S3 Ep104: क्या अस्पताल रैंसमवेयर हमलावरों को जीवन भर के लिए बंद कर देना चाहिए? [ऑडियो + टेक्स्ट]

किसी भी बिंदु पर जाने के लिए नीचे ध्वनि तरंगों पर क्लिक करें और खींचें। आप भी कर सकते हैं सीधे सुनो साउंडक्लाउड पर।

डौग  कानूनी परेशानियाँ लाजिमी हैं, एक रहस्यमयी iPhone अपडेट और Ada Lovelace।

नग्न सुरक्षा पॉडकास्ट पर वह सब और बहुत कुछ।

[संगीत मोडेम]

पॉडकास्ट में आपका स्वागत है, सब लोग।

मैं डौग आमोत हूँ; वह पॉल डकलिन है।

पॉल, आज आप कैसे हैं, सर?

---

बत्तख।  मैं बहुत अच्छा हूँ, डौग ...

...कुछ माइक्रोफ़ोन समस्याओं को छोड़कर, क्योंकि मैं सड़क पर थोड़ा सा रहा हूँ।

इसलिए यदि इस सप्ताह ध्वनि की गुणवत्ता सही नहीं है, तो ऐसा इसलिए है क्योंकि मुझे वैकल्पिक रिकॉर्डिंग उपकरण का उपयोग करना पड़ा है।

---

डौग  खैर, यह हमें विशेषज्ञ रूप से हमारे में ले जाता है टेक इतिहास अपूर्णता के बारे में खंड।

---

बत्तख।  [विडंबना] ओह्ह्ह्ह, धन्यवाद, डौग। [हंसते हैं]

---

डौग  11 अक्टूबर 1958 को, नासा ने अपनी पहली अंतरिक्ष जांच, पायनियर वन लॉन्च की।

यह चंद्रमा की परिक्रमा करने के लिए था, लेकिन मार्गदर्शन त्रुटि के कारण चंद्र कक्षा तक पहुंचने में विफल रहा, पृथ्वी पर वापस गिर गया, और पुन: प्रवेश पर जल गया।

हालांकि इसने अपनी 43 घंटे की उड़ान के दौरान अभी भी मूल्यवान डेटा एकत्र किया है।

---

बत्तख।  हां, मेरा मानना ​​है कि यह पृथ्वी से 113,000, 400,000 किमी ऊपर है ... और चंद्रमा XNUMX, XNUMX किलोमीटर दूर शर्मीला है।

मेरी समझ यह है कि यह लक्ष्य से थोड़ा दूर चला गया और फिर उन्होंने सही करने की कोशिश की, लेकिन उनके पास नियंत्रण की ग्रैन्युलैरिटी नहीं थी जो वे इन दिनों करते हैं, जहां आप रॉकेट मोटर को एक छोटे से फटने के लिए चलाते हैं।

इसलिए उन्होंने सुधार किया, लेकिन वे केवल इतना ही सुधार कर सके ... और अंत में उन्हें लगा, "हम इसे चंद्रमा पर नहीं बनाने जा रहे हैं, लेकिन हो सकता है कि हम इसे उच्च पृथ्वी की कक्षा में ले जा सकें ताकि यह घूमता रहे पृथ्वी और हम वैज्ञानिक माप प्राप्त करते रह सकते हैं?"

लेकिन अंत में यह सवाल था, "क्या ऊपर जाता है ... [हंसते हुए] नीचे आना चाहिए।"

---

डौग  बिल्कुल। [हंसते हैं]

---

बत्तख।  और, जैसा कि आप कहते हैं, यह बाहरी अंतरिक्ष में एक बहुत, बहुत, बहुत शक्तिशाली गोली के रास्ते को शूट करने जैसा था, जो कि कर्मन लाइन के ठीक ऊपर है, जो कि केवल 100 किमी है, लेकिन इस तरह की दिशा में कि यह वास्तव में प्रभाव से बच नहीं पाया। पूरी तरह से पृथ्वी।

---

डौग  पहली कोशिश के लिए बहुत अच्छा है, यद्यपि?

मेरा मतलब है, बुरा नहीं... वह 1958 है, आप क्या उम्मीद करते हैं?

मेरा मतलब है, उन्होंने अपना सर्वश्रेष्ठ प्रदर्शन किया, और चंद्रमा के रास्ते का एक तिहाई हिस्सा प्राप्त किया।

ठीक है, लोगों द्वारा अपना सर्वश्रेष्ठ नहीं करने और दुर्घटनाग्रस्त होने की बात करते हुए, हमें यहां कानूनी कहानियों का एक प्रकार का बिजली का दौर मिला है ...

... हमारे मित्र सेबेस्टियन वाचोन-डेसजार्डिन्स से शुरू करते हुए, जिनके बारे में हमने पहले बात की है।

वह अंदर है गर्म पानी फ्लोरिडा में और शायद उससे आगे:

---

बत्तख।  हां, हमने उसके बारे में पॉडकास्ट पर बात की है, मुझे लगता है, एक दो बार।

वह नेटवॉकर रैंसमवेयर-ए-ए-सर्विस क्रू का एक कुख्यात व्यस्त सहयोगी था।

दूसरे शब्दों में, उसने रैंसमवेयर नहीं लिखा था... वह हमलावरों में से एक था, इसके तोड़ने वालों और इसे लागू करने वालों में से एक था।

जहां तक ​​मुझे पता है, वह रैंसमवेयर के लिए काफी उत्सुक था: वह इनमें से कई गिरोहों में शामिल हो गया, जैसे वह था; कई क्लबों के लिए साइन अप किया।

जाहिर है, उसने नेटवॉकर गिरोह की कुल कमाई का एक तिहाई हिस्सा कमाया होगा, इसलिए वह बहुत जोरदार था।

तो हम उन लाखों डॉलर के बारे में बात कर रहे हैं जो उसने अपने लिए बनाए, और निश्चित रूप से, उसमें से 30% मूल लोगों को जा रहा था।

उन्हें कनाडा में गिरफ्तार किया गया था, उन्हें जेल भेज दिया गया था ...

... और फिर उन्हें विशेष रूप से कनाडा की जेल से रिहा कर दिया गया।

इसलिए नहीं कि उन्होंने उसके लिए खेद महसूस किया: उन्होंने उसे जेल से रिहा कर दिया ताकि उसे अमेरिका प्रत्यर्पित किया जा सके, जहां उसने दोषी होने का फैसला किया, और उसे 20 साल मिले।

जाहिरा तौर पर जब वह संघीय जेल में उन 20 वर्षों को पूरा करेगा, तो उसे कनाडा भेज दिया जाएगा और वह कनाडा में अपने सात साल पूरे करने के लिए सीधे वापस जाएगा।

और अगर मुझे ठीक से याद है, तो उस मामले के जज ने यह नोट किया कि यह रैंसमवेयर गिरोह है, जो अन्य बातों के अलावा, स्वास्थ्य देखभाल संस्थानों, अस्पतालों पर हमला करने के लिए कुख्यात है; जो लोग वास्तव में, वास्तव में भुगतान करने का जोखिम नहीं उठा सकते हैं, और जहां वास्तव में व्यवधान वास्तव में लोगों के जीवन को सीधे प्रभावित करता है ...

... न्यायाधीश ने स्पष्ट रूप से इस आशय के शब्द कहे, "यदि आपने वास्तव में दोष स्वीकार करने का निर्णय नहीं किया होता, तो अपराध के लिए अपना हाथ ऊपर उठाते, मैं आपको आजीवन कारावास की सजा देता।"

---

डौग  हाँ, वह जंगली है!

ठीक है, यह भी कम है: पूर्व उबेर सीएसओ जो सुलिवन… इस कहानी जंगली भी है!

वे एक उल्लंघन का जवाब दे रहे हैं जो नियामकों के साथ हुआ है, और जब वे उस उल्लंघन का जवाब दे रहे हैं, तो *एक और उल्लंघन होता है और इसमें कवरअप होते हैं:

---

बत्तख।  हां, साइबर सुरक्षा समुदाय के अधिकांश लोगों द्वारा यह एक जोरदार देखी गई कहानी थी …

क्योंकि उबेर ने सभी प्रकार के दंड का भुगतान किया है, और जाहिर तौर पर वे सहयोग करने के लिए सहमत हुए हैं, लेकिन यह कंपनी पर आरोप नहीं लगाया जा रहा था।

यह वह व्यक्ति था जिसे सुरक्षा का प्रभारी माना जाता था - वह पहले फेसबुक पर था, और फिर उबेर को लुभाया गया था।

जहां तक ​​जूरी का संबंध था, इस मामले में बदमाशों को इतना भुगतान नहीं मिला, बल्कि यह है कि उन्हें यह दिखावा करने के लिए भुगतान किया गया कि डेटा उल्लंघन एक बग बाउंटी था; कि उन्होंने वास्तव में डेटा चुराने और फिर इसे उगाही करने के बजाय जिम्मेदारी से इसका खुलासा किया।

और, निश्चित रूप से, इसका दूसरा भाग है, मुझे विश्वास है ... मुझे यकीन नहीं है कि आप इस शब्द को कैसे कहते हैं, क्योंकि आप इसे यूके में नहीं सुनते हैं, लेकिन यह "गलतफहमी" है ... मुझे लगता है कि आप इसे कैसे कहते हैं .

इसका मूल रूप से अर्थ है "अपराध को कवर करना"।

और, ज़ाहिर है, यह इस तथ्य से संबंधित है कि, जैसा कि आप कहते हैं, वे एक जांच के बीच में हैं, उनकी FTC द्वारा समीक्षा की जा रही है ... आप उन्हें समझाने वाले हैं। "हां, हमने पिछली बार से पूरी सावधानी बरती है।"

और अपने मामले की पैरवी करने और जाने की कोशिश के बीच में, "नहीं, नहीं, हम उससे बहुत बेहतर हैं जो हम थे" ...

...ओह, प्रिय, तुम सिर्फ कुछ रिकॉर्ड नहीं खोते, वह क्या था?

उन लोगों से संबंधित 50 मिलियन से अधिक रिकॉर्ड, जिन्होंने Ubers, ग्राहकों को लिया था।

सात मिलियन ड्राइवर, और जिसमें 600,000 ड्राइवरों के लिए ड्राइविंग लाइसेंस नंबर और 60,000 के लिए एसएसएन (सामाजिक सुरक्षा नंबर) शामिल थे।

तो यह काफी गंभीर है!

और फिर बस जाने की कोशिश कर रहा है, "ठीक है, [खांसी का अर्थपूर्ण रूप से] इसे बनाते हैं ताकि हमें किसी को बताने की ज़रूरत न पड़े, और फिर चलो और बदमाशों से गैर-प्रकटीकरण समझौतों पर हस्ताक्षर करें।" [हंसते हैं]

Speaker1
[हंसते हैं] हे भगवान!

---

बत्तख।  [हंसते हुए] मजाकिया नहीं, डौग!

---

डौग  बहुत अच्छा है.

और थोड़ा और कट और सुखाया …

यदि आप एक ऐसा ऐप बनाते हैं जो व्हाट्सएप से कनेक्ट होने का दावा करता है, और आप यूजर क्रेडेंशियल्स एकत्र करते हैं, तो व्हाट्सएप तुम्हारे पीछे आओ!

---

बत्तख।  जी हां, यह मामला व्हाट्सएप और मेटा का है।

उन दोनों को कहना थोड़ा अजीब लगता है, लेकिन मुझे लगता है कि दोनों कानूनी संस्थाओं (व्हाट्सएप मेटा के स्वामित्व में है) ने फैसला किया है, "ठीक है, अगर आप उन्हें हरा नहीं सकते हैं, तो उन पर मुकदमा करें!"

तो यह क्रेडेंशियल चोरी है, ताकि खातों का उपयोग मूल रूप से नकली संदेश भेजने के लिए किया जा सके।

स्पैम, मूल रूप से, लेकिन शायद घोटालों का भार भी है, है ना?

अगर आपको मेरा पासवर्ड मिल गया है, तो आप मेरे सभी दोस्तों से संपर्क कर सकते हैं और कह सकते हैं, "अरे, मैंने इस क्रिप्टोकॉइन घोटाले से बहुत पैसा कमाया है," और क्योंकि यह *मैं* इंटरनेट से बाहर किसी यादृच्छिक व्यक्ति के बजाय इसे कह रहा है, आप अधिक विश्वास करने के लिए इच्छुक हो सकता है।

तो व्हाट्सएप ने सोचा, "ठीक है, हम आप पर मुकदमा करने जा रहे हैं, और कोशिश करें और अपनी कंपनियों को इस तरह बंद कर दें। और यह मूल रूप से हमें इन सभी ऐप्स को हटाने के लिए मजबूर करने के लिए एक वाहन देगा, चाहे वे कहीं भी दिखाई दें।"

दुर्भाग्य से, बदमाशों ने उन्हें Google Play में घुसने के लिए पर्याप्त विश्वासघात किया था।

तो आरोप है कि वे "खाता अधिग्रहण हमले के हिस्से के रूप में 1 मिलियन से अधिक व्हाट्सएप उपयोगकर्ताओं को अपने खातों से आत्म-समझौता करने के लिए गुमराह किया।"

और आत्म-समझौता करके, इसका मतलब है कि उन्होंने उपयोगकर्ताओं को केवल एक नकली लॉगिन पृष्ठ के साथ प्रस्तुत किया और मूल रूप से उनके क्रेडेंशियल्स को प्रॉक्सी किया।

संभवत: उन्होंने उन्हें रखा और बाद में उनके साथ दुर्व्यवहार किया ...

---

डौग  ठीक है, हम उस पर नज़र रखेंगे।

अब, कृपया हमें बताएं, 19वीं शताब्दी के पूर्वार्ध में रहने वाली एक काउंटेस का कंप्यूटिंग और कंप्यूटर विज्ञान से क्या लेना-देना है?

---

बत्तख।  वह एडा लवलेस होगी।

या, अधिक औपचारिक रूप से, एडा, काउंटेस ऑफ़ लवलेस…उसने एक लड़के से शादी की जिसे लॉर्ड लवलेस कहा जाता था, इसलिए वह लेडी लवलेस बन गई:

वह कुलीन वर्ग की थी, और उन दिनों, महिलाएं आमतौर पर विज्ञान में नहीं जाती थीं।

लेकिन उसने किया: वह गणित में उत्सुक थी।

और वह, एक किशोरी के रूप में, एक किशोरी के रूप में, मुझे लगता है, चार्ल्स बैबेज के साथ मिलीं, जो डिफरेंस इंजन का आविष्कार करने के लिए प्रसिद्ध हैं, जो ट्रिगर टेबल जैसी चीजों की गणना कर सकता है।

इसलिए यूके सरकार को दिलचस्पी थी क्योंकि जहां आप त्रिकोणमिति कर सकते हैं, आप आर्टिलरी टेबल कर सकते हैं, और इसका मतलब है कि आप अपने गनर्स को जमीन और समुद्र पर अधिक सटीक बना सकते हैं।

लेकिन तब बैबेज ने सोचा, "यह सिर्फ एक पॉकेट कैलकुलेटर है (आधुनिक शब्दावली में)। मैं एक सामान्य-उद्देश्य वाला कंप्यूटर क्यों नहीं बना सकता?"

और उन्होंने एनालिटिकल इंजन नाम की एक चीज डिजाइन की।

और यही एडा लवलेस की वास्तव में दिलचस्पी थी।

वास्तव में, मेरा मानना ​​​​है कि उसने एक समय पर बैबेज के वीसी बनने की पेशकश की, उनके उद्यम पूंजीपति: "मैं पैसे लाऊंगा, लेकिन आपको इसका व्यवसायिक भाग मेरे ऊपर छोड़ना होगा। मुझे आपके लिए व्यवसाय बनाने दो!

---

डौग  यह वाकई अद्भुत है।

जो भी इसे सुन रहा है...

... जैसा कि आप यह कहानी सुन रहे हैं, मैं चाहता हूं कि आप यह ध्यान रखें कि उसकी मृत्यु 36 वर्ष की आयु में हुई थी।

वह यह सब अपने 20 और 30 के दशक की शुरुआत में कर रही है।

अचंभित करने वाली वस्तुएं!

---

बत्तख।  वह गर्भाशय के कैंसर से मर गई, इसलिए वह वास्तव में दर्द में थी और अंत में काम करने में असमर्थ थी।

और वह इसके पीछे केवल व्यवसायी नहीं बनना चाहती थी, "अरे, मुझे एक व्यवसाय बनाने दो।"

बैबेज, मुझे लगता है, अंदर नहीं आने के लिए प्रतिष्ठान के प्रति थोड़ी कड़वाहट थी; वह इसे और अधिक पारंपरिक तरीके से करना चाहता था, "नहीं, मैं साबित करना चाहता हूं कि मैं सही तरह का हूं", जाने के बजाय, "हां, बस जाओ और मुझे पैसे ढूंढो," जो कि आज का तरीका हो सकता है।

तो उसने जिस व्यावसायिक पक्ष का प्रस्ताव रखा वह कभी नहीं आया।

लेकिन वह अनिवार्य रूप से दुनिया की पहली कंप्यूटर प्रोग्रामर भी थीं ... निश्चित रूप से वह पहली प्रकाशित कंप्यूटर प्रोग्रामर थीं।

आप कल्पना कर सकते हैं कि बैबेज अपने एनालिटिकल इंजन के साथ छेड़छाड़ कर रहा है ... शायद वह कुछ प्रोग्राम लेकर आया था, लेकिन उसने उन्हें कभी महसूस नहीं किया।

और निश्चित रूप से उसने कभी प्रकाशित नहीं किया, जैसे उसने किया, यह विश्लेषणात्मक इंजन क्यों महत्वपूर्ण था, और तथ्य यह है कि यह वास्तव में केवल संख्यात्मक गणनाओं से कहीं अधिक कर सकता है।

उनका यह दृष्टिकोण था कि कैलकुलेटर संख्याओं को एक साथ जोड़ते हैं, लेकिन यदि आप संख्यात्मक गणना कर सकते हैं और उनके आधार पर निर्णय लेते हैं (जिसे अब हम IF…THEN…ELSE कह सकते हैं), तो आप वास्तव में सभी प्रकार के अन्य का प्रतिनिधित्व और काम कर सकते हैं। सामान, जैसे तार्किक प्रस्ताव, सबूत तैयार करना, या यहां तक ​​कि संगीत के साथ काम करना, यदि आपके पास संगीत का प्रतिनिधित्व करने का कोई गणितीय या संख्यात्मक तरीका था।

अब, मुझे नहीं पता कि डिजिटल संगीत कभी आगे बढ़ेगा, डौग, लेकिन अगर ऐसा होता है ...

---

डौग  [हंसते हैं] हमारे पास शुक्रिया अदा करने के लिए एडा लवलेस है!

---

बत्तख।  वह 1840 में वहाँ थी, इस बारे में सोच रही थी और लिख रही थी!

वह मानो या न मानो, प्रसिद्ध (या कुख्यात) कवि लॉर्ड बायरन की बेटी थी।

जाहिरा तौर पर उसकी माँ और पिता के रास्ते अलग हो गए, इसलिए मुझे विश्वास नहीं होता कि वह उससे कभी मिली थी - वह उसके लिए "अज्ञात बेटी" थी।

अब, बायरन प्रसिद्ध रूप से एक बार स्विटज़रलैंड में छुट्टी पर थे, जहाँ बारिश ने उन्हें और उनके दोस्तों को घर के अंदर छुट्टियां मनाने के लिए रखा था।

और वे दोस्त थे पर्सी और मैरी शेली।

और बायरन ने कहा, "अरे, चलो एक डरावनी कहानी लेखन प्रतियोगिता है!" [हँसी]

और जो कुछ उसने किया, और जो पर्सी शेली ने किया, वह कुछ भी नहीं हुआ; उन्होंने क्या लिखा, यह किसी को याद नहीं है।

लेकिन मैरी शेली ... जाहिर तौर पर वह यहीं से आई थी फ्रेंकस्टीन…

---

डौग  वाह!

---

बत्तख।  ... या आधुनिक प्रोमेथियस, जो अनिवार्य रूप से कृत्रिम बुद्धि और मानव निर्मित विचार मशीनों के बारे में है, यदि आप चाहें, और यह कैसे बुरी तरह समाप्त होता है।

और एडा, बायरन की बेटी, वास्तव में "क्या मशीनें सोच सकती हैं?" के बारे में वैज्ञानिक तरीके से लिखने वाली पहली व्यक्ति थीं। नोट्स में जो उसने एनालिटिकल इंजन पर लिखा था।

उसने वही डरावनी कहानी साझा की *नहीं* जो उसके पिता के दोस्त थे।

जिस तरह से उसने इसे लिखा था (उन दिनों वैज्ञानिक आमतौर पर अधिक साहित्यिक झुकाव रखते थे):

विश्लेषणात्मक इंजन में कुछ भी उत्पन्न करने का कोई ढोंग नहीं है। यह वह सब कुछ कर सकता है जो हम जानते हैं कि इसे प्रदर्शन करने के लिए कैसे आदेश देना है। यह विश्लेषण का अनुसरण कर सकता है, लेकिन इसमें किसी भी विश्लेषणात्मक संबंध या सत्य का अनुमान लगाने की शक्ति नहीं है।

इसलिए उन्होंने कंप्यूटिंग उपकरणों, सामान्य प्रयोजन के कंप्यूटिंग उपकरणों को उन चीजों को समझने और उन पर काम करने में मदद करने के तरीके के रूप में देखा, जिन्हें करना नियमित मानव दिमाग के लिए असंभव होगा।

लेकिन मुझे नहीं लगता कि उसने सोचा था कि वे मानव मन के लिए एक प्रतिस्थापन हो सकते हैं।

---

डौग  और फिर से, ध्यान रखें कि वह इसे 1842 में लिख रही है...

---

बत्तख।  ठीक ठीक!

वास्तविक जीवन में हैक करना एक बात है; यह काल्पनिक कंप्यूटरों पर हैक करने के लिए एक और है जिसे आप जानते हैं *मौजूद हो सकते हैं, लेकिन किसी ने अभी तक इसे नहीं बनाया है।

---

डौग  [हंसते हुए] बिल्कुल सही।

---

बत्तख।  समस्या यह थी, क्योंकि ये कंप्यूटर यांत्रिक थे और यांत्रिक गियर की आवश्यकता थी, उन्हें निर्माण में पूर्ण पूर्णता की आवश्यकता थी।

या बस यह संचयी त्रुटि होगी जो उन्हें बैकलैश के कारण लॉक कर देगी, तथ्य यह है कि गियर पूरी तरह से जाल नहीं करते हैं।

और मुझे लगता है, जैसा कि हमने पहले पॉडकास्ट में कहा है, विडंबना यह है कि इसने डिजिटल कंप्यूटरों का डिज़ाइन लिया, जो अनिवार्य रूप से विश्लेषणात्मक इंजन के विस्तार हैं, जो कम्प्यूटरीकृत धातु काटने की मशीनों को पर्याप्त सटीकता के साथ नियंत्रित कर सकते हैं ...

...इससे पहले कि हम एक अंतर इंजन या एक विश्लेषणात्मक इंजन बना पाते जो वास्तव में काम करता था।

और अगर वह एक आकर्षक गोलाकार कहानी नहीं है, तो मुझे नहीं पता कि क्या है!

तो एडा लवलेस इसके बीच में थी: धर्मांतरणकर्ता; इंजीलवादी; वैज्ञानिक; गणितज्ञ; संगणक वैज्ञानिक; और एक नवोदित उद्यम पूंजीपति के रूप में, बैबेज से यह कहते हुए, “अपने सभी व्यावसायिक हितों को छोड़ दें; उन्हें मेरे हवाले कर दो। मैं आपको पैसे खोजने के लिए सही मंडलियों में जाता हूं - मुझे निवेश मिलेगा! आइए देखें कि हम इसके साथ क्या कर सकते हैं!"

और, बेहतर या बदतर के लिए, बैबेज उस पर झल्ला गया और जाहिर तौर पर गरीबी में मर गया, बल्कि एक टूटा हुआ आदमी।

किसी को आश्चर्य होता है कि अगर उसने ऐसा किया होता तो क्या होता...

---

डौग  यह एक आकर्षक कहानी है।

मैं आपसे इसे पढ़ने के लिए नग्न सुरक्षा पर जाने का आग्रह करता हूं।

इसे कहते हैं आगे बढ़ें, पैच मंगलवार - यह एडा लवलेस दिवस है.

बहुत अच्छा पढ़ा, बहुत दिलचस्प!

और अब चलिए इसे खत्म करते हैं रहस्यमय iPhone अद्यतन, जो एक तथाकथित "वन-बग फिक्स" है।

ये आम नहीं हैं:

---

बत्तख।  नहीं, ज्यादातर जब आप अपने Apple अपडेट प्राप्त करते हैं (क्योंकि आप नहीं जानते कि वे कब आ रहे हैं - कोई पैच मंगलवार नहीं है जहाँ आप भविष्यवाणी कर सकते हैं), वे बस आते हैं ...

…सामान की यह विशाल सूची है जिसे उन्होंने पिछले एक के बाद से तय किया है।

और कभी-कभी शून्य-दिन, बड़े पैमाने पर आपातकाल होता है, और आपको एक Apple अपडेट मिलता है जो कहता है, "ओह, ठीक है, हम एक या शायद दो चीजें ठीक कर रहे हैं।"

और यह एक अचानक ही आ गया, केवल iOS 16 के लिए।

मैं बिस्तर पर जाने वाला था, डौग ... काफी देर हो चुकी थी, और मैंने सोचा, मैं बस अपना ईमेल देखूंगा, देखें कि क्या डौग ने मुझे कुछ भेजा है। [हँसी]

और Apple की ओर से यह बात थी: iOS 16.0.3।

और मैंने सोचा, “अचानक! मुझे आश्चर्य है कि क्या गलत हुआ? शून्य दिन होना चाहिए।"

इसलिए मैं सुरक्षा बुलेटिन में गया... यह कोई शून्य दिवस नहीं है; यह केवल एक डिनायल-ऑफ-सर्विस (DoS) हमला है; वास्तविक रिमोट कोड निष्पादन नहीं।

मेल ऐप को क्रैश किया जा सकता है।

और फिर भी Apple ने अचानक इस अपडेट को बाहर कर दिया और यह सिर्फ इतना कहता है:

प्रभाव: दुर्भावनापूर्ण रूप से तैयार किए गए मेल संदेश को संसाधित करने से सेवा से इनकार किया जा सकता है। बेहतर इनपुट सत्यापन के साथ एक इनपुट सत्यापन समस्या का समाधान किया गया था।

वहाँ सत्यापन शब्द का अजीब दोहरा प्रयोग…

CVE-2022-22658।

और बस इतना ही हम जानते हैं।

और यह नहीं कहता है, "ओह, यह इस तरह के एक बग शिकार समूह द्वारा रिपोर्ट किया गया था", या, "एक अज्ञात शोधकर्ता के लिए धन्यवाद", इसलिए मुझे लगता है कि उन्होंने इसे स्वयं पाया।

और मैं केवल यह अनुमान लगा सकता हूं कि उन्हें लगा कि उन्हें इसे वास्तव में जल्दी ठीक करने की आवश्यकता है क्योंकि यह गलती से आपको आपके फोन से बाहर कर सकता है, या इसे लगभग अनुपयोगी बना सकता है।

क्योंकि जब वे मैसेजिंग ऐप्स में होते हैं, तो सेवा से इनकार करने वाली बग के साथ यही समस्या होती है, है ना?

आप सेवा से इनकार करने के बारे में सोचते हैं ... ऐप क्रैश हो जाता है; वू हू, आप इसे फिर से शुरू करें।

लेकिन मैसेजिंग ऐप के साथ समस्या यह है कि: [ए] यह बैकग्राउंड में चलता है, इसलिए यह किसी भी समय एक संदेश प्राप्त कर सकता है; [बी] आपको यह चुनने की ज़रूरत नहीं है कि आपको कौन संदेश भेजता है, अन्य लोग करते हैं; और [सी] यह हो सकता है कि दुष्ट संदेश को हटाने के लिए ऐप में आने के लिए, आपको ऐप लोड होने की प्रतीक्षा करनी होगी, और यह तय करता है। "ओह। मुझे आपको यह संदेश दिखाने की ज़रूरत है कि आप डेल करना चाहते हैं…”, क्रैश!

जिसे मैं a . कहता हूँ CRASH: GOTO CRASHत्रुटि।

दूसरे शब्दों में, शायद आप इसे ठीक नहीं कर सकते, क्योंकि जब आप अपना फ़ोन बूट कर रहे होते हैं, या यदि आप अपने फ़ोन को पुनरारंभ करते हैं, तब तक आप इस बिंदु पर पहुँच जाते हैं कि आप कूद सकते हैं और संदेश पर डिलीट हिट कर सकते हैं…

...ऐप पहले ही फिर से क्रैश हो चुका है; बहुत देर हो गई!

हम जानते हैं कि पहले आईओएस में तथाकथित "मौत का पाठ" समस्याएं रही हैं।

एक हम मिल गया है उनकी सूची नग्न सुरक्षा लेख में - उन्होंने काफी आकर्षक कहानियाँ बनाई हैं।

तो हम नहीं जानते कि यह एक छवि थी, जिस तरह से ग्लिफ़ (चरित्र चित्र) बनते हैं, चरित्र संयोजन, पाठ दिशा ... हम नहीं जानते।

यह निश्चित रूप से पैच प्राप्त करने के लायक है, क्योंकि मेरी आंत की भावना यह है कि अगर ऐप्पल को लगता है कि इसे सुरक्षा बुलेटिन में रखना काफी महत्वपूर्ण है, जिसमें वह एक-एक-एक फिक्स है, जब यह शून्य दिन नहीं है, और यह रिमोट कोड नहीं है निष्पादन, और यह विशेषाधिकार का उन्नयन नहीं है ...

...तो वे शायद चिंतित हैं कि अगर किसी और को इसके बारे में पता चल गया तो क्या होगा!

तो शायद आपको भी होना चाहिए।

यह भी, डौग, एक शानदार अनुस्मारक है कि हालांकि लोग शीर्ष पर रिमोट कोड निष्पादन से कमजोरियों को प्राथमिकता देते हैं; फिर विशेषाधिकार का उत्थान फिर सूचना रिसाव…

... सेवा से इनकार है, "ठीक है, सर्वर क्रैश हो सकता है, लेकिन मैं इसे हमेशा फिर से शुरू कर सकता हूं।"

फिर भी यह वास्तव में एक परेशानी भरी समस्या हो सकती है।

हालाँकि यह आपका डेटा या आपकी फ़ाइलों को रैंसमवेयर नहीं चुरा सकता है, फिर भी यह आपको आपके कंप्यूटर का उपयोग करने, आपके डेटा को प्राप्त करने और वास्तविक कार्य करने से रोक सकता है।

---

डौग  हां, हमारे पास यहां समस्या है जिसे आपको अपडेट करने की आवश्यकता है, लेकिन यदि आप इस समस्या का सामना कर रहे हैं, तो हो सकता है कि आपका फोन क्रैश होने पर आप अपडेट प्राप्त करने में सक्षम न हों!

तो यह हमें सप्ताह के लिए हमारे पाठक प्रश्न में ले जाता है।

यहां जिस पोस्ट के बारे में हम बात कर रहे हैं, उस पर नेकेड सिक्योरिटी रीडर पीटर पूछता है:

यहां Apple उपयोगकर्ता नहीं है, लेकिन क्या Apple उपयोगकर्ताओं के लिए अपने ईमेल खातों में एक ब्राउज़र में लॉग इन करने का विकल्प नहीं है जो उम्मीद है कि ऐप की तरह क्रैश न हो और आपके डिवाइस को पोंछने के बजाय वहां मेल को हटा दें?

---

बत्तख।  खैर, यह मेरे लिए निश्चित रूप से सच है।

जिस तरह से मैं अपने आईफोन का उपयोग करता हूं, मैं अपने फोन पर वही मेल पढ़ सकता हूं जैसे मेरे ब्राउज़र में वेब ऐप में।

तो यह एक अच्छा प्रारंभिक बिंदु है, यदि आपका फ़ोन लॉक हो गया है, और यदि आपके पास लैपटॉप है।

समस्या यह है कि जब आपने अपने वेब ब्राउज़र में, या अपने लैपटॉप पर मूल ऐप के माध्यम से मेल हटा दिए हैं ...

...आपके फ़ोन मेल ऐप को अभी भी सर्वर के साथ सिंक करना है यह जानने के लिए कि उसे उन संदेशों को हटाना है।

और अगर, रास्ते में, यह उस संदेश को संसाधित करता है जिसे वह अब हटाने वाला है, तो यह अभी भी दुर्घटनाग्रस्त स्थिति में आ सकता है, है ना?

तो उस टिप्पणी के साथ समस्या ही एकमात्र वास्तविक उत्तर है जो मैं दे सकता हूं: "पर्याप्त जानकारी नहीं है। पक्के तौर पर नहीं कह सकता। लेकिन मुझे खुशी है कि आशा है कि आप ऐसा कर सकते हैं!"

---

डौग  इसे आजमाएं, कम से कम।

---

बत्तख।  हाँ, कोशिश करो!

यदि आप वास्तव में लॉक हो जाते हैं, ताकि आपका फोन शुरू होते ही क्रैश हो जाए, तो आप यह सोचना चाहेंगे कि आप वह कर सकते हैं जिसे Apple DFU (डायरेक्ट फर्मवेयर अपडेट) कहता है, जहां आप मूल रूप से नए सिरे से शुरुआत करते हैं।

लेकिन समस्या यह है कि इसे (बुराई के लिए इस्तेमाल होने से रोकने के लिए), इसमें अनिवार्य रूप से वाइप-एंड-स्टार्ट-ओवर शामिल है।

तो आप फोन पर सभी डेटा खो देंगे, यह मानते हुए कि यह काम करेगा।

तो मुझे लगता है कि इस सवाल का जवाब है ...

इसे हल करने का कम से कम दखल देने वाला तरीका आजमाएं जो आप पहले कर सकते हैं।

फोन, मैसेजिंग ऐप पर "बीटिंग द ऐप" आज़माएं।

यह वही है जो पिछली कुछ iOS चीजों के लिए काम करता है।

आप मूल रूप से अपने फोन को रीबूट करते हैं; [स्पीडिंग यूपी] आप अपना लॉक कोड बहुत जल्दी टाइप करते हैं; [वास्तव में तेजी से बोलना] आप जितनी जल्दी हो सके ऐप में आ जाते हैं, और आप डिलीट पर क्लिक करते हैं ...

… इससे पहले कि फोन वहां पहुंच जाए और प्रक्रिया शुरू हो जाए जो अंततः मेमोरी से बाहर हो जाती है।

तो आपके पास इसे फोन पर ही करने के लिए पर्याप्त समय हो सकता है।

यदि नहीं, तो इसे किसी बाहरी ऐप के माध्यम से करने का प्रयास करें जो डेटा के समान सेट का प्रबंधन करता है।

और अगर पूरी तरह से अटक गया है, तो मुझे लगता है कि फ्लैश-एंड-रीइंस्टॉल आपका एकमात्र समाधान है।

---

डौग  ठीक है, पीटर, इसे भेजने के लिए धन्यवाद।

यदि आपके पास कोई दिलचस्प कहानी, टिप्पणी या प्रश्न है जिसे आप सबमिट करना चाहते हैं, तो हमें पॉडकास्ट पर पढ़ना अच्छा लगेगा।

आप tips@sophos.com पर ईमेल कर सकते हैं; आप हमारे किसी भी लेख पर टिप्पणी कर सकते हैं; या आप हमें सोशल पर मार सकते हैं: @nakedsecurity.

आज के लिए यही हमारा शो है।

सुनने के लिए बहुत-बहुत धन्यवाद।

पॉल डकलिन के लिए, मैं डौग आमोथ हूं, आपको अगली बार तक याद दिला रहा हूं ...

---

दोनों को।  सुरक्षित रहें।

[संगीत मोडेम]