S3 Ep113: উইন্ডোজ কার্নেলকে পিন করা - যারা মাইক্রোসফটকে প্রতারণা করেছিল [অডিও + টেক্সট]

যেকোন বিন্দুতে এড়িয়ে যেতে নীচের সাউন্ডওয়েভগুলিতে ক্লিক করুন এবং টেনে আনুন। আপনি এটিও করতে পারেন সরাসরি শুনুন সাউন্ডক্লাউডে।

DOUG.  ওয়্যারলেস স্পাইওয়্যার, ক্রেডিট কার্ড স্কিমিং, এবং প্যাচ প্রচুর।

নেকেড সিকিউরিটি পডকাস্টে এই সমস্ত এবং আরও অনেক কিছু।

[মিউজিক্যাল মডেম]

পডকাস্টে স্বাগতম, সবাইকে।

আমি ডগ আমথ; তিনি পল ডাকলিন।

পল, আপনি কিভাবে করবেন?

---

হাঁস.  আমি খুব ভালো আছি, ডগ.

ঠান্ডা, কিন্তু ভাল.

---

DOUG.  এখানেও হিমশীতল, এবং সবাই অসুস্থ… তবে এটি আপনার জন্য ডিসেম্বর।

ডিসেম্বরের কথা বললে, আমরা আমাদের দিয়ে শো শুরু করতে চাই প্রযুক্তির ইতিহাসে এই সপ্তাহ সেগমেন্ট।

এই সপ্তাহে আমাদের একটি উত্তেজনাপূর্ণ এন্ট্রি রয়েছে - 16 ডিসেম্বর 2003-এ, তৎকালীন মার্কিন প্রেসিডেন্ট জর্জ ডব্লিউ বুশ কর্তৃক CAN-SPAM আইন আইনে স্বাক্ষরিত হয়েছিল।

জন্য একটি ব্যাকরোনিম অ-অনুরোধিত পর্নোগ্রাফি এবং বিপণনের আক্রমণ নিয়ন্ত্রণ করা, CAN-SPAM কে তুলনামূলকভাবে দাঁতহীন হিসাবে দেখা হয়েছিল যেমন মার্কেটিং ইমেল পাওয়ার জন্য প্রাপকদের সম্মতির প্রয়োজন না হওয়া এবং ব্যক্তিদের স্প্যামারদের বিরুদ্ধে মামলা করার অনুমতি না দেওয়া।

এটা বিশ্বাস করা হয়েছিল যে, 2004 সাল নাগাদ, 1% এরও কম স্প্যাম আসলে আইন মেনে চলছে।

---

হাঁস.  হ্যাঁ, এটা পশ্চাৎদৃষ্টি দিয়ে বলা সহজ...

…কিন্তু সেই সময়ে আমাদের মধ্যে কেউ কেউ কৌতুক করেছিল বলে আমরা মনে করি তারা এটাকে ক্যান-স্প্যাম বলে কারণ এটিই *ঠিক* আপনি যা করতে পারেন। [হাসি]

---

DOUG.  "আপনি স্প্যাম করতে পারেন!"

---

হাঁস.  আমি মনে করি ধারণাটি ছিল, "আসুন একটি খুব নরম-নরম পদ্ধতির সাথে শুরু করা যাক।"

[WRY TONE] তাই এটা শুরু ছিল, স্বীকার্য, তেমন কিছু নয়।

---

DOUG.  [হাসি] আমরা অবশেষে সেখানে পেতে হবে.

খারাপ এবং খারাপ কথা বলা…

…Microsoft প্যাচ মঙ্গলবার – এখানে দেখার কিছু নেই, যদি না আপনি একটি গণনা করেন স্বাক্ষরিত দূষিত কার্নেল ড্রাইভার?!

স্বাক্ষরিত ড্রাইভার ম্যালওয়্যার সফ্টওয়্যার ট্রাস্ট চেইনকে উপরে নিয়ে যায়

---

হাঁস.  ঠিক আছে, বেশ কয়েকটি আসলে - সোফোস র‌্যাপিড রেসপন্স টিম এই নিদর্শনগুলিকে তারা করেছে এমন ব্যস্ততায় খুঁজে পেয়েছে।

শুধু সোফোস নয় - অন্তত আরও দুটি সাইবারসিকিউরিটি গবেষণা গ্রুপ মাইক্রোসফ্ট দ্বারা তালিকাভুক্ত করা হয়েছে যেগুলি ইদানীং এই জিনিসগুলিতে হোঁচট খেয়েছে: কার্নেল ড্রাইভার যেগুলিকে মাইক্রোসফ্ট দ্বারা কার্যকরভাবে অনুমোদনের একটি ডিজিটাল সিল দেওয়া হয়েছিল৷

মাইক্রোসফ্টের এখন একটি পরামর্শ রয়েছে যা দুর্বৃত্ত অংশীদারদের দোষারোপ করছে।

তারা আসলে এমন একটি কোম্পানি তৈরি করেছে যা হার্ডওয়্যার তৈরির ভান করেছিল, বিশেষ করে ডজি কার্নেল ড্রাইভারদের লুকিয়ে রাখার অভিপ্রায়ে ড্রাইভার প্রোগ্রামে যোগদান করার জন্য?

অথবা তারা এমন একটি কোম্পানিকে ঘুষ দিয়েছে যা তাদের সাথে বল খেলার জন্য ইতিমধ্যে প্রোগ্রামের অংশ ছিল?

অথবা তারা এমন একটি কোম্পানিতে হ্যাক করেছে যা বুঝতে পারেনি যে এটি মাইক্রোসফ্টকে বলার জন্য একটি বাহন হিসাবে ব্যবহার করা হচ্ছে, "আরে, আমাদের এই কার্নেল ড্রাইভার তৈরি করতে হবে - আপনি কি এটি প্রত্যয়িত করবেন?"…

প্রত্যয়িত কার্নেল ড্রাইভারদের সমস্যা, অবশ্যই, কারণ তাদের মাইক্রোসফ্ট দ্বারা স্বাক্ষরিত হতে হবে, এবং যেহেতু ড্রাইভার স্বাক্ষর করা বাধ্যতামূলক, এর মানে হল যে আপনি যদি আপনার কার্নেল ড্রাইভারকে স্বাক্ষর করতে পারেন, তাহলে আপনার হ্যাক বা দুর্বলতার প্রয়োজন নেই বা একটি সাইবার আক্রমণের অংশ হিসাবে একটি লোড করতে সক্ষম হতে শোষণ করে।

আপনি কেবল ড্রাইভারটি ইনস্টল করতে পারেন এবং সিস্টেমটি যাবে, “ওহ আচ্ছা, এটি স্বাক্ষরিত। তাই এটা লোড করা জায়েজ।”

এবং অবশ্যই, আপনি যখন "শুধু" অ্যাডমিনিস্ট্রেটর হন তখন আপনি কার্নেলের ভিতরে থাকাকালীন অনেক বেশি ক্ষতি করতে পারেন।

উল্লেখযোগ্যভাবে, আপনি প্রক্রিয়া পরিচালনার অভ্যন্তরীণ অ্যাক্সেস পান।

একজন প্রশাসক হিসাবে, আপনি এমন একটি প্রোগ্রাম চালাতে পারেন যা বলে, "আমি XYZ প্রোগ্রামকে হত্যা করতে চাই," যেটি হতে পারে, একটি অ্যান্টি-ভাইরাস বা হুমকি-হান্টিং টুল।

এবং সেই প্রোগ্রামটি বন্ধ হওয়া প্রতিরোধ করতে পারে, কারণ, এটিকেও অ্যাডমিন-লেভেল বলে ধরে নেওয়া হয়, কোনও প্রক্রিয়াই অন্যটির উপর একেবারে প্রাধান্য দাবি করতে পারে না।

কিন্তু আপনি যদি অপারেটিং সিস্টেমের ভিতরে থাকেন তবে এটি অপারেটিং সিস্টেম যা শুরু এবং শেষ করার প্রক্রিয়াগুলি নিয়ে কাজ করে, তাই আপনি সুরক্ষা সফ্টওয়্যারের মতো জিনিসগুলিকে হত্যা করার জন্য অনেক বেশি শক্তি পান...

…এবং দৃশ্যত এই বদমাশরা ঠিক তাই করছিল।

"ইতিহাসের পুনরাবৃত্তি"-তে, আমার মনে আছে, কয়েক বছর আগে, যখন আমরা এমন সফ্টওয়্যার তদন্ত করতাম যেগুলি নিরাপত্তা প্রোগ্রামগুলিকে বন্ধ করতে ব্যবহার করত, তাদের কাছে সাধারণত 100 থেকে 200টি প্রক্রিয়ার তালিকা থাকবে যা তারা বন্ধ করতে আগ্রহী ছিল: অপারেটিং সিস্টেম প্রসেস, 20 টি ভিন্ন বিক্রেতাদের থেকে অ্যান্টি-ভাইরাস প্রোগ্রাম, সমস্ত জিনিসপত্র।

এবং এই সময়, আমি মনে করি 186টি প্রোগ্রাম ছিল যা তাদের ড্রাইভার সেখানে ছিল হত্যা করার জন্য।

তাই মাইক্রোসফটের জন্য কিছুটা বিব্রতকর অবস্থা।

সৌভাগ্যবশত, তারা এখন সেই দুর্বৃত্ত কোডারদের তাদের ডেভেলপার প্রোগ্রাম থেকে বের করে দিয়েছে, এবং তারা অন্তত সব পরিচিত ডডি ড্রাইভারকে ব্লকলিস্ট করেছে।

---

DOUG.  তাই যে সব যে ছিল না প্যাচ মঙ্গলবার প্রকাশিত.

কিছু শূন্য-দিন, কিছু RCE বাগ এবং সেই প্রকৃতির অন্যান্য জিনিসও ছিল:

প্যাচ মঙ্গলবার: 0-দিন, RCE বাগ, এবং স্বাক্ষরিত ম্যালওয়্যারের একটি অদ্ভুত গল্প

---

হাঁস.  হ্যাঁ.

সৌভাগ্যবশত এই মাসে ঠিক করা শূন্য-দিনের বাগগুলি RCEs নামে পরিচিত ছিল না, বা দূরবর্তী কোড নির্বাহ গর্ত.

তাই তারা বাইরের আক্রমণকারীদের সরাসরি আপনার নেটওয়ার্কে ঝাঁপিয়ে পড়তে এবং তারা যা চায় তা চালানোর জন্য সরাসরি পথ দেয়নি।

কিন্তু ডাইরেক্টএক্স-এ একটি কার্নেল ড্রাইভার বাগ ছিল যা আপনার কম্পিউটারে আগে থেকেই থাকা কাউকে কার্নেল-স্তরের ক্ষমতার জন্য প্রচার করতে দেয়।

তাই এটি আপনার নিজের স্বাক্ষরিত ড্রাইভার আনার মতো সামান্য - আপনি *জানেন* আপনি এটি লোড করতে পারেন।

এই ক্ষেত্রে, আপনি বিশ্বাসযোগ্য ড্রাইভারের একটি বাগ শোষণ করেন এবং এটি আপনাকে কার্নেলের ভিতরে স্টাফ করতে দেয়।

স্পষ্টতই, এটি এমন একটি জিনিস যা সাইবার আক্রমণ করে যা ইতিমধ্যেই খারাপ খবর, খুব খারাপ কিছুতে পরিণত করে।

তাই আপনি স্পষ্টভাবে যে বিরুদ্ধে প্যাচ করতে চান.

আশ্চর্যজনকভাবে, মনে হচ্ছে যে এটি শুধুমাত্র অতি সাম্প্রতিক বিল্ডে প্রযোজ্য, অর্থাৎ 2022H2 (বছরের দ্বিতীয়ার্ধে উইন্ডোজ 2-এর H11 মানে)।

আপনি অবশ্যই নিশ্চিত করতে চান যে আপনি এটি পেয়েছেন।

এবং উইন্ডোজ স্মার্টস্ক্রিনে একটি কৌতূহলী বাগ ছিল, যা মূলত উইন্ডোজ ফিল্টারিং টুল যা আপনি যখন চেষ্টা করেন এবং ডাউনলোড করেন এমন কিছু যা হতে পারে বা বিপজ্জনক হতে পারে, আপনাকে একটি সতর্কতা দেয়।

সুতরাং, স্পষ্টতই, যদি দুর্বৃত্তরা খুঁজে পায়, "ওহ, না! আমরা এই ম্যালওয়্যার আক্রমণ পেয়েছি, এবং এটি সত্যিই ভাল কাজ করছিল, কিন্তু এখন স্মার্ট স্ক্রিন এটিকে ব্লক করছে, আমরা কী করতে যাচ্ছি?"…

…হয় তারা পালিয়ে যেতে পারে এবং একটি সম্পূর্ণ নতুন আক্রমণ তৈরি করতে পারে, অথবা তারা এমন একটি দুর্বলতা খুঁজে পেতে পারে যা তাদের স্মার্ট স্ক্রীনকে এড়িয়ে যেতে দেয় যাতে সতর্কতা পপ আপ না হয়।

এবং ঠিক তাই ঘটেছে CVE-2022-44698, ডগলাস।

সুতরাং, তারা শূন্য দিন.

আপনি যেমন বলেছেন, মিশ্রণে কিছু রিমোট কোড এক্সিকিউশন বাগ রয়েছে, তবে সেগুলির কোনওটিই বন্যের মধ্যে রয়েছে বলে জানা যায় না।

আপনি যদি তাদের বিরুদ্ধে প্যাচ করেন, তাহলে আপনি কেবল ধরার পরিবর্তে বদমাশদের থেকে এগিয়ে যাবেন।

---

DOUG.  ঠিক আছে, আসুন প্যাচের বিষয়ে থাকি...

…এবং আমি এর প্রথম অংশ পছন্দ করি শিরোনাম.

এটি শুধু বলে, "অ্যাপল সবকিছু প্যাচ করে":

অ্যাপল সবকিছু প্যাচ করে, অবশেষে iOS 16.1.2 এর রহস্য প্রকাশ করে

---

হাঁস.  হ্যাঁ, আমি 70টি অক্ষর বা তার কম অক্ষরে সমস্ত অপারেটিং সিস্টেম তালিকাভুক্ত করার উপায় সম্পর্কে ভাবতে পারিনি। [হাসি]

তাই আমি ভেবেছিলাম, "ঠিক আছে, এটি আক্ষরিকভাবে সবকিছু।"

এবং সমস্যা হল যে শেষবার আমরা একটি অ্যাপল আপডেট সম্পর্কে লিখেছিলাম, এটি ছিল শুধুমাত্র iOS (iPhones), এবং শুধুমাত্র iOS 16.1.2:

অ্যাপল আইওএস সিকিউরিটি আপডেটকে ঠেলে দিয়েছে যা আগের চেয়ে আরও বেশি আঁটসাঁট

সুতরাং, আপনার যদি iOS 15 থাকে তবে আপনি কী করতেন?

আপনি কি ঝুঁকিতে ছিলেন?

আপনি কি পরে আপডেট পেতে যাচ্ছেন?

এইবার, শেষ আপডেটের খবর অবশেষে ধোলাইয়ে বেরিয়ে এল।

দেখা যাচ্ছে, ডগ, আমরা যে iOS 16.1.2 আপডেট পেয়েছি তার কারণ হল একটি ইন-দ্য-ওয়াইল্ড এক্সপ্লয়েট ছিল, যা এখন CVE-2022-42856 নামে পরিচিত, এবং এটি ওয়েব রেন্ডারিং ইঞ্জিন ওয়েবকিটে একটি বাগ ছিল অ্যাপলের অপারেটিং সিস্টেমের ভিতরে।

এবং, স্পষ্টতই, সেই বাগটি শুধুমাত্র আপনাকে কিছু বোবি-ট্র্যাপড বিষয়বস্তু দেখার প্রলোভন দিয়ে ট্রিগার করা যেতে পারে - যা ট্রেডে পরিচিত ড্রাইভ দ্বারা ইনস্টল করুন, যেখানে আপনি শুধু একটি পৃষ্ঠার দিকে নজর দেন এবং "ওহ, প্রিয়", ব্যাকগ্রাউন্ডে ম্যালওয়্যার ইনস্টল হয়ে যায়৷

এখন, দৃশ্যত, যে শোষণ পাওয়া গেছে তা শুধুমাত্র iOS এ কাজ করে।

সম্ভবত সেই কারণেই অ্যাপল অন্য সব প্ল্যাটফর্মের জন্য আপডেটগুলি তাড়াহুড়ো করেনি, যদিও ম্যাকওএস (তিনটি সমর্থিত সংস্করণ), টিভিওএস, আইপ্যাডওএস… এগুলির সবগুলিতেই সেই বাগটি রয়েছে৷

একমাত্র সিস্টেম যা ছিল না, দৃশ্যত, ওয়াচওএস ছিল।

সুতরাং, সেই বাগটি অ্যাপলের সমস্ত সফ্টওয়্যারে ছিল, কিন্তু দৃশ্যত এটি শুধুমাত্র শোষণযোগ্য ছিল, যতদূর তারা জানত, একটি ইন-দ্য-ওয়াইল্ড শোষণের মাধ্যমে, iOS এ।

কিন্তু এখন, অদ্ভুতভাবে, তারা বলছে, "শুধুমাত্র 15.1 এর আগে iOS এ," যা আপনাকে অবাক করে, "কেন তারা সেই ক্ষেত্রে iOS 15 এর জন্য একটি আপডেট দেয়নি?"

আমরা শুধু জানি না!

হয়তো তারা আশা করছিল যে তারা iOS 16.1.2 রাখলে, iOS 15-এর কিছু লোক যেভাবেই হোক আপডেট করবে, এবং এটি তাদের জন্য সমস্যার সমাধান করবে?

অথবা হয়তো তারা এখনও নিশ্চিত ছিল না যে iOS 16 দুর্বল ছিল না, এবং বাগটি করতে পারে তা নির্ধারণ করার জন্য যথেষ্ট পরীক্ষা করার চেয়ে আপডেটটি (যার জন্য তাদের একটি সুনির্দিষ্ট প্রক্রিয়া রয়েছে) করা দ্রুত এবং সহজ ছিল। iOS 16-এ সহজেই ব্যবহার করা যাবে না।

আমরা সম্ভবত কখনই জানতে পারব না, ডগ, তবে এই সমস্ত কিছুর মধ্যে এটি একটি আকর্ষণীয় পিছনের গল্প!

কিন্তু, প্রকৃতপক্ষে, আপনি যেমন বলেছেন, অ্যাপল লোগো সহ একটি পণ্য সহ প্রত্যেকের জন্য একটি আপডেট রয়েছে।

তাই: দেরি করবেন না/আজই করুন।

---

DOUG.  বেন-গুরিওন ইউনিভার্সিটিতে আমাদের বন্ধুদের কাছে যাওয়া যাক... তারা আবার ফিরে এসেছে।

তারা কিছু ওয়্যারলেস স্পাইওয়্যার তৈরি করেছে - একটি নিফটি সামান্য বেতার স্পাইওয়্যার কৌশল:

কোভিড-বিট: একটি দুর্ভাগ্যজনক নাম সহ ওয়্যারলেস স্পাইওয়্যার কৌশল

---

হাঁস.  হ্যাঁ… আমি নাম সম্পর্কে নিশ্চিত নই; আমি জানি না তারা সেখানে কি ভাবছিল।

তারা এটাকে ডেকেছে COVID-bit.

---

DOUG.  একটু অদ্ভুত।

---

হাঁস.  আমি মনে করি আমরা সকলেই কোন না কোন উপায়ে কোভিড দ্বারা কামড় খেয়েছি…

---

DOUG.  হয়তো এটাই?

---

হাঁস.  সার্জারির COV জন্য দাঁড়ানো বোঝানো হয় গুপ্ত, এবং তারা কি বলে না ID-bit জন্য দাঁড়িয়েছে

আমি অনুমান করেছিলাম যে এটি "বিট করে তথ্য প্রকাশ" হতে পারে, কিন্তু তবুও এটি একটি আকর্ষণীয় গল্প।

আমরা এই বিভাগটি যে গবেষণা করে সে সম্পর্কে লিখতে পছন্দ করি কারণ, যদিও আমাদের বেশিরভাগের জন্য এটি কিছুটা অনুমানমূলক…

…তারা দেখছে কিভাবে নেটওয়ার্ক এয়ারগ্যাপ লঙ্ঘন করা যায়, যেখানে আপনি একটি নিরাপদ নেটওয়ার্ক চালান যা আপনি ইচ্ছাকৃতভাবে অন্য সবকিছু থেকে আলাদা রাখেন।

সুতরাং, আমাদের বেশিরভাগের জন্য, এটি একটি বিশাল সমস্যা নয়, অন্তত বাড়িতে।

কিন্তু তারা যা দেখছে তা হল *যদিও আপনি একটি নেটওয়ার্ক থেকে অন্য একটি নেটওয়ার্ককে শারীরিকভাবে বন্ধ করে দেন*, এবং এই দিনগুলিতে গিয়ে সমস্ত ওয়্যারলেস কার্ড, ব্লুটুথ কার্ড, নিয়ার ফিল্ড কমিউনিকেশনস কার্ড, বা তারগুলি কেটে ফেলে এবং ভেঙে ফেলে যে কোনো বেতার সংযোগ কাজ বন্ধ করতে সার্কিট বোর্ডে সার্কিট ট্রেস...

…এখনও কি এমন একটি উপায় আছে যে হয় একজন আক্রমণকারী যে নিরাপদ এলাকায় এককালীন অ্যাক্সেস পায়, অথবা একজন দুর্নীতিগ্রস্ত অভ্যন্তরীণ, ব্যাপকভাবে অনাবিষ্কৃত উপায়ে ডেটা ফাঁস করতে পারে?

এবং দুর্ভাগ্যবশত, এটি দেখা যাচ্ছে যে কম্পিউটার সরঞ্জামগুলির একটি নেটওয়ার্ককে অন্য থেকে সম্পূর্ণভাবে বন্ধ করা আপনার ধারণার চেয়ে অনেক বেশি কঠিন।

নিয়মিত পাঠকরা জানতে পারবেন যে আমরা প্রচুর স্টাফ সম্পর্কে লিখেছি যা এই ছেলেরা আগে নিয়ে এসেছে।

তাদের GAIROSCOPE ছিল, যেখানে আপনি আসলে একটি মোবাইল ফোনের পুনঃপ্রয়োগ করেন কম্পাস চিপ একটি কম বিশ্বস্ত মাইক্রোফোন হিসাবে।

---

DOUG.  [হাসি] আমার মনে আছে যে একটি:

এয়ারগ্যাপ নিরাপত্তা লঙ্ঘন: আপনার ফোনের জাইরোস্কোপকে মাইক্রোফোন হিসেবে ব্যবহার করা

---

হাঁস.  কারণ এই চিপগুলি যথেষ্ট ভালভাবে কম্পন অনুভব করতে পারে।

তাদের ল্যান্টেনা আছে, যেখানে আপনি নিরাপদ এলাকার ভিতরে থাকা একটি তারযুক্ত নেটওয়ার্কে সংকেত রাখেন এবং নেটওয়ার্ক তারগুলি আসলে কাজ করে ক্ষুদ্র রেডিও স্টেশন.

তারা যথেষ্ট ইলেক্ট্রোম্যাগনেটিক রেডিয়েশন লিক করে যে আপনি এটিকে নিরাপদ এলাকার বাইরে নিতে সক্ষম হতে পারেন, তাই তারা একটি তারযুক্ত নেটওয়ার্ক একটি বেতার ট্রান্সমিটার হিসাবে ব্যবহার করছে।

এবং তাদের একটি জিনিস ছিল যে তারা মজা করে ফ্যানমিটার বলে ডাকে, যেখানে আপনি যান, "আচ্ছা, আমরা কি অডিও সিগন্যালিং করতে পারি? স্পষ্টতই, আমরা যদি শুধু স্পিকারের মাধ্যমে সুর বাজাই, যেমন [ডায়ালিং নয়েজ] বীপ-বিপ-বিপ-বিপ-বিপ, এটা বেশ সুস্পষ্ট হবে।”

কিন্তু আমরা যদি CPU লোডের পরিবর্তন করতে পারি, যাতে ফ্যানের গতি বাড়ে এবং কমে যায় - আমরা কি ব্যবহার করতে পারি? ফ্যানের গতি পরিবর্তন প্রায় এক ধরণের সেমাফোর সিগন্যালের মতো?

আপনার কম্পিউটার ফ্যান আপনার উপর গুপ্তচর ব্যবহার করা যেতে পারে?

এবং এই সর্বশেষ আক্রমণে, তারা ভেবেছিল, "আমরা কীভাবে বিশ্বের প্রায় প্রতিটি কম্পিউটারের ভিতরে এমন কিছু ঘুরিয়ে দিতে পারি, যা যথেষ্ট নির্দোষ বলে মনে হয়… আমরা কীভাবে এটিকে খুব, খুব কম শক্তির রেডিও স্টেশনে পরিণত করতে পারি?"

এবং এই ক্ষেত্রে, তারা পাওয়ার সাপ্লাই ব্যবহার করে এটি করতে সক্ষম হয়েছিল।

তারা এটি একটি রাস্পবেরি পাই, একটি ডেল ল্যাপটপে এবং বিভিন্ন ডেস্কটপ পিসিতে করতে সক্ষম হয়েছিল।

তারা কম্পিউটারের নিজস্ব পাওয়ার সাপ্লাই ব্যবহার করছে, যা মূলত একটি ডিসি ভোল্টেজ কাটার জন্য খুব, খুব উচ্চ-ফ্রিকোয়েন্সি ডিসি স্যুইচিং করে, সাধারণত এটি কমানোর জন্য, সেকেন্ডে কয়েক হাজার বা মিলিয়ন বার।

তারা ইলেক্ট্রোম্যাগনেটিক রেডিয়েশন ফাঁস করার একটি উপায় খুঁজে পেয়েছিল - রেডিও তরঙ্গ যা তারা একটি মোবাইল ফোনে 2 মিটার দূর থেকে তুলতে পারে…

…এমনকি যদি সেই মোবাইল ফোনটির সমস্ত বেতার স্টাফ বন্ধ থাকে, বা এমনকি ডিভাইস থেকে সরিয়ে দেওয়া হয়।

তারা যে কৌশলটি নিয়ে এসেছে তা হল: আপনি যে গতিতে এটি স্যুইচ করছে তা পরিবর্তন করুন এবং আপনি সুইচিং ফ্রিকোয়েন্সিতে পরিবর্তনগুলি সনাক্ত করুন৷

কল্পনা করুন, আপনি যদি কম ভোল্টেজ চান (যদি আপনি চান, বলুন, 12V থেকে 4V-এ চপ করুন), বর্গাকার তরঙ্গ এক-তৃতীয়াংশ সময়ের জন্য চালু থাকবে এবং সময়ের দুই-তৃতীয়াংশের জন্য বন্ধ থাকবে।

আপনি যদি 2V চান, তাহলে আপনাকে সেই অনুযায়ী অনুপাত পরিবর্তন করতে হবে।

এবং এটা দেখা যাচ্ছে যে আধুনিক সিপিইউগুলি তাদের ফ্রিকোয়েন্সি এবং তাদের ভোল্টেজ উভয়ই পরিবর্তিত হয় যাতে শক্তি এবং অতিরিক্ত উত্তাপ পরিচালনা করা যায়।

সুতরাং, সিপিইউ-এর এক বা একাধিক কোরের উপর CPU লোড পরিবর্তন করে - তুলনামূলকভাবে কম ফ্রিকোয়েন্সিতে 5000 থেকে 8000 বারের মধ্যে কাজগুলিকে র‌্যাম্পিং করার মাধ্যমে - তারা সুইচড-মোড পেতে সক্ষম হয়েছিল। সেই কম ফ্রিকোয়েন্সিতে *এর সুইচিং মোড* পরিবর্তন করতে পাওয়ার সাপ্লাই।

এবং এটি সার্কিট ট্রেস বা পাওয়ার সাপ্লাইতে যে কোনও তামার তার থেকে খুব কম ফ্রিকোয়েন্সি রেডিও নির্গত করে।

এবং তারা একটি রেডিও অ্যান্টেনা ব্যবহার করে সেই উদ্ভবগুলি সনাক্ত করতে সক্ষম হয়েছিল যা একটি সাধারণ তারের লুপের চেয়ে বেশি পরিশীলিত ছিল না!

সুতরাং, আপনি একটি তারের লুপ দিয়ে কি করবেন?

ঠিক আছে, আপনি ভান করছেন, ডগ, এটি একটি মাইক্রোফোন তার বা একটি হেডফোন তারের।

আপনি এটি একটি 3.5 মিমি অডিও জ্যাকের সাথে সংযুক্ত করেন এবং আপনি এটিকে আপনার মোবাইল ফোনে প্লাগ করেন যেমন এটি একটি হেডফোনের সেট...

---

DOUG.  কি দারুন.

---

হাঁস.  আপনি ওয়্যার লুপ থেকে তৈরি অডিও সিগন্যাল রেকর্ড করেন – কারণ অডিও সিগন্যালটি মূলত খুব কম ফ্রিকোয়েন্সি রেডিও সিগন্যালের একটি ডিজিটাল উপস্থাপনা যা আপনি তুলেছেন।

তারা ল্যাপটপ ব্যবহার করার সময় প্রতি সেকেন্ডে 100 বিট, রাস্পবেরি পাই-এর সাথে প্রতি সেকেন্ডে 200 বিট এবং যে কোনও জায়গায় খুব কম ত্রুটির হার সহ 1000 বিট প্রতি সেকেন্ডের মধ্যে যে কোনও হারে এটি থেকে ডেটা বের করতে সক্ষম হয়েছিল। ডেস্কটপ কম্পিউটার।

আপনি এই ধরণের গতিতে AES কী, RSA কী, এমনকি ছোট ডেটা ফাইলের মতো জিনিস পেতে পারেন।

আমি ভেবেছিলাম এটি একটি আকর্ষণীয় গল্প ছিল।

আপনি যদি একটি সুরক্ষিত এলাকা চালান, আপনি অবশ্যই এই জিনিসগুলির সাথে তাল মিলিয়ে চলতে চান, কারণ পুরানো কথাটি বলে, "আক্রমণগুলি কেবলমাত্র আরও ভাল বা বুদ্ধিমান হয়।"

---

DOUG.  এবং নিম্ন প্রযুক্তি। [হাসি]

সবকিছুই ডিজিটাল, আমরা এই অ্যানালগ লিকেজটি পেয়েছি যা AES কী চুরি করতে ব্যবহার করা হচ্ছে।

এটা আকর্ষণীয়!

---

হাঁস.  শুধু একটি অনুস্মারক যে আপনাকে সুরক্ষিত প্রাচীরের অন্য দিকে কী আছে তা নিয়ে ভাবতে হবে, কারণ "দৃষ্টির বাইরে থাকাটা অবশ্যই মনের বাইরে নয়।"

---

DOUG.  ওয়েল, যে আমাদের মধ্যে চমত্কারভাবে dovetails শেষ গল্প - এমন কিছু যা দৃষ্টির বাইরে, কিন্তু মনের বাইরে নয়:

ক্রেডিট কার্ড স্কিমিং - সাপ্লাই চেইন ব্যর্থতার দীর্ঘ এবং ঘুরপথ

আপনি যদি কখনও একটি ওয়েব পৃষ্ঠা তৈরি করে থাকেন, আপনি জানেন যে আপনি বিশ্লেষণ কোড ড্রপ করতে পারেন - জাভাস্ক্রিপ্টের একটি ছোট লাইন - সেখানে Google অ্যানালিটিক্স বা এটির মতো কোম্পানিগুলির জন্য আপনার পরিসংখ্যানগুলি কীভাবে কাজ করছে তা দেখতে৷

2010-এর দশকের গোড়ার দিকে ককপিট নামে একটি বিনামূল্যের অ্যানালিটিক্স কোম্পানি ছিল, এবং তাই লোকেরা এই ককপিট কোড - জাভাস্ক্রিপ্টের এই ছোট্ট লাইনটি - তাদের ওয়েব পৃষ্ঠাগুলিতে রাখছিল৷

কিন্তু ককপিট 2014 সালে বন্ধ হয়ে যায়, এবং ডোমেইন নামটি বাতিল হয়ে যায়।

এবং তারপর, 2021 সালে, সাইবার অপরাধীরা ভেবেছিল, “কিছু ই-কমার্স সাইট এখনও এই কোডটি চালাতে দিচ্ছে; তারা এখনও এই জাভাস্ক্রিপ্ট কল করছি. কেন আমরা শুধু ডোমেইন নামটি কিনব না এবং তারপরে আমরা এই সাইটগুলিতে যা চাই তা ইনজেকশন করতে পারি যা এখনও জাভাস্ক্রিপ্টের সেই লাইনটি সরিয়ে দেয়নি?"

---

হাঁস.  হ্যাঁ.

কি সম্ভবত ডান যেতে পারে, ডগ?

---

DOUG.  [হাসি] ঠিক!

---

হাঁস.  সাত বছর!

তাদের সমস্ত পরীক্ষার লগে একটি এন্ট্রি থাকত যে, Could not source the file cockpit.js (বা যাই হোক না কেন) from site cockpit.jp, আমার মনে হয় এটা.

সুতরাং, আপনি যেমন বলছেন, যখন বদমাশরা ডোমেনটিকে আবার আলোকিত করে, এবং কী ঘটবে তা দেখার জন্য সেখানে ফাইলগুলি স্থাপন করা শুরু করে…

…তারা লক্ষ্য করেছে যে প্রচুর ই-কমার্স সাইটগুলি কেবল অন্ধভাবে এবং আনন্দের সাথে তাদের গ্রাহকদের ওয়েব ব্রাউজারগুলির মধ্যে ক্রুকদের জাভাস্ক্রিপ্ট কোড ব্যবহার করছে এবং কার্যকর করছে৷

---

DOUG.  "আরে, আমার সাইটটি আর কোনো ত্রুটি নিক্ষেপ করছে না, এটি কাজ করছে।"

---

হাঁস.  [অবিশ্বাস্য] "তারা অবশ্যই এটি ঠিক করেছে"... "স্থির" শব্দের কিছু বিশেষ বোঝার জন্য, ডগ।

অবশ্যই, আপনি যদি কারো ওয়েব পৃষ্ঠায় নির্বিচারে জাভাস্ক্রিপ্ট ইনজেক্ট করতে পারেন, তাহলে আপনি সেই ওয়েব পৃষ্ঠাটিকে আপনার ইচ্ছামত কিছু করতে পারেন।

এবং যদি, বিশেষ করে, আপনি ই-কমার্স সাইটগুলিকে লক্ষ্য করে থাকেন, তাহলে আপনি নির্দিষ্ট পৃষ্ঠাগুলির সন্ধানের জন্য মূলত স্পাইওয়্যার কোড কী তা সেট করতে পারেন যেগুলির উপর নির্দিষ্ট নামযুক্ত ক্ষেত্রগুলির সাথে নির্দিষ্ট ওয়েব ফর্ম রয়েছে…

…যেমন পাসপোর্ট নম্বর, ক্রেডিট কার্ড নম্বর, সিভিভি, যাই হোক না কেন।

এবং আপনি কেবলমাত্র ব্যবহারকারীর প্রবেশ করানো সমস্ত এনক্রিপ্ট করা গোপনীয় ডেটা, ব্যক্তিগত ডেটা চুষতে পারেন৷

এটি এখনও HTTPS এনক্রিপশন প্রক্রিয়ার মধ্যে যায় নি, তাই আপনি এটিকে ব্রাউজার থেকে চুষে ফেলেন, আপনি এটিকে *নিজেকে* এনক্রিপ্ট করে HTTPS-এটি পাঠান এবং এটিকে বদমাশদের দ্বারা পরিচালিত একটি ডাটাবেসে পাঠান।

এবং, অবশ্যই, আপনি অন্য যে কাজটি করতে পারেন তা হল ওয়েব পৃষ্ঠাগুলি আসার সময় আপনি সক্রিয়ভাবে পরিবর্তন করতে পারেন৷

তাই আপনি কাউকে একটি ওয়েবসাইটে প্রলুব্ধ করতে পারেন - যেটি হল *সঠিক* ওয়েবসাইট; এটি এমন একটি ওয়েবসাইট যা তারা আগেও গেছে, যে তারা জানে যে তারা বিশ্বাস করতে পারে (বা তারা মনে করে তারা বিশ্বাস করতে পারে)।

যদি সেই সাইটে একটি ওয়েব ফর্ম থাকে যা সাধারণত তাদের নাম এবং অ্যাকাউন্টের রেফারেন্স নম্বরের জন্য জিজ্ঞাসা করে, ঠিক আছে, আপনি কেবলমাত্র কয়েকটি অতিরিক্ত ক্ষেত্রে আটকে থাকবেন, এবং প্রদত্ত যে ব্যক্তি ইতিমধ্যেই সাইটটিকে বিশ্বাস করে...

… যদি আপনি নাম, আইডি, এবং জন্মতারিখ [যোগ করুন] বলেন?

খুব সম্ভবত তারা তাদের জন্মতারিখ লিখতে যাচ্ছে কারণ তারা মনে করে, "আমি মনে করি এটি তাদের পরিচয় পরীক্ষার অংশ।"

---

DOUG.  এটি পরিহারযোগ্য।

আপনি দ্বারা শুরু করতে পারে আপনার ওয়েব-ভিত্তিক সাপ্লাই চেইন লিঙ্ক পর্যালোচনা করা.

---

হাঁস.  হ্যাঁ.

হয়তো প্রতি সাত বছরে একবার শুরু হবে? [হাসি]

আপনি যদি খুঁজছেন না, তাহলে আপনি সত্যিই সমস্যার অংশ, সমাধানের অংশ নয়।

---

DOUG.  আপনিও পারেন, ওহ, আমি জানি না... আপনার লগ পরীক্ষা করুন?

---

হাঁস.  হ্যাঁ.

তাও আবার প্রতি সাত বছরে একবার শুরু হতে পারে?

পডকাস্টে আমরা আগে যা বলেছি তা আমাকে বলতে দিন, ডগ...

…যদি আপনি লগ সংগ্রহ করতে যাচ্ছেন যা আপনি কখনই দেখেন না, *শুধু সেগুলি সংগ্রহ করতে মোটেও বিরক্ত করবেন না*।

নিজেকে মজা করা বন্ধ করুন, এবং ডেটা সংগ্রহ করবেন না।

কারণ, প্রকৃতপক্ষে, আপনি যদি ডেটা সংগ্রহ করছেন এবং এটির দিকে তাকাচ্ছেন না তবে সবচেয়ে ভাল জিনিস যা ঘটতে পারে তা হল যে ভুল লোকেরা ভুল করে এটি পাবে না।

---

DOUG.  তারপর, অবশ্যই, নিয়মিত পরীক্ষা লেনদেন সঞ্চালন.

---

হাঁস.  আমার কি বলা উচিত, "প্রতি সাত বছরে একবার শুরু হবে"? [হাসি]

---

DOUG.  অবশ্যই, হ্যাঁ... [WRY] এটা যথেষ্ট নিয়মিত হতে পারে, আমার ধারণা।

---

হাঁস.  আপনি যদি একটি ই-কমার্স কোম্পানী হন এবং আপনি আশা করেন যে আপনার ব্যবহারকারীরা আপনার ওয়েবসাইট পরিদর্শন করবে, একটি নির্দিষ্ট চেহারা এবং অনুভূতিতে অভ্যস্ত হবেন এবং এটি বিশ্বাস করবেন...

…তাহলে চেহারা এবং অনুভূতি সঠিক কিনা তা পরীক্ষা করার জন্য আপনি তাদের কাছে ঋণী।

নিয়মিত এবং ঘন ঘন.

যে হিসাবে সহজ.

---

DOUG.  ঠিক আছে খুব ভাল.

এবং শোটি শেষ হতে শুরু করার সাথে সাথে আমাদের এই গল্পটি আমাদের একজন পাঠকের কাছ থেকে শোনা যাক।

ল্যারি মন্তব্য:

আপনার ওয়েব ভিত্তিক সাপ্লাই চেইন লিঙ্কগুলি পর্যালোচনা করবেন?

ইপিক সফ্টওয়্যার তাদের সমস্ত গ্রাহকদের কাছে মেটা ট্র্যাকিং বাগ পাঠানোর আগে এটি করেছিল।

আমি নিশ্চিত যে ডেভেলপারদের একটি নতুন প্রজন্ম আছে যারা মনে করে যে উন্নয়ন হল ইন্টারনেটে যেকোনও জায়গায় কোডের টুকরো খুঁজে বের করা এবং তাদের কাজের পণ্যে তাদের সমালোচনামূলকভাবে আটকানো।

---

হাঁস.  যদি আমরা এরকম কোড ডেভেলপ না করতাম...

…আপনি যেখানে যান, “আমি জানি, আমি এই লাইব্রেরিটি ব্যবহার করব; আমি খুঁজে পেয়েছি এই চমত্কার GitHub পৃষ্ঠা থেকে এটি ডাউনলোড করব।

ওহ, এটা অন্য স্টাফ একটি সম্পূর্ণ লোড প্রয়োজন!?

ওহ, দেখুন, এটি স্বয়ংক্রিয়ভাবে প্রয়োজনীয়তাগুলি পূরণ করতে পারে… আচ্ছা, আসুন তাহলে তা করা যাক!”

দুর্ভাগ্যবশত, আপনাকে *আপনার সাপ্লাই চেইনের মালিক হতে হবে*, এবং এর অর্থ হল এতে যা কিছু যায় তা বোঝা।

আপনি যদি সফ্টওয়্যার বিল অফ ম্যাটেরিয়ালস [SBoM], রোডওয়ে নিয়ে চিন্তা করেন, যেখানে আপনি মনে করেন, "হ্যাঁ, আমি যা ব্যবহার করি তার সব কিছুর তালিকা করব", তাহলে আপনি যে জিনিসগুলি ব্যবহার করেন তার প্রথম স্তরের তালিকা করাই যথেষ্ট নয়।

এছাড়াও আপনাকে জানতে হবে, এবং নথিভুক্ত করতে সক্ষম হতে হবে, এবং আপনি বিশ্বাস করতে পারেন তা জানতে হবে, সেই সমস্ত জিনিস যা এই জিনিসগুলির উপর নির্ভর করে, এবং আরও অনেক কিছু:

ছোট fleas কম fleas আছে তাদের কামড় তাদের পিঠে এবং কম fleas কম fleas এবং তাই বিজ্ঞাপন অসীম.

*এভাবেই* আপনাকে আপনার সাপ্লাই চেইনকে তাড়া করতে হবে!

---

DOUG.  ভাল বলেছ!

ঠিক আছে, আপনাকে অনেক ধন্যবাদ, ল্যারি, সেই মন্তব্যে পাঠানোর জন্য।

যদি আপনার কাছে একটি আকর্ষণীয় গল্প, মন্তব্য বা প্রশ্ন থাকে যা আপনি জমা দিতে চান, আমরা পডকাস্টে এটি পড়তে চাই।

আপনি tips@sophos.com-এ ইমেল করতে পারেন, আপনি আমাদের যেকোনো একটি নিবন্ধে মন্তব্য করতে পারেন, অথবা আপনি আমাদের সামাজিক যোগাযোগ করতে পারেন: @NakedSecurity.

এটাই আমাদের আজকের অনুষ্ঠান; শোনার জন্য অনেক ধন্যবাদ

পল ডকলিনের জন্য, আমি ডগ আমথ, আপনাকে মনে করিয়ে দিচ্ছি, পরের বার পর্যন্ত,...

---

উভয়।  নিরাপদ থাকুন!

[মিউজিক্যাল মডেম]