নতুন Blast-RADIUS আক্রমণ সর্বত্র নেটওয়ার্কে ব্যবহৃত 30 বছরের পুরানো প্রোটোকল ভেঙে দেয়

নতুন Blast-RADIUS আক্রমণ সর্বত্র নেটওয়ার্কে ব্যবহৃত 30 বছরের পুরানো প্রোটোকল ভেঙে দেয়

গেটি ইমেজ

সর্বাধিক ব্যবহৃত নেটওয়ার্ক প্রোটোকলগুলির মধ্যে একটি নতুন আবিষ্কৃত আক্রমণের জন্য ঝুঁকিপূর্ণ যা প্রতিপক্ষকে শিল্প নিয়ন্ত্রক, টেলিকমিউনিকেশন পরিষেবা, আইএসপি এবং সমস্ত ধরণের এন্টারপ্রাইজ নেটওয়ার্ক সহ পরিবেশের একটি পরিসীমার উপর নিয়ন্ত্রণ অর্জন করতে দেয়।

দূরবর্তী প্রমাণীকরণ ডায়াল-ইন ব্যবহারকারী পরিষেবার জন্য সংক্ষিপ্ত, ব্যাসার্ধ পাবলিক সুইচড টেলিফোন নেটওয়ার্কের মাধ্যমে ডায়াল-ইন ইন্টারনেট এবং নেটওয়ার্ক অ্যাক্সেসের দিনগুলিতে ফিরে আসে। এটি তখন থেকেই লাইটওয়েট প্রমাণীকরণের জন্য ডি ফ্যাক্টো স্ট্যান্ডার্ড হিসেবে রয়ে গেছে এবং গত দুই দশকে পাঠানো কার্যত সমস্ত সুইচ, রাউটার, অ্যাক্সেস পয়েন্ট এবং ভিপিএন কনসেনট্রেটরে সমর্থিত। এর প্রাথমিক উৎপত্তি সত্ত্বেও, RADIUS ক্লায়েন্ট-সার্ভার ইন্টারঅ্যাকশন পরিচালনার জন্য একটি অপরিহার্য প্রধান বিষয় হিসাবে রয়ে গেছে:

  • ভিপিএন অ্যাক্সেস
  • ডিএসএল এবং ফাইবার টু দ্য হোম সংযোগগুলি আইএসপি দ্বারা অফার করা হয়,
  • Wi-Fi এবং 802.1X প্রমাণীকরণ
  • 2G এবং 3G সেলুলার রোমিং
  • 5G ডেটা নেটওয়ার্ক নাম প্রমাণীকরণ
  • মোবাইল ডেটা অফলোডিং
  • এন্টারপ্রাইজ নেটওয়ার্কে মোবাইল ডিভাইসগুলিকে সংযুক্ত করার জন্য ব্যক্তিগত APN-এর মাধ্যমে প্রমাণীকরণ
  • সমালোচনামূলক অবকাঠামো ব্যবস্থাপনা ডিভাইসে প্রমাণীকরণ
  • Eduroam এবং OpenRoaming Wi-Fi

RADIUS ক্লায়েন্টদের মধ্যে নির্বিঘ্ন মিথস্ক্রিয়া প্রদান করে-সাধারণত রাউটার, সুইচ, বা নেটওয়ার্ক অ্যাক্সেস প্রদানকারী অন্যান্য যন্ত্রপাতি-এবং একটি কেন্দ্রীয় RADIUS সার্ভার, যা ব্যবহারকারীর প্রমাণীকরণ এবং অ্যাক্সেস নীতিগুলির জন্য দারোয়ান হিসাবে কাজ করে। RADIUS এর উদ্দেশ্য হল দূরবর্তী লগইনগুলির জন্য কেন্দ্রীভূত প্রমাণীকরণ, অনুমোদন এবং অ্যাকাউন্টিং ব্যবস্থাপনা প্রদান করা।

প্রোটোকলটি 1991 সালে লিভিংস্টন এন্টারপ্রাইজ নামে পরিচিত একটি কোম্পানি দ্বারা তৈরি করা হয়েছিল। 1997 সালে ইন্টারনেট ইঞ্জিনিয়ারিং টাস্ক ফোর্স এটিকে একটি করে তোলে সরকারী মানকোনটি ছিল আপডেট করা হয়েছে তিন বছর পরে। যদিও TLS-এনক্রিপ্ট করা সেশনের ভিতরে RADIUS ট্র্যাফিক পাঠানোর জন্য একটি খসড়া প্রস্তাব রয়েছে যা কিছু বিক্রেতাদের দ্বারা সমর্থিত, প্রোটোকল ব্যবহার করে অনেক ডিভাইস শুধুমাত্র পরিষ্কার পাঠ্যের মাধ্যমে প্যাকেট পাঠায় ইউডিপি (ব্যবহারকারী ডাটাগ্রামের প্রোটোকল)।

এক্সকেসিডি

UDP-এর উপর পাসওয়ার্ড প্রমাণীকরণ প্রোটোকল ব্যবহার করে RADIUS-এর আরও বিশদ চিত্র।
বড় করা / UDP-এর উপর পাসওয়ার্ড প্রমাণীকরণ প্রোটোকল ব্যবহার করে RADIUS-এর আরও বিশদ চিত্র।

গোল্ডবার্গ এট আল।

MD5 দিয়ে রোল-আপনার-নিজস্ব প্রমাণীকরণ? বাস্তবিক?

1994 সাল থেকে, RADIUS এর একটি উন্নত, গৃহজাত ব্যবহারের উপর নির্ভর করেছে MD5 হ্যাশ ফাংশন. প্রথম 1991 সালে তৈরি এবং IETF দ্বারা গৃহীত 1992 সালে, MD5 সেই সময়ে “মেসেজ ডাইজেস্ট” হিসাবে পরিচিত যা তৈরি করার জন্য একটি জনপ্রিয় হ্যাশ ফাংশন ছিল যা একটি নির্দিষ্ট দৈর্ঘ্যের 16-বাইট আউটপুটে একটি সংখ্যা, পাঠ্য বা বাইনারি ফাইলের মতো একটি নির্বিচারে ইনপুট ম্যাপ করে।

একটি ক্রিপ্টোগ্রাফিক হ্যাশ ফাংশনের জন্য, আক্রমণকারীর পক্ষে একই আউটপুটে ম্যাপ করে এমন দুটি ইনপুট খুঁজে পাওয়া গণনাগতভাবে অসম্ভব হওয়া উচিত। দুর্ভাগ্যবশত, MD5 একটি দুর্বল নকশার উপর ভিত্তি করে প্রমাণিত হয়েছে: কয়েক বছরের মধ্যে, এমন লক্ষণ দেখা গেছে যে ফাংশনটি আক্রমণকারী-প্ররোচিত সংঘর্ষের জন্য প্রাথমিকভাবে ধারণার চেয়ে বেশি সংবেদনশীল হতে পারে, একটি মারাত্মক ত্রুটি যা আক্রমণকারীকে দুটি স্বতন্ত্র ইনপুট তৈরি করতে দেয় যা উত্পাদন করে। অভিন্ন আউটপুট। এই সন্দেহগুলি আনুষ্ঠানিকভাবে যাচাই করা হয়েছিল ক কাগজ 2004 সালে গবেষক Xiaoyun Wang এবং Hongbo Yu দ্বারা প্রকাশিত এবং আরও পরিমার্জিত গবেষণা তিন বছর পর প্রকাশিত কাগজ।

পরবর্তী গবেষণাপত্রটি – 2007 সালে গবেষক মার্ক স্টিভেনস, আর্জেন লেনস্ট্রা এবং বেনে ডি ওয়েগার দ্বারা প্রকাশিত – একটি নির্বাচিত-উপসর্গ সংঘর্ষ হিসাবে পরিচিত, এমন একটি সংঘর্ষ যা আক্রমণকারীর দ্বারা নির্বাচিত দুটি বার্তার ফলে যা দুটি অতিরিক্তের সাথে মিলিত হয় তা বর্ণনা করে। বার্তা, একই হ্যাশ তৈরি করুন। অর্থাৎ, প্রতিপক্ষ অবাধে দুটি স্বতন্ত্র ইনপুট উপসর্গ 𝑃 এবং 𝑃′ নির্বিচারে বিষয়বস্তু বেছে নেয় যেগুলো, যখন সাবধানে সংশ্লিষ্ট প্রত্যয় 𝑆 এবং 𝑆′ এর সাথে মিলিত হয় যেগুলো এলোমেলো কথার মতো, একই হ্যাশ তৈরি করে। গাণিতিক স্বরলিপিতে, এই ধরনের একটি নির্বাচিত-প্রিফিক্স সংঘর্ষকে 𝐻(𝑃‖𝑆)=𝐻(𝑃′‖𝑆′) হিসাবে লেখা হবে। এই ধরনের সংঘর্ষ আক্রমণ অনেক বেশি শক্তিশালী কারণ এটি আক্রমণকারীকে অত্যন্ত কাস্টমাইজড জালিয়াতি তৈরি করার স্বাধীনতা দেয়।

আক্রমণের ব্যবহারিকতা এবং ধ্বংসাত্মক পরিণতি বোঝাতে, স্টিভেনস, লেনস্ট্রা এবং ডি ওয়েগার এটি দুটি ক্রিপ্টোগ্রাফিক তৈরি করতে ব্যবহার করেছিলেন X.509 সার্টিফিকেট যা একই MD5 স্বাক্ষর তৈরি করেছে কিন্তু ভিন্ন পাবলিক কী এবং ভিন্ন ভিন্ন নাম ক্ষেত্র। এই ধরনের সংঘর্ষ একটি সার্টিফিকেট কর্তৃপক্ষকে প্ররোচিত করতে পারে যেটি একটি ডোমেনের জন্য একটি শংসাপত্রে স্বাক্ষর করতে চায় অজান্তে একটি সম্পূর্ণ ভিন্ন, দূষিত ডোমেনের জন্য একটি শংসাপত্রে স্বাক্ষর করতে।

2008 সালে, স্টিভেনস, লেনস্ট্রা এবং ডি ওয়েগার সহ গবেষকদের একটি দল দেখিয়েছিল যে কীভাবে MD5-এ একটি নির্বাচিত উপসর্গ আক্রমণ তাদের একটি দুর্বৃত্ত শংসাপত্র কর্তৃপক্ষ তৈরি করতে দেয় যা TLS শংসাপত্র তৈরি করতে পারে যা সমস্ত প্রধান ব্রাউজার দ্বারা বিশ্বস্ত হবে। আক্রমণের একটি মূল উপাদান হল হ্যাশক্ল্যাশ নামে একটি সফটওয়্যার, যা গবেষকরা তৈরি করেছেন। হ্যাশক্ল্যাশ তখন থেকে সর্বজনীনভাবে উপলব্ধ করা হয়েছে।

MD5 এর অবিসংবাদিত মৃত্যু সত্ত্বেও, ফাংশনটি বছরের পর বছর ধরে ব্যাপক ব্যবহারে রয়ে গেছে। 2012 সাল পর্যন্ত MD5-এর অবচয় শুরু হয়নি, যখন ফ্লেম নামে পরিচিত ম্যালওয়্যার, যা ইসরায়েল এবং মার্কিন যুক্তরাষ্ট্রের সরকার দ্বারা যৌথভাবে তৈরি করা হয়েছে, মাইক্রোসফ্টের উইন্ডোজ আপডেট মেকানিজম দ্বারা MD5-ভিত্তিক কোড স্বাক্ষরকে ফাঁকি দেওয়ার জন্য একটি নির্বাচিত উপসর্গ আক্রমণ ব্যবহার করা হয়েছে বলে পাওয়া গেছে। . শিখা সংঘর্ষ-সক্ষম স্পুফিং ব্যবহার করে আপডেট প্রক্রিয়া হাইজ্যাক তাই ম্যালওয়্যার একটি সংক্রামিত নেটওয়ার্কের মধ্যে ডিভাইস থেকে ডিভাইসে ছড়িয়ে যেতে পারে।

ফ্লেমের বিধ্বংসী ক্ষয়ক্ষতি আবিষ্কৃত হওয়ার 12 বছরেরও বেশি সময় পরে এবং সংঘর্ষের সংবেদনশীলতা নিশ্চিত হওয়ার দুই দশক পরে, MD5 আরেকটি ব্যাপকভাবে মোতায়েন করা প্রযুক্তি হ্রাস করেছে যা হ্যাশিং স্কিম থেকে দূরে সরে যাওয়ার জন্য সাধারণ জ্ঞানকে প্রতিরোধ করেছে- RADIUS প্রোটোকল, যা হার্ডওয়্যার বা সমর্থিত। কমপক্ষে 86টি স্বতন্ত্র বিক্রেতাদের দ্বারা সরবরাহিত সফ্টওয়্যার। ফলাফল হল “Blast RADIUS,” একটি জটিল আক্রমণ যা একটি সক্রিয় প্রতিপক্ষ-ইন-দ্য-মিডল অবস্থান সহ আক্রমণকারীকে এমন ডিভাইসগুলিতে অ্যাডমিনিস্ট্রেটর অ্যাক্সেস পেতে দেয় যা RADIUS ব্যবহার করে একটি সার্ভারে নিজেদেরকে প্রমাণীকরণ করে।

“আশ্চর্যজনকভাবে, ওয়াং এট আল থেকে দুই দশকে। 2004 সালে একটি MD5 হ্যাশ সংঘর্ষ প্রদর্শন করেছিল, MD5 অপসারণের জন্য RADIUS আপডেট করা হয়নি, “Blast RADIUS এর পিছনে থাকা গবেষণা দল একটিতে লিখেছিল কাগজ মঙ্গলবার প্রকাশিত এবং শিরোনাম RADIUS/UDP ক্ষতিকারক হিসাবে বিবেচিত. “আসলে, RADIUS আধুনিক নেটওয়ার্কগুলিতে তার সর্বব্যাপীতার কারণে উল্লেখযোগ্যভাবে সামান্য নিরাপত্তা বিশ্লেষণ পেয়েছে বলে মনে হচ্ছে।”

কাগজের প্রকাশনাটি কমপক্ষে 90টি বিক্রেতার কাছ থেকে নিরাপত্তা বুলেটিনগুলির সাথে সমন্বয় করা হচ্ছে যাদের পণ্যগুলি ঝুঁকিপূর্ণ। অনেক বুলেটিন স্বল্প-মেয়াদী সমাধান বাস্তবায়নের প্যাচের সাথে থাকে, যখন ইন্ডাস্ট্রি জুড়ে ইঞ্জিনিয়ারদের একটি ওয়ার্কিং গ্রুপ দীর্ঘমেয়াদী সমাধানের খসড়া তৈরি করে। যে কেউ হার্ডওয়্যার বা সফ্টওয়্যার ব্যবহার করে যা RADIUS অন্তর্ভুক্ত করে তাদের এই পোস্টে পরে দেওয়া প্রযুক্তিগত বিবরণ পড়তে হবে এবং নিরাপত্তা নির্দেশিকা জন্য প্রস্তুতকারকের সাথে যোগাযোগ করতে হবে।

Source link

Related Post

Leave a Reply

Your email address will not be published. Required fields are marked *

Raytahost Facebook Sharing Powered By : Raytahost.com