एसएसएल दोष को ट्विटर पर हैक करने के लिए इस्तेमाल किया जा सकता था

आईबीएम सुरक्षा शोधकर्ता के मुताबिक इंटरनेट पर संचार सुरक्षित करने के लिए इस्तेमाल प्रोटोकॉल में एक दोष का इस्तेमाल ट्विटर खातों को हैक करने के लिए किया जा सकता था।

पिछले हफ्ते अनिल कुरमुस ने दिखाया कि एसएसएल (सिक्योर सॉकेट लेयर) प्रोटोकॉल में कोई दोष कैसे हो सकता है अनिवार्य रूप से उन पीड़ित संदेशों को भेजने में पीड़ितों को धोखा देने के लिए प्रयोग किया जाता था जिनमें उनकी पासवर्ड जानकारी थी। दोष का शोषण करने के लिए, एक हैकर को पीड़ित के नेटवर्क पर जाने के लिए सबसे पहले रास्ता तलाशना होगा, जिसे मैन-इन-द-बीच हमले के रूप में जाना जाता है, इसलिए बड़ी संख्या में ट्विटर उपयोगकर्ताओं को प्रभावित करना मुश्किल होगा यह तकनीक इस मुद्दे को जल्द ही ट्विटर द्वारा पैच किया गया था, लेकिन इसमें सुरक्षा विशेषज्ञों का आश्चर्य है कि ऐसी वेबसाइट से कितनी वेबसाइटें पीड़ित हो सकती हैं।

इंटरनेट कंपनियों की एक संघ ने 5 नवंबर से एसएसएल मुद्दे को ठीक करने के लिए scrambled किया है, जब यह अनजाने में बनाया गया था एक चर्चा सूची पर जनता। लेकिन दोष की गंभीरता के बारे में कुछ बहस हुई है। बग सार्वजनिक होने के कुछ ही समय बाद, आईबीएम शोधकर्ता टॉम क्रॉस ने कहा कि, अधिकांश भाग के लिए, प्रमुख वेब अनुप्रयोग इस मुद्दे से प्रभावित नहीं होंगे।

[आगे पढ़ें: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

लेकिन क्रॉस ने अपने दिमाग को बदल दिया, लिखते हुए: "दुर्भाग्य से, स्थिति मैंने सोचा से भी बदतर है।"

विशेष रूप से वेबमेल अनुप्रयोगों को भी इस हमले से जोखिम हो सकता है। और सुरक्षा विशेषज्ञों को यह भी चिंता है कि अन्य अनुप्रयोगों - डेटाबेस, उदाहरण के लिए - जोखिम में हो सकते हैं।

ट्विटर.com बग के लिए अतिसंवेदनशील था क्योंकि ऐसा एसएसएल के तहत क्लाइंट रीनेगोसिएशन कहा जाता था। क्लाइंट रीनेगोसिएशन वेब साइट को ट्विटर उपयोगकर्ता को एसएसएल प्रमाण पत्र के लिए पूछने का एक तरीका देता है जब उपयोगकर्ता पहले से साइट से कनेक्ट हो जाता है। यह उन साइटों के लिए एक उपयोगी टूल है जो उपयोगकर्ताओं को स्मार्ट कार्ड या उन साइटों के लिए लॉग ऑन करने देते हैं जो पूर्वनिर्धारित वेब सर्फर के चयन समूह तक पहुंच प्रतिबंधित करते हैं, लेकिन जब तक दोष ठीक नहीं हो जाता है, क्लाइंट रीनेगोएशन भी एसएसएल हमलों के लिए दरवाजा खोलता है।

वहां संभवतः ट्विटर जैसी कई साइटें हैं जो क्लाइंट रीनेगोसिएशन को बस अनुमति देती हैं क्योंकि यह एसएसएल प्रोटोकॉल और इसके उत्तराधिकारी, टीएलएस (ट्रांसपोर्ट लेयर सिक्योरिटी) में बनाई गई है, इस मुद्दे की खोज करने वाले फोनफैक्टर डेवलपर्स में से एक मार्श रे ने कहा। उन्होंने कहा, "बहुत से लोगों को यह नहीं पता था कि वे इसे कर रहे थे।"

अच्छी खबर यह है कि कई साइटें इसे सीधे अक्षम कर सकती हैं, जो स्पष्ट रूप से ट्विटर ने किया है। ट्विटर ने इस कहानी पर टिप्पणी करने के लिए एक संदेश का जवाब नहीं दिया।

रे के मुताबिक, लोगों को यह महसूस करना चाहिए कि एसएसएल दोष दोषपूर्ण नहीं है, "यह एक गंभीर बग है और लोगों को इसे पकड़ने की जरूरत है।"