Apple (Unsplash पर मेधाव दाउद द्वारा फोटो)
सभी iOS के लिए डिफ़ॉल्ट ऑपरेटिंग सिस्टम Apple iOS में छह महत्वपूर्ण 'जीरो इंटरेक्शन' कमजोरियां थीं। Google की कुलीन ’s प्रोजेक्ट ज़ीरो ’टीम, जो गंभीर बग और सॉफ़्टवेयर दोषों का शिकार करती है, ने ही इसकी खोज की। दिलचस्प बात यह है कि, Google की सुरक्षा अनुसंधान टीम ने भी उन कार्यों को सफलतापूर्वक दोहराया है जिन्हें जंगली में सुरक्षा दोषों का उपयोग करके निष्पादित किया जा सकता है। ये बग संभावित रूप से किसी भी दूरस्थ हमलावर को Apple iPhone का प्रशासनिक नियंत्रण लेने की अनुमति दे सकते हैं, उपयोगकर्ता को संदेश प्राप्त करने और संदेश खोलने के अलावा कुछ भी करने की आवश्यकता नहीं है।
IOS 12.4 से पहले Apple iPhone ऑपरेटिंग सिस्टम वर्जन को छह 'इंटरएक्टिव' सुरक्षा बग्स के लिए अतिसंवेदनशील पाया गया, की खोज की गूगल। Google प्रोजेक्ट ज़ीरो के दो सदस्यों ने विवरण प्रकाशित किया है और यहां तक कि छह कमजोरियों में से पांच के लिए प्रूफ-ऑफ-कॉन्सेप्ट का सफलतापूर्वक प्रदर्शन किया है। सुरक्षा खामियों को काफी गंभीर माना जा सकता है, क्योंकि उन्हें संभावित पीड़ित द्वारा iPhone की सुरक्षा से समझौता करने के लिए कम से कम कार्यों की आवश्यकता होती है। सुरक्षा भेद्यता iOS ऑपरेटिंग सिस्टम को प्रभावित करती है और iMessage क्लाइंट के माध्यम से इसका फायदा उठाया जा सकता है।
Google Follow जिम्मेदार व्यवहारों का पालन करता है ’और iPhone iOS में गंभीर सुरक्षा फ़्लो के बारे में Apple को सूचित करता है:
Google अगले सप्ताह लास वेगास में ब्लैक हैट कॉन्फ्रेंस में Apple iPhone iOS में सुरक्षा कमजोरियों के बारे में विवरण प्रकट करेगा। हालाँकि, खोज की दिग्गज कंपनी ने संबंधित कंपनियों को सुरक्षा खामियों या बैकडोर के बारे में सचेत करने की अपनी ज़िम्मेदारी कायम रखी, और पहले Apple को मुद्दों की सूचना दी ताकि टीम द्वारा सार्वजनिक रूप से विवरण का खुलासा करने से पहले पैच जारी करने की अनुमति दी जा सके।
गंभीर सुरक्षा बगों की सूचना लेते हुए, ऐप्पल ने बग को पैच करने के लिए कथित तौर पर भाग लिया। हालाँकि, यह पूरी तरह से सफल नहीं हो सकता है। 'इंटरएक्टलेस' कमजोरियों में से एक के बारे में विवरण निजी रखा गया है क्योंकि ऐप्पल ने बग को पूरी तरह से हल नहीं किया था। उसी के बारे में जानकारी नटली सिल्वानोविच द्वारा पेश की गई थी, जो Google के दो ज़ीरो शोधकर्ताओं में से एक थे जिन्होंने बग ढूंढे और रिपोर्ट किए।
Google ने Apple के iMessage ऐप में मौजूद खामियों का खुलासा किया है
वायरस, मैलवेयर और इसी तरह या कोडिंग दोषों के लिए कुछ भी प्रतिरक्षा नहीं है: मैकओएस, एंड्रॉइड, आईओएस, लिनक्स, विंडोज - वे सभी कमजोर हैं। पैच और एंटीवायरल हमेशा ऑल ओएस के लिए आवश्यक होते हैं https://t.co/sTpLUY2XqO
- स्कूटी (@osusuki) 30 जुलाई, 2019
शोधकर्ता ने यह भी उल्लेख किया कि छह सुरक्षा बगों में से चार दूरस्थ आईओएस डिवाइस पर दुर्भावनापूर्ण कोड को अंजाम दे सकते हैं। इस विषय में और भी अधिक तथ्य यह है कि इन बगों को किसी उपयोगकर्ता सहभागिता की आवश्यकता नहीं है। हमलावरों को केवल पीड़ित के फोन पर एक विशेष रूप से कोडित विकृत संदेश भेजना है। उपयोगकर्ता द्वारा प्राप्त वस्तु को देखने के लिए संदेश को खोलने के बाद दुर्भावनापूर्ण कोड तब आसानी से खुद को निष्पादित कर सकता है। अन्य दो कारनामे हमलावर को डिवाइस की मेमोरी से डेटा लीक करने और रिमोट डिवाइस से फाइल पढ़ने की अनुमति दे सकते हैं। हैरानी की बात है, यहां तक कि इन बगों को उपयोगकर्ता के संपर्क की आवश्यकता नहीं है।
Apple आईफोन iOS में सिक्स Interact जीरो इंटरेक्शन ’सुरक्षा कमजोरियों में से केवल पांच को सफलतापूर्वक पैच कर सकता है?
पिछले हफ्ते 22 जुलाई को सभी छह सुरक्षा खामियों का सफलतापूर्वक निपटारा किया जाना था। Apple के iOS 12.4 रिलीज़ के साथ । हालाँकि, ऐसा प्रतीत नहीं होता है। सुरक्षा शोधकर्ता ने उल्लेख किया है कि Apple केवल iPhone iOS में छह सुरक्षा 'जीरो इंटरैक्शन' कमजोरियों में से पांच को ठीक करने में कामयाब रहा। फिर भी, जिन पाँच बगों को पैच किया गया था उनका विवरण ऑनलाइन उपलब्ध है। Google ने अपने बग रिपोर्टिंग सिस्टम के माध्यम से यही पेशकश की है।
पीड़ितों के iPhone के रिमोट कंट्रोलिंग और प्रशासनिक नियंत्रण की अनुमति देने वाले तीन कीड़े हैं CVE-2019-8647 , CVE-2019-8660 , तथा CVE-2019-8662 । लिंक किए गए बग रिपोर्ट में प्रत्येक बग के बारे में न केवल तकनीकी विवरण होते हैं, बल्कि सबूत-से-अवधारणा कोड भी होते हैं जिनका उपयोग शिल्प कारनामों के लिए किया जा सकता है। जैसा कि Apple इस श्रेणी से चौथे बग को सफलतापूर्वक पैच करने में सक्षम नहीं है, उसी के विवरण को गोपनीय रखा गया है। Google ने इस सुरक्षा भेद्यता को CVE-2019-8641 के रूप में टैग किया है।
इन दोषों में से एक एक आउट-ऑफ-बाउंड रीड (CVE-2019-8646) मुद्दा है जो दूरस्थ हमलावरों को पीड़ितों पर संग्रहीत फ़ाइलों की सामग्री को पढ़ने की अनुमति दे सकता है #iOS केवल iMessage के माध्यम से एक विकृत संदेश भेजकर डिवाइस।
- हैकर समाचार (@TheHackersNews) 30 जुलाई, 2019
Google ने पांचवें और छठे कीड़े को टैग किया है CVE-2019-8624 तथा CVE-2019-8646 । ये सुरक्षा दोष संभावित रूप से एक हमलावर को पीड़ित की निजी जानकारी में टैप करने की अनुमति दे सकते हैं। ये विशेष रूप से संबंधित हैं क्योंकि वे डिवाइस की मेमोरी से डेटा लीक कर सकते हैं और पीड़ित से किसी भी बातचीत की आवश्यकता के बिना एक दूरस्थ डिवाइस से फ़ाइलों को पढ़ सकते हैं।
IOS 12.4 के साथ, Apple ने कमजोर iMessage प्लेटफॉर्म के माध्यम से iPhones को दूरस्थ रूप से नियंत्रित करने के किसी भी प्रयास को सफलतापूर्वक अवरुद्ध कर दिया होगा। हालांकि, प्रूफ-ऑफ-कॉन्सेप्ट कोड का अस्तित्व और खुली उपलब्धता का मतलब हैकर्स या दुर्भावनापूर्ण कोडर्स अभी भी iPhones का शोषण कर सकते हैं जिन्हें iOS 12.4 में अपडेट नहीं किया गया है। दूसरे शब्दों में, जबकि हमेशा उपलब्ध होते ही सुरक्षा अपडेट स्थापित करने की अनुशंसा की जाती है, इस मामले में यह नवीनतम iOS अपडेट स्थापित करने के लिए महत्वपूर्ण है जिसे Apple ने बिना किसी देरी के जारी किया है। कई हैकर्स पैचअप या फिक्स होने के बाद भी कमजोरियों का फायदा उठाने की कोशिश करते हैं। इसका कारण यह है कि वे अच्छी तरह से जानते हैं कि डिवाइस मालिकों का एक उच्च प्रतिशत है जो तुरंत अपडेट नहीं करते हैं या बस अपने उपकरणों को अपडेट करने में देरी करते हैं।
IPhone iOS में गंभीर सुरक्षा के दोष काफी गंभीर हैं और डार्क वेब पर वित्तीय रूप से पुरस्कृत हो रहे हैं:
छह 'जीरो इंटरेक्शन' सुरक्षा कमजोरियों की खोज सिलवानोविच और साथी Google प्रोजेक्ट ज़ीरो सुरक्षा शोधकर्ता सैमुअल ग्रो ने की थी। सिलवानोविच अगले सप्ताह लास वेगास में होने वाले ब्लैक हैट कॉन्फ्रेंस सम्मेलन में रिमोट और 'इंटरेक्शनलेस' iPhone कमजोरियों के बारे में एक प्रस्तुति दे रहे हैं।
' शून्य बातचीत 'या ‘ घर्षणहीन 'कमजोरियां विशेष रूप से खतरनाक हैं और सुरक्षा विशेषज्ञों के बीच गहरी चिंता का कारण है। ए बात के बारे में छोटे स्निपेट कि Silvanovich iPhone iOS के भीतर इस तरह के सुरक्षा दोषों के बारे में चिंताओं पर प्रकाश डाला सम्मेलन में वितरित करेंगे। “आईफोन पर हमला करने के लिए कोई उपयोगकर्ता सहभागिता नहीं होने के कारण दूरस्थ भेद्यता की अफवाहें हैं, लेकिन आधुनिक उपकरणों पर इन हमलों के तकनीकी पहलुओं के बारे में सीमित जानकारी उपलब्ध है। यह प्रस्तुति आईओएस के रिमोट, इंटरैक्शन-कम हमले की सतह की पड़ताल करती है। यह एसएमएस, एमएमएस, विजुअल वॉयसमेल, आईमैसेज और मेल में कमजोरियों के लिए क्षमता पर चर्चा करता है, और बताता है कि इन घटकों का परीक्षण करने के लिए टूलिंग कैसे सेट करें। इसमें इन विधियों का उपयोग करके खोजी गई कमजोरियों के दो उदाहरण भी शामिल हैं। ”
Google प्रोजेक्ट ज़ीरो रिसर्चर्स खुलासा ‘ion जीरो इंटरेक्शन 'iMessage Flaws, 4 iOS 4 में फिक्स्ड 12.4 @गूगल
CVE-2019-8660 एक मेमोरी भ्रष्टाचार दोष हैप्रकट दोषों में से दो iPhone GUI की दुर्घटना का कारण बन सकते हैं
शोधकर्ताओं में से एक ब्लैक हैट यूएसए 2019 में दोषों का विस्तार करेगा pic.twitter.com/slkkkOoObE
- दैनिक टेक (@ VikasGoud1997) 30 जुलाई, 2019
प्रस्तुति मुख्य रूप से सम्मेलन में सबसे लोकप्रिय में से एक होने के लिए सेट है क्योंकि कोई भी उपयोगकर्ता-इंटरैक्शन iOS बग बहुत दुर्लभ नहीं हैं। अधिकांश आईओएस और मैकओएस शोषण पीड़ित को ऐप चलाने या ऐप्पल आईडी क्रेडेंशियल्स का खुलासा करने में सफलतापूर्वक धोखा देने पर भरोसा करते हैं। शून्य-इंटरैक्शन बग को केवल दोहन लॉन्च करने के लिए एक दागी संदेश खोलने की आवश्यकता होती है। इससे संक्रमण या सुरक्षा समझौता होने की संभावना काफी बढ़ जाती है। अधिकांश स्मार्टफोन उपयोगकर्ताओं के पास सीमित स्क्रीन अचल संपत्ति है और इसकी सामग्री की जांच करने के लिए संदेश खोलना है। एक चतुराई से गढ़ी गई और अच्छी तरह से लिखे गए संदेश अक्सर तेजी से कथित प्रामाणिकता को बढ़ाते हैं, जिससे सफलता की संभावना बढ़ जाती है।
सिल्वानोविच ने इस तरह के दुर्भावनापूर्ण संदेशों का उल्लेख एसएमएस, एमएमएस, iMessage, मेल या यहां तक कि दृश्य ध्वनि मेल के माध्यम से भेजा जा सकता है। उन्हें केवल पीड़ित के फोन में समाप्त होने और खोलने की आवश्यकता थी। 'ऐसी कमजोरियां एक हमलावर की पवित्र कब्र हैं, जो उन्हें पीड़ितों के उपकरणों को हैक करने की अनुमति देता है।' संयोग से, आज तक, ऐसी न्यूनतम या 'जीरो इंटरेक्शन' सुरक्षा कमजोरियां केवल शोषण विक्रेताओं और कानूनी अवरोधक उपकरण और निगरानी सॉफ्टवेयर के निर्माताओं द्वारा उपयोग की जाती हैं। यह बस इस तरह का मतलब है अत्यधिक परिष्कृत कीड़े इस कारण से संदेह के कम से कम राशि मुख्य रूप से सॉफ्टवेयर विक्रेताओं द्वारा खोजे गए और कारोबार किए गए हैं जो डार्क वेब पर काम करते हैं। केवल राज्य-प्रायोजित और केंद्रित हैकिंग समूह आम तौर पर उन तक पहुंच है। ऐसा इसलिए है क्योंकि ऐसे दोषों को पकड़ने वाले विक्रेता उन्हें भारी रकम में बेच देते हैं।
द्वारा प्रकाशित एक मूल्य चार्ट के अनुसार Zerodium , डार्क वेब या सॉफ्टवेयर ब्लैक मार्केट पर बेची जाने वाली कमजोरियों में प्रत्येक पर $ 1 मिलियन खर्च हो सकते हैं। इसका मतलब है कि सिलवानोविच ने सुरक्षा कारनामों का विवरण प्रकाशित किया हो सकता है कि अवैध सॉफ़्टवेयर विक्रेताओं ने $ 5 मिलियन और $ 10 मिलियन के बीच कहीं भी शुल्क लिया हो। Crowdfense , एक अन्य प्लेटफ़ॉर्म जो सुरक्षा जानकारी के साथ काम करता है, दावा करता है कि कीमत आसानी से बहुत अधिक हो सकती है। मंच इस तथ्य पर अपनी धारणाओं को आधार बनाता है कि ये दोष 'का हिस्सा थे' नो-क्लिक अटैक चेन '। इसके अलावा, भेद्यता आईओएस कारनामों के हाल के संस्करणों पर काम करती है। इस तथ्य के साथ कि उनमें से छह थे, एक शोषण विक्रेता आसानी से लॉट के लिए $ 20 मिलियन से अधिक बना सकता था।
टैग सेब साइबर सुरक्षा गूगल आईओएस
