بررسی موشکافانه‌ی رخنه‌ای در Linode

پس از بررسی‌ فراوان حمله‌هایی که منجر به تنظیم دوباره‌ی گذرواژه‌ی سامانه‌ی لینود در ماه ژانویه شد، این سامانه تغییرات بسیاری را برای فرآیندهای کاربرانش اعمال کرد.
علاج پس از واقعه‌ی این شرکت یادآوری می‌کند که رخنه‌ی انجام‌شده در دسامبر ۲۰۱۵، و رخنه‌ای قبل‌تر از آن در جولای ۲۰۱۵، به ظاهر ناشی از به سرقت رفتن اطلاعات هویتی مشتریان و سوءاستفاده توسط کلاه‌برداران می‌باشد.
رخنه‌ی جدیدی که با تحقیقات تازه کشف شد، موردی است که طی آن نفوذگر به گونه‌ای راهی ساخته است تا رمزهای احراز هویت دوعامله‌ی معتبری تولید کند، چیزی که این شرکت راجع به آن می‌گوید: «به طور چشم‌گیری اهمیت تحقیقات ما را تغییر می‌دهد»، حتی اگر به نظر برسد که به هیچ فرآیند ورود به سامانه‌ای مربوط نمی‌باشد.
در این پست آمده است: «پس از بررسی تحقیقاتمان در ماه جولای، نرم‌افزاری را کشف کردیم که اگر یک رمز TOTP را ارائه دهد، می‌تواند کدهای TOTP* را تولید کند. ما نرم‌افزاری را کشف کردیم که از آن برای اجرای روش رمزگشایی برای ایمن‌کردن رمزهای TOTP استفاده می‌‌کنیم، در کنار رمز امنیتی که برای رمزگذاری آن‌ها استفاده می‌کنیم. ما همچنین دستورالعمل‌هایی یافتیم که با موفقیت یک کد یک‌بار مصرف را تولید می‌کند.»
TOTP* یک روش مبتنی بر الگوریتم گذرواژه‌ی یک‌‌بار مصرف است که توسط سامانه‌‌هایی مثل تأییدکننده‌ی گوگل استفاده می‌شود تا مؤلفه‌های احراز هویت دومرحله‌ای را تولید کند. در ماه نوامبر یک محقق امنیتی اخطار داد که اگر اجرای TOTP از NTP daemon به عنوان ورودی زمانش استفاده ‌کند، ممکن است با دست‌کاری زمانی که daemn برای TOTP پیشنهاد می‌کند در سطح sysadmin در معرض آسیب قرار گیرد.
برگردیم بهLinode ؛ در هر دو مورد، تحقیقات از این ایده دفاع می‌کنند که شخصی با موفقیت هرچه تمام‌تر اعتبار کاربران را به سرقت می‌برد، به جای این‌که آن‌ها را از طریق آسیب‌پذیری موجود در زیربنای میزبان اطلاعات به سرقت ببرد.
Linode اعلام کرد که :
•تعیین اعتبار: شرکت می‌گوید که SHA-۲۵۶ هش‌کننده‌ی کلمات عبور با bcrypt جایگزین‌شده است. هم‌چنین یک «میکرو سرویس تعیین اعتبار» ساخته شده است که به طور کامل برنامه‌های مشتری را از اعتبار مشتری جدا می‌کند. در واقع، اعتبارات به میکرو سرویس تقسیم می‌شود و یک برنامه‌ی کاربردی درخواست‌کننده‌ی احراز هویت تنها کلمه‌ی بله یا خیر را دریافت می‌کند.
•نشانه‌سازی کارت اعتباری: این شرکت می‌گوید که کارت‌های اعتباری در خطر کشف رمز قرار نگرفته‌اند، اما این ویژگی لایه‌ی امنیتی دیگری را اضافه کرده است.
•سیاست‌ها: این شرکت در حال بازسازی سیاست‌های امنیتی‌اش بر اساس چارچوب NIST می‌باشد، به خصوص برای ایجاد محدوده‌های امنیتی در زیربنایش، تعداد کارمندان با دسترسی به «سامانه‌‌ها و اطلاعات حساس» را کاهش می‌دهد.
تغییرات دیگر در طول زمان شامل اخطارات جدید مدیریتیLinode ، استخدام یک متخصص ارشد امنیتی به تیم شرکت و یک API جدید در آلفا در چندین هفته‌ی بعد خواهد بود.
این API با یک نسخه‌ی متن‌باز از مدیریت Linode حمایت می‌شود.
این شرکت هم‌چنین اشاره کرد که حمله‌ی انسداد سرویس توزیع‌شده که در ماه دسامبر تا جولای اتفاق افتاد هنوز نامربوط به سرقت اعتبار مشتری به نظر می‌رسد و ظاهراً هیچ‌کس نتوانسته از اشکال SSH که در ماه فوریه کشف شده است، سوءاستفاده کند.

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

اسکن امنیتی وب سایت
(5000 تومان)

نوع وب سایت: وبلاگ، شرکتی، تجارت الکترونیک و کسب و کارحرفه ای
آسیب پذیری های OWASP (شامل بررسی 10 آسیب پذیری متداول)
اسکن نرم افزار/وب سایت توسط Acunetix نسخه 11
اسکن تمامی پورت ها با ابزار Nmap
اسکن وب سرور و پیکربندی آن توسط ابزار Nikto
اسکن تزریق توسط نرم افزار قدرتمند SQLmap