वाईफाई सुरुक्षा खतरे में

 

आप एक आतंकवादी को सड़क पर चलने देंगे और ईरान में अपने दोस्तों को बुलाएंगे।  या अफ़गानिस्तान अपने फोन का उपयोग कर रहा है? प्रश्न: क्या आप चाइल्ड पोर्नोग्राफी डाउनलोड करने के लिए अपने इंटरनेट कनेक्शन का उपयोग करने के लिए एक बिगाड़ने की अनुमति देंगे? प्रश्न: यदि आप एक होटल के महाप्रबंधक हैं, तो क्या आप जानबूझकर किसी चोर को एक अतिथि के कंप्यूटर से डेटा चोरी करने की अनुमति देंगे?  , यह और बहुत कुछ दुनिया भर में वाई-फाई हॉटस्पॉट पर होता है, लेकिन किसी को भी इसके बारे में बहुत चिंता नहीं है - क्यों?  कुछ हालिया उदाहरण: 1. एक अमेरिकी सैन्य वॉर्डिंग टीम बेस एक्सेस पर स्थापित एक्सेस प्वाइंट को खोलती है, जो आंतरिक अमेरिकी सैन्य अवर्गीकृत नेटवर्क के लिए खुला, अनियंत्रित, अप्रतिबंधित एक्सेस है।  एक्सेस प्वाइंट सैन्य बेस से बाहर के-मार्ट पार्किंग स्थल से सुलभ है। 2।  रूस के "हैकर मैगज़ीन" में एक छह-पृष्ठ का पूर्ण-रंग आलेख, मॉस्कोनेट 3 द्वारा संचालित तीन मॉस्को मैरियट होटल्स के हॉटस्पॉट पर हमला करने के तरीके का पूर्ण, चरण-दर-चरण विस्तार से वर्णन करता है।  बाल पोर्नोग्राफ़ी के कब्जे के लिए एक आदमी का हालिया मुकदमा।  उनका बचाव यह था कि "उनके पास एक खुला पहुंच बिंदु था, इसलिए यह किसी और का रहा होगा" विफल रहा, और अब वह अन्य कैदियों के साथ ड्रॉप-द-सोप खेलने में कुछ कठिन समय देख रहे हैं। ठीक है, असुरक्षित पहुंच बिंदु केवल नहीं हैं  धमकी, लेकिन वे एक महान प्रवेश बिंदु बनाते हैं।  बस NetStumbler के साथ ड्राइव करें और देखें कि कितने एक्सेस पॉइंट में अभी भी डिफॉल्ट D-Link या Linksys SSID है और यहां तक ​​कि डिफॉल्ट यूजरनेम और पासवर्ड भी प्रशासनिक एक्सेस के लिए है और आपके पास समस्याओं में से किसी एक के दायरे का एक छोटा सा नमूना हो सकता है।  हॉटस्पॉट में अनधिकृत उपयोगकर्ताओं को इंटरनेट तक पहुंचने से बचाने के लिए उचित उपाय हैं, कुछ ऑपरेटर वैध उपयोगकर्ताओं को इंट्रा-साइट हमलों से बचाने के लिए परेशान करते हैं।  एक बार हमलावर किसी एक्सेस पॉइंट के साथ जुड़ सकता है - कोई भी एक्सेस पॉइंट - वे एक ही एक्सेस पॉइंट से जुड़े किसी भी यूजर्स पर पोर्ट-स्कैनिंग और अटैक करना शुरू कर सकते हैं, और सबसे अधिक बार, पूरे हॉटस्पॉट में किसी भी एक्सेस पॉइंट से जुड़े यूजर्स - बिना किसी की जरूरत के  प्रवेश द्वार के माध्यम से कनेक्टिविटी। असुरक्षित, अप्रभावित क्लाइंट कंप्यूटर डेटा चोरों के लिए रसदार लक्ष्य हैं, या कोई भी महत्वपूर्ण लॉगर, रूट किट या किसी अन्य मैलवेयर को आरोपित करना चाहते हैं।  इस तरह के कंप्यूटर सरल, स्वतंत्र रूप से डाउनलोड करने योग्य स्कैनिंग और विश्लेषण टूल के साथ बहुत आसानी से मिल जाते हैं।  इंटरनेट पर, चोरी की पहचान को बहुत अधिक कॉफी की तरह खरीदा और बेचा जाता है। पूरी तरह से पर्याप्त है, जब एक अन्य लेख लिखने की तैयारी में प्रमुख यूरोपीय प्रमाणीकरण प्रदाताओं में से एक का साक्षात्कार करते हैं, जब उनसे पूछा जाता है कि उनकी कंपनी सुरक्षा के बारे में क्या कर रही थी, तो उनकी प्रतिक्रिया थी, “हम  इसके बारे में ज्यादा चिंता न करें, केवल हैकर्स रूस में हैं… ”इन दृष्टिकोणों वाले ऑपरेटरों के लिए, वेक-अप कॉल जितनी जल्दी हो सके, वे सोचते हैं।  बस Google वीडियो पर जाएं और वाई-फाई, वॉर ड्राइविंग या वायरलेस हैकिंग की खोज करें और आपको कदम-दर-कदम प्रदर्शनों के साथ वीडियो मिलेंगे, यह कैसे करना है और किस टूल का उपयोग करना है। इसके लिए एक अद्वितीय समस्या का प्रतिनिधित्व करते हैं।  अधिकांश होटल आईटी प्रबंधक अकेले मौजूद वायरलेस नेटवर्क के खतरों का जवाब देने के लिए समझने के लिए बीमार हैं।  यदि होटल अपने हॉटस्पॉट को चलाने के लिए किसी तीसरे पक्ष के ऑपरेटर पर भरोसा कर रहा है, तो होटल आईटी प्रबंधक के पास उस नेटवर्क का उपयोग या नियंत्रण नहीं होगा और वे अतिरिक्त सुरक्षा लागू नहीं कर सकते हैं, भले ही वे मास्को में ऐसा करना चाहते हों।  तीन मैरियट होटल अपने हॉटस्पॉट को संचालित करने के लिए तीसरे पक्ष के ऑपरेटर मॉस्कोनेट पर भरोसा करते हैं।  अगस्त 2006 के बाद से हैकर मैगज़ीन के लेख के प्रकाशित होने के बाद नेटवर्क को सुरक्षित करने के लिए कुछ भी क्यों नहीं किया गया है, इसलिए मुझे क्या परेशान करता है?  बहुत दिन तक, हैकर के दृष्टिकोण से, कुछ भी नहीं बदला है और समान कमजोरियां अभी भी खुली हैं। मैरियट / मोसकॉमनेट वाई-फाई प्रणाली में एक प्रमुख दोष यह है कि वे अभी भी मैक-एड्रेस-आधारित प्रमाणीकरण का उपयोग कर रहे हैं।  इस तरह के सिस्टम-ईज ऑफ-यूज ’के लिए अद्भुत हैं, लेकिन सुरक्षा के संबंध में कुल आपदा।  (मैक पते फ़सल काटने और बिगाड़ने के लिए दुनिया की सबसे सरल चीज़ हैं।) उदाहरण के लिए, मॉस्को मैरियट ऑरोरा होटल में, मैंने अपने नोटबुक कंप्यूटर के लिए वाई-फाई अडैप्टर उधार लिया, इसे प्लग इन किया और वाईफाई के लिए तुरंत, मुफ्त पहुंच प्राप्त की।  नेटवर्क।  यह कैसे हुआ?  बहुत ही सरल, अतिथि जिसने मेरे लौटने से पहले एडॉप्टर उधार लिया था जबकि समय अभी भी उसके खाते में ही था।  एडाप्टर से मैक पते ने स्वचालित रूप से मुझे सिस्टम को प्रमाणित कर दिया - कोई अन्य क्रेडेंशियल्स की आवश्यकता नहीं है। और क्या होगा अगर मैंने कुछ बुराई की, जैसे कि एक पी 2 पी सर्वर पाइरेटिंग संगीत स्थापित करना?  जैसा कि मैंने कभी किसी खाते में नहीं डाला था, खाते के पिछले उपयोगकर्ता को दोष मिलेगा।  हमलावरों के लिए के रूप में सिर्फ हवा से बाहर मैक पते पर कब्जा कर लिया और उन्हें खराब कर दिया - वे पूरी तरह से अप्राप्य हैं और जो कुछ भी वे पूरी निष्पक्षता के साथ चाहते हैं वह कर सकते हैं। किसे जिम्मेदार और जिम्मेदार ठहराया जा सकता है?  होटल के महाप्रबंधक?  हॉटस्पॉट ऑपरेटर्स?  आईटी प्रबंधकों?  प्रमाणीकरण और घूमने वाले साथी?  चारों ओर जाने के लिए बहुत सारे दोष हैं, लेकिन कोई भी जिम्मेदारी या कार्रवाई करना नहीं चाहता है। एक अन्य उदाहरण के रूप में, मैंने हाल ही में सेंट के शहर के पांच सितारा होटलों में से छह में मुफ्त हॉटस्पॉट सुरक्षा विश्लेषण, संगोष्ठी और परामर्श देने की पेशकश की है।  पीटर्सबर्ग रूस।  मैंने सीधे महाप्रबंधकों से संपर्क किया, और मुझे प्रस्ताव पर लेने के लिए एक भी उत्तर नहीं मिला।  यह मुझे जोर से और स्पष्ट बताता है कि होटल के जीएम या तो यह नहीं समझते हैं कि कोई समस्या है या इसे स्वीकार नहीं करेंगे।  ऐसा लगता है कि अतिथि के कंप्यूटर या किसी भी अन्य सुरक्षा मामलों की सुरक्षा कोई चिंता का विषय नहीं है। क्या समस्या एक 

तकनीकी है?  हर्गिज नहीं!  हर व्यावसायिक-ग्रेड एक्सेस प्वाइंट WPA या WPA-2 के साथ आसानी से सुरक्षित हो जाता है।  (WEP के बारे में भूल जाओ।) नए व्यावसायिक पहुँच बिंदु एक साथ दोहरे मोड संचालन की अनुमति देते हैं - जहाँ उपयोगकर्ता असुरक्षित या सुरक्षित रूप से संबद्ध करने का विकल्प चुन सकता है।  इस सरल उपाय से वायरलेस ईव्सड्रॉपिंग का खतरा लगभग शून्य हो सकता है।  केवल ऐसे ग्राहक जिनके कंप्यूटर सुरक्षित मोड में काम करने में असमर्थ थे, वे असुरक्षित बने रहेंगे। इसलिए हॉटस्पॉट ऑपरेटर न्यूनतम न्यूनतम सावधानियों को लागू क्यों नहीं करते?  मुझे संदेह है कि यह हो सकता है: 1।  कई वाईफाई ऑपरेटरों के पास अपने नेटवर्क को ठीक से सुरक्षित करने और उनकी निगरानी करने के लिए बस ज्ञान, कौशल और अनुभव की कमी होती है। इसका सामना करें, इंटरनेट कनेक्शन साझा करने के लिए कुछ एक्सेस पॉइंट्स की स्थापना करना रॉकेट साइंस नहीं है - लेकिन ठीक से एक छोटी प्रणाली को सुरक्षित और प्रबंधित करना।  स्थानीय 'कंप्यूटर पुरुष' की क्षमता से परे ज्ञान, कौशल और अनुभव की आवश्यकता होती है ।2।  वाई-फाई हॉटस्पॉट ऑपरेटर जो सुरक्षा की तुलना में लाभ के बारे में अधिक चिंतित हैं।  सुरक्षित प्रणालियां प्रबंधन के लिए कठिन हैं और उपयोग करने में कठिन हैं - जो एक और कारण है कि वाणिज्यिक ऑपरेटरों को सुरक्षा उपायों के सबसे मूल को भी लागू करने की संभावना कम है।  वास्तविक सुरक्षा का अर्थ होगा ग्राहक से गेटवे तक सभी तरह से एन्क्रिप्शन को लागू करना, और सुरक्षित प्रमाणीकरण - सार्वजनिक कुंजी इन्फ्रास्ट्रक्चर और डिजिटल प्रमाण पत्र के माध्यम से लागू होने की संभावना है। यदि मुझे पता है कि कुछ क्लाइंट सिस्टम कुछ सुरक्षा तंत्रों का समर्थन नहीं कर सकते हैं, लेकिन कम से कम दें  ग्राहक सहायक उपकरणों को उधार लेने और / या संभावित खतरों के बारे में उन्हें सूचित करने का विकल्प दे सकता है। इस श्रृंखला में अगला लेख अधिक विस्तार से वाई-फाई नेटवर्क पर हमले के विशिष्ट रूपों पर ध्यान केंद्रित कीजियेगा ।

____राजीव मिंज