Minecraft માં પ્રદર્શિત જટિલ Apache Log4j શોષણ

છેલ્લું સપ્તાહાંત સર્વર એડમિનિસ્ટ્રેટર બનવા માટે ખરાબ સમય હતો. Apache Log4j માં ગંભીર નબળાઈ ઉભરી આવી. મોટી સમસ્યા? હુમલાખોરો પાસે ઓપન-સોર્સ Java પેકેજનો ઉપયોગ કરવાની તક હોય છે જેનો ઉપયોગ Twitter થી iCloud સુધીની તમામ પ્રકારની એપ્લીકેશનો હુમલાખોર પસંદ કરે તે કોઈપણ કોડને ચલાવવા માટે કરે છે.

તે લાગે તેટલું ડરામણું છે.

તમારા અને મારા માટે Apache Log4j એક્સપ્લોઇટનો અર્થ શું છે

મેં હનટ્રેસ લેબ્સના સાયબર સિક્યુરિટી સંશોધક જોન હેમન્ડ સાથે શોષણ અને નુકસાનને ઘટાડવા માટે અનુગામી ઝપાઝપી વિશે વાત કરી. હેમન્ડે તેની YouTube ચેનલ માટે Minecraft સર્વર પર શોષણને ફરીથી બનાવ્યું, અને પરિણામો વિસ્ફોટક હતા.

ટ્વીટ

પ્ર: આ શોષણ શું છે? શું તમે સમજાવી શકો છો કે સામાન્ય માણસની શરતોમાં શું થઈ રહ્યું છે?

A: આ શોષણ ખરાબ કલાકારોને ટેક્સ્ટની એક લીટી સાથે કમ્પ્યુટર પર નિયંત્રણ મેળવવાની મંજૂરી આપે છે. સામાન્ય માણસની શરતોમાં, લોગ ફાઇલ નવી એન્ટ્રી મેળવે છે પરંતુ તે લોગ ફાઇલની અંદરના ડેટાને વાંચતી અને વાસ્તવમાં એક્ઝિક્યુટ કરતી હોય છે. વિશિષ્ટ રીતે ઘડવામાં આવેલા ઇનપુટ સાથે, પીડિત કમ્પ્યુટર પ્રતિસ્પર્ધીએ તૈયાર કરેલી કોઈપણ અપ્રિય ક્રિયાઓને ડાઉનલોડ કરવા અને ચલાવવા માટે એક અલગ દૂષિત ઉપકરણ સુધી પહોંચશે અને તેનાથી કનેક્ટ થશે.

પ્ર: Minecraft માં આ શોષણની નકલ કરવી કેટલું મુશ્કેલ હતું?

A: આ નબળાઈ અને શોષણ સેટ કરવા માટે તુચ્છ છે, જે તેને ખરાબ કલાકારો માટે ખૂબ જ આકર્ષક વિકલ્પ બનાવે છે. મેં પ્રદર્શન કર્યું છે Minecraft માં આને કેવી રીતે ફરીથી બનાવવામાં આવ્યું તે દર્શાવતી વિડિઓ વૉકથ્રુ, અને "હુમલાખોરનો પરિપ્રેક્ષ્ય" સેટ થવામાં કદાચ 10 મિનિટ લે છે જો તેઓ જાણતા હોય કે તેઓ શું કરી રહ્યા છે અને તેમને શું જોઈએ છે.

પ્ર: આનાથી કોને અસર થાય છે?

A: આખરે, દરેક વ્યક્તિ કોઈને કોઈ રીતે તેનાથી પ્રભાવિત થાય છે. ત્યાં એક અત્યંત ઉચ્ચ તક છે, લગભગ ચોક્કસ, કે દરેક વ્યક્તિ અમુક સોફ્ટવેર અથવા ટેક્નોલોજી સાથે ક્રિયાપ્રતિક્રિયા કરે છે જે આ નબળાઈને ક્યાંક દૂર રાખે છે. 

અમે Amazon, Tesla, Steam, Twitter અને LinkedIn જેવી વસ્તુઓમાં નબળાઈના પુરાવા જોયા છે. કમનસીબે, અમે આ નબળાઈની અસર ખૂબ લાંબા સમય સુધી જોઈશું, જ્યારે કેટલાક લેગસી સૉફ્ટવેર આ દિવસોમાં જાળવવામાં અથવા અપડેટ્સને દબાણ કરી શકતા નથી.

પ્ર: અસરગ્રસ્ત પક્ષોએ તેમની સિસ્ટમને સુરક્ષિત રાખવા માટે શું કરવાની જરૂર છે?

A: પ્રામાણિકપણે, વ્યક્તિઓએ તેઓ જે સૉફ્ટવેર અને એપ્લિકેશનનો ઉપયોગ કરે છે તેનાથી વાકેફ રહેવું જોઈએ, અને “[that-software-name] log4j” માટે એક સરળ Google શોધ પણ કરવી જોઈએ અને તપાસો કે તે વિક્રેતા અથવા પ્રદાતાએ આ નવા સંબંધિત સૂચનાઓ માટે કોઈ સલાહ શેર કરી છે કે કેમ. ધમકી 

આ નબળાઈ સમગ્ર ઈન્ટરનેટ અને સુરક્ષા લેન્ડસ્કેપને હલાવી રહી છે. લોકોએ તેમના પ્રદાતાઓ પાસેથી નવીનતમ સુરક્ષા અપડેટ્સ ઉપલબ્ધ હોય તેટલી ઝડપથી ડાઉનલોડ કરવી જોઈએ અને અપડેટની રાહ જોતી હોય તેવી એપ્લિકેશનો પર સતર્ક રહેવું જોઈએ. અને અલબત્ત, સુરક્ષા હજુ પણ બેર-બોન્સ બેઝિક્સ પર ઉકળે છે જેને તમે ભૂલી શકતા નથી: એક નક્કર એન્ટિવાયરસ ચલાવો, લાંબા, જટિલ પાસવર્ડ્સનો ઉપયોગ કરો (ડિજિટલ પાસવર્ડ મેનેજરની ભારપૂર્વક ભલામણ કરવામાં આવે છે!), અને ખાસ કરીને તેમાં શું રજૂ કરવામાં આવ્યું છે તેનાથી વાકેફ રહો. તમારા કમ્પ્યુટર પર તમારી સામે.

તમે જે વાંચો છો તે ગમે છે? તમને તે સાપ્તાહિક તમારા ઇનબોક્સમાં વિતરિત કરવામાં ગમશે. સિક્યુરિટીવોચ ન્યૂઝલેટર માટે સાઇન અપ કરો.

કોપ્સ + ડેટા બ્રોકર્સ = કાનૂની છટકબારીઓ

જૂની ફિલ્મોમાં ગુનેગારો હંમેશા કાયદાની સાચી અને ખોટી બંને બાજુઓ વિશે તેમના માર્ગને જાણતા હતા. જો કોઈ પોલીસ અધિકારીએ તેમનો દરવાજો તોડી પાડવાની ધમકી આપી, તો તેઓ માત્ર હસશે અને કહેશે, "ઓહ હા? વોરંટ લઈને પાછા આવો.”

આજની વાસ્તવિકતામાં, પોલીસને તમારા ડેટા માટે વોરંટ મેળવવાની ચિંતા કરવાની જરૂર નથી જો તેઓ ડેટા બ્રોકર પાસેથી માહિતી ખરીદી શકે. હવે, અમે કાયદાના ભંગને રોમેન્ટિક બનાવવાના નથી, પરંતુ અમને સત્તાનો સંભવિત દુરુપયોગ પણ પસંદ નથી.

PCMag ના રોબ પેગોરારો લખે છે તેમ, ડેટા બ્રોકર્સ કાયદા અમલીકરણ અને ગુપ્તચર એજન્સીઓને ખાનગી નાગરિકો વિશે એકત્રિત કરવામાં આવેલી માહિતીના વેચાણને મંજૂરી આપીને ચોથા સુધારાની આસપાસ જવાની રીતો પ્રદાન કરે છે. FBI એ એક ઉદાહરણમાં "પૂર્વ-તપાસની પ્રવૃત્તિઓ" માટે ડેટા બ્રોકર સાથે કરાર પર હસ્તાક્ષર કર્યા.

ગૂંચવણભરી એપ્લિકેશન ગોપનીયતા નીતિઓ અને ડેટા બ્રોકર નિયમો અને શરતો માટે આભાર, સરેરાશ અમેરિકન નાગરિક કદાચ જાણતા નથી કે તેમના ફોનના સ્થાનનો ડેટા કાયદા અમલીકરણ ડેટાબેઝમાં કેવી રીતે આવે છે. શું તે તમને પરેશાન કરે છે? જો એમ હોય, તો તે બાબતોને તમારા પોતાના હાથમાં લેવાનો અને સ્ત્રોત પર ડેટા સંગ્રહને રોકવાનો સમય છે. તમારા સ્થાનને તમારાથી ગુપ્ત રાખવા માટે Apple અને Google ઓફર કરે છે તે સ્થાન ગોપનીયતા સુવિધાઓનો ઉપયોગ કરો apps. iOS વપરાશકર્તાઓને કોઈપણ એપ્લિકેશનને તેમનું સ્થાન જાણવાથી રોકવા દે છે, અને Google નું Android 12 સમાન નિયંત્રણો ઉમેરે છે.

આ અઠવાડિયે સુરક્ષા વિશ્વમાં બીજું શું થઈ રહ્યું છે?