নতুন প্রতিবেদনের নাম অতিরিক্ত ট্যাপলক অ্যাপ্লিকেশন দুর্বলতা

ট্যাপলক কর্প কর্পোরেশন, হাইকনসম্পশন

পেনস্টেস্ট পার্টনার্সের ইনফোসেক বিশেষজ্ঞরা গত সপ্তাহে একটি পরীক্ষা করেছিলেন যেখানে তারা মাত্র কয়েক সেকেন্ডের মধ্যে ট্যাপলকের স্মার্ট প্যাডলক প্রযুক্তি আনলক করতে সক্ষম হয়েছিল। এই গবেষকরা ডিজিটাল প্রমাণীকরণ পদ্ধতিতে দুর্বলতা কাজে লাগাতে সক্ষম হন, যা তারা মনে করেছিলেন যে গুরুতর সমস্যা রয়েছে। পেনটেষ্টের প্রযুক্তিবিদরা মন্তব্য করেছিলেন যে তারা বিশ্বাস করেন যে এমন কোনও ব্যক্তি যিনি স্মার্ট লকের জন্য নির্ধারিত ব্লুটুথ লো এনার্জি ম্যাকের ঠিকানা খুঁজে পেতে পারেন তখন কোডটি আনলক করতে পারে।

যদিও এটি বেশিরভাগ ব্যক্তির পক্ষে সহজ কাজ নয়, ডিভাইসটি এই ঠিকানাটি সম্প্রচার করে যাতে ওয়্যারলেস প্রযুক্তির সাথে দক্ষ যারা তাদের সম্প্রচারকে বাধা দেওয়ার সাথে সাথে লকটিকে পূর্বাবস্থায় ফেরাতে সক্ষম হতে পারে। এই জাতীয় সম্প্রচারকে বাধা দেওয়ার জন্য প্রয়োজনীয় সরঞ্জামগুলির মধ্যে যেমন এই জাতীয় দক্ষতা রয়েছে তাদের পক্ষে এটি পাওয়া খুব কঠিন হবে না।

থেসালোনিকি-র আইওটি গবেষক ভ্যাঞ্জেলিস স্টাইকাস এখন একটি প্রতিবেদন প্রকাশ করেছেন যে ট্যাপলকের ক্লাউড-ভিত্তিক প্রশাসনের সরঞ্জামগুলিও দুর্বলতার দ্বারা প্রভাবিত হয়। প্রতিবেদনে বলা হয়েছে যে যারা একটি অ্যাকাউন্টে লগ ইন করেন তাদের কার্যকারিতা অন্য অ্যাকাউন্টগুলির নিয়ন্ত্রণের জন্য ক্ষমতা দেওয়া হয় যদি তারা অন্য ব্যবহারকারীর আইডি নাম জানেন।

ট্যাপলকটি বর্তমানে হোম বেসে ডেটা প্রেরণ করতে একটি সুরক্ষিত HTTPS সংযোগ ব্যবহার করে না বলে মনে হয়। তদুপরি, অ্যাকাউন্ট আইডিগুলি একটি বর্ধিত সূত্রের ভিত্তিতে হয় যা তাদের সত্যিকারের আইডির চেয়ে বাড়ির ঠিকানার কাছে আরও বেশি করে দেয়।

স্টাইকাসকে দেখা গেছে যে তিনি কোনও লকই তাঁর নিজের নয় এমন অনুমোদিত ব্যবহারকারী হিসাবে নিজেকে যুক্ত করতে অক্ষম ছিলেন, যার অর্থ এই যে লকটির পিছনে কোনও প্যাচ ছাড়ার সংস্থান না করেও দুর্বলতার সীমাবদ্ধতা রয়েছে।

তিনি অবশ্য বলেছিলেন যে তিনি কোনও অ্যাকাউন্ট থেকে ব্যক্তিগত তথ্যগুলির কিছু বিট পড়তে পারেন। এর মধ্যে লকটি কোথায় খোলা হয়েছিল তার শেষ অবস্থান অন্তর্ভুক্ত। তত্ত্ব অনুসারে, কোনও আক্রমণকারী কোনও জায়গায় শারীরিক অ্যাক্সেস পাওয়ার সবচেয়ে ভাল সময়টি কী তা বুঝতে পারে। এটিও মনে হয় যে তিনি অফিসিয়াল অ্যাপের সাহায্যে অন্য একটি লক খুলতে সক্ষম হয়েছেন।

যদিও প্যাচগুলি সম্পর্কে এখনও কোনও ঘোষণা দেওয়া হয়নি, তবুও এটি বিশ্বাস করা কঠিন নয় যে তারা অন্যান্য দুর্বলতাগুলি সংশোধন করতে কঠোর পরিশ্রম করছে বলে বিবেচনা করে তারা শিগগিরই কিছু পরিবর্তন প্রকাশ করবে। তবুও, গবেষকরা আরও জানতে পেরেছিলেন যে অ্যাপটিতে ডিজিটাল সুরক্ষা ফাংশনগুলি সক্ষমিত ছিল তা নির্বিশেষে তারা এখনও পুরানো ফ্যাশনযুক্ত বল্ট কাটারগুলির একটি জোড়া দিয়ে লকটি কাটাতে সক্ষম হয়েছিল।