છેલ્લા અઠવાડિયા દરમિયાન અમે અહીં બ્લોગ પર શેર કરીએ છીએકેટલાક સમાચાર જે જાહેર કરવામાં આવ્યા હતા હેકિંગ કેસ વિશે a Nvidia અને હેકર જૂથ Lapsus$ દ્વારા સેમસંગ, જેઓ Ubisoft માંથી માહિતીને ઍક્સેસ કરવામાં પણ વ્યવસ્થાપિત હતા.
અને તે તાજેતરમાં જ છે GitGuardian એ માહિતી માટે સેમસંગનો સોર્સ કોડ સ્કેન કર્યો ગોપનીય, જેમ કે ગુપ્ત કીઓ (API કી, પ્રમાણપત્રો) અને તેમાંથી 6695 શોધ્યા. આ પરિણામ એક વિશ્લેષણ દરમિયાન મેળવવામાં આવ્યું હતું જેમાં 350 થી વધુ વ્યક્તિગત ડિટેક્ટરનો ઉપયોગ કરવામાં આવ્યો હતો, જેમાંથી દરેક એક પ્રકારની ગુપ્ત કીની વિશિષ્ટ વિશેષતાઓ શોધી રહ્યા હતા, જે મહાન ચોકસાઇ સાથે પરિણામો આપે છે.
આ શોધમાં, સંશોધકો GitGuardian બાકાત પરિણામો જેનરિક હાઈ-એન્ટ્રોપી ડિટેક્ટર અને જેનરિક પાસવર્ડ ડિટેક્ટર્સમાંથી, કારણ કે તેમાં સામાન્ય રીતે ખોટા ધનનો સમાવેશ થઈ શકે છે અને તેથી ફૂલેલા પરિણામો પેદા કરી શકે છે. તે ધ્યાનમાં રાખીને, ગુપ્ત કીઓની વાસ્તવિક સંખ્યા ઘણી વધારે હોઈ શકે છે.
જેઓ GitGuardian થી પરિચિત નથી, તમારે જાણવું જોઈએ કે આ એક કંપની છે જેની સ્થાપના 2017 માં Jérémy Thomas અને Eric Fourrier દ્વારા કરવામાં આવી હતી અને જેને 2021 FIC સ્ટાર્ટ-અપ એવોર્ડ મળ્યો છે અને તે FT120 ના સભ્ય છે.
કંપનીએ પોતાની જાતને ગુપ્ત કીની શોધમાં નિષ્ણાત તરીકે સ્થાપિત કરી છે અને વિકાસકર્તાઓના અનુભવને ધ્યાનમાં લઈને AppSec ના અમલીકરણની આસપાસ વહેંચાયેલ જવાબદારી મોડેલનું પાલન કરતા ઉકેલો પર તેના R&D પ્રયાસો પર ધ્યાન કેન્દ્રિત કરે છે.
જેમ આપણે પરિણામોના સારાંશમાં જોઈ શકીએ છીએ, પ્રથમ આઠ પરિણામો 90% શોધોનું પ્રતિનિધિત્વ કરે છે અને, જો કે તે ખૂબ જ સંવેદનશીલ માહિતી છે, હુમલાખોર માટે તેનો ઉપયોગ કરવો વધુ મુશ્કેલ હોઈ શકે છે, કારણ કે તે કદાચ આંતરિક સિસ્ટમોનો સંદર્ભ આપે છે.
આ માત્ર 600 થી વધુ ગુપ્ત પ્રમાણીકરણ કીઓ છોડે છે જે વિવિધ સેવાઓ અને સિસ્ટમોની વિશાળ શ્રેણીની ઍક્સેસ પ્રદાન કરે છે જેનો ઉપયોગ હુમલાખોર અન્ય સિસ્ટમમાં પાછળથી પ્રવેશ કરવા માટે કરી શકે છે.
» સેમસંગ સોર્સ કોડમાં મળેલી 6600 થી વધુ કીમાંથી, લગભગ 90% આંતરિક સેમસંગ સેવાઓ અને ઇન્ફ્રાસ્ટ્રક્ચર માટે છે, જ્યારે બાકીની નિર્ણાયક 10% બાહ્ય સેવાઓ અથવા સેમસંગ તરફથી સાધનોની ઍક્સેસ પ્રદાન કરી શકે છે, જેમ કે AWS, GitHub, આર્ટિફેક્ટ્સ, અને Google,” GitGuardian ખાતે ડેવલપર એડવોકેટ મેકેન્ઝી જેક્સન સમજાવે છે.
એક તાજેતરના GitGuardian અહેવાલ દર્શાવે છે કે સરેરાશ 400 વિકાસકર્તાઓ ધરાવતી સંસ્થામાં, આંતરિક સ્ત્રોત કોડ રિપોઝીટરીઝમાં 1000 થી વધુ ગુપ્ત કી જોવા મળે છે (સોર્સ સ્ટેટ ઓફ સિક્રેટ સ્પ્રોલ 2022).
જો આવી ગુપ્ત ચાવીઓ લીક થાય છે, તો તે સેમસંગની ક્ષમતાને અસર કરી શકે છે ફોનને સુરક્ષિત રીતે અપડેટ કરવા, પ્રતિસ્પર્ધીઓને ગ્રાહકની સંવેદનશીલ માહિતીની ઍક્સેસ આપવા અથવા તેમને સેમસંગના આંતરિક ઈન્ફ્રાસ્ટ્રક્ચરની ઍક્સેસ આપવા માટે, અન્ય હુમલાઓ શરૂ કરવાની ક્ષમતા સાથે.
મેકેન્ઝી જેક્સન ઉમેરે છે:
આ હુમલાઓ એવી સમસ્યાનો પર્દાફાશ કરે છે કે જેના વિશે સુરક્ષા ઉદ્યોગમાં ઘણાએ એલાર્મ વગાડ્યું છે: આંતરિક સ્ત્રોત કોડમાં સંવેદનશીલ ડેટાની સતત વધતી જતી રકમ હોય છે, તેમ છતાં તે અત્યંત અવિશ્વસનીય સંપત્તિ છે. સોર્સ કોડ સમગ્ર કંપનીના વિકાસકર્તાઓ માટે વ્યાપકપણે ઉપલબ્ધ છે, વિવિધ સર્વર પર બેકઅપ લેવામાં આવે છે, વિકાસકર્તાઓની સ્થાનિક મશીનો પર સંગ્રહિત થાય છે અને આંતરિક દસ્તાવેજીકરણ અથવા ઇમેઇલ સેવાઓ દ્વારા પણ શેર કરવામાં આવે છે. આ તેમને પ્રતિસ્પર્ધીઓ માટે ખૂબ જ આકર્ષક લક્ષ્ય બનાવે છે અને તેથી અમે આ હુમલાઓની આવર્તનમાં દ્રઢતા જોયે છે.
Lapsus$ ટેલિગ્રામ ચૅનલ પર, અમે જોઈ શકીશું કે હેકર જૂથ કેવી રીતે આ ભંડારોની ઍક્સેસ મેળવે છે, જે આવશ્યકપણે મોટી સંસ્થાઓના કર્મચારીઓને તેમની ઍક્સેસ જાહેર કરવા માટે કૉલ છે.
કમનસીબે, અમે આ પ્રકારના હુમલાઓ જોઈને પૂર્ણ કર્યા નથી, જૂથ હવે ફરીથી તેમની ટેલિગ્રામ ચેનલ દ્વારા મતદાન શેર કરી રહ્યું છે, તેમના પ્રેક્ષકોને પૂછે છે કે તેઓએ આગળ કયો સોર્સ કોડ લીક કરવો જોઈએ, જે દર્શાવે છે કે આંતરિક સ્રોત કોડના ઘણા વધુ લીક થવાની સંભાવના છે. ભવિષ્યમાં.
છેલ્લે જો તમને તેના વિશે વધુ જાણવામાં રસ છે, તમે વિગતો ચકાસી શકો છો નીચેની કડીમાં