সাধারণত, আমি সফটওয়্যার সিকিউরিটি সম্পর্কে খুব সংশয়বাদী। আমি মনে করি প্রাসঙ্গিক সফটওয়্যার ইন্ডাস্ট্রির প্রধান উদ্দেশ्यों میں একটি হলো মানুষকে ভয় দেখিয়ে সিকিউরিটি পণ্য কিনতে বাধ্য করা, যাতে তারা মনে করে তারা সेफ। এর সেরা উদাহরণ হবে Windows malware পরিস্থিতির ওপর tráiপক্ষীয় মতামত Windows XP-র মৃত্যু পূর্বে, Microsoft-এর একটি রিপোর্টে দেখা যায় কীভাবে তাদের newer OS-গুলো безопасন, এবং অ্যান্টি-ম্যালওয়্যার কোম্পানিগুলোর একটি যেটি ঠিক বিপরীত দাবি করে। এটি আমার stink eye আনিয়েছে লেটেস্ট openSSL ইস্যুটির ওপর।
কয়েকজন ব্যবহারকারী, অর্থাৎ একজনের বেশি, আমাকে এই বিষয়ে এক্সপ্লেইন করার অনুরোধ করেছিল, আমার rather cool approach দেওয়ায়। নিশ্চিতভাবেই, এটি Windows নয়, এটি Linux। এটি Web। এটি একদম আলাদা কিছু। এটি আকর্ষণীয় হওয়া উচিত।
Heartbleed সংক্ষেপে
মূলত, Heartbleed হলো OpenSSL Heartbeat এক্সটেনশনে একটি বাগ, যা একটি Heartbeat রিকোয়েস্টারকে OpenSSL লাইব্রেরি মেমরি থেকে আربیট্রারি পেলোড পাওয়ার অনুমতি দেয় টার্গেট সিস্টেমে। অন্য কথায়, TLS প্রোটোকল কমিউনিকেশনের জন্য প্রয়োজনীয় শুধু ডেটা রিটার্ন করার বদলে, পোল করা হোস্ট তার চেয়ে বেশি রিটার্ন করে। এটি কার্যকরভাবে মানে那些 मेमরি পেজগুলোর এক্সেস যেগুলো রিকোয়েস্টারের কাছে পাঠানোর জন্য নয়।
এটিই সেটি। এখন, সমস্যাটি হলো এটি একটি বড় সংখ্যক Web হোস্টেড সার্ভিস এবং সাইটকে প্রভাবিত করে, বড় কাস্টমার বেস সহ। এটি সেখানে Heartbleed ইস্যুটি শুধু অন্য একটি বাগ থেকে বড় হয়ে ওঠে।
কেন এটি খারাপ
হ্যাঁ, আপনি সঠিক শুনেছেন। আমি মনে করি এটি একটি গুরুতর সমস্যা। কিন্তু সেটি ডেটার ধরনের কারণে নয় যা টার্গেটেড সাইট থেকে সংগ্রহ করা যেতে পারে। সেটি হলো, এবং সবসময় থাকবে গোপন তথ্য চুরির পুরো উদ্দেশ্য। সেটি পাশাপাশি।
যেটি মানে রাখে সেটি হলো ইস্যুটি কীভাবে এগিয়ে এল। Heartbleed বাগটি দুটি প্রধান সমস্যা আয়ত্ত করেছিল। এক, খারাপ ইনপুট ভ্যালিডেশন, প্রোগ্রামিং-এর unholy grail, যখন কোড ডেভেলপাররা তাদের ভেরিয়েবল ইনিশিয়ালাইজ করা ভুলে যান, বাউন্ডারি বা রিটার্ন ভ্যালু চেক করা ভুলে যান। মূল কারণ যে কিউবিকেলে মানুষরা বিশ্বাসযোগ্য নয়। হায়, এটি সেরা লোকের ওপরেও হয়। আপনি যখন Hello World!-র स्कোপের বাইরে যান, তখন আপনি কিছুই করতে পারবেন না।
দ্বিতীয় সমস্যা হলো openSSL ডেভেলপাররা তাদের নিজস্ব ইমপ্লিমেন্টেশন ব্যবহার করেছিল free এবং malloc-র, দুটি রুটিন যা ডাইনামিক্যালি মেমরি চানক গ্র্যাব ও রিলিজ করতে ব্যবহৃত হয়। এর মানে তারা মনে করত তারা সবার চেয়ে ভালো জানেন।
তাই হ্যাঁ, আপনি যখন সমস্যাটি এইভাবে ব্রেক ডাউন করেন, এটি বিরক্তিকর। প্রায় চেরনোবিল দুর্ঘটনার মতো। ছোট ছোট ইস্যুর একটি স্ট্রিং যেগুলো জমা হয়ে একটা c.l.u.s.t.e.r. bouquet of digital intercourse-এ পরিণত হয়।
আপনি কী করতে পারেন - সঠিক দৃষ্টিভঙ্গি
আপনার জন্য করতে করতে খুব কম কিছু আছে। ইমানদারির সাথে। সমস্যা মূলত সার্ভার সাইডে। সত্যি, এটি সকল মেশিনকে প্রভাবিত করে যেগুলো vulnerable openSSL লাইব্রেরি ব্যবহার করে। কিন্তু নিজেদের থেকে প্রশ্ন করুন আপনার ডিভাইসগুলো কতটুকু সরাসরি অন্য হোস্টের সাথে TLS ব্যবহার করে কমিউনিকেট করে, Web থেকে তথ্য রিট্রিভ করার ছাড়া, হয়তো একটি গেমিং সার্ভারের সাথে কানেক্ট করা, এবং एtera?
তবে, বড় সাইটের জন্য, আমি পারসোনালি মনে করি এমনকি যদি তারা bled হয়ে থাকে, ট্রাফিকের ভলিউম इतना বড় যে এটিকে প্রসেস করতে значний কম্পিউটিং পাওয়ার লাগে, এবং মেমরি কন্টেন্টস সম্ভবত খুব sparse যে একটি কোহেরেন্ট ভিউ তৈরি করতে পারে না।
এটি আমার hunh, একটি mathematical thesis নয়, তাই তামাসা ও vitriol থেকে দূরে থাকুন। এটিকে চিন্তা করুন। Google-কে উদাহরণস্বরূপ নিন। এর বিশাল কম্পিউট ফার্ম আছে দশ হাজার সার্ভারের সাথে Web-রিলেটেড সার্ভিস অফার করে, প্রতিটি প্রতি সেকেন্ডে সैंकড়ো রিকোয়েস্ট সার্ভ করে। তাই এমনকি আপনি যদি এই রিসোর্সগুলো heartbeat করেন, আপনার নিজের এক গুচ্ছ সার্ভার লাগবে সকল ডেটা পাওয়ার জন্য। প্লাস, কেউ যদি সকল সৌন্দর্য SSL জিনিস পেতে কঠোর পরিশ্রম করছেন, তারা সম্ভবত এই রিসোর্সগুলো DoS করতে চান না। তৃতীয়, এমনকি সকল ক্রেডেনশিয়াল চুরি হয়ে গেলেও, একটি সুইচড নেটওয়ার্কে ট্রাফিক স্নিফিং একটি meaningful manner-এ করা সহজ নয়।
আমি এটিকে আপনাকে শান্ত করার জন্য বলছি না। সেটি পয়েন্ট নয়। আপনাকে সমস্যাটিকে একটি rational manner-এ এক্সামিন করতে হবে। তাই হ্যাঁ, তئরি এবং হয়তো প্র্যাক্টিসে, নির্দিষ্ট SSL ডেটা লিক হয়েছে হতে পারে। প্রিকশন হিসেবে, কিছু ওয়েবসাইট পরামর্শ দিয়েছে আপনার পাসওয়ার্ড পরিবর্তন করতে। এটি বিবেচনা করুন। এটি খারাপ প্র্যাক্টিস নয়। তার পлюস, টু-ফ্যাক্টর অথেন্টিকেশন, এবং ভিন্ন সাইটে ভিন্ন পাসওয়ার্ড ব্যবহার করাও ভালো আইডিয়া।
একটি জিনিস যা আপনার ভয় কিছুটা কমাতে পারে সেটি হলো বিশ্বব্যাপী কোরপোরেট জগতে ইনস্টল বেসের অধিকাংশ পুরনো এন্টারপ্রাইজ ফ্লেভার চালাচ্ছে, যেগুলো অধিকাংশ প্রভাবিত হয়নি। আপনি পুরনো CentOS এবং যেগুলোকে dis করতে পারেন, কারণ তারা আধুনিক এবং cool নয়, কিন্তু এই কেসে, তাদের কিছুই ব্যবহার আছে।
এন্ড ইউজার হিসেবে
এখন, আপনি যদি একজন ভালো ট্রুপার হতে চান, তবে কিছু জিনিস আপনি করতে পারেন। চেক করুন আপনার জনপ্রিয় সাইটগুলো এখনো খারাপ ভার্সন ব্যবহার করছে কিনা। যদি হয়, তবে রিপোর্ট করুন, escalate করুন, ফিক্সের জন্য অনুরোধ করুন। এটিই ইউজার সাইড থেকে।
পাসওয়ার্ড, হ্যাঁ আমরা আগে এটা কথা বলেছিলাম। শুধু মনে রাখুন এই fine বাগটি অর্লি ২০১২ থেকে আছে, দুই বছরের বেশি আগে। আপনি এটিকে এই সময় সার'Amérique aware ন ছিলেন, যেটি সম্ভবত মানে সমস্যাটি widespread, clandestine manifestation نداشت। এবং যদি হয়তো হয়, তবে দুই বছর আগে থেকে এখন পর্যন্ত, তথ্য লিক হয়েছে হতে পারে। তাই আপনাকে জিনিসগুলো সঠিক প্রস্পেক্টিভে রাখতে হবে।
আপনি যদি আপনার নিজের সাইট চালান, তবে আপনি দায়িত্বপূর্ণভাবে সিস্টেম আপডেট করতে পারেন, প্রভাবিত সার্ভিসগুলো স্টপ ও স্টার্ট করে নতুন লাইব্রেরি মেমরিতে লোড করতে, এবং সবচেয়ে গুরুত্বপূর্ণ, নিশ্চিত করুন আপনার কোনো crappy অ্যাপ্লিকেশন নেই মিডিওকার কনসাল্ট্যান্ট কোম্পানিগুলো দ্বারা ডেভেলপড যেগুলো তাদের নিজস্ব, статически-কম্পাইল্ড openSSL ব্যবহার করে, যা কার্যকরভাবে মানে তারা আপনার আপডেটগুলো দেখবেন বা ব্যবহার করবেন না।
Conspiracy
স্বাভাবিকভাবেই, একটি তাজা NSA সার্ভেলেন্স কনস্পিরেসি আছে, যা দাবি করে three-letter agency এই বাগের সম্পর্কে বছর ধরে জানত। আমার কাছে যদি জিজ্ঞেস করুন, এটি doubtful কারণ দুটি ভিন্ন কোম্পানি, Google-এর ইঞ্জিনিয়াররা এবং একটি ফিনিশ (অর্থাৎ আমেরিকান নয়) কোম্পানি Codenomicon, অলমোস্ট সিমাল্টেনিয়াসলি বাগটি রিপোর্ট করেছিল। এর মানে কিছু নতুন এগিয়ে এল।
তাই, আপনি যদি NSA-র চিন্তায় চурান্ত হন, তবে এখানে একটি রেমেডি। আপনি কি Michael Mann-কে চেনেন? সে Miami Vice, check, Heat, check, এবং অনেক অন্যান্য মহান চলচ্চিত্রের ডিরেক্টর, Manhunter সহ, Hannibal Lecter জিনিসটির একটি অনেক অনেক ভালো ভার্সন Red Dragon-র চেয়ে। এবং থিম সাংটি Heartbeat, যেটি Miami Vice-এর অনেক stellar episode-এ ফিচার্ড ছিল। এখন, আপনি যদি গানটি শোনেন, তবে আপনি এটি সম্পূর্ণ স্পষ্টভাবে বুঝতে পারবেন।
Heartbeat, heartbeat, listen to my hearbeat, oh-oh
উপসংহার
এটি সম্ভবত প্রথম বার আপনি Dedoimedo-কে শুনবেন যে একটি আসল সিকিউরিটি ইস্যু আছে যা লোকজনকে সিরিয়াসলি নিতে উচিত, মানদণ্ড scaremongering-এর বদলে। হ্যাঁ, Heartbleed-জনিত মেমরি লিক শুধু আপনার প্রতিদিনের malware nonsense নয়। একই নোটে, এটি একটি ইস্যু যেটি প্রাথমিকভাবে কোম্পানিগুলো এবং সার্ভিস প্রোভাইডাররা আড্রেস করতে হবে। এই গেমে আপনার রোল ছোট। গুরুত্বপূর্ণ জিনিস হলো শান্ত এবং rational থাকা।
শুধু মনে রাখুন, যখন ইন্টারনেটের ব্যাকবোন ব্যাথা পায়, পিঠে ফেলে দেখুন। এটি প্রতিদিন হয় না, এবং এটি আপনার PC might be at risk bullcrap- থেকে একটি রিফ্রেশিং পরিবর্তন। এই কেসে, এটি আপন চেয়ে বড়। তাই রিল্যাক্স করুন।
চিয়ার্স।
