বার্ষিক পনি অ্যাওয়ার্ডস ২০২০-এর বিজয়ীদের নাম ঘোষণা করা হয়েছে। এটি একটি উল্লেখযোগ্য অনুষ্ঠান, যেখানে অংশগ্রহণকারীরা কম্পিউটার নিরাপত্তা ক্ষেত্রের সবচেয়ে গুরুত্বপূর্ণ দুর্বলতা এবং অযৌক্তিক ত্রুটিগুলো তুলে ধরেন।
পনি অ্যাওয়ার্ডস তথ্য নিরাপত্তা ক্ষেত্রে উৎকর্ষ এবং অযোগ্যতা উভয়কেই স্বীকৃতি দেয়। তথ্য নিরাপত্তা কমিউনিটি থেকে সংগৃহীত মনোনয়ন থেকে নিরাপত্তা শিল্পের পেশাদারদের একটি কমিটি বিজয়ীদের নির্বাচন করে।
বিজয়ীদের তালিকা
সেরা প্রিভিলেজ এসকেলেশন ভালনারেবিলিটি : এই পুরস্কারটি কোয়ালিসকে `sudo` ইউটিলিটিতে CVE-2021-3156 ভালনারেবিলিটিটি শনাক্ত করার জন্য দেওয়া হয়েছিল , যা ব্যবহারকারীদের রুট প্রিভিলেজ অর্জন করতে সক্ষম করে। ভালনারেবিলিটিটি প্রায় ১০ বছর ধরে কোডে বিদ্যমান ছিল এবং এটি উল্লেখযোগ্য কারণ এটি শনাক্ত করার জন্য ইউটিলিটিটির লজিকের পুঙ্খানুপুঙ্খ বিশ্লেষণের প্রয়োজন হয়েছিল।
সেরা সার্ভার দুর্বলতা: একটি নেটওয়ার্ক পরিষেবার সবচেয়ে প্রযুক্তিগতভাবে জটিল এবং আকর্ষণীয় দুর্বলতা শনাক্ত ও কাজে লাগানোর জন্য এই পুরস্কারটি দেওয়া হয়। মাইক্রোসফ্ট এক্সচেঞ্জ-এর বিরুদ্ধে একটি নতুন অ্যাটাক ভেক্টর শনাক্ত করার জন্য এই পুরস্কারটি প্রদান করা হয় । এই ধরনের সমস্ত দুর্বলতার তথ্য প্রকাশ করা হয়নি, তবে CVE-2021-26855 (ProxyLogon) সম্পর্কে তথ্য ইতোমধ্যে প্রকাশ করা হয়েছে, যা প্রমাণীকরণ ছাড়াই যেকোনো ব্যবহারকারীর কাছ থেকে ডেটা পুনরুদ্ধার করার সুযোগ দেয়, এবং CVE-2021-27065 সম্পর্কেও তথ্য প্রকাশ করা হয়েছে, যা অ্যাডমিনিস্ট্রেটর সুবিধা সহ একটি সার্ভারে আপনার কোড কার্যকর করার সুযোগ দেয়।
সেরা ক্রিপ্টোগ্রাফিক আক্রমণ: বাস্তব এনক্রিপশন সিস্টেম, প্রোটোকল এবং অ্যালগরিদমের সবচেয়ে গুরুত্বপূর্ণ ত্রুটিগুলো শনাক্ত করার জন্য এই পুরস্কার প্রদান করা হয় । এলিপটিক কার্ভ ডিজিটাল সিগনেচার বাস্তবায়নের দুর্বলতার (CVE-2020-0601) জন্য মাইক্রোসফটকে এই পুরস্কারটি দেওয়া হয় , যা পাবলিক কী-এর উপর ভিত্তি করে প্রাইভেট কী তৈরি করার সুযোগ দেয়। এই ত্রুটিটির মাধ্যমে HTTPS-এর জন্য জাল TLS সার্টিফিকেট এবং নকল ডিজিটাল সিগনেচার তৈরি করা সম্ভব হয়েছিল, যেগুলোকে উইন্ডোজ বিশ্বাসযোগ্য বলে যাচাই করেছিল।
সর্বাধিক উদ্ভাবনী গবেষণা: এই পুরস্কারটি সেই গবেষকদের দেওয়া হয়েছে, যাঁরা প্রসেসরের স্পেকুলেটিভ ইনস্ট্রাকশন এক্সিকিউশনের ফলে সৃষ্ট সাইড-চ্যানেল লিক ব্যবহার করে অ্যাড্রেস র্যান্ডমাইজেশন সেফটি (ASLR) এড়ানোর জন্য ব্লাইন্ডসাইড পদ্ধতি প্রস্তাব করেছিলেন।
উইন্ডোজ প্রিন্ট আউটপুট সিস্টেমে থাকা প্রিন্টনাইটমেয়ার দুর্বলতা (CVE-2021-34527), যা কোড এক্সিকিউশনের সুযোগ দিত, তা সমাধান করতে ব্যর্থ হওয়া একটি একাধিক-রিলিজ প্যাচের জন্য মাইক্রোসফটকে ‘এপিক ফেইল’ পুরস্কার দেওয়া হয়। মাইক্রোসফট প্রাথমিকভাবে সমস্যাটিকে স্থানীয় বলে চিহ্নিত করেছিল, কিন্তু পরে জানা যায় যে এই আক্রমণ দূরবর্তীভাবেও চালানো যেতে পারে। এরপর মাইক্রোসফট চারবার আপডেট প্রকাশ করে, কিন্তু প্রতিবারই সমাধানটি কেবল একটি নির্দিষ্ট ঘটনার ক্ষেত্রেই কার্যকর ছিল এবং গবেষকরা আক্রমণটি চালানোর একটি নতুন উপায় আবিষ্কার করে ফেলেন।
ক্লায়েন্ট সফটওয়্যারের সেরা বাগ : এই পুরস্কারটি এমন একজন গবেষককে দেওয়া হয়েছিল যিনি স্যামসাং-এর সুরক্ষিত ক্রিপ্টোগ্রাফিতে CVE-2020-28341 দুর্বলতাটি আবিষ্কার করেন এবং CC EAL 5+ নিরাপত্তা শংসাপত্র লাভ করেন। এই দুর্বলতার কারণে সুরক্ষা ব্যবস্থাকে সম্পূর্ণরূপে বাইপাস করে চিপে চলমান কোড এবং এনক্লেভে সংরক্ষিত ডেটাতে প্রবেশাধিকার পাওয়া, স্ক্রিন সেভার লক বাইপাস করা এবং একটি গোপন ব্যাকডোর তৈরি করার জন্য ফার্মওয়্যারে পরিবর্তন আনা সম্ভব ছিল।
সবচেয়ে অবমূল্যায়িত দুর্বলতা : এক্সিম মেইল সার্ভারে 21Nails-এর বেশ কয়েকটি দুর্বলতা শনাক্ত করার জন্য কোয়ালিসকে এই পুরস্কার দেওয়া হয় , যার মধ্যে ১০টি দূর থেকে কাজে লাগানো সম্ভব। এক্সিমের ডেভেলপাররা এই সমস্যাগুলো কাজে লাগানোর বিষয়ে সন্দিহান ছিলেন এবং এর সমাধান তৈরিতে ছয় মাসেরও বেশি সময় ব্যয় করেন।
নির্মাতার সবচেয়ে দুর্বল প্রতিক্রিয়া: এটি তাদের নিজেদের পণ্যের দুর্বলতা সংক্রান্ত প্রতিবেদনের প্রতি সবচেয়ে অপর্যাপ্ত প্রতিক্রিয়ার জন্য একটি মনোনয়ন । বিজয়ী ছিল সেলেব্রাইট, আইন প্রয়োগকারী সংস্থার জন্য একটি ফরেনসিক এবং ডেটা মাইনিং অ্যাপ্লিকেশন। সিগন্যাল প্রোটোকলের লেখক মক্সি মার্লিনস্পাইকের প্রকাশিত দুর্বলতা সংক্রান্ত প্রতিবেদনের যথাযথ প্রতিক্রিয়া জানাতে সেলেব্রাইট ব্যর্থ হয়েছিল। এনক্রিপ্টেড সিগন্যাল বার্তা ভাঙার প্রযুক্তি তৈরির বিষয়ে একটি মিডিয়া প্রতিবেদন প্রকাশের পর মক্সি সেলেব্রাইটের প্রতি আগ্রহী হন, যা পরে মিথ্যা প্রমাণিত হয়। সেলেব্রাইটের ওয়েবসাইটে থাকা একটি নিবন্ধের তথ্যের ভুল ব্যাখ্যার কারণে এটি ঘটেছিল, যা পরবর্তীতে সরিয়ে ফেলা হয় (এই "আক্রমণ"-এর জন্য ফোনে সরাসরি প্রবেশাধিকার এবং স্ক্রিন আনলক করার ক্ষমতা প্রয়োজন ছিল; অর্থাৎ, এটি মেসেঞ্জারে বার্তা দেখার মধ্যেই সীমাবদ্ধ ছিল, কিন্তু ম্যানুয়ালি নয়, বরং একটি বিশেষ অ্যাপ্লিকেশন ব্যবহার করে যা ব্যবহারকারীর কার্যকলাপ অনুকরণ করে)।
মক্সি সেলেব্রাইট অ্যাপ্লিকেশনগুলি পরীক্ষা করে দেখেছেন এবং গুরুত্বপূর্ণ দুর্বলতা খুঁজে পেয়েছেন যা বিশেষভাবে তৈরি ডেটা স্ক্যান করার চেষ্টা করার সময় নির্বিচারে কোড কার্যকর করার অনুমতি দেয়। সেলব্রাইট অ্যাপটি এই সত্যটিও প্রকাশ করেছে যে এটি একটি পুরানো ffmpeg লাইব্রেরি ব্যবহার করে যা 9 বছর ধরে আপডেট করা হয়নি এবং এতে বিপুল সংখ্যক অপ্রয়োজনীয় দুর্বলতা রয়েছে। সমস্যাগুলি স্বীকার করার এবং সেগুলি ঠিক করার পরিবর্তে, সেলিব্রাইট একটি বিবৃতি জারি করেছে যে এটি ব্যবহারকারীর ডেটার অখণ্ডতার বিষয়ে চিন্তা করে, তার পণ্যগুলির সুরক্ষা সঠিক পর্যায়ে রাখে।
অবশেষে, সর্বশ্রেষ্ঠ কৃতিত্ব: নিরাপত্তা গবেষকদের জন্য টুলস তৈরিতে অবদান এবং ৩০ বছর ধরে পণ্যটিকে হালনাগাদ রাখার দক্ষতার স্বীকৃতিস্বরূপ এই পুরস্কারটি প্রদান করা হয় IDA ডিসঅ্যাসেম্বলার এবং Hex-Rays ডিকম্পাইলারের নির্মাতা ইলফাক গিলফানভকে।
উৎস: https://pwnies.com