এমবেডেড এমবেডেড ডিভাইসগুলি একই হার্ড কোডেড এসএসএইচ এবং টিএলএস প্রাইভেট কী ব্যবহার করে

হাজার হাজার রাউটার, মডেম, আইপি ক্যামেরা, ভিওআইপি ফোন এবং অন্যান্য এম্বেডেড ডিভাইস একই হার্ড কোডেড SSH (নিরাপদ শেল) ভাগ করে। ) হোস্ট কিগুলি বা HTTPS (HTTP Secure) সার্ভার সার্টিফিকেট, একটি গবেষণায় পাওয়া যায়।

ঐসব কীগুলি বের করার মাধ্যমে, হ্যাকাররা ব্যবহারকারীকে এবং লক্ষাধিক ডিভাইসের মধ্যে ট্র্যাফিক এবং ডিক্রিপ্ট করা ট্র্যাফিককে ম্যান-ইন-দ্য মিডিয়াল আক্রমণগুলি চালু করতে পারে।

সিকিউরিটি ফোর্স থেকে গবেষক এসইসি কনসাল 70 টির বেশি নির্মাতাদের থেকে এম্বেডেড 4,000 টি মডেলের ফার্মওয়্যার ইমেজ বিশ্লেষণ করে। তাদের মধ্যে তারা SSH এবং HTTPS এর জন্য 580 টি অনন্য ব্যক্তিগত কী পেয়েছেন, তাদের মধ্যে অনেকে একই বিক্রেতার কাছ থেকে একাধিক ডিভাইসের মধ্যে ভাগ করেছেন বা এমনকি বিভিন্ন প্রকারের থেকেও।

[আরও পাঠ্য: আপনার উইন্ডোজ পিসি থেকে ম্যালওয়্যার সরাতে কিভাবে]

যখন পাবলিক ইন্টারনেট স্ক্যান থেকে তথ্য সংগ্রহ করে সেই 580 টি কিছুর সাথে সম্পর্কযুক্ত, তখন তারা দেখেছে যে 4 মিলিয়ন ইন্টারনেট-সংযুক্ত ডিভাইসগুলি দ্বারা কমপক্ষে 230 টি কী সক্রিয়ভাবে ব্যবহার করা হয়। প্রায় 150 টি HTTPS সার্ভার সার্টিফিকেটগুলি উদ্ধার করা হয় 3.2 মিলিয়ন ডিভাইস এবং 80 টি এসএসএল হোস্ট চাবিগুলি 900,000 ডিভাইসের দ্বারা ব্যবহৃত হয়।

অবশিষ্ট কীগুলি অনেকগুলি ডিভাইসের দ্বারা ব্যবহৃত হতে পারে যা ইন্টারনেট থেকে অ্যাক্সেস করা যাবে না, তবে এখনও তাদের নিজ নিজ এলাকার নেটওয়ার্কগুলির মধ্যে মধ্য-আধার আক্রমণের জন্য ঝুঁকিপূর্ণ।

এসএসএইচ হোস্ট কীগুলি এমন একটি ডিভাইসের পরিচয় যাচাই করতে ব্যবহৃত হয় যা SSH সার্ভার পরিচালনা করে। এনক্রিপ্টেড এসএসএল প্রোটোকলের উপর ব্যবহারকারীদের প্রথমবারের মত এই ডিভাইসের সাথে সংযোগ স্থাপন করার সময়, তারা ডিভাইসের পাবলিক কী সংরক্ষণ করতে অনুরোধ জানায়, যা একটি পাবলিক-প্রাইভেট কী জোড়ার অংশ।

পরবর্তী সংযোগগুলিতে, সার্ভারের পরিচয় হবে ব্যবহারকারীর SSH ক্লায়েন্ট এবং ডিভাইসে সংরক্ষিত ব্যক্তিগত কীতে স্বয়ংক্রিয়ভাবে সংরক্ষিত সর্বজনীন কীের উপর ভিত্তি করে যাচাই করা হয়।

যদি কোনও আক্রমণকারী ডিভাইসের SSH হোস্ট ব্যক্তিগত কীটি চুরি করে এবং ব্যবহারকারীর সংযোগের প্রচেষ্টাগুলি আটকায় এমন অবস্থানের মধ্যে থাকে, তাহলে তিনি ছদ্মবেশ ধারণ করতে পারেন ডিভাইসটি এবং ব্যবহারকারীর কম্পিউটারকে তার মেশিনের সাথে কথা বলার পরিবর্তে

একই ধরণের হামলা সম্ভব হলে আক্রমণকারীরা একটি ডিভাইসের HTTPS ব্যক্তিগত শংসাপত্রের অ্যাক্সেস লাভ করে, যা ব্যবহারকারী এবং তার ওয়েব ভিত্তিক ম্যানেজমেন্ট ইন্টারফেসের মধ্যে যোগাযোগগুলি এনক্রিপ্ট করতে ব্যবহৃত হয়।

উপরন্তু, ব্যবহারকারীরা এবং একটি বৈধ ডিভাইসের মধ্যে এনক্রিপ্ট HTTPS ট্রাফিক ক্যাপচার করতে পারেন যদি এবং ডিভাইসের HTTPS ব্যক্তিগত কী জানেন, তারা ব্যবহারকারীর নাম, পাসওয়ার্ড একটি পরে এক্সট্রাক্টে ট্রাফিক ডিক্রিপ্ট করতে পারেন nd অন্যান্য প্রমাণীকরণ টোকেন।

এসইসি কনসাল্ট বিশ্লেষণ প্রকাশ করেছে যে অনেক এমবেডেড ডিভাইস নির্মাতারা তাদের নিজস্ব পণ্য জুড়ে একই ব্যক্তিগত কীগুলি হার্ড কোড। যাইহোক, এমনও ছিল যেগুলি বিভিন্ন নির্মাতাদের কাছ থেকে পণ্যগুলিতে একই চাষ পাওয়া যায়।

এই পরিস্থিতিতে সাধারণত বিক্রেতারা তাদের সফটওয়্যার ডেভেলপমেন্ট কিট (এসডিকে) চিপসেট নির্মাতাদের উপর ভিত্তি করে ফার্মওয়্যার নির্মাণের ফলাফল হিসেবে পরিবর্তিত হয় না যেগুলি SDK গুলিতে ইতিমধ্যে উপস্থিত রয়েছে।

উদাহরণস্বরূপ, ইমেল ঠিকানা [email protected] এর সাথে "ড্যানিয়েল" নামের একজন ব্যক্তির জারি করা একটি সার্টিফিকেট অ্যাকশনটেক, এজিটেক, কম্ট্রেড, ইননাটেক, লিংকিস, স্মার্ট থেকে ফার্মওয়্যারে পাওয়া গেছে আরজি, জোন এবং জাইক্সেল, এসইসি কনসাল্ট গবেষকরা বলেন। সার্টিফিকেট একটি ব্রডকমস এসএমই থেকে আসে এবং ইন্টারনেটে 480,000 এরও বেশি ডিভাইস ব্যবহার করে তারা বলেছে।

আরেকটি ক্ষেত্রে, ভারতের ব্যাঙ্গালোর থেকে Multitech নামক কোম্পানীকে একটি সার্টিফিকেট জারি করা হয়, এটি অ্যাজটেক, বিওয়ান, অবজার্ভা টেলিকম, নেটকম ওয়্যারলেস, জোন, জেডটিই এবং জাইক্সেল। এই সার্টিফিকেটটি টেক্সাস ইন্সট্রুমেন্ট থেকে ADSL2 + রাউটারের জন্য একটি SDK এ ট্র্যাক করা হয়েছিল এবং ওয়েবে 300,000 এর বেশি ডিভাইস ব্যবহার করা হয়েছে।

অন্য 80,000 ডিভাইসগুলি, বেশিরভাগই গ্রীন প্যাক্ট, হুয়াওয়ে টেকনোলজিস, সেওওন ইন্টেক, জেডটিই এবং জাইক্সেল থেকে ওয়াইম্যাক্স গেটওয়ে ব্যবহার করে "ম্যাট্রিক্স এসএসএল নমুনা সার্ভার সার্ট" সার্টিফিকেট।

অনেকগুলি ডিভাইস HTTPS এবং SSH এর মাধ্যমে ইন্টারনেট থেকে অ্যাক্সেসযোগ্য কেন? এইগুলি নির্মাতাদের দ্বারা অনিরাপদ ডিফল্ট কনফিগারেশন, UPnP এর মাধ্যমে স্বয়ংক্রিয় পোর্ট ফরওয়ার্ডিং এবং আইএসপি দ্বারা প্রভিশনিং অন্তর্ভুক্ত করে, যার ফলে রিমোট অ্যাক্সেস এবং পরিচালনার জন্য তাদের গ্রাহকদের ডিভাইসগুলি কনফিগার করা হয়, গবেষকরা তাদের রিপোর্টে বলেছিলেন।

"বিক্রেতারা নিশ্চিত করতে হবে যে প্রতিটি ডিভাইস ব্যবহার করে র্যান্ডম, অনন্য ক্রিপ্টোগ্রাফিক কী, "গবেষকরা বলেন। "এইগুলি কারখানায় বা প্রথম বুটে গণনা করা যেতে পারে। সিপিই [গ্রাহক প্রাঙ্গন সরঞ্জাম] যন্ত্রগুলির ক্ষেত্রে, আইএসপি এবং বিক্রেতার উভয়ই ক্ষতিগ্রস্থ ডিভাইসগুলির জন্য নির্দিষ্ট ফার্মওয়্যার প্রদানের জন্য একসাথে কাজ করতে হবে।"

যেখানে সম্ভব, ব্যবহারকারীরা তাদের ডিভাইসগুলিতে SSH হোস্ট কী এবং HTTPS শংসাপত্র পরিবর্তন করতে হবে। দুর্ভাগ্যবশত, এটি একটি গড় হোম ব্যবহারকারীর চেয়েও প্রযুক্তিগত জ্ঞান প্রয়োজন এবং অনেক ক্ষেত্রে, অসম্ভব, বিশেষ করে যেগুলি আইএসপি দ্বারা লক করা আছে।