भर्खरको विकीलीक्स प्रकाशनबाट उठ्ने सबैभन्दा चिन्ताजनक लीक मध्ये एक हो कि सरकारी संगठनहरु व्हाट्सएप, टेलिग्राम र अन्य अन्त देखि टु अन्त इन्क्रिप्टेड च्याट अनुप्रयोगहरुमा सम्झौता गर्न सक्ने सम्भावना छ। जबकि यो अझै प्रमाणित हुन सकेको छैन, धेरै अन्त प्रयोगकर्ताहरू व्हाट्सएप र टेलिग्राम अन्त-देखि-अन्त एन्क्रिप्शनको बारे प्रयोगकर्ता चिन्ताको लागि चिन्तित छन्। यो ईन्क्रिप्शन निश्चित गरीएको छ कि केवल कुराकानी गरिरहेका व्यक्तिले मात्र सन्देश पढ्न सक्दछन् र बीचमा कोही पनि छैनन्।
तर यो नै म्याकेनिज हामी नयाँ मेसेजिंग सेवा अनलाइन प्लेटफर्महरू व्हाट्सएप वेब र टेलिग्राम वेबमा फेला पारेको नयाँ जोखिमको मूल पनि भएको छ। यी प्लेटफर्महरूको अनलाइन संस्करणले सबै सन्देशहरू दर्ता गर्दछ जुन प्रयोगकर्ताले पठाएको र प्राप्त गरेको थियो र प्रयोगकर्ताहरूका उपकरणसँग पूर्ण समन्वयन गरिएको छ।
यो जोखिम, यदि शोषण गरियो भने, आक्रमणकर्ताहरूलाई कुनै पनि ब्राउजरमा प्रयोगकर्ताहरूको खाताहरू पूर्ण रूपमा लिन, र पीडितको व्यक्तिगत र समूह कुराकानी, फोटो, भिडियो र अन्य साझा गरिएका फाइलहरू, सम्पर्क सूचीहरू, र अधिकमा पहुँच गर्न अनुमति दिने थियो। यसको मतलब आक्रमणकर्ताहरूले सम्भवतः तपाईंको फोटोहरू डाउनलोड गर्न र तिनीहरूलाई अनलाइन पोष्ट गर्न, तपाईंको तर्फबाट सन्देशहरू पठाउन, फिरौती माग गर्न, र तपाईंको साथीहरूको खाता लिन पनि सक्दछन्।
त्यसोभए, अर्को पटक जब कसैले तपाईंलाई प्यारा बिरालो वा व्हाट्सएप वा टेलिग्राममा तातो कुकुरको फोटो पठाउँछ, भने छविमा क्लिक गर्नु अघि सावधान हुनुहोस्, यसले केहि सेकेन्डमै तपाईंको खाता ह्याक गर्न सक्दछ। बुधवार एक कम्प्युटर सुरक्षा फर्मले एउटा त्रुटि पत्ता लगायो जसले हैकर्सलाई सन्देशहरू सुरक्षित राख्नको लागि धेरै ईन्क्रिप्शन प्रयोग गरेर व्हाट्सएप वा टेलिग्राम मेसेजिंग खातामा प्रवेश गर्न सक्दछ।
प्राविधिक विवरण - व्हाट्सएप
व्हाट्सएप अपलोड फाइल संयन्त्रले धेरै कागजात प्रकारहरू समर्थन गर्दछ जस्तै अफिस कागजात, पीडीएफ, अडियो फाईलहरू, भिडियोहरू, र छविहरू। समर्थित प्रकारका प्रत्येक अपलोड गर्न सकिन्छ र एट्याचमेन्टको रूपमा व्हाट्सएप ग्राहकहरूलाई पठाउन सकिन्छ।
जहाँसम्म, चेक पोइन्ट अनुसन्धान टोलीले एक पीडितलाई आफ्नो खाता लिनको लागि कागजातमा क्लिक गर्न मूर्ख बनाउनको लागि एक छविको वैध पूर्वावलोकनको साथ एक खराब HTML कागजात अपलोड गरेर संयन्त्रका प्रतिबन्धहरूलाई बाइपास गर्न मद्दत गरेको छ। एक पटक पीडितले कागजातमा क्लिक गर्यो भने, व्हाट्सएप वेब क्लाइन्टले फाईलरिडर एचटीएमएल API एपीआई कल प्रयोग गर्दछ हमलावरले पठाएको फाइल सामग्रीको साथ एक अद्वितीय BLOB यूआरएल उत्पन्न गर्नका लागि यस यूआरएलमा प्रयोगकर्ता नेभिगेट गर्दछ।
प्राविधिक विवरण - टेलिग्राम
टेलिग्रामले बहु कागजात प्रकारहरूलाई टेलीग्राम वेब अनुप्रयोगमा पठाउन समर्थन गर्दछ, तर केवल छवि र भिडियो कागजात प्रकारहरू ब्राउजर भित्र फाईलप्रणाली खण्डमा भण्डार गरिएको छ।
चेक पोइन्ट अनुसन्धानकर्ताहरूले टेलिग्रामको अपलोड नीतिलाई बाइपास गर्न र एक खराब फाईल "video / mp4" को एक माइम प्रकारको साथ द्वेषपूर्ण एचटीएमएल कागजात अपलोड गर्न प्रबन्ध गरेका छन्। त्यसो भए, तिनीहरूले यो ईन्क्रिप्टेड च्यानलमा पीडित पक्षलाई टेलिग्राम सर्भरहरू मार्फत पठाउन सक्षम भए। एक पटक शिकारले भिडियोलाई नयाँ ब्राउजर ट्याबमा खोल्दा, यो प्ले गर्न सुरू हुनेछ र प्रयोगकर्ताहरूको सत्र डेटा आक्रमणकर्तालाई पठाइनेछ।
चाखलाग्दो कुरा के हो भने, यो यी एप्सको अन्त्य देखि अन्त एन्क्रिप्शन सुविधा हो जसले ह्याकरहरूलाई त्रुटिको फाइदा लिन मद्दत पुर्यायो। किनकि च्याटको सामग्री अन्त्य देखि अन्त एन्क्रिप्टेड हो, यसको मतलब यो हो कि व्हाट्सएप वा टेलिग्राम न त एक साझा मालिसियस छविमा लुकेको मालवेयर देख्न सक्दछन्। यसको मतलब दुबै कम्पनीहरूमा सामग्रीको लागि अन्धो हुने थियो, प्रयोगकर्ताको बिचमा र खराब कोड पारित गर्नका लागि अनुमति दिइयो।
अबदेखि, सामग्री एन्क्रिप्शन अघि मान्य हुनेछ, चेक पोइन्ट वर्णन गर्दछ, जसले दुर्भावनापूर्ण फाइलहरूलाई रोक्दछ। चेक पोइन्ट टोलीले यो निश्चित गर्नका लागि केहि तरिकाहरू पनि रूपरेखा बनाउँदछ कि तपाईं त्यस्ता ह्याकहरूको शिकार हुनुहुन्न।
सुरक्षा बिन्दु जाँच गर्नुहोस्:
जबकि व्हाट्सएप र टेलिग्रामले यो जोखिमलाई बढावा दिएका छन्, एक सामान्य अभ्यासको रूपमा हामी निम्न प्रतिरोधात्मक उपायहरू सिफारिस गर्दछौं:
१. आवधिक रूपमा तपाईको वाट्सएप र टेलिग्रामबाट लग-इन भएका कम्प्युटरहरू सफा गर्नुहोस्। यो तपाइँ तपाइँको खाता होस्टिंग र अनावश्यक गतिविधि बन्द हो कि उपकरणहरु लाई नियन्त्रण गर्न अनुमति दिनेछ।
२. शंकास्पद फाइल र अज्ञात प्रयोगकर्ताहरूबाट लि opening्कहरू खोल्नबाट रोक्नुहोस्।
यस त्रुटिलाई ठीक गरेपछि, व्हाट्सएप र टेलिग्राम दुबैको वेब संस्करणहरूमा समाप्ति टु-एन्ड ईन्क्रिप्शन खेलमा आउनु अघि अब मान्यीकरण गरिनेछ, खराब फाइलहरूलाई ब्लक गर्न अनुमति दिदै।
