Cleaning the NTP Pool: Detecting and Mitigating NTP-Sourced IPv6 Scanning
यह शोध पत्र उन NTP पूल सर्वरों का पता लगाने और उनका लक्षण वर्णन करने की एक कार्यप्रणाली प्रस्तुत करता है जो टोही और स्कैनिंग के लिए सक्रिय IPv6 क्लाइंट पतों को एकत्र करते हैं, जिससे 22 दुर्भावनापूर्ण सर्वरों की पहचान हुई और संबंधित संस्थाओं द्वारा बाद में नीतिगत परिवर्तन किए गए।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरा शहर है जहाँ हर उपकरण का एक अनूठा पता है, जैसे कि घर का नंबर। इस शहर के पुराने संस्करण (IPv4) में, सड़कें भीड़भाड़ वाली थीं, और किसी के लिए भी हर ब्लॉक में घूमना, हर दरवाजे पर दस्तक देना और यह देखना आसान था कि कौन घर पर है। लेकिन इस शहर के नए, विशाल विस्तार (IPv6) में, सड़कें इतनी लंबी हैं और घर के नंबर इतने रैंडम और लगातार बदलते रहते हैं कि केवल अनुमान लगाकर किसी को ढूँढना लगभग असंभव है। आपको एक ऐसे मानचित्र की आवश्यकता होगी जो हर सेकंड अपडेट होता हो।
अपनी घड़ियों को सिंक्रोनाइज़ रखने के लिए, इस शहर के अधिकांश उपकरण केवल समय का अनुमान नहीं लगाते; वे एक केंद्रीय समयपाल (timekeeper) से पूछते हैं जिसे NTP पूल कहा जाता है। NTP पूल को एक विशाल, स्वयंसेवक द्वारा संचालित क्लॉक टॉवर के रूप में सोचें जहाँ कोई भी अपनी घड़ी स्थापित कर सकता है और पड़ोस को समय दे सकता है। क्योंकि यह बहुत लोकप्रिय है, लाखों उपकरण हर दिन इन घड़ियों से समय पूछते हैं। पेच यह है कि जब कोई उपकरण समय पूछता है, तो उसे अपना "घर का नंबर" (IP एड्रेस) दिखाना पड़ता है ताकि क्लॉक को पता चल सके कि उत्तर कहाँ भेजना है। यह शोध पत्र इस बारे में है कि कैसे कुछ लोग इन स्वयंसेवक घड़ियों का उपयोग केवल समय बताने के लिए नहीं, बल्कि गुप्त रूप से उन लोगों के घर के नंबर लिखने के लिए कर रहे हैं जो वहां आते हैं, और फिर उस सूची का उपयोग उन दरवाजों पर दस्तक देने के लिए करते हैं जिन्हें वे अन्यथा नहीं ढूंढ पाते।
द क्लॉक टॉवर हाइस्ट (घड़ी के टॉवर की डकैती)
इस अध्ययन में, शोधकर्ताओं एरिक राये और रॉबर्ट बेवर्ली ने एक अजीब घटना की जांच करने का निर्णय लिया जिसे उन्होंने "बैक-स्कैनिंग" (back-scanning) कहा। उन्हें संदेह था कि NTP पूल के कुछ स्वयंसेवक क्लॉक वास्तव में जासूसों की तरह काम कर रहे थे। यह चाल इस प्रकार काम करती है: एक उपकरण घड़ी से समय पूछता है। घड़ी उस उपकरण का पता देखती है, उसे लिख लेती है, और फिर—केवल समय वापस भेजने के बजाय—उस पते पर प्रोब (जांच) भेजना शुरू कर देती है ताकि यह देखा जा सके कि उस पर कौन सी सेवाएँ चल रही हैं। यह एक मिलनसार बेकर की तरह है जो, आपके समय पूछने के बाद, चुपके से यह जाँचने लगता है कि क्या आपके घर में ताला लगा है, सुरक्षा कैमरा है, या कोई गुप्त तिजोरी है, और यह सब इसलिए करता है क्योंकि आप उसकी दुकान में आए थे।
इन जासूसों को पकड़ने के लिए, शोधकर्ताओं ने एक चतुर जाल बनाया। उन्होंने एक विशेष "प्रोबर" कंप्यूटर बनाया जिसने NTP पूल क्लॉक्स को हजारों अनुरोध भेजे। लेकिन यहाँ जादू है: प्रत्येक अनुरोध एक बिल्कुल नए, नकली, एक बार उपयोग होने वाले घर के नंबर (जिसे "नॉन्स" कहा जाता है) से आया था। ये नंबर रैंडम थे और दोबारा कभी उपयोग नहीं किए गए। शोधकर्ताओं ने फिर यह देखने के लिए प्रतीक्षा की कि क्या कोई इन नकली घरों के दरवाजे पर दस्तक देगा।
यदि कोई घड़ी केवल अपना काम कर रही होती, तो वह नकली घर के नंबर के साथ समय का उत्तर देती और उसे भूल जाती। लेकिन यदि कोई घड़ी जासूस होती, तो वह उस नकली नंबर को लिख लेती और बाद में उस नंबर पर प्रोब भेजती। चूंकि वह नकली घर वास्तव में मौजूद नहीं था, इसलिए एक प्रोब का उस तक पहुँचना तभी संभव था यदि घड़ी (या उससे जुड़ा कोई व्यक्ति) ने उस नंबर को सहेज लिया था और सक्रिय रूप से उसकी तलाश कर रहा था।
उन्हें क्या मिला
एक वर्ष की अवधि के दौरान, शोधकर्ताओं ने 2,335 अलग-अलग NTP सर्वरों को लगभग 2.45 मिलियन ऐसे नकली अनुरोध भेजे। उन्होंने पाया कि 22 सर्वर वास्तव में जासूसों की तरह काम कर रहे थे। ये 22 सर्वर व्यवहार के चार अलग-अलग "क्लस्टर्स" में बँटे हुए थे:
- द लाइट टचर्स (हल्की दस्तक देने वाले): सर्वरों के एक समूह ने मुख्य रूप से नकली पतों पर एक सिंगल "पिंग" (यह देखने के लिए एक बुनियादी जाँच कि डिवाइस जीवित है या नहीं) भेजा। वे जिज्ञासु थे लेकिन गहराई तक नहीं उतरे।
- द हेवी हिटर्स (बड़े खिलाड़ी): सबसे सक्रिय समूह, जिसे शोधकर्ताओं ने क्लस्टर 2 नाम दिया, एक बड़ा ऑपरेशन था। उन्होंने पते एकत्र करने के लिए 8 NTP सर्वरों का उपयोग किया, लेकिन फिर एक बड़ा स्कैनिंग अभियान चलाया जिसमें दरवाज़ों पर दस्तक देने के लिए 3,000 से अधिक अलग-अलग IP पतों का उपयोग किया गया। उन्होंने केवल यह नहीं देखा कि दरवाज़ा खुला है या नहीं; उन्होंने 572 अलग-अलग प्रकार के तालों (TCP पोर्ट्स) और 9 अलग-अलग प्रकार की चाबियों (UDP पोर्ट्स) को आज़माया। वे वेब सर्वर, रिमोट कंट्रोल टूल्स और डेटाबेस जैसी विशिष्ट चीजों की तलाश कर रहे थे।
- द लोन वुल्व्स (अकेले भेड़िये): दो अन्य समूह बहुत छोटे थे, जिनमें से प्रत्येक में केवल एक सर्वर था, लेकिन वे अभी भी स्कैनिंग कर रहे थे। एक ने पिंग भेजा, और दूसरे ने एक विशिष्ट एंड्रॉइड डिबगिंग पोर्ट तक पहुँचने की कोशिश की।
शोधकर्ताओं ने समय के संबंध में कुछ दिलचस्प देखा। "लाइट टचर्स" के लिए, एक नया पता देखने के बाद स्कैनिंग शुरू करने में औसतन लगभग 14 घंटे लगे। "हेवी हिटर्स" को थोड़ा अधिक समय लगा, लगभग 22 घंटे, लेकिन एक बार शुरू होने के बाद, वे रुके नहीं। इनमें से कुछ स्कैन एक महीने से अधिक समय तक चले, बार-बार उन्हीं पतों की जाँच करते रहे।
"क्यों" और "कौन"
शोधकर्ताओं ने सबसे बड़े स्कैनिंग समूह (क्लस्टर 2) के मालिक का पता लगाया। यह पता चला कि वह एक साइबर सुरक्षा बीमा फर्म थी। जब शोधकर्ताओं ने उनसे पूछा, तो फर्म ने स्पष्टता दिखाई: उन्होंने स्वीकार किया कि वे विशेष रूप से सक्रिय IPv6 पते जानने के लिए NTP पूल का उपयोग "बैक-स्कैनिंग" के उद्देश्य से कर रहे थे। उन्होंने दावा किया कि उन्होंने ऐसा "रक्षात्मक उद्देश्यों" के लिए किया, विशेष रूप से अपने बीमा ग्राहकों के लिए जोखिम की गणना करने में मदद करने के लिए। उनका तर्क था कि बाहर कौन से उपकरण मौजूद हैं, यह जानने से उन्हें खतरे के परिदृश्य को समझने में मदद मिलती है।
हालाँकि, शोधकर्ताओं ने एक बड़ी समस्या की ओर इशारा किया: जिन उपकरणों को स्कैन किया जा रहा था, उन्हें पता ही नहीं था कि ऐसा हो रहा है। इनमें से अधिकांश उपकरण छोटे, एम्बेडेड गैजेट्स (जैसे स्मार्ट थर्मोस्टेट या IoT सेंसर) हैं जो स्वचालित रूप से समय के लिए NTP पूल से पूछते हैं। उन्होंने कभी भी स्कैन किए जाने की सहमति नहीं दी। इसके अलावा, स्कैनिंग फर्म क्लाउड सर्वरों के मिश्रण का उपयोग कर रही थी जिन्हें पहचानना कठिन था। जबकि फर्म ने स्वीकार किया कि उनके स्कैनिंग इंफ्रास्ट्रक्चर का लगभग 40% पहचान रिकॉर्ड (rDNS) की कमी से जूझ रहा था और दावा किया कि उन्होंने उन विशिष्ट प्रविष्टियों को ठीक कर दिया है, उन्होंने अपने NTP सर्वरों पर पहचान रिकॉर्ड नहीं जोड़े। इसके अतिरिक्त, न तो उनके NTP सर्वर और न ही उनके स्कैनिंग सर्वर यह समझाने के लिए कोई वेबपेज होस्ट करते हैं कि वे कौन हैं या इससे बाहर निकलने (opt out) का विकल्प क्या है, हालांकि उनके डोमेन पर एक रीडायरेक्ट कुछ जानकारी प्रदान करता है।
परिणाम
इस खोज ने इंटरनेट नैतिकता के एक "ग्रे एरिया" (धुंधले क्षेत्र) को उजागर किया। हालाँकि किसी के दरवाजे पर यह देखने के लिए दस्तक देना कि क्या कोई घर पर है, आमतौर पर अपराध नहीं है, लेकिन उन पतों को खोजने के लिए एक चाल का उपयोग करना जो छिपे रहने के लिए थे, नैतिक रूप से संदिग्ध है। शोधकर्ताओं ने केवल समस्या को इंगित नहीं किया; उन्होंने इसे ठीक करने के लिए NTP पूल प्रशासकों के साथ काम करना शुरू कर दिया है।
वे वर्तमान में एक प्रणाली बना रहे हैं जो उनके पता लगाने के तरीके को सीधे NTP पूल की स्कोरिंग प्रणाली में एकीकृत करेगी। भविष्य में, यदि कोई स्वयंसेवक क्लॉक सर्वर "बैक-स्कैनिंग" करते हुए पकड़ा जाता है, तो सिस्टम स्वचालित रूप से उसका स्कोर कम कर देगा, जिसका अर्थ है कि उसे ट्रैफ़िक मिलना बंद हो जाएगा और अंततः उसे पूल से बाहर कर दिया जाएगा। शोधकर्ताओं ने बुरे तत्वों की एक सूची भी NTP पूल के साथ साझा की, और शामिल बीमा फर्म ने अपने स्कैनिंग सर्वरों पर लापता पहचान रिकॉर्ड को ठीक करके अपने संचालन को अधिक पारदर्शी बनाने के लिए सहमति दी, हालांकि NTP सर्वर अभी भी अज्ञात हैं।
निष्कर्ष
यह शोध पत्र दिखाता है कि भले ही दुनिया में उपकरणों को ढूँढना कठिन होना चाहिए, लेकिन सिस्टम को धोखा देने के चतुर तरीके मौजूद हैं। एक स्वयंसेवक समय सेवा पर रखे गए भरोसे का उपयोग करके, कुछ संस्थाएं इंटरनेट के सबसे मायावी उपकरणों का मानचित्र बनाने में सक्षम रहीं। अध्ययन बताता है कि भले ही ये स्कैन सुरक्षा या बीमा के लिए इच्छित हों, लेकिन वे डिवाइस मालिकों की सहमति का उल्लंघन करते हैं। समाधान NTP पूल को बंद करना नहीं है, बल्कि इसे स्मार्ट बनाना है, यह सुनिश्चित करना कि स्वयंसेवक घड़ियाँ केवल—घड़ियाँ ही रहें—और गुप्त जासूस नहीं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।