ডাহুয়া ডিভিআর প্রমাণীকরণ বাইপাস দুর্বলতা হাজার হাজার ডিভিআরকে অ্যাক্সেসযোগ্য রাখে

দাহুয়া তথ্য এবং সুরক্ষা বিধানসমূহ। আইএফএসইসি গ্লোবাল

লোকেরা শারীরিক হোম গার্ড, সুরক্ষা অফিসার এবং প্রহরী প্রাণী থেকে ডিজিটাল ভিডিও রেকর্ডিংয়ের (ডিভিআর) ক্লোজ সার্কিট টেলিভিশন (সিসিটিভি) সুরক্ষা ক্যামেরায় মুখ ফিরিয়ে নিলে হ্যাকাররা পুরানো প্রযুক্তিগুলিতে একটি দুর্বলতা খুঁজে পেয়েছে যা ইনস্টলড হোম সার্ভিলেন্স ডিভাইস অ্যাকাউন্টগুলিতে অ্যাক্সেস লঙ্ঘনের অনুমতি দেয় যা মালিকদের ঝুঁকিতে ফেলতে পারে। ডাহুয়া একটি প্রিমিয়ার সুরক্ষা এবং নজরদারি প্রযুক্তি সংস্থা যা বিদ্যমান বিদ্যমান সংযোগ এবং ক্যাবলিং ব্যবহার করে পুরানো মডিউলগুলি প্রতিস্থাপনের জন্য আপ টু ডেট সুরক্ষিত সমাধান সরবরাহ করে। যদিও মনে হয়, দাহুয়ার সুরক্ষা ইমেজিং ডিভিআর ডিভাইসগুলিতে ২০১৩ সাল থেকে জানা একটি দুর্বলতা রয়েছে যা সুরক্ষার আপগ্রেড করার জন্য একটি আপডেট প্রেরণ করা হয়েছিল, তবে অনেক ব্যবহারকারী নিখরচায় আপগ্রেড গ্রহণ করেননি, হাজার হাজার ডিভাইস রয়েছে তাদের অ্যাক্সেসের শংসাপত্রগুলি চুরি হয়ে গেছে এবং এখন ঝুঁকিতে লাল লেবেলযুক্ত।

জনগণের কাছে উপস্থাপনের আগে শোষণটি গবেষণা করা হয়েছিল এবং গভীরভাবে লেখা হয়েছিল। দ্য রিপোর্ট সিভিই -2013-6117, জ্যাক রেইনল্ডস দ্বারা সন্ধান করা এবং বিশদভাবে ব্যাখ্যা করা হয়েছে যে প্যাক লোডের জন্য 37777 পোর্টে দাহুয়া ডিভাইস দিয়ে ট্রান্সমিশন কন্ট্রোল প্রোটোকল শুরু করা হ্যাকার দিয়ে শোষণ শুরু হয়। এই অনুরোধের জন্য, ডিভাইসটি স্বয়ংক্রিয়ভাবে তার ডায়নামিক ডোমেন নাম সিস্টেম শংসাপত্রগুলি প্রেরণ করে যা হ্যাকার তারপরে ডিভাইসটি দূরবর্তীভাবে অ্যাক্সেস করতে, তার সঞ্চিত সামগ্রীর সাথে ছলনা করার পাশাপাশি এর কনফিগারেশনগুলি ম্যানিপুলেট করতে পারে। দুর্বলতার কথা জানার পরে, আপডেট অনুরোধগুলি প্রেরণ করা হয়েছিল তবে যতগুলি ব্যবহারকারী আপগ্রেডগুলি অগ্রাহ্য করতে বেছে নিয়েছে, তাদের শংসাপত্রগুলি চুরি হয়ে গেছে এবং এখন জুমইয়ে পাওয়া যায়, এটি একটি অনুসন্ধান ইঞ্জিন যা বিভিন্ন ডিভাইস এবং অনলাইন ওয়েবসাইট থেকে প্রাপ্ত তথ্যের রেকর্ড রাখে।

জুমএই সাইবারস্পেস অনুসন্ধান ইঞ্জিন। আইসিএস জুমইয়ে

ডাহুয়া ডিভিআর ডিভাইসগুলি টিসিপি ৩7777777 পোর্টের উপরে পরিচালিত করে যার মাধ্যমে তারা রিমোট অন-নেট অবস্থান থেকে ডিভিআর এর ক্যামেরা সিস্টেম অ্যাক্সেস করার জন্য একটি সাধারণ বাইনারি প্রোটোকল ব্যবহার করে। এই প্রক্রিয়াটির কোনও পর্যায়ে পর্যাপ্ত শংসাপত্রের প্রমাণীকরণের প্রয়োজন হয় না, যেমনটি অফ-অফ বাইনারি পদ্ধতিতে প্রত্যাশিত। এটি ডিভাইসের বন্দরের সাথে সরাসরি সংযোগ এবং এটি ফুটেজের বর্তমান স্ট্রিমের পাশাপাশি পূর্ববর্তী রেকর্ডকৃত ফুটেজ অ্যাক্সেসের অনুমতি দেয় যা পরিচালনা এবং দূরবর্তীভাবে মুছতে পারে। অ্যাক্টিভএক্স, পিএসএস, আইডিএমএস এবং এর মতো হ্যাকার পাশাপাশি দেওয়া ন্যূনতম লগইন পৃষ্ঠাটি বাইপাস করার অনুমতি দেয় যা হ্যাকারকে অননুমোদিত অনুরোধগুলিতে প্রেরণ করতে দেয় যা ডিভিআর মুছা থেকে অ্যাক্সেস শংসাপত্রগুলি পরিবর্তন করতে সমস্ত কিছু করতে পারে। অন্য দৃশ্যে, হ্যাকার ডিভিআর ব্যবহারের ফার্মওয়্যার এবং সিরিয়াল নম্বরটি गेজ করার জন্য টিসিপি 37777 পোর্টটি অ্যাক্সেস করতে পারে। নিম্নলিখিতগুলিতে এক-অফ বাইনারি প্রোটোকল অনুসন্ধান করে, সে ডিভাইসে থাকা ইমেল, ডিডিএনএস এবং এফটিপি তথ্য পেতে পারে। এই তথ্য ডিভিআর রিমোট অ্যাক্সেস ওয়েব পোর্টালের লগইন পৃষ্ঠার মাধ্যমে অনুসরণ করতে ব্যবহার করা যেতে পারে এবং তারপরে হ্যাকার আগ্রহের স্ট্রিম এবং ফুটেজ অ্যাক্সেস করতে পারে। হ্যাকার যদি প্রক্রিয়াটিকে আউটস্মার্ট না করে এবং লগইন পৃষ্ঠাটিকে পূর্বে উল্লিখিত হিসাবে পুরোপুরি বাইপাস না করে তবেই এটি হয়।

রিমোট ওয়েব লগইন পৃষ্ঠা। গভীরতা সুরক্ষা

জুমইয়ের রেকর্ডগুলি অনুসন্ধান করে, এটি স্পষ্ট যে এই দুর্বলতাটি কয়েক হাজার হাজার ডিভিআর অ্যাক্সেস করতে এবং পণ্যের ওয়েব পোর্টালের মাধ্যমে দূরবর্তী দেখার জন্য তাদের অ্যাক্সেস শংসাপত্রগুলি পুনরুদ্ধার করতে কাজে লাগানো হয়েছে। জুমইয়ে হাজারে পাসওয়ার্ডের লগগুলি সরল অ্যাক্সেসে সঞ্চিত থাকে এবং পাসওয়ার্ড বা ব্যবহারকারীর নামগুলির একটি সহজ অনুসন্ধান অবিশ্বাস্য সংখ্যক হিটকে ফিরে আসতে পারে। সংকলিত ডেটা অনুসন্ধান করে, এটি দেখে আরামের কিছু যায় না যে প্রায় 14,000 লোক তাদের পাসওয়ার্ডটিকে 'পাসওয়ার্ড' হিসাবে রাখতে পছন্দ করে তবে এটি এই দুর্বলতার সাথে সরাসরি উদ্বেগের বিষয় নয়। ডাহুয়া একটি আপডেট প্রকাশ করেছে যা ক্যামেরার ফুটেজে অননুমোদিত অ্যাক্সেস রোধ করতে সুরক্ষার আরও স্তর বাড়িয়েছে তবে তবুও, অ্যাক্সেসের সময় এবং জায়গার কোনও বিধিনিষেধ না থাকায় দূরবর্তী অ্যাক্সেস পুরো প্রক্রিয়াটিকে কিছুটা ফিশ করে রেখেছে এবং ঠিক তেমনি মালিক হিসাবেও দূর থেকে তার ক্যামেরাগুলিতে আলতো চাপতে পারে, লগইন শংসাপত্রগুলি চুরি করতে সক্ষম হ্যাকারও এটি করতে পারে। উপরে বর্ণিত হিসাবে, যখন দাহুয়ার সমস্ত ডিভাইস ইউনিফর্ম পোর্ট এবং সংযোগগুলিতে কাজ করে তখন তাদের চুরি করা খুব বেশি কঠিন নয়।