Hükümetin SMS yayıncılık platformu için genel olarak paylaşılan kullanıcı adları ve şifreleri, kötü amaçlı bir kullanıcının resmi makineyi hükümet olarak poz veren kısa mesajları göndermek için kullanabileceği anlamına geliyordu. Haydarabad'daki bir güvenlik araştırması olan Sai Krishna Kothapalli, kamu havuzları ararken kimlik bilgilerini buldu, ancak SMS altyapısındaki ilgisiz bir değişiklik sayesinde bu özel sayının şimdi azaltıldığını söylüyor.
Bir blog yazında, Kothapalli, yazılım geliştirme platformu Github'u araştırmasının bir parçası olarak nasıl aranırken, şüpheli görünen kimlik bilgilerine ulaştığını açıkladı, çünkü proje bir Hintli'ye aitti ve URL'si. Devlet hizmeti.
Telangana hükümeti ile birlikte çalışan Hackrew adlı bir güvenlik şirketinin CEO'su olan Kothapalli, diğer devlet kurumlarıyla birlikte bunu daha da araştırdı ve doğrudan URL'yi ziyaret etmediğini buldu. Bunun yerine, web sitesini ziyaret etmek için ayrıntılara baktı ve gelişmiş bilgisayarın geliştirilmesi merkezi tarafından geliştirilen Ulusal Mobil Yönetişim Girişimi'ne ait olduğunu buldu.
Hizmet, hükümet tarafından her yıl Hint merkez ve devletler tarafından her yıl Hintlilere 600'den fazla crore metin mesajı göndermek için kullanılmıştır. Blogunda Kothapalli, daha sonra çevrimiçi hizmet için belgeleri bulduğunu açıkladı. Hizmete giriş yapmak bir OTP tarafından güvence altına alınmıştır, böylece bu en azından yanlış kullanılamaz.
Bununla birlikte, Kothapalli ayrıca kullanım için üç parametre gerektiren hizmet için bir API buldu - kullanıcı adı, şifre ve gönderen kimliği. Bir kez daha GitHub'da aradı ve kullanıcı adları ve şifreleri bulundu - aslında.
"Bu istekleri yapmak için 30+ kimlik bilgisi ve gerekli ayrıntıyı bulabildim" dedi. "Kesinlikle daha fazlası var." İlginç bir şekilde, bir IP Whitelist gibi bazı güvenlik önlemleri buldu (yalnızca yetkili bir IP adres listesinden bağlanan kullanıcıların doğru kimlik bilgileriyle bile oturum açmak için), ancak test ettiği 15 kimlik bilgilerinden sadece ikisi bu güvenlik özelliğini kullanıyordu. Hükümet örgütleri bu özelliği sistemde yerleşik kullanmış olsaydı, kullanıcı adları ve şifrelerde bile boşaktan yararlanamazdı.
Gadgets 360, bir hafta önce Kothapalli'nin bulgularını paylaşmak ve ajansın konunun farkında olup olmadığını ve şifreleri ve diğer kimlik bilgilerinin GitHub'da paylaşılmasını önlemek için herhangi bir adım attığını sormak için Ulusal Kritik Bilgi Altyapısı Koruma Merkezi (NCIIPC) Ulusal Kritik Bilgi Altyapısı Koruma Merkezi'ne (NCIIPC) yazdı. ancak hiçbir cevap alamadım.
Gönderen Kimliği, örneğin VX-Vicare veya TX-Mytsky gibi bir mesajın nereden geldiğini söyleyen başlıktır. Ya da adhpgovt gibi çok resmi olan bir şey.
Halka açık yüklenen kimlik bilgilerini kullanarak test mesajlarını gösteren bir ekran görüntüsü: Sai Krishna Kothapalli
Bunu kullanarak, Kothapalli API'yi test edebildi ve Himachal Hükümeti ve Seçim Komisyonu olarak poz veren, kendisine mesaj göndermeyi başardı. Bunun gibi bir şeyin kötüye kullanılması potansiyeli oldukça iyidir. Hükümetten gelen görünen görevli görünen mesajlar, herhangi bir kimsenin daha akıllıca olmadan yanlış bilgilendirmeyi yaymak için kullanılmış olabilir.
Kothapalli, "Hindistan'ın Seçim Komisyonu'ndan, Hindistan'ın seçim komisyonundan seçim yapan kişilerin Covid-19 pandemik nedeniyle ertelendiğini hayal edin" yazdı.
Bu özel güvenlik hatası şimdiye kadar düzeltildi, böylece sızdırılmış kimlik bilgileriyle bile, kötüye kullanım potansiyeli artık çok daha az. Kothapalli'ye göre, Şubat ayında kusurları keşfetti, ancak o zamanlar derinlemesine keşfetmedi. Mayıs ayında geri döndüğünde, artık mesaj gönderemediğini buldu.
Bunun nedeni, Hindistan'ın (TRAI) TELECOM yasal makamının Mart ayında tanıttığı temel bir değişimden dolayıdır. O zamanlar, OTP'lerin bankalardan ve diğer kurumlardan gönderilmesine büyük bir bozulmaya neden olmuştu, çünkü mesajları göndermek için bir şablon denilen bir şey yaratmaları gerekiyordu. Yeni Dağıtılmış Dağıtılmış Döndü Teknolojisi (DLT) sistemi, Blockchain tabanlı bir kayıt sistemidir ve 1 Nisan'dan tam olarak uygulanan kurallar, tüm mesajların gönderilmesinin önceden belirlenmiş bir şablonu izlemesini gerektirir.
Kothapalli, "Esasen, Herkes artık yukarıda belirtilen boşlukları kullanarak özel mesajlar gönderemiyor. Trai'nin yeni sistemi bir boşluğun bir parçası olarak sabit olsa da, herkes hala şablon mesajları gönderebilir. Bu, dolandırıcılık ve kötüye kullanım olanaklarını kısıtlar. "
Buna rağmen, kırılganlığın keşfedilmesi için ilk kişi olmayacağını ve bunun daha önce yanlış kullanıldığını kontrol etmenin çok önemli olamayacağını uyardı. "Hükümet, geliştiricilerin kimlik bilgilerini ve diğer sırları GitHub gibi hizmetlere itmemelerini sağlamalıdır. Bu geliştiricilere temel eğitim verilmelidir "dedi. "Ve tasarıma göre, CDAC API'nin IP beyaz listesine izin verdi. Bu yüzden zorlanmalı. "
Bu tavsiye, özel kuruluşlar için de aynı şekilde doğrudur ve geçen yıl, Hindistan Hindistan, Bigbasket, Mobikwik'teki ihlallerin raporları, Bigbasket, Mobikwik'teki ihlallerin raporları ve milyonlarca Hintliyi etkileyen birinin ihlal edildiği ihlallerle tanık olanlardır.
Kaynak: Gadgets 360