- निष्कर्ष
- विशेषज्ञों का क्या कहना है?
- तुम क्या कर सकते हो?
अगर आपको लगा कि आपका डेटा सुरक्षित है तो फिर से सोचें। क्योंकि अकादमिक अध्ययनों के अनुसार, यह पाया गया कि टीएलएस 1.3 भेद्यता के कारण, हैकर्स अब एक सुरक्षित चैनल में टैप कर सकते हैं और दुर्भावनापूर्ण इरादे से डेटा काट सकते हैं।
शोध पत्र तेल अवीव विश्वविद्यालय, एडिलेड विश्वविद्यालय और मिशिगन विश्वविद्यालय के साथ-साथ वीज़मैन संस्थान द्वारा प्रकाशित किया गया था। इसके अलावा, एनसीसी समूह और डेटा61 ने भी इसी तरह के निष्कर्ष निकाले हैं।
निष्कर्ष
यह हमला वास्तविक Bleichenbacher oracle attack का संशोधित संस्करण है जो अतीत में Public-Key Cryptography का उपयोग करके RSA एन्क्रिप्टेड संदेश को डिकोड करने में सक्षम था।
यह नई लहर, हालांकि, टीएलएस 1.3 के खिलाफ काम करना चाहती है जो टीएलएस प्रोटोकॉल के बीच नवीनतम संस्करण है। अधिकारियों का मानना था कि यह सुरक्षित है लेकिन स्पष्ट रूप से यह नहीं है और यह खतरनाक है!
चूंकि टीएलएस 1.3 आरएसए कुंजी विनिमय का समर्थन नहीं करता है, इसलिए शोधकर्ताओं ने हमले का आकलन करने के उद्देश्य से डाउनग्रेड संस्करण यानी टीएलएस 1.2 के साथ आगे बढ़ना बेहतर समझा।
परिणामस्वरूप डाउनग्रेड मितलीकरण जैसे एक सर्वर-साइड और दो-क्लाइंट पक्ष जो डाउनग्रेड हमले को बायपास करता है। इस प्रकार, यह निष्कर्ष निकाला गया कि अगर बड़े आरएसए कुंजी होते, तो इन हमलों को रोका जा सकता था और साथ ही, हैंडशेक टाइमआउट को छोटा कर दिया जाता था।
नौ अलग-अलग टीएलएस कार्यान्वयन का अध्ययन किया गया; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL, और GnuTLS जिसमें से BearSSL और Google के BoringSSL सुरक्षित थे। अन्य सभी कमजोर रहे।
विशेषज्ञों का क्या कहना है?
जहां तक हमलों की संख्या का सवाल है, वेनाफी में सीनियर डायरेक्टर ब्रोडरिक पेर्ली-हैरिस का मानना है कि वे 1988 से ब्लेचेंबचेर की विविधताओं के कारण पॉप अप कर रहे हैं। इसलिए, यह आश्चर्यजनक नहीं है कि टीएलएस 1.3 कमजोर भी है।
ईएसईटी यूके के साइबर-सुरक्षा विशेषज्ञ जेक मूर का मत है कि क्रिप्टोग्राफिक प्रकृति का हमला पहला नहीं है और यह अपनी तरह का अंतिम नहीं होगा। उनका यह भी मत है कि यह Whac-A-Mole के खेल के समान है - हर बार जब एक सुरक्षा फिक्स लागू किया जाता है, तो एक और पॉप अप होता है।
तुम क्या कर सकते हो?
सब सब में, दोष टीएलएस एन्क्रिप्शन प्रोटोकॉल के मूल मेकअप में है। लेकिन अभी के लिए प्रोटोकॉल के बहुत डिजाइन के कारण पैचिंग ही एकमात्र तरीका है।
इस बीच आप अपनी सुरक्षा के लिए क्या कर सकते हैं? दो-कारक प्रमाणीकरण (2FA) को नियोजित करें, अपने सॉफ़्टवेयर को अपडेट रखें जैसे कि एंटी-मैलवेयर / एंटीवायरस, मजबूत पासवर्ड सेट करना और वीवीसी जैसे एक सभ्य वीपीएन सेवा।
