Linksys Velop राउटर Wi‑Fi पासवर्ड को plaintext में अमेरिकी सर्वर पर भेजते हैं

 (stackdiary.com)
2 पॉइंट द्वारा GN⁺ 2024-07-10 | 2 टिप्पणियां | WhatsApp पर शेयर करें

Linksys Velop राउटर Wi‑Fi पासवर्ड को plaintext में अमेरिकी सर्वर पर भेजते हैं

  • Testaankoop की खोज

    • बेल्जियम उपभोक्ता संघ Testaankoop के अनुसार, Linksys Velop Pro 6E और Velop Pro 7 mesh राउटर Wi‑Fi login जानकारी को plaintext में Amazon (AWS) सर्वर पर भेजते हैं
    • इंस्टॉलेशन प्रक्रिया के दौरान, SSID नाम और पासवर्ड, network identification token, और user session access token शामिल डेटा पैकेट AWS सर्वर को भेजे जाते पाए गए

  • MITM हमले की संभावना

    • MITM (man-in-the-middle attack) एक सुरक्षा उल्लंघन है, जिसमें हमलावर राउटर और सर्वर के बीच संचार को बीच में रोक लेता है
    • हमलावर plaintext में भेजे जा रहे SSID और पासवर्ड को इंटरसेप्ट करके नेटवर्क में अनधिकृत पहुंच प्राप्त कर सकता है

  • Firmware update और प्रतिक्रिया

    • Testaankoop ने नवीनतम firmware के साथ परीक्षण किया, लेकिन Linksys समस्या को ठीक नहीं कर सका
    • Linksys ने शुरुआती चेतावनी के बाद firmware update जारी किया, लेकिन समस्या अब भी बनी हुई है

  • Third-party software पर संदेह

    • Testaankoop ने संभावना जताई कि यह सुरक्षा समस्या Linksys firmware में इस्तेमाल किए गए third-party software से उत्पन्न हुई हो सकती है
    • हालांकि, इससे इस सुरक्षा कमजोरी को सही नहीं ठहराया जा सकता

  • यूज़र के लिए सिफारिशें

    • प्रभावित राउटर रखने वाले यूज़र्स को सलाह दी गई है कि वे app की जगह web interface के जरिए Wi‑Fi network name और पासवर्ड बदलें
    • इससे SSID और पासवर्ड के plaintext में भेजे जाने से बचाव होता है

  • Mesh राउटर की सुरक्षा समस्या

    • Velop series को बड़े या बहु-मंजिला घरों में Wi‑Fi वितरण बेहतर करने के लिए डिज़ाइन किया गया है
    • लेकिन Velop Pro WiFi 6E और Pro 7 का डेटा ट्रांसफर तरीका इसके सुरक्षा लाभों को कमजोर करता है

  • Linksys की अपर्याप्त प्रतिक्रिया

    • Testaankoop ने आज की घोषणा से कुछ दिन पहले Linksys से फिर संपर्क किया, लेकिन अब तक कोई जवाब या समाधान नहीं मिला
    • नवीनतम Linksys 7 Pro में भी यह कमजोरी बनी हुई है

  • खरीद संबंधी सिफारिश

    • शोधकर्ताओं ने network intrusion और data loss के गंभीर जोखिम के कारण Linksys Velop Pro WiFi 6E और Pro 7 को खरीदने की कड़ी सिफारिश नहीं की है

  • सुरक्षा समस्या की गंभीरता

    • नेटवर्क में घुसपैठ के लिए तकनीकी प्रयास की आवश्यकता होती है, लेकिन एक बार हमलावर अंदर पहुंच जाए तो वह व्यापक नुकसान पहुंचा सकता है
    • Linksys Velop product line को छोटे दफ्तरों के लिए भी सुझाता है, इसलिए यह व्यक्तिगत और पेशेवर दोनों वातावरणों में समस्या है

GN⁺ का सार

  • Linksys Velop राउटर Wi‑Fi पासवर्ड को plaintext में भेजकर गंभीर सुरक्षा कमजोरी उजागर करते हैं
  • MITM हमले की संभावना के कारण network intrusion और data loss का जोखिम बड़ा है
  • Testaankoop ने Linksys की अपर्याप्त प्रतिक्रिया की ओर इशारा करते हुए इन राउटरों की खरीद की सिफारिश नहीं की है
  • यह लेख network security के महत्व पर जोर देता है और यूज़र्स को अपनी security settings बदलने की सलाह देता है

संबंधित पढ़ाई

2 टिप्पणियां

 
halfenif 2024-07-11

सपोर्ट एजेंट उन यूज़र्स की मदद कर सकें जो अपना पासवर्ड भूल गए हैं, इसके लिए ऐसा किया गया था — यही बहाना दिया गया

आ...
 
GN⁺ 2024-07-10
Hacker News टिप्पणियाँ
  • इस बात पर सवाल उठाया गया कि क्या सभी लोग पासवर्ड को सर्वर पर भेजे जाने को ठीक मानते हैं
  • Verizon FiOS राउटर TR-69 मेकैनिज़्म के जरिए लोकल WiFi पासवर्ड को केंद्रीय प्रबंधन सिस्टम में भेजता है
    • इसका बहाना यह बताया गया कि सपोर्ट एजेंट उन उपयोगकर्ताओं की मदद कर सकें जो अपना पासवर्ड भूल जाते हैं
  • यह जिज्ञासा जताई गई कि पासवर्ड वास्तव में plain text में है, या सिर्फ HTTPS के अंदर plain text है
    • वेब ऐप login के समय पासवर्ड का HTTPS request के भीतर plain text में भेजा जाना आम बात है
    • अगर HTTPS नहीं है, तो request में plain text पासवर्ड डालने के अलावा भी कई समस्याएँ पैदा होती हैं
    • अगर HTTPS है, तो समस्या यह है कि पासवर्ड लोकल पर नहीं रहता और भेज दिया जाता है
  • यह राय दी गई कि बेहतर होता अगर WiFi राउटर OEM OpenWRT का इस्तेमाल करते
    • OpenWRT open source है और अच्छी तरह काम करता है
    • product differentiation के लिए ज़्यादा antenna जोड़ने या speed बढ़ाने जैसे तरीके अपनाए जा सकते हैं
  • इस बात से प्रभावित हुए कि consumer testing organization के पास ऐसी तकनीकी विशेषज्ञता है
    • यह ऐसा मसला है जिसे सिर्फ उपभोक्ता की तरह इस्तेमाल करके नहीं पकड़ा जा सकता
    • इसे ढूँढ़ने के लिए सुरक्षा bug खोजने का सक्रिय प्रयास करना पड़ता है
  • यह सिर्फ Velop लाइन तक सीमित नहीं है
    • EA7500 को OpenWRT में बदलते समय भी वही जानकारी भेजी जाती हुई पाई गई
    • यह mylinksys web portal के ज़रिए login करने के लिए मजबूर करता है और home server से कनेक्ट होने की कोशिश करता है
  • यह राय दी गई कि Apple को फिर से WiFi राउटर कारोबार में आना चाहिए
    • Apple के privacy/security रुख पर दूसरे ब्रांडों की तुलना में ज़्यादा भरोसा है
    • अभी वह Linksys राउटर को replacement product के रूप में बेच रहा है
  • Linksys को नवंबर में चेतावनी दी गई थी, लेकिन कोई प्रभावी कार्रवाई नहीं की गई
    • नवंबर के बाद भी कोई जवाब न आना दुर्भावनापूर्ण है, और पूरी कंपनी को सज़ा मिलनी चाहिए
  • उपभोक्ता नेटवर्क उपकरण निर्माताओं से बेहतर उत्पाद पाने के हकदार हैं
    • यह राय दी गई कि Apple फिर से बाज़ार में आए और महंगे लेकिन अच्छी गुणवत्ता वाले उत्पाद दे