TENET: Telegram Mini App (in)security
यह शोध पत्र TENET को प्रस्तुत करता है, जो एक विशेष ऑडिटिंग टूल है जो टेलीग्राम मिनी ऐप्स में व्यापक सुरक्षा कमजोरियों को उजागर करता है—जैसे कि टेलीग्राम के आधिकारिक वॉलेट सहित संवेदनशील क्रेडेंशियल्स का प्लेनटेक्स्ट स्टोरेज—और यह प्रदर्शित करता है कि कैसे इन खामियों के कारण जिम्मेदार प्रकटीकरण (responsible disclosure) के बाद प्लेटफॉर्म को नए सुरक्षित-स्टोरेज API लागू करने पड़े।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, कई लोग केवल बात करने के लिए ही नहीं, बल्कि अपने पैसे का प्रबंधन करने के लिए भी मैसेजिंग ऐप्स पर भरोसा करते हैं। ये ऐप्स ऐसे पारिस्थितिक तंत्र (ecosystems) में विकसित हो गए हैं जहाँ मुख्य एप्लिकेशन के भीतर छोटे, विशिष्ट प्रोग्राम रहते हैं, जो उपयोगकर्ताओं को मुख्य चैट इंटरफ़ेस को छोड़े बिना क्रिप्टोकरेंसी का व्यापार करने, गेम खेलने या निवेश प्रबंधित करने की अनुमति देते हैं। ये प्रोग्राम, जिन्हें मिनी ऐप्स (Mini Apps) कहा जाता है, छोटे वेब-साइटों की तरह कार्य करते हैं जो सीधे मैसेजिंग सॉफ़्टवेयर के भीतर चलते हैं। हालांकि यह एकीकरण अत्यधिक सुविधा प्रदान करता है, लेकिन यह एक जटिल सुरक्षा चुनौती भी पैदा करता है। जिस प्रकार एक भौतिक वॉलेट को नकदी सुरक्षित रखने के लिए एक ताले की आवश्यकता होती है, उसी प्रकार डिजिटल वॉलेट को उन गुप्त कोडों को सुरक्षित रखने के लिए मजबूत एन्क्रिप्शन की आवश्यकता होती है जो धन तक पहुंच प्रदान करते हैं। जो कोड इन कोडों को इस तरह से संग्रहीत करते हैं कि उन्हें आसानी से पढ़ा या कॉपी किया जा सके, यदि वे इस तरह से संग्रहीत होते हैं, तो पूरे सिस्टम की सुरक्षा खतरे में पड़ जाती है। शोधकर्ता यह सवाल पूछते हैं कि क्या ये सुविधाजनक, एकीकृत उपकरण वास्तव में उपयोगकर्ता के पैसे को सुरक्षित रख रहे हैं, या क्या वे तिजोरी की चाबियाँ सामने के बरामचे पर छोड़ रहे हैं।
किंग अब्दुल्ला यूनिवर्सिटी ऑफ साइंस एंड टेक्नोलॉजी के शोधकर्ताओं की एक टीम और आर्टिफिशियली (Artificialy) नामक एक स्विस कंपनी ने टेलीग्राम मैसेजिंग प्लेटफॉर्म के भीतर इस सटीक समस्या की जांच करने का निर्णय लिया। टेलीग्राम, जिसमें 450 मिलियन से अधिक दैनिक सक्रिय उपयोगकर्ता हैं, इन मिनी ऐप्स के लिए एक प्रमुख केंद्र बन गया है। शोधकर्ताओं ने इस बात पर ध्यान केंद्रित किया कि ये एप्लिकेशन उपयोगकर्ता के डिवाइस पर संवेदनशील जानकारी को कैसे संग्रहीत करते हैं। वे विशेष रूप रूप से वित्तीय डेटा को लेकर चिंतित थे, जैसे कि क्रिप्टोकरेंसी वॉलेट को रिकवर करने के लिए उपयोग किए जाने वाले गुप्त वाक्यांश (secret phrases) और वे डिजिटल टोकन जो उपयोगकर्ता को लॉग इन रखते हैं। उनके अन्वेषण ने एक व्यापक और खतरनाक पैटर्न का खुलासा किया: कई एप्लिकेशन महत्वपूर्ण सुरक्षा रहस्यों को 'प्लेन टेक्स्ट' (plain text) में सहेज रहे थे, जिसका अर्थ है कि डेटा को बिना किसी सुरक्षात्मक एन्क्रिप्शन के ठीक वैसे ही संग्रहीत किया गया था जैसा कि वह लिखा गया था। यह अभ्यास जानकारी को किसी के लिए भी असुरक्षित बना देता है जो उपयोगकर्ता के डिवाइस तक पहुंच सकता है, चाहे वह चोरी हुआ लैपटॉप हो, कोई दुर्भावनापूर्ण सॉफ़्टवेयर प्रोग्राम हो, या फोन का अस्थायी हस्तांतरण ही क्यों न हो।
इस मुद्दे की व्यापकता को उजागर करने के लिए, शोधकर्ताओं ने TENET नामक एक विशेष ऑडिटिंग टूल विकसित किया। इस टूल को डिवाइस के लोकल स्टोरेज को स्कैन करने के लिए डिज़ाइन किया गया था, जो पासवर्ड, डिजिटल कुंजियों या सत्र टोकन (session tokens) जैसे रहस्यों की उपस्थिति का संकेत देने वाले विशिष्ट पैटर्न की तलाश करता है। टूल को इस गहरी समझ के साथ बनाया गया था कि ये रहस्य कैसे संरचित होते हैं, जिससे यह हानिरहित टेक्स्ट और खतरनाक डेटा के बीच अंतर कर सके। शोधकर्ताओं ने मिनी ऐप्स के एक बड़े नमूने की जांच करने के लिए TENET का उपयोग किया, और उन्हें उनकी लोकप्रियता और उनकी वित्तीय गतिविधियों पर उनके फोकस के आधार पर चुना। उन्होंने गेम से लेकर जटिल वित्तीय उपकरणों तक 61 विभिन्न अनुप्रयोगों की जांच की, और सफलतापूर्वक 37 का विश्लेषण किया। परिणाम चौंकाने वाले थे: उनके द्वारा विश्लेषित 37 में से 30 ऐप्स में महत्वपूर्ण सुरक्षा खामियां पाई गईं।
ये खामियां गंभीरता के तीन अलग-अलग श्रेणियों में विभाजित थीं। सबसे गंभीर मुद्दों में वे ऐप्स शामिल थे जो गुप्त रिकवरी वाक्यांश या प्राइवेट कीज़ (private keys) को प्लेन टेक्स्ट में संग्रहीत करते थे। इन मामलों में, यदि किसी हमलावर ने डिवाइस तक पहुंच प्राप्त कर ली, तो वह बस फ़ाइल को कॉपी कर सकता था और तुरंत उपयोगकर्ता की पूरी क्रिप्टोकरेंसी संपत्ति पर नियंत्रण पा सकता था। दूसरी श्रेणी में वे ऐप्स शामिल थे जो एन्क्रिप्शन का उपयोग तो करते थे, लेकिन उस एन्क्रिप्शन को अनलॉक करने के लिए आवश्यक कुंजियों को लॉक किए गए डेटा के ठीक बगल में ही संग्रहीत करते थे। यह एक तिजोरी को लॉक करने के समान है लेकिन उसके संयोजन (combination) को दरवाजे पर ही लिख देने जैसा है; सुरक्षा एक भ्रम है क्योंकि कुंजी आसानी से उपलब्ध है। तीसरी श्रेणी में वे ऐप्स शामिल थे जो सत्र टोकन (session tokens) संग्रहीत करते थे, जो डिजिटल बैज की तरह होते हैं जो यह प्रमाणित करते हैं कि उपयोगकर्ता लॉग इन है। यदि कोई हमलावर इन टोकनों को चुरा लेता है, तो वह उपयोगकर्ता का रूप धारण कर सकता है और उनके पासवर्ड को जाने बिना ही उनके खाते पर कब्जा कर सकता है।
शायद सबसे चिंताजनक खोज यह थी कि टेलीग्राम का अपना आधिकारिक वॉलेट एप्लिकेशन, जिसका उपयोग 10 करोड़ से अधिक लोग करते हैं, उसमें भी एक महत्वपूर्ण रिकवरी वाक्यांश प्लेन टेक्स्ट में पाया गया। इसका अर्थ यह था कि उपयोगकर्ता की पूरी वित्तीय पहचान केवल उनके डिवाइस की स्टोरेज फाइलों तक पहुंच बनाकर खतरे में डाली जा सकती थी। शोधकर्ताओं ने प्रदर्शित किया कि इस भेद्यता (vulnerability) का वास्तविक परिदृश्यों में फायदा उठाया जा सकता है। उदाहरण के लिए, कंप्यूटर से डेटा चुराने वाला सामान्य मैलवेयर आसानी से इन अनएन्क्रिप्टेड फाइलों को पकड़ सकता है। उन्होंने यह भी दिखाया कि एक दुर्भावनापूर्ण दस्तावेज़, जैसे कि ईमेल के माध्यम से भेजी गई स्प्रेडशीट, उपयोगकर्ता को ऐसा कोड चलाने के लिए धोखा दे सकती है जो चुपचाप पूरे स्टोरेज फोल्डर की प्रतिलिपि बनाता है और उसे रिमोट सर्वर पर भेज देता है, और यह सब उपयोगकर्ता को पता चले बिना होता है।
शोधकर्ताओं ने केवल समस्याओं की पहचान ही नहीं की; उन्होंने यह भी प्रदर्शित किया कि उन्हें कैसे ठीक किया जा सकता है। प्रभावित ऐप्स और टेलीग्राम को उनके निष्कर्षों की जिम्मेदारी से रिपोर्ट करने के बाद, प्लेटफॉर्म ने दो नए सुरक्षा फीचर्स पेश करके प्रतिक्रिया दी। ये नए उपकरण डेवलपर्स को संवेदनशील डेटा को इस तरह से संग्रहीत करने की अनुमति देते हैं जो स्वयं ऑपरेटिंग सिस्टम द्वारा एन्क्रिप्टेड होता है, जिससे यह अनधिकृत प्रोग्रामों के लिए अप्राप्य हो जाता है। शोधकर्ताओं ने सत्यापित किया कि टेलीग्राम के आधिकारिक वॉलेट को इन नए सुरक्षित तरीकों का उपयोग करने के लिए अपडेट किया गया था, और रिकवरी वाक्यांश अब इस तरह से संग्रहीत नहीं था जिसे आसानी से पढ़ा जा सके। इसने पुष्टि की कि भेद्यता वास्तविक थी और एक व्यावहारिक समाधान मौजूद था।
यह अध्ययन आधुनिक मैसेजिंग इकोसिस्टम की सुरक्षा में एक महत्वपूर्ण अंतराल को उजागर करता है। जबकि मैसेजिंग प्लेटफॉर्म स्वयं सुरक्षित हो सकता है, इसके भीतर चलने वाले एप्लिकेशन अक्सर डेवलपर्स पर अपनी सुरक्षा उपाय लागू करने के लिए निर्भर करते हैं, और उनमें से कई ऐसा करने में विफल रहे हैं। शोधकर्ताओं ने पाया कि उनके द्वारा परीक्षण किए गए असुरक्षित ऐप्स में से अधिकांश क्रिप्टोकरेंसी से संबंधित थे, जो एक ऐसा क्षेत्र है जहाँ वित्तीय हानि स्थायी और अपरिवर्तनीय होती है। एक बैंक खाते के विपरीत जहाँ चोरी हुए क्रेडिट कार्ड को रद्द किया जा सकता है, एक चोरी हुए क्रिप्टोकरेंसी वॉलेट का अर्थ अक्सर यह होता है कि धन हमेशा के लिए चला गया है। यह कार्य एक स्पष्ट चेतावनी के रूप में कार्य करता है कि सुविधा को सुरक्षा की कीमत पर नहीं आना चाहिए, और डिजिटल संपत्ति को प्रबंधित करने के लिए उपयोग किए जाने वाले उपकरणों को सुरक्षा के उच्चतम मानकों को पूरा करना चाहिए। इन कमजोरियों को उजागर करके और उन्हें ठीक करने का मार्ग प्रदान करके, शोधकर्ताओं ने उन लाखों उपयोगकर्ताओं की डिजिटल संपत्तियों को सुरक्षित करने में मदद की है जो प्रतिदिन इन एकीकृत अनुप्रयोगों पर भरोसा करते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।