زندگی آنلاین
نگاهی نو به زندگی دیجیتالی
درباره وبلاگ


هرکسی که دوست داشت در این وبلاگ نویسندگی کنه،شرایط خودش را در فرم تماس با ما اعلام کنه و همچنین ایمیل تون رو قرار بدید تا باهاتون تماس بگیریم.

مدیر وبلاگ : Mohammad Chehregani
نویسندگان
آمار وبلاگ
  • کل بازدید :
  • بازدید امروز :
  • بازدید دیروز :
  • بازدید این ماه :
  • بازدید ماه قبل :
  • تعداد نویسندگان :
  • تعداد کل پست ها :
  • آخرین بازدید :
  • آخرین بروز رسانی :


ترجمه: محمد ناصح

اشاره:
در اوایل سال جاری میلا‌دی هنگامی كه دَن كامینسكی (Dan Kaminsky) رخنه‌ای را در هسته اینترنت یافت، برخلاف معمول به دنبال مشكلات و نقاط ضعف اینترنت نبود.


منبع: ام آی تی تکنولوژی ریویو



خطر از سرگذشت!

دَن كامینسكی یك مشكل بنیادین را كشف كرده و توجه سایرین را به موقع نسبت به آن جلب كرد. این بار بسیار خوش‌شانس بودیم.

در اوایل سال جاری میلا‌دی هنگامی كه دَن كامینسكی (Dan Kaminsky) رخنه‌ای را در هسته اینترنت یافت، برخلاف معمول به دنبال مشكلات و نقاط ضعف اینترنت نبود. این محقق امنیت شبكه با استفاده از دانش خود در جست‌وجوی روش بهتری برای پخش فایل‌های ویدیویی روی وب بود. تخصص كامینسكی در زمینه سیستم نام‌گذاری دامنه اینترنت (DNS) است. پروتكل DNS مسئولیت انطباق آدرس‌های URL سایت‌ها و آدرس‌های عددی مربوط به سرورهایی كه این سایت‌ها را میزبانی می‌كنند، بر عهده دارد.

ممكن است یك محتوا توسط چندین سرور كه هر یك دارای آدرس مختص خود است، میزبانی شود و كامینسكی تصور می‌كرد روش جالبی را برای ارجاع  سریع كاربران به مناسب‌ترین سرور یافته است. به‌طور معمول، سرورهای DNS قابل‌اطمینان هستند، اما از سرعت كافی برخوردار نیستند.

هنگامی كه یك كامپیوتر (به‌طور فرضی سروری كه ترافیك اطلاعات را در شبكه Comcast هدایت می‌كند) آدرس عددی متناظر یك آدرس URL را درخواست می‌كند، پاسخ درخواست مذكور را در یك بازه زمانی موسوم به <زمان حیات> كه بین چند ثانیه و چندین روز متغیر است، ذخیره می‌كند. این كار تعداد درخواست‌های ارسالی یك سرور را كاهش می‌دهد.

ایده كامینسكی شامل حذف زمان حیات و در نتیجه دسترسی سریع به آدرس سایت‌ها بود. به این ترتیب، ترافیك اطلاعات شبكه Comcast به‌جای ارسال به آدرس‌هایی كه از پیش ذخیره شده‌اند، در هر لحظه به‌طور مستقیم برای آدرس مطلوب ارسال می‌شد. كامینسكی مطمئن بود این راهبرد موجب افزایش سرعت انتشار اطلاعات می‌شود.
 

كامینسكی پس از درمیان گذاشتن ایده خود در یك مكالمه اتفاقی با یكی از دوستان پی برد كه این تغییر می‌تواند موجب بروز یك رخنه امنیتی بزرگ در سیستم نام‌گذاری حوزه‌ها و حتی در خود اینترنت شود. به این ترتیب، معلوم شد مفهوم زمان حیات در حقیقت هسته امنیتی پروتكل DNS است و عبور از این ویژگی امكان اجرای حمله‌های بسیاری را فراهم می‌كند.

كامینسكی قطعه كد كوچكی را نوشت تا مطمئن شود اوضاع به اندازه تصور وی وخیم است. او می‌گوید: «به محض این‌كه دیدم قطع كد به درستی اجرا می‌شود، دچار دلهره شدم. با خود گفتم، در این باره چه كاری می‌توانم انجام دهم؟ این نقطه ضعف همه‌چیز را تحت تأثیر قرار می‌دهد.»

هر مهاجمی با استفاده از تكنیك كامینسكی می‌تواند كاربران وب را به هر صفحه دلخواهی راهنمایی كند. واضح‌ترین كاربرد این قابلیت، روانه كردن كاربران به سایت‌های فیشینگ (سایت‌هایی كه به‌منظور فریب دادن كاربران و دریافت كلمه عبور و سایر اطلاعات شخصی آن‌ها طراحی شده‌اند و امكان دزدی هویت آن‌ها را برای مهاجمان فراهم می‌كنند) یا نسخه‌های جعلی از صفحات وب است، اما خطر بالقوه بسیار بیش از این است؛ پروتكل‌هایی مانند نمونه‌های مورد استفاده برای مبادله نامه‌های الكترونیكی یا برقراری ارتباطات ایمن در اینترنت در نهایت به پروتكل DNS متكی هستند.

 

شکل 1- محقق امنیتی دن کامینسکی، اولین فردی بود که رخنه امنیتی اینترنت را در زمستان گذشته کشف کرد. 

یك مهاجم خلاق با استفاده از تكنیك كامینسكی می‌تواند نامه‌های الكترونیكی مهم را به دست آورده یا نسخه‌های جعلی‌ای از مجوزهای مورد استفاده برای تأیید تراكنش‌های ایمن بین كاربران و سایت‌های بانكی ایجاد كند.

كامینسكی می‌گوید: «هر روز حلقه دیگری از زنجیره خطرها را می‌یابم. در صورت شكست پروتكل DNS فناوری‌های دیگر كارایی خود را از دست می‌دهند. منظورمن این است كه به اطراف خود نگاهی بیاندازید؛ تقریباً هر چیزی كه از شبكه استفاده می‌كند، احتمالاً از پروتكل DNS نیز بهره می‌گیرد.»

كامینسكی برای حل مشكل با پل ویكسی، مدیر مؤسسه Internet Systems Consortium كه یك سازمان غیرانتفاعی برای پشتیبانی از اجزای مختلف زیرساخت اینترنت شامل نرم‌افزارهای متداول در سیستم نام‌گذاری حوزه‌ها است، تماس گرفت.

ویكسی می‌گوید: «معمولاً زمانی كه شخصی قصد دارد مشكلی را مطرح كند، انتظار دارید تشریح آن مدتی به طول انجامد و احتمالاً مشكل را روی یك وایت برد یا در قالب یك یا چند سند Word نمایش دهند.

در این مورد تنها بیست ثانیه طول كشید تا كامینسكی مشكل را مطرح كند و ظرف بیست ثانیه بعدی تمام اعتراض‌های من را پاسخ دهد. پس از آن گفتم، دَن من با استفاده از یك تلفن ناامن با شما صحبت می‌كنم. هرگز مطالبی را كه با استفاده از این خط تلفن ناامن مطرح كردید برای هیچ كس دیگری بازگو نكنید.»
 
احتمالاً بدترین بخش ماجرا این بود كه نقاط آسیب‌پذیر، روی یك سخت‌افزار یا نرم‌افزار مجزا قرار نداشته و درون طراحی پروتكل DNS بودند، به همین دلیل نحوه اصلاح آسیب‌پذیری مشخص نبود. كامینسكی و ویكسی به‌طور مخفیانه گروهی از بهترین متخصصان DNS را از سراسر جهان گردهم آوردند. این گروه متشكل از كارشناسان دولتی و مهندسان بلندپایه از بزرگ‌ترین تولیدكنندگان سخت‌افزار و نرم‌افزار DNS در جهان شامل سیسكو و مایكروسافت بودند.

آن‌ها جلسه‌ای را در ماه مارس 2008 واقع در محوطه شركت مایكروسافت مستقر در ردموند تشكیل دادند. این ملاقات به قدری محرمانه و با عجله برگزار شد كه كامینسكی درباره آن می‌گوید: «گروهی از افراد كه با هواپیمای جت راهی جایگاه مایكروسافت در ردموند شده بودند، حتی نمی‌دانستند مشكل چیست.»
 
گروه متخصصان به محض برگزاری جلسه در ردموند برای تعیین اندازه رخنه امنیتی و راه‌حل‌های ممكن اقدام كردند. آن‌ها ابتدا تدابیر موقتی را به كار گرفتند كه اغلب مشكلات را حل می‌كرد، به‌كارگیری آن‌ها آسان بود و ماهیت اصلی رخنه امنیتی را مخفی می‌كرد.
 
از آنجا كه مهاجمان معمولاً برای یافتن رخنه‌های امنیتی، اصلا‌حیه‌های نرم‌‌افزاری  مربوط را با استفاده از مهندسی معكوس بررسی می‌كنند، تمام اعضای گروه تصمیم گرفتند، اصلا‌حیه‌ها را به‌طور همزمان عرضه كنند (تاریخ عرضه این نرم‌افزارها هشتم جولای بود).

به علاوه كامینسكی به‌منظور تأمین زمان موردنیاز برای ایمن‌سازی سرورها از محققان امنیتی درخواست كرد جزئیات مربوط به این رخنه امنیتی را به مدت سی روز پس از انتشار نرم‌‌افزارهای ترمیمی افشا نكنند. كامینسكی قصد داشت، در روز ششم آگوست در همایش سالانه متخصصان امنیتی جهان موسوم به كنفرانس Black Hatوجود رخنه امنیتی مذكور و نحوه اصلاح آن را اعلام كند.




ادامه مطلب


نوع مطلب : اخبار وب، امنیت وب، 
برچسب ها : حفره های امنیتی، حفره های امنیتی اینترنت، امنیت اینترنت،
لینک های مرتبط :

       نظرات
جمعه 14 آبان 1389
Mohammad Chehregani


 
 
 
ساخت وبلاگ در میهن بلاگ

شبکه اجتماعی فارسی کلوب | اخبار کامپیوتر، فناوری اطلاعات و سلامتی مجله علم و فن | ساخت وبلاگ صوتی صدالاگ | سوال و جواب و پاسخ | رسانه فروردین، تبلیغات اینترنتی، رپرتاژ، بنر، سئو