AT&T और Verizon ने Salt Typhoon सुरक्षा आकलन रिपोर्ट के सार्वजनिक होने पर रोक लगाई

• अमेरिकी टेलीकॉम कंपनियां AT&T और Verizon Salt Typhoon से जुड़ी सुरक्षा आकलन रिपोर्ट को सार्वजनिक होने से रोक रही हैं
• अमेरिकी सीनेटर ने कहा कि दोनों कंपनियां सरकार की साइबर सुरक्षा जांच के नतीजों को सार्वजनिक करने में बाधा डाल रही हैं
• बताया जाता है कि यह रिपोर्ट चीन से जुड़े हैकिंग समूह Salt Typhoon की गतिविधियों के आकलन पर केंद्रित है
• दोनों टेलीकॉम कंपनियों ने गोपनीयता और सुरक्षा कारणों का हवाला देकर रिपोर्ट जारी करने से इनकार किया है
• यह मामला राष्ट्रीय सुरक्षा और निजी टेलीकॉम इन्फ्रास्ट्रक्चर की पारदर्शिता को लेकर विवाद में बदल गया है

---

Salt Typhoon सुरक्षा आकलन रिपोर्ट के सार्वजनिक होने पर विवाद

• AT&T और Verizon Salt Typhoon से जुड़ी सुरक्षा आकलन रिपोर्ट के सार्वजनिक होने को रोक रहे हैं
  • रिपोर्ट में अमेरिका के टेलीकॉम इन्फ्रास्ट्रक्चर पर साइबर खतरे का आकलन शामिल है
  • यह दस्तावेज़ सरकारी एजेंसियों की जांच के नतीजों के आधार पर तैयार किया गया है
• अमेरिकी सीनेटर ने दोनों कंपनियों की आलोचना करते हुए कहा कि वे जनता के जानने के अधिकार और साइबर सुरक्षा पारदर्शिता को कमजोर कर रही हैं
  • बताया जाता है कि रिपोर्ट में चीन से जुड़े हैकिंग समूह Salt Typhoon की गतिविधियों का विश्लेषण शामिल है
• दोनों कंपनियों ने सुरक्षा कारणों और गोपनीयता बनाए रखने की जिम्मेदारी का हवाला देकर इसे जारी करने से इनकार किया
  • ठोस कानूनी आधार या विस्तृत विवरण सार्वजनिक नहीं किए गए हैं

राजनीतिक और औद्योगिक असर

• यह घटना राष्ट्रीय सुरक्षा और निजी टेलीकॉम कंपनियों की जिम्मेदारी की सीमा को लेकर बहस में फैल गई है
  • सरकार और निजी क्षेत्र के बीच सूचना साझा करने की व्यवस्था पर सवाल उठे हैं
• टेलीकॉम इन्फ्रास्ट्रक्चर की साइबर खतरे से निपटने की व्यवस्था पर्याप्त है या नहीं, इस पर भी सवाल खड़े हुए हैं
  • सुरक्षा आकलन के नतीजों को सार्वजनिक न करना आगे की नीति-चर्चा को प्रभावित कर सकता है
• फिलहाल रिपोर्ट की ठोस सामग्री या इसके सार्वजनिक होने की समय-सारिणी की पुष्टि नहीं हुई है

[GN⁺]

Hacker News की राय

• मैंने पहले 3G data node के lawful intercept फीचर की specification लिखी थी
  मुख्य design principle यह था कि network operations company पर भरोसा न करने वाली architecture हो। ऐसा इसलिए, ताकि कर्मचारियों को organized crime के प्रभाव से बचाया जा सके
  intercept law enforcement की LI console से शुरू होता है, और network operator को इसकी जानकारी नहीं होती। इसे इस तरह design किया गया था कि लगभग 3% traffic तक intercept किया जा सके, और यह logs या admin tools में भी दिखाई न दे
  लेकिन अगर कोई hacker LI console में घुस जाए, तो design के अनुसार बिना detect हुए खास traffic को precision के साथ exfiltrate कर सकता है
  कई vendors LI console software सप्लाई करते हैं और standardized protocols इस्तेमाल होते हैं, इसलिए समस्या होने पर ज़िम्मेदारी तय करना मुश्किल होता है
  • मैं एक बड़े अमेरिकी telecom network operations team में काम करता था, और कुछ engineers call flow analysis के ज़रिए intercept लगे nodes का मोटा अंदाज़ा लगा लेते थे। यह पूरी तरह छिपा हुआ नहीं था
  • LI console आखिर है क्या और यह कहाँ install होती है, यह जानने की जिज्ञासा है
  • क्या आप शायद RAVEN system की बात कर रहे हैं?
• सरकार ने telecom companies पर lawful intercept फीचर अनिवार्य किया, और malicious actors ने उसी सरकार द्वारा अनिवार्य backdoor का दुरुपयोग किया। फिर भी सरकार का security और privacy की बात करना पाखंड है। आखिरकार बेहतर politicians चुनने होंगे
  • मैं पहले security consultant था, और lawful intercept hardware बनाने वाली एक कंपनी के साथ काम किया था। यह ऐसा black-box appliance था जिसे telecom company बस install कर दे तो सरकारी requirements पूरी हो जाती थीं
    लेकिन security testing में केवल customer network की अनुमति थी, product को खुद छूने तक की मनाही थी। अंदरूनी security level देखकर लगता है कि वह appliance बहुत पहले ही compromise हो चुका होगा
  • politicians बदलना ज़रूरी है, लेकिन मूल रूप से यह सरकार की structural problem है
    1. समस्या को गलत समझकर bill propose करना → 2) bill pass हो जाता है लेकिन कई नई समस्याएँ पैदा होती हैं → 3) फिर उन समस्याओं को ठीक करने के वादे के साथ दोबारा चुनाव लड़ना → 4) यही अनंत चक्र चलता रहता है
  • असली मुद्दा backdoor खुद नहीं, बल्कि telco की कमजोर security है। intercept system का कानूनी रूप से मौजूद होना ज़रूरी है, लेकिन बड़े telecom carriers बहुत complex हैं और उनके security controls कमजोर हैं
    ऐसा माहौल state hackers के लिए बड़ा target बनता है, और Salt Typhoon इसका उदाहरण है। भले ही intercept system hack न हुआ हो, अगर call routing या billing system पर कब्ज़ा हो जाए तो भी स्थिति बेहद खतरनाक है
  • मैं इस दावे से सहमत नहीं हूँ कि सरकार privacy का पक्ष ले रही है। हक़ीक़त यह है कि AT&T और Verizon, Mandiant की security assessment report के public release को रोक रहे हैं
  • यह सब अटकलें हैं या पहले से पुष्टि हो चुकी बातें, यह जानना चाहता हूँ
• यह सब 1994 में बने CALEA की वजह से संभव हुआ। आखिर सरकार ने जो intrusion path बनाया, अब उसी का बोझ उसे उठाना पड़ रहा है। अब ऐसे सरकारी अनिवार्य backdoors हटाए जाने चाहिए
• 10 साल पहले जब मैं Verizon में काम करता था, एक external security team audit के लिए आई थी और सिर्फ एक Windows Jenkins console के सहारे 3~4 घंटे में पूरे network पर कब्ज़ा कर लिया था। अंदरूनी security इतनी ढीली थी
• अब हालत यह है कि चीन सहित कई देश और व्यक्ति telecom intercept systems तक पहुँच बना सकते हैं
  विडंबना यह है कि जिनके पास पहुँच नहीं है, वे सिर्फ आम users हैं
  ऐसे systems आखिरकार blackmail collection या राजनीतिक मकसद से न्यायिक छेड़छाड़ में ही काम आते हैं। जबकि encrypted messaging पहले ही व्यापक हो चुकी है, इसलिए ऐसी निगरानी अनावश्यक है
• ऐसी report के public release को रोकना systemic risk management पर बड़ा प्रहार है
  अगर intrusion path सार्वजनिक नहीं होगा, तो दूसरी infrastructure industries पूरी तरह blind बनी रहेंगी। corporate reputation बचाने के चक्कर में collective security की बलि दी जा रही है
  • संबंधित attack vectors पर Cybersecurity Dive interview है
• बिना Datadome script वाला MSN article link और text version link साझा कर रहा हूँ
  (हैरानी की बात है कि Microsoft इसे HTTP पर serve कर रहा है)
  • यह जानना दिलचस्प होगा कि HTTPS से HTTP पर regression क्यों हुआ
• telecom companies नहीं चाहतीं कि उनके बनाए backdoors और उनकी खराब management उजागर हो
  सिर्फ wireless carriers ही नहीं, Comcast, Cox, Charter जैसे home ISPs भी और ज़्यादा अक्षम हैं। मैंने कई कंपनियों में काम करते हुए यह खुद देखा है
• यह घटना इस बात का उदाहरण है कि अमेरिका ने authoritarian policies की नकल करने की कोशिश की और असफल रहा
  security, surveillance और technical capability—तीनों में वह चीन की बराबरी नहीं कर पा रहा, और उल्टा अपनी अंदरूनी संरचना को कमजोर कर रहा है
  आर्थिक कठिनाइयों और बड़े पैमाने की layoffs से होने वाला brain drain तेज़ हो रहा है, और इससे चीन की तकनीकी बढ़त और मज़बूत होती जा रही है
  • मौजूदा स्थिति कुछ ऐसी लगती है मानो Cold War दौर की US-USSR rivalry उलट गई हो