[ad_1]

Orion ، محصولی از SolarWinds ، برای نظارت بر شبکه های کاربران طراحی شده است تا مطمئن شود که آنها به درستی کار می کنند و از قضا ، ایمن هستند.عکس از Camilo Concha / Shutterstock

لدر سال گذشته ، هکرها پس از ورود به SolarWinds ، یک شرکت نرم افزاری متخصص در نرم افزار نظارت بر شبکه ، خبرساز شدند. حدود 33000 سازمان ، از جمله پنتاگون ، وزارت امور خارجه ایالات متحده و برخی آژانس های اطلاعاتی ، از Orion ، یکی از محصولات SolarWinds استفاده می کنند. Orion برای نظارت بر شبکه های کاربر طراحی شده است تا اطمینان حاصل کند که آنها به درستی کار می کنند و از قضا بی خطر هستند.

به نظر می رسد دستیابی به موفقیت با حمله به محصولات مایکروسافت ، از جمله سرور Microsoft Office 365 که SolarWinds از آن استفاده می کند ، آغاز شده است. از جمله سایر موارد ، Office 365 از طریق پست الکترونیکی کار می کند و شناخته شده است که سرورهای ایمیل در محافظت در برابر آلودگی به بدافزار مشکل دارند زیرا مجبورند داده های رایانه ها را از طریق اینترنت پردازش کنند. سپس مهاجمان به زنجیره تأمین حمله کردند ، این بدان معناست که مهاجمان به جای حمله مستقیم به خدمات دولتی ، با نرم افزار Orion که این سازمان ها قبل از تحویل نرم افزار به آنها استفاده می کردند ، به خطر افتادند.

کپی کردن یک امضای دیجیتالی در حال حاضر به اندازه کافی دشوار است که هکرها هرگز آن را امتحان نمی کنند.

فروشندگان نرم افزار برای دفاع از خود در برابر چنین حمله ای چه کاری می توانند انجام دهند؟ محققان دانشگاه ایالتی اوهایو و Potomac Research LLC به سرپرستی Noeloikeau Charlot اخیراً مقاله ای در مورد ایده استفاده از “ویژگی های غیرقابل انسداد جسمی” منتشر کردند. عملکردهایی که نمی توانند شبیه سازی شوند یا PUF ، از این واقعیت بهره می برند که در سطح میکروسکوپی ، حتی تراشه های رایانه ای تولید انبوه نیز تفاوت های کوچکی از یک تراشه به دیگری دارند. PUF برای اجازه دادن به هر تراشه در رایانه ، تلفن هوشمند یا سایر دستگاه ها برای تولید سیگنالی استفاده می شود که هیچ تراشه دیگری نمی تواند تولید کند. همانطور که ممکن است بانک شما قبل از ورود به صندوق امانات از شما بخواهد اثر انگشت خود را تأیید کنید ، یک بانک آنلاین ممکن است PUF دستگاه را بررسی کند تا مطمئن شود فقط فردی با دستگاه صحیح به حساب بانکی دسترسی دارد. PUF ها می توانند تفاوت چشمگیری داشته باشند. بر اساس بیانیه مطبوعاتی ، محققان می گویند برای آزمایش هر ترکیب احتمالی موجود ، بیشتر از عمر جهان طول می کشد. “

PUF یک ایده فنی عالی است ، اما از چندین اشکال رنج می برد. اثر انگشت شخص را شناسایی می کند ، اما PUF یک دستگاه را شناسایی می کند. اگر از بیش از یک دستگاه استفاده کنید ، همانطور که بسیاری از افراد استفاده می کنند ، یا همیشه باید یک دستگاه مناسب داشته باشید ، یا بانک باید PUF را برای همه آنها بشناسد. و ثبت یک PUF جدید مستلزم متقاعد کردن بانک شما در داشتن دستگاه جدید و قدیمی است ، روشی که می تواند به هکرها فرصتی دیگر برای جعل هویت و دسترسی به حساب شما بدهد. طبق تعریف ، بایگانی PUF امکان پذیر نیست ، بنابراین اگر چندین دستگاه را ثبت نکرده اید ، از دست دادن یکی به معنای شروع مجدد است. و اگر کسی دستگاهی را که در بانک ثبت شده است به سرقت برد ، قبل از ورود هکرها به دستگاه و استفاده از PUF ، به روشی برای لغو ثبت نام نیاز خواهید داشت.

اگرچه شرایطی وجود دارد که PUF می تواند بسیار مفید باشد ، اما متأسفانه محققان در مورد هکرها درخت اشتباه را پارس می کنند. اکنون ما ابزارهای فنی برای جلوگیری از هک هایی مانند SolarWinds در اختیار داریم. ما می توانیم دستگاه هایی را که از امضاهای دیجیتالی استفاده می کنند شناسایی کنیم. ما فقط از آنها به درستی استفاده نمی کنیم.

اگر PUF مانند اثر انگشت باشد ، امضای دیجیتال مانند یک کارت شناسایی است که روی آن یک شماره شناسایی کاملاً پوچ نوشته شده است. اگر اطلاعات درستی داشته باشید ، می توانید یک امضای دیجیتال را از یک دستگاه به دستگاه دیگر کپی کنید ، بنابراین چندین دستگاه مشکلی ندارند ، همانطور که می توانید از یک کارت شناسایی با زمان و منابع کافی کپی تهیه کنید. از طرف دیگر ، بدون توزیع اطلاعات اصلی ، می توانید ثابت کنید که امضای دیجیتال صحیحی دارید ، همانطور که کپی کردن کارت شناسایی برای شخصی بسیار دشوار است. برخلاف PUF ، کپی برداری از امضای دیجیتال هیچ مانعی فیزیکی ندارد. اما واقعیت این است که کپی کردن امضای دیجیتال در حال حاضر به اندازه کافی دشوار است که بعید است هکرها هرگز آن را امتحان کنند.

این حملات از سیستمی ناشی می شود که از قبل تضمین شده است.

به خطر انداختن سرور ایمیل خود مانند این است که بخواهید سرویس ایمیل را هک کنید. اسکنرهای اثر انگشت و کارت شناسایی به شما کمک می کند کسی که به عنوان یک کارمند پست ظاهر می شود. اما در مورد یک پهپاد که در یک بسته پنهان شده چطور؟ حتی اگر بتوانید دقیقاً از کجا ناشی شوید ، لزوماً به معنای بی خطر بودن یا نبودن آن نیست. در عوض ، ممکن است اداره پست از هر بسته به اندازه کافی بزرگ ، اشعه ایکس را شروع کند. این به سرعت به یک مسابقه تسلیحاتی تبدیل می شود: مهاجمان سعی می کنند هواپیماهای بدون سرنشین را بپوشانند در حالی که مدافعان سعی در بهبود آنها دارند. این عمدتا وضعیت فعلی بدافزار و به ویژه سرورهای ایمیل است.

Office 365 دارای ویژگی ورود به سیستم یکبار مصرف است ، به این معنی که یک شرکت می تواند همه رایانه های خود را به یک سیستم ورود به سیستم متصل کند. بنابراین پس از هک شدن حساب کاربری SolarWinds Office توسط هکرها ، ظاهراً از آن برای دسترسی به سایر سیستم های SolarWinds از جمله سیستم انتشار به روزرسانی های نرم افزار Orion استفاده کرده اند.

بگیر ناوتیلوس بولتن

جدیدترین و محبوب ترین مقالات در صندوق ورودی شما تحویل داده می شوند!

این احتمال وجود دارد که PUF ها به عنوان بخشی از یک سیستم احراز هویت دو عاملی در اینجا کمک کرده باشند که در آن کاربران نه تنها باید رمزعبور را وارد کنند بلکه به روش دیگری تأیید کنند که گفته می شوند. از طرف دیگر ، بسیاری از سازمان ها حتی در صورت وجود در نرم افزار ، از احراز هویت دو عاملی استفاده نمی کنند. همچنین شواهدی وجود دارد مبنی بر اینکه مهاجمان ممکن است از خطای Office استفاده کرده اند که به آنها اجازه می دهد احراز هویت دو عاملی را دور بزنند.

هنگامی که مهاجمان به سیستم بروزرسانی Orion دسترسی پیدا کردند ، آنها توانستند به روزرسانی های نرم افزاری را که SolarWinds به طور منظم برای مشتریان خود ارسال می کرد ، اصلاح کنند. اکثر سازمان ها به دو دلیل خوب این به روزرسانی ها را به طور خودکار نصب می کنند. این برنامه ها اغلب شامل به روزرسانی های امنیتی مهمی مانند رفع اشکال هستند و فرض بر این است که برای اطمینان از قانونی بودن آنها توسط سازنده به صورت دیجیتالی امضا شده اند. در این حالت ، به روزرسانی ها به درستی امضا شده اند ، زیرا آنها از طریق رایانه های خود SolarWinds آمده اند! PUF در اینجا کمکی نمی کند.

اصلاحات انجام شده در نرم افزار Orion به مهاجمان اجازه می دهد تا از راه دور نرم افزار را کنترل کنند. هنگامی که مهاجمان این سیستم را کنترل کنند ، می توانند تقریباً در هر اتفاقی که رخ دهد جاسوسی کنند. این حملات از سیستمی ناشی می شود که از قبل تضمین شده است.

اگر ابزارهای شناسایی بهتر جواب ندهند ، چیست؟ آنچه بیشتر من را نگران می کند مجموعه اشکالات و اشکالات امنیتی است که به طور مداوم هنگام وقوع این نقض ها از آنها می شنویم. دانیل گوتیه ، فیزیکدان دانشگاه ایالتی اوهایو و نویسنده ارشد مقاله ، گفت: “هک SolarWinds علیه دولت ایالات متحده واقعاً مردم را به فکر انداخت که چگونه احراز هویت و رمزنگاری کنند.” “ما امیدواریم که این بتواند بخشی از راه حل باشد.”

PUF راه حل مسئله اشتباه است. ما در حال حاضر وضعیتی داریم که کاربران انتظار دارند اشکالاتی در نرم افزار وجود داشته باشد و برنامه نویسان تشویق می شوند که ابتدا نرم افزار را از در خارج کنند و بعداً آن را برطرف کنند. ما به جای مجازات تولیدکنندگان به دلیل نقص امنیتی ، تقریباً مانند آنها بلایای طبیعی رفتار می کنیم – تقصیر هیچ کس نیست. نحوه توزیع و نصب خودکار به روزرسانی ها از طریق اینترنت این مسئله را تشویق می کند ، اما در بحث امنیت این مسئله مهم است. تا زمانی که این وضعیت تغییر نکند ، می توان انتظار داشت که با وجود PUF و سایر ابزارهای جدید هیجان انگیز ، اخبار مربوط به نقض امنیت را همچنان بشنویم.

جوشوا هولدن استاد ریاضیات در موسسه فناوری رز-هولمن و نویسنده کتاب است ریاضیات اسرار: رمزنگاری از رمزهای سزار تا رمزگذاری دیجیتال.



[ad_2]

منبع: khabar-shoma.ir