा घंटा है!" हमारे बचाव में तूफान आया। कार्यक्रम के पहले 4 दिनों के लिए, हमें 750 बग रिपोर्ट मिलीं। यह उसके सिर को पकड़ने के लिए समय लगेगा, लेकिन पहले सौ के बाद, हमें एहसास हुआ कि:

1. एशिया में, बहुत, बहुत सारे लोग हैं जो एक्यूनेटिक्स और अन्य सुरक्षा स्कैनर चला सकते हैं।
   
   अधिकांश पहली बग रिपोर्ट में समरूप, ध्यान से कॉपी किए गए Acunetix रिपोर्टें शामिल थीं, जिनमें से कई में एक URL या एक वेबसाइट का पता शामिल नहीं था। सौभाग्य से, ऐसी रिपोर्टों की एक लहर जल्दी से पर्याप्त हो गई।
   
   
   
   
   
   
2. Wimps के लिए नियमावली। शेष रिपोर्ट संबंधित परियोजनाओं का अधिकांश हिस्सा घोषित पारिश्रमिक कार्यक्रम के दायरे से बाहर था।
   
   

मूल्यवान प्रदर्शित करता है



हालाँकि, प्रासंगिक रिपोर्टें भी आईं। सतर्क शोधकर्ताओं ने पता लगाया है:

• एसएसएल प्रमाणपत्र का अपर्याप्त सत्यापन;
• क्लाइंट हार्टबलेड (क्लाइंट के खिलाफ एक तरह का हार्टबेल्ड, जो सर्वर एक जितना खतरनाक नहीं है, लेकिन फिर भी काफी क्रिटिकल है);
• सूचना रिसाव (जानकारी डिवाइस पर किसी अन्य एप्लिकेशन के लिए उपलब्ध हो सकती है या असुरक्षित कनेक्शन पर प्रसारित हो सकती है);
• मेल अनुप्रयोगों में से एक में दूरस्थ DoS भेद्यता (कुछ डेटा के साथ एक पत्र में);
• सामग्री स्पूफिंग;
• कुछ XSS और CSRF भेद्यता;
• भेद्यता जो सर्वर (RCE) पर कमांड के निष्पादन की अनुमति देती है।

उत्तरार्द्ध के बारे में - अधिक विस्तार से: कार्यक्रम में शामिल नहीं किए गए प्रोजेक्ट पर त्रुटि पाई गई थी। हालाँकि, चूंकि यह कोड निष्पादन के साथ एकमात्र भेद्यता था - और एक महीने में पाए जाने वाले कार्यक्रम के कार्यों के सबसे गंभीर - हमने उस प्रतिभागी को शामिल करने का निर्णय लिया, जिसने इसे विजेताओं की संख्या में खोजा था।



हम आपको निम्नलिखित पोस्ट में से एक में सबसे दिलचस्प मामलों के बारे में निश्चित रूप से बताएंगे।



कुछ आँकड़े



कार्यक्रम के महीने के दौरान, शोधकर्ताओं ने 194 बग (डुप्लिकेट और प्रजनन योग्य नहीं) पाया। इस संख्या में उन परियोजनाओं पर त्रुटियां शामिल हैं जो कार्यक्रम में भाग लेती हैं, साथ ही अन्य परियोजनाओं पर बग भी।







संख्या में:

	कार्यक्रम में शामिल परियोजनाओं पर	गैर-कार्यक्रम परियोजनाओं पर
रिमोट कोड निष्पादन	0	1
एसक्यूएल इंजेक्शन	0	7
XSS	14	68
डोमेन या एप्लिकेशन के बीच डेटा एक्सेस करें	14	4
CSRF	11	26
अपर्याप्त वाहन सुरक्षा	4	2
अन्य गैर-महत्वपूर्ण	18	27

विजेताओं



1 स्थान ($ 5000) - निवासाकी

दूसरा स्थान ($ 3000) - रिएक्टर -08

तीसरा स्थान ($ 1500) - d1g1



पहले दो स्थानों को हमने शोधकर्ताओं को दिया जिन्होंने मेल में XSS भेद्यता पाई।

XSS वेब अनुप्रयोगों में सबसे आम सुरक्षा त्रुटियों में से एक है। OWASP वर्गीकरण के अनुसार, इस भेद्यता का तकनीकी जोखिम "मध्यम" के रूप में आंका गया है। फिर भी, कुछ सेवाओं के लिए यह एक गंभीर खतरा बन जाता है: XSS संभावित रूप से एक हमलावर को किसी ऐसे उपयोगकर्ता के मेलबॉक्स की सामग्री तक अस्थायी पहुँच प्राप्त करने की अनुमति देता है जो किसी दुर्भावनापूर्ण पृष्ठ पर गया हो या किसी ईमेल में कोई दुर्भावनापूर्ण लिंक खोला हो (हालाँकि मेलबॉक्स को संभालना, पासवर्ड बदलना या उसमें गुप्त प्रश्न करना संभव नहीं है) स्थायी पहुंच प्राप्त करें)।



एसएसएल प्रमाणपत्र के अपर्याप्त सत्यापन की भेद्यता के लिए हमने तीसरा स्थान दिया। यदि कोई उपयोगकर्ता असुरक्षित नेटवर्क के माध्यम से बाहर निकलता है - उदाहरण के लिए, एक कैफे या अन्य सार्वजनिक स्थान पर, ऐसी भेद्यता संचरित डेटा तक पहुंच की अनुमति देती है।



और हमने सबसे गंभीर भेद्यता ऑफ-ओस्प्रे (एक ही आरसीई) forlimbolandx के लिए $ 2000 का एक अतिरिक्त पुरस्कार स्थापित करने का निर्णय लिया।



आगे क्या है?



एक ही प्रकार की स्कैनर रिपोर्टों ने समग्र सकारात्मक प्रभाव को खराब नहीं किया,

हमें मूल्यवान, पेशेवर रिपोर्ट प्राप्त हुई और परिणामों से प्रसन्न थे। इसलिए, हम प्रतियोगिता को एक चालू कार्यक्रम में बदल रहे हैं (आप हैकरऑन पर इसकी स्थितियों के बारे में पढ़ सकते हैं: https://hackerone.com/mailru )।



कार्यक्रम विभिन्न प्रकार की कमजोरियों के लिए निम्नलिखित पुरस्कार निर्धारित करता है:



Mail.Ru प्राधिकरण केंद्र के लिए:

आरसीई: $ 10,000

एसक्यूआई या समकक्ष, प्रमाणीकरण बायपास, या समकक्ष सूचना रिसाव: $ 5000

XSS: $ 500 (स्व-XSS को छोड़कर)

CSRF: $ 150-500

खुला पुनर्निर्देशन: $ 150-300



कार्यक्रम में भाग लेने वाली अन्य परियोजनाओं के लिए (कार्यक्षेत्र से):

आरसीई: $ 3000

एसक्यूआई या समकक्ष, प्रमाणीकरण बायपास, या समकक्ष सूचना रिसाव: $ 2000

XSS: $ 300-500 (स्व-XSS को छोड़कर)

CSRF: $ 150-500



इसलिए, यदि आप हमारे बचाव में एक अंतर खोजने की कोशिश करना चाहते हैं और इसके लिए पुरस्कार प्राप्त करना चाहते हैं - स्वागत है ।