Signal, Discord जैसे प्लेटफ़ॉर्म को निशाना बनाने वाला 0-click de-anonymization हमला

• नमस्ते, मैं Daniel हूँ। मैं 15 साल का हूँ और हाई स्कूल के अंतिम वर्ष का छात्र हूँ। खाली समय में बड़ी कंपनियों को hack करता हूँ और शानदार चीज़ें बनाता हूँ। 3 महीने पहले, मैंने एक 0-click de-anonymization हमला खोजा, जिसके ज़रिए किसी विशेष ऐप के इंस्टॉल होने वाले डिवाइस के माध्यम से हमलावर 250 मील के दायरे में लक्ष्य की लोकेशन ट्रैक कर सकता है। इस रिसर्च के ज़रिए मैं पत्रकारों, एक्टिविस्टों और हैकर्स को चेतावनी देना चाहता हूँ.

Cloudflare

• Cloudflare बाज़ार में सबसे लोकप्रिय CDN में से एक है और Sucuri, Amazon CloudFront, Akamai, Fastly आदि से आगे है.
• Cloudflare की मुख्य सुविधाओं में से एक caching है, जो बार-बार एक्सेस होने वाली सामग्री को स्टोर करके सर्वर लोड कम करती है और वेबसाइट performance बेहतर बनाती है.
• Cloudflare के पास दुनिया भर के 330 शहरों में data centers हैं, जो Google से 273% अधिक है.
• Cloudflare का cache data उपयोगकर्ता के क़रीब स्टोर होता है, इसलिए इससे de-anonymization हमला करने के लिए इसका दुरुपयोग किया जा सकता है — यही विचार आया.

Cloudflare Teleport

• Cloudflare data center को सीधे HTTP request नहीं भेजे जा सकते, लेकिन Cloudflare Workers का उपयोग करके किसी विशेष data center तक request भेजने का तरीका मिला.
• Cloudflare Teleport एक proxy tool है, जो Cloudflare Workers के ज़रिए HTTP request को किसी विशेष data center की ओर redirect करता है.
• इस tool को बाद में Cloudflare ने patch कर दिया, लेकिन शुरुआती testing में इसका उपयोग हुआ.

पहला de-anonymization हमला

• Cloudflare Teleport tool का उपयोग करके सिद्धांत को सत्यापित किया गया, और एक साधारण CLI प्रोग्राम के ज़रिए किसी विशेष URL पर HTTP GET request भेजकर resource cache और उसकी age को सूचीबद्ध किया गया.
• Namecheap के favicon का उपयोग करके test किया गया और सिद्धांत सही साबित हुआ.

वास्तविक उपयोग: Signal

• Signal एक open source encrypted messaging service है, जिसका उपयोग पत्रकार और एक्टिविस्ट बहुत करते हैं.
• Signal के attachment URL पर Cloudflare caching सेट है, इसलिए cache geolocation method का उपयोग करके प्राप्तकर्ता की लोकेशन ट्रैक की जा सकती है.
• push notifications के माध्यम से 0-click हमला संभव है, और उपयोगकर्ता बातचीत न भी खोले तो attachment अपने-आप डाउनलोड हो जाता है.

वास्तविक उपयोग: Discord

• Discord गेमर्स को लक्षित करने वाला एक मुफ़्त app है, जो हाल में सरकारी लीक और cyber crime के संदर्भ में ध्यान में रहा है.
• Discord के user avatar URL पर Cloudflare caching सेट है, इसलिए push notifications के माध्यम से 0-click हमला संभव है.
• GeoGuesser नाम के Discord bot का उपयोग करके automated हमला किया जा सकता है और नतीजे सीधे Discord में देखे जा सकते हैं.

bug bounty रिपोर्ट

• Signal और Discord को रिसर्च के नतीजों की रिपोर्ट दी गई, लेकिन ज़्यादातर प्रतिक्रियाएँ निराशाजनक रहीं.
• Cloudflare ने उस bug को patch कर दिया, जो data centers के बीच movement संभव बना रहा था, लेकिन मूल समस्या हल नहीं हुई.

खुद को कैसे सुरक्षित रखें

• यह हमला खासकर पत्रकारों, एक्टिविस्टों और privacy को महत्व देने वाले लोगों के लिए बड़ा जोखिम बन सकता है.
• CDN का उपयोग करने वाले सभी apps, अगर सही preventive measures न लें, तो अब भी vulnerable हो सकते हैं.

अंतिम विचार

• CDN performance और scalability बेहतर बनाते हैं, लेकिन साथ ही ऐसे जोखिम भी लाते हैं जिनका नए तरीक़ों से दुरुपयोग किया जा सकता है.
• जो उपयोगकर्ता संवेदनशील भूमिकाओं में हैं या privacy को महत्व देते हैं, उन्हें जागरूक और सतर्क रहना चाहिए.

[GN⁺]

Hacker News राय

• जब Signal उपयोगकर्ता फ़ोटो भेजते हैं, तो वह Cloudflare के ज़रिए डेटा सेंटर में cache हो जाती है। उपयोगकर्ता की location track करना बढ़ा-चढ़ाकर कही गई बात है, और जब तक उपयोगकर्ता किसी बहुत दूरदराज़ जगह पर न हो, यह उसकी anonymity को नुकसान नहीं पहुँचाता। फिर भी यह एक दिलचस्प analysis है

  • मेरा मानना है कि privacy की सुरक्षा के लिए Signal के automatic attachment receiving फीचर में disable करने का विकल्प होना चाहिए
  • Signal usability और privacy के बीच संतुलन बनाने वाली approach अपनाता है। security के प्रति संवेदनशील उपयोगकर्ताओं को VPN और proxy इस्तेमाल करने की सिफारिश की जाती है
  • caching जारी रहेगी, और Cloudflare की प्रतिक्रिया सबसे अच्छे तरीकों में से एक है। sensitive information की caching की सिफारिश नहीं की जाती

• Signal या Discord anonymity प्रदान नहीं करते। वे दावा करते हैं कि वे messages नहीं पढ़ सकते, लेकिन यह पूर्ण नहीं है

  • media auto-loading उपयोगकर्ता सुविधा के लिए चुना गया विकल्प है, और anonymity attack के हिस्से के रूप में इस्तेमाल किया जा सकता है
  • अगर anonymity बनाए रखनी है, तो Discord या Signal का इस्तेमाल न करना बेहतर है

• कुछ उपयोगकर्ताओं का मानना है कि यह तकनीक anonymity को नुकसान पहुँचाती है। बार-बार किए गए हमलों से उपयोगकर्ता की movement path को track किया जा सकता है

• 250 मील के भीतर location tracking anonymity को नुकसान पहुँचाना नहीं है। इसके लिए अतिरिक्त OSINT की ज़रूरत होगी

• इस attack का उपयोग law enforcement agencies या malicious actors उपयोगकर्ता की location पता करने के लिए कर सकते हैं

• Signal ने URL caching क्यों सक्षम की, इस पर सवाल उठाए गए। caching disable करने से समस्या हल हो सकती है

• यह इंटरनेट के काम करने का बुनियादी तरीका है, और यही कारण है कि anonymizing proxy की ज़रूरत पड़ती है। ज़्यादातर उपयोगकर्ताओं के लिए यह बड़ा खतरा नहीं है

• यह attack code execution के बिना होने वाला एक गैर-पारंपरिक हमला है। Cloudflare डेटा सेंटर के ज़रिए उपयोगकर्ता की लगभग location का पता लगाया जा सकता है