विंडोज़ पर एड्रेस स्पेस लेआउट रैंडमाइजेशन का कार्यान्वयन

सीईआरटी के सुरक्षा शोधकर्ताओं ने कहा है कि यदि विंडोज़, विंडोज 8,1 और विंडोज 8 ईएमईटी या विंडोज डिफेंडर एक्सप्लॉयट गार्ड के माध्यम से सिस्टम-व्यापी अनिवार्य एएसएलआर सक्षम है तो हर एप्लिकेशन को सही ढंग से यादृच्छिक करने में विफल रहता है। माइक्रोसॉफ्ट ने यह कहते हुए जवाब दिया है कि माइक्रोसॉफ्ट विंडोज पर एड्रेस स्पेस लेआउट रैंडमाइजेशन (एएसएलआर) का कार्यान्वयन इरादे के रूप में काम कर रहा है। आइए इस मुद्दे पर एक नज़र डालें।

एएसएलआर

एएसएलआर को एड्रेस स्पेस लेआउट रैंडमिसेशन के रूप में विस्तारित किया गया है, इस सुविधा ने विंडोज विस्टा के साथ शुरुआत की और कोड-पुन: उपयोग हमलों को रोकने के लिए डिज़ाइन किया गया है। गैर-अनुमानित पतों पर निष्पादन योग्य मॉड्यूल लोड करके हमलों को रोका जाता है, इस प्रकार हमले को कम करते हैं जो आम तौर पर अनुमानित स्थानों पर रखे गए कोड पर निर्भर करते हैं। एएसएलआर रिटर्न-उन्मुख प्रोग्रामिंग जैसे शोषण तकनीकों का मुकाबला करने के लिए अच्छी तरह से जुड़ा हुआ है जो आम तौर पर अनुमानित स्थान पर लोड होने वाले कोड पर निर्भर करता है। एएसएलआर के प्रमुख डाउनसाइड्स में से एक यह है कि इसे / DYNAMICBASE ध्वज से जोड़ा जाना चाहिए।

उपयोग का दायरा

एएसएलआर ने आवेदन को सुरक्षा प्रदान की, लेकिन यह नहीं हुआ सिस्टम-व्यापी कमजोरियों को कवर करें। वास्तव में, इस कारण से माइक्रोसॉफ्ट ईएमईटी जारी किया गया था। ईएमईटी ने सुनिश्चित किया कि इसमें सिस्टम-व्यापी और अनुप्रयोग-विशिष्ट दोनों उत्सर्जन शामिल हैं। ईएमईटी उपयोगकर्ताओं के लिए फ्रंट एंड की पेशकश करके सिस्टम-व्यापी कमजोरियों के चेहरे के रूप में समाप्त हुआ। हालांकि, विंडोज 10 फॉल क्रिएटर्स से शुरू होने से ईएमईटी फीचर्स को विंडोज डिफेंडर एक्सप्लॉयट गार्ड के साथ बदल दिया गया है।

एएसएलआर दोनों ईएमईटी के लिए अनिवार्य रूप से सक्षम किया जा सकता है, और विंडोज डिफेंडर एक्सप्लॉयट गार्ड उन कोडों के लिए सक्षम है जो / DYNAMICBASE ध्वज से जुड़े नहीं हैं और इसे प्रति-आवेदन आधार या सिस्टम-व्यापी आधार पर लागू किया जा सकता है। इसका अर्थ यह है कि विंडोज स्वचालित रूप से एक अस्थायी स्थानांतरण तालिका में कोड स्थानांतरित कर देगा और इस प्रकार प्रत्येक रीबूट के लिए कोड का नया स्थान अलग होगा। विंडोज 8 से शुरू होने पर, डिज़ाइन में यह अनिवार्य है कि सिस्टम-व्यापी एएसएलआर में अनिवार्य एएसएलआर को एंट्रॉपी की आपूर्ति के लिए सिस्टम-वाइड डाउन-अप एएसएलआर सक्षम होना चाहिए।

समस्या

एएसएलआर हमेशा अधिक प्रभावी होता है एंट्रॉपी अधिक है। एन्ट्रॉपी में बहुत सरल शब्दों में बढ़ोतरी से हमलावर द्वारा खोजी जाने वाली खोज स्थान की संख्या बढ़ जाती है। हालांकि, ईएमईटी और विंडोज डिफेंडर एक्सप्लॉयट गार्ड दोनों सिस्टम-व्यापी एएसएलआर को सिस्टम-व्यापी नीचे एएसएलआर को सक्षम किए बिना सक्षम करते हैं। जब ऐसा होता है तो बिना / DYNMICBASE के कार्यक्रमों को स्थानांतरित किया जाएगा लेकिन बिना किसी एंट्रॉपी के। जैसा कि हमने पहले बताया था कि एंट्रॉपी की अनुपस्थिति इसे हमलावरों के लिए अपेक्षाकृत आसान बनाती है क्योंकि कार्यक्रम हर बार एक ही पते को रीबूट करेगा।

यह समस्या वर्तमान में विंडोज 8, विंडोज 8.1 और विंडोज 10 को प्रभावित कर रही है जिसमें सिस्टम-व्यापी एएसएलआर सक्षम है विंडोज डिफेंडर एक्सप्लॉयट गार्ड या ईएमईटी के माध्यम से। चूंकि पता स्थानान्तरण प्रकृति में गैर-डायनामिकबेस है, इसलिए यह आमतौर पर एएसएलआर के लाभ को ओवरराइड करता है।

माइक्रोसॉफ्ट को क्या कहना है

माइक्रोसॉफ्ट तेजी से रहा है और पहले से ही एक बयान जारी कर चुका है। माइक्रोसॉफ्ट के लोगों को यही कहना था,

"अनिवार्य एएसएलआर का व्यवहार जो सीईआरटी मनाया गया है वह डिजाइन द्वारा है और एएसएलआर इरादे से काम कर रहा है। डब्लूडीईजी टीम कॉन्फ़िगरेशन समस्या की जांच कर रही है जो नीचे-नीचे एएसएलआर की सिस्टम-व्यापी सक्षमता को रोकती है और तदनुसार इसे संबोधित करने के लिए काम कर रही है। यह समस्या अतिरिक्त जोखिम नहीं बनाती है क्योंकि यह केवल तब होता है जब Windows के मौजूदा संस्करणों में गैर-डिफ़ॉल्ट कॉन्फ़िगरेशन लागू करने का प्रयास किया जाता है। फिर भी, प्रभावी सुरक्षा मुद्रा डिफ़ॉल्ट रूप से प्रदान की गई चीज़ों से भी बदतर नहीं है और यह इस पोस्ट में वर्णित चरणों के माध्यम से इस मुद्दे के आसपास काम करने के लिए सीधा है "

उन्होंने विशेष रूप से उन वर्कअराउंड का विस्तृत विवरण दिया है जो वांछित स्तर को प्राप्त करने में मदद करेंगे सुरक्षा का उन लोगों के लिए दो कामकाज हैं जो अनिवार्य एएसएलआर और नीचे-अप यादृच्छिकरण को उन प्रक्रियाओं के लिए सक्षम करना चाहते हैं जिनके EXE ने एएसएलआर में ऑप्ट-इन नहीं किया था।

1] optin.reg में निम्नलिखित को सहेजें और इसे अनिवार्य एएसएलआर और नीचे-अप यादृच्छिकरण प्रणाली-व्यापी सक्षम करने के लिए आयात करें।

विंडोज रजिस्ट्री संपादक संस्करण 5.00 [HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Control सत्र प्रबंधक कर्नेल] "MitigationOptions" = हेक्स: 00,01,01,00,00,00,00,00,00,00,00,00,00,00,00,00

2] प्रोग्राम के माध्यम से अनिवार्य एएसएलआर और तल-अप यादृच्छिकरण सक्षम करें- WDEG या EMET का उपयोग करके विशिष्ट कॉन्फ़िगरेशन।

माइक्रोसॉफ्ट ने कहा - यह समस्या अतिरिक्त जोखिम नहीं बनाती है क्योंकि यह केवल तब होता है जब Windows के मौजूदा संस्करणों में गैर-डिफ़ॉल्ट कॉन्फ़िगरेशन लागू करने का प्रयास किया जाता है।