पार्लर हैक कैसे हुआ? वर्डप्रेस सुरक्षा मुद्दे मार्ग का नेतृत्व करते हैं

पार्लर, द ट्विटर रिप-ऑफ दैट डोनाल्ड ट्रम्प कट्टरपंथियों के लिए मुख्य आयोजन उपकरण में से एक के रूप में कार्य किया जिसने 6 जनवरी को यू.एस. कैपिटल पर धावा बोल दिया था मोटे तौर पर ऑफ़लाइन एक सप्ताह से अधिक समय तक। लेकिन निलंबित एनीमेशन में भी, QAnon, प्राउड बॉयज़ और अमेरिकी दूर-दराज़ के अन्य तत्वों के लिए पसंदीदा ऑनलाइन घर अभी भी परेशानी पैदा कर रहा है।

अमेज़ॅन, ऐप्पल और Google द्वारा साइट की मेजबानी छोड़ने और मोबाइल उपयोगकर्ताओं को ऐप डाउनलोड करने से मना करने के निर्णयों ने बिग टेक सेंसरशिप के लिए रोना शुरू कर दिया है। पहला संशोधन और इंटरनेट विनियमन की राजनीति एक तरफ, जिस तरह से पार्लर ने अपने दरवाजे से डेटा को बाहर निकाला, वह गंभीर साइबर सुरक्षा प्रश्न उठाता है और साथ ही इस बात की चिंता भी करता है कि क्या इंटरनेट पर अन्य खिलाड़ियों के भविष्य में डेटा उल्लंघन हैं।

हालांकि पार्लर के हुड के नीचे झाँकने के बिना सत्यापित करना असंभव है - एक कार्य अब असंभव है क्योंकि वेबसाइट ऑफ़लाइन है - प्रचलित कथा यह है कि एक पार्लर सुरक्षा दोष (या दोष) ने एक व्हाइट-हैट हैकर को शीघ्र ही पार्लर के सभी उपयोगकर्ता डेटा को डाउनलोड और संग्रहीत करने की अनुमति दी थी। इससे पहले कि Amazon Web Services ने साइट को होस्ट करने पर प्लग खींच लिया। सार्वजनिक (और कानून प्रवर्तन) के लिए प्रस्तुत किए गए डेटा में, कुछ मामलों में, संभावित रूप से घटिया स्थान डेटा शामिल है।

बात क Worpress . पर निर्भर , दुनिया की सबसे अधिक उपयोग की जाने वाली सामग्री प्रबंधन प्रणाली। इससे यह अनुमान लगाया गया है कि वर्डप्रेस दोष का हिस्सा था और वर्डप्रेस का उपयोग करने वाला कोई अन्य व्यक्ति खतरे में था। हालाँकि, साइबर सुरक्षा विशेषज्ञों की आम सहमति के अनुसार , इस लेख के लिए संपर्क किए गए कई लोगों सहित, Parler का डेटा उल्लंघन केवल इसलिए नहीं हुआ क्योंकि Parler ने WordPress का उपयोग किया था। इसके बजाय, पार्लर का उपयोगकर्ता डेटा लीक हो गया क्योंकि सीईओ जॉन मैट्ज़ और साइट के आर्किटेक्ट्स ने पार्लर के एपीआई, पार्लर के फ्रंट-एंड और उसके उपयोगकर्ता डेटा के बीच की कड़ी में बड़ी खामियां छोड़ दीं।

यह सभी देखें: एलोन मस्क ने कैपिटल दंगा के लिए फेसबुक और मार्क जुकरबर्ग को दोषी ठहराया

प्रमुख धारणा यह है कि पार्लर एक तेज, खराब डिजाइन था जिसे दक्षिणपंथी निवेशकों ने वास्तव में एक ठोस नींव बनाने से पहले काफी बड़ा बनने के लिए प्रेरित किया, तकनीकी रूप से बोलते हुए, एंड्रयू ज़ोलिड्स , जेवियर विश्वविद्यालय में संचार के एक प्रोफेसर जो डिजिटल डिजाइन में पाठ्यक्रम पढ़ाते हैं, ने ऑब्जर्वर को बताया। (पार्लर के निवेशकों के बीच दक्षिणपंथी अरबपति हैं रिबका मर्सर , जिन्होंने पार्लर के दर्शकों को बढ़ाने के लिए ट्विटर और फेसबुक पर दक्षिणपंथी गुस्से को भुनाने की कोशिश की।)

जबकि किसी भी वेबसाइट की गोपनीयता संबंधी चिंताएं होती हैं, पार्लर बहुत बड़ा, बहुत तेज़ होने और इसके लिए वास्तव में तैयार करने की क्षमता या तकनीकी जानकारी नहीं होने के मुद्दे की तरह लगता है, ज़ोलिड्स ने कहा।

सामान्य रूप से गुमनामी या सुरक्षा के बारे में चिंतित किसी भी व्यक्ति के लिए एक स्वागत योग्य विकास में, अन्य वेबसाइटें पार्लर जाल से बच सकती हैं ... बशर्ते वे अपेक्षाकृत नए और छोटे स्टार्टअप न हों जो ट्विटर और फेसबुक जैसे स्थापित दिग्गजों के साथ प्रतिस्पर्धा करने की कोशिश करते हैं, जो कि पार्लर ने किया था .

हां, पार्लर को बेहतर तरीके से डिजाइन किया जा सकता था, लेकिन वास्तव में, यह उस तरह की समस्या है जो तब होती है जब आप परिपक्व कंपनियों के खिलाफ प्रतिस्पर्धा कर रहे होते हैं जिन्होंने अपने उत्पादों में अरबों और अरबों डॉलर का निवेश किया है, जोसेफ स्टीनबर्ग ने कहा , एक सुरक्षा विशेषज्ञ और के लेखक डमी के लिए साइबर सुरक्षा . सुरक्षित तरीके से आप जो कुछ भी चाहते हैं उसे डिजाइन करने में आपको कठिन समय लगेगा। Google, Apple और Amazon ने सोशल नेटवर्किंग ऐप Parler को सस्पेंड कर दिया है। पार्लर ऐप स्टोर, गूगल प्ले और अमेज़ॅन वेब सेवाओं में अनुपलब्ध हो गया, कथित तौर पर मीडिया द्वारा कथित तौर पर हिंसा को प्रोत्साहित करने वाले उपयोगकर्ता पोस्ट पर अपर्याप्त नियंत्रण के रूप में कहा गया।गेटी इमेज के माध्यम से पावलो गोंचार / सोपा इमेज / लाइटरॉकेट द्वारा फोटो चित्रण

सबसे पहले, कथित हैक के लिए विधि। पार्लर को एडब्ल्यूएस से हटाने से पहले, @donk_enby हैंडल वाले एक ट्विटर उपयोगकर्ता ने यह पता लगा लिया कि वेबसाइट के उपयोगकर्ता डेटा को कैसे डाउनलोड किया जाए—इन सभी के साथ-साथ पार्लर उपयोगकर्ताओं के कैपिटल का उल्लंघन करने, अधिकारियों पर हमला करने और आगे की हिंसा की साजिश रचने के अन्य बहुत ही सार्वजनिक सबूत हैं। , संभावित रूप से बहुत ही आपत्तिजनक था, जैसा कि गिज़मोडो ने बताया .

@donk_enby ने अंततः 56 टेराबाइट्स के डेटा को छीन लिया: फोटो, वीडियो और टेक्स्ट पोस्ट, जिनमें से कई में कुछ जीपीएस मेटाडेटा शामिल थे जो 6 जनवरी को कैपिटल में और उसके आसपास सुरक्षित क्षेत्रों सहित पार्लर उपयोगकर्ताओं को सकारात्मक रूप से डालते थे। संघीय हलफनामों के अनुसार, इस डेटा में से कम से कम 56, 000 गीगाबाइट- का उपयोग दंगा प्रतिभागियों की पहचान करने और उन्हें पकड़ने के लिए किया गया है, लेकिन इस बात का कोई सकारात्मक प्रमाण नहीं है कि फेड ने @donk_envy के डेटा किश्त का उपयोग किया है।

लेकिन यह कैसे किया गया? शुरुआती अटकलों ने चर्चा की कि @donk_enby या किसी अन्य हैकर ने पार्लर के व्यवस्थापक क्रेडेंशियल्स को चुरा लिया होगा, जो एक अवैध कार्य होगा। स्वीकृत सिद्धांत यह है कि, जैसा स्टार्टअप की सूचना दी और कई सुरक्षा विशेषज्ञों ने रेखांकित किया है, इसके बजाय, पार्लर के अपने एपीआई का उपयोग इसके खिलाफ वेबसाइट के डेटा को संग्रहीत करने के लिए किया गया था - और इसे जल्दी से करने के लिए।

पार्लर के डिजाइनरों ने प्रमाणीकरण की आवश्यकता के द्वारा एपीआई तक पहुंच को प्रतिबंधित नहीं किया। उपयोगकर्ताओं को बैक एंड पर डेटा तक पहुंचने के लिए विशिष्ट क्रेडेंशियल्स की आवश्यकता नहीं थी। इससे पीछे का एक बड़ा दरवाजा खुला रह गया।

बुनियादी सुरक्षा प्रोटोकॉल से अवगत अधिकांश वेबसाइटें यह सुनिश्चित करने के लिए कि अनुरोध दुर्भावनापूर्ण नहीं है, किसी प्रकार के उपयोगकर्ता प्रमाणीकरण के बिना एपीआई तक पहुंच की अनुमति नहीं देता है। जैसा कि स्टार्टअप ने बताया, दो सामान्य प्रमाणीकरण समाधान एपीआई कुंजी और टोकन हैं, दोनों के लिए कुछ वैध क्रेडेंशियल्स की आवश्यकता होती है जो वेबसाइट को यह जानने की अनुमति देते हैं कि डेटा तक कौन पहुंच रहा है।

कोई प्रमाणीकरण आवश्यकता एक दरवाजा अजर नहीं छोड़ी। उसके ऊपर, पार्लर के डिजाइनरों ने दर-सीमित करने के तरीके में रक्षा की दूसरी परत जोड़ने की जहमत नहीं उठाई- मतलब एक दरवाजा अजर या बाईं ओर फटा होने के बजाय, दरवाजा चौड़ा खुला था।

क्रेडेंशियल की परवाह किए बिना उपयोगकर्ता कितना डेटा एक्सेस कर सकता है, इसकी दर-सीमित कैप। वेब उपयोगकर्ताओं ने जंगली में 429 बहुत अधिक अनुरोध त्रुटि संदेश देखे होंगे, जो इस बात का संकेत है कि दरवाजे से गुजरने के लिए बहुत अधिक दस्तक या प्रयास हुए हैं। पार्लर के पास यह भी नहीं था, जिसका मतलब था कि एक बार असुरक्षित बैक एंड तक पहुंचने के बाद, @donk_enby भी 48 घंटों के भीतर पार्लर के डेटा को संग्रहित करने में सक्षम था। (अजीब तरह से पर्याप्त, जैसा कि स्टार्टअप ने बताया, अमेज़ॅन वेब सेवा के पास एक बुनियादी फ़ायरवॉल विकल्प है जिसे पार्लर परेशान नहीं करता था।)

अंत में, पार्लर ने उन पोस्टों को भी अनुमति दी जिनके उपयोगकर्ताओं का मानना था कि हटाए गए थे, दोनों उपलब्ध थे और आसानी से खोजे गए थे जब कोई बैक एंड में था। घातक दंगों के बाद, कुछ पार्लर उपयोगकर्ताओं ने वेब पर उपलब्ध सबूतों के बारे में जानते हुए, दूसरों को 6 जनवरी से अपने पोस्ट हटाने के लिए प्रोत्साहित किया।

पार्लर की सभी पोस्टों को क्रमागत संख्याएं दी गईं जो 1 से बढ़ गईं। यहां तक कि जब उन पोस्ट को उपयोगकर्ता द्वारा हटा दिया गया, तो भी वे बैक एंड पर बने रहे। @donk_enby को स्पष्ट रूप से केवल एक बहुत ही मूल स्क्रिप्ट लिखने की आवश्यकता थी जो प्रत्येक पोस्ट को एक-एक करके मिली और संग्रहीत की गई। और चूंकि पार्लर ने अपलोड किए जाने से पहले फ़ोटो और वीडियो और पोस्ट से जियो-टैग किए गए डेटा को हटाने की जहमत नहीं उठाई, इसलिए वह जानकारी भी वहीं बैठी थी, जो संग्रहीत होने की प्रतीक्षा कर रही थी।

यह संभव है कि अन्य वेबसाइटें जो पूरी तरह से वर्डप्रेस या अन्य होस्टिंग सॉफ़्टवेयर का उपयोग करती हैं, उनमें समान सुरक्षा खामियां हो सकती हैं, लेकिन वे भी इतनी बदनाम नहीं हो सकती हैं कि वे सुरक्षा दोष सतर्क हैकर्स के हित बन जाएं और इस प्रकार भंग हो जाएं।

वेबसाइटों के लिए सुरक्षा खामियां होना असामान्य नहीं है, कभी-कभी महत्वपूर्ण, जो किसी का ध्यान नहीं जाता है क्योंकि वे सरल से अधिक आकर्षित करने के लिए पर्याप्त लोकप्रिय नहीं हैं, अक्सर स्वचालित, उनसे समझौता करने का प्रयास करते हैं, एक सुरक्षा विशेषज्ञ एरिच क्रोन ने कहा। KnowBe4 , एक प्रमुख सुरक्षा समाधान फर्म। जब साइट तेजी से लोकप्रिय हो जाती है, तो इन परीक्षणों का फोकस और जटिलता बढ़ जाती है, जिससे अक्सर कमजोरियों का पता चलता है।

इस घटना का एक हालिया उदाहरण, क्रोन ने कहा, ज़ूम था। जब COVID-19 महामारी ने सभी कामों को दूरस्थ रूप से काम कर दिया, तो ज़ूम की पहले से ज्ञात सुरक्षा खामियों की खोज की गई, उनका फायदा उठाया गया और फिर उन्हें जल्दी से ठीक कर दिया गया। लेकिन पार्लर के साथ, जब सुरक्षा विक्रेताओं ने अपने पूर्व ग्राहक को छोड़ना शुरू कर दिया, तो इसने पार्लर को उस समय असुरक्षित बना दिया जब वे हमलावरों, हैक्टिविस्ट और अन्य लोगों का भी निशाना थे, क्रोन ने कहा।

पार्लर अभी मरा नहीं है। सप्ताहांत में, पार्लर का कुछ संस्करण लौटा उसी वेब सर्वर पर जो अभद्र भाषा का स्वागत करने वाली अन्य फ्रिंज साइटों की मेजबानी करता है। मंगलवार शाम तक, साइट का होमपेज है a तकनीकी कठिनाइयाँ लैंडिंग पृष्ठ; साइट के संस्थापक जॉन मैटेज़ फॉक्स न्यूज को बताया वेबसाइट महीने के अंत तक पूरी तरह कार्यात्मक होने की योजना बना रही है (हालांकि मोबाइल उपयोगकर्ता ऐप के बजाय वेब-आधारित संस्करण का उपयोग करके फंस जाएंगे)। और ऑनलाइन दूर-दराज़ के लिए अन्य घर हैं- हालांकि, जैसा कि ज़ोलिड्स ने बताया, गैब जैसे फ्री-स्पीच केंद्रित फ़ोरम पार्लर की तुलना में सामग्री मॉडरेशन के साथ अधिक सक्रिय रहे हैं।

अधिक विवरण अभी तक सामने आ सकते हैं कि @donk_enby ने पार्लर के डेटा तक कैसे पहुँचा और क्या ओपन-डोर सिद्धांत वास्तव में हुआ था। (और साइबर सुरक्षा प्रश्न से अलग खड़े होना नैतिकता के मुद्दे हैं; उल्लंघन या हैक, पार्लर का उपयोगकर्ता डेटा अभी भी चोरी हो गया था, जैसा कि स्टाइनबर्ग ने कहा था, और एक डकैती जश्न मनाने के लिए कुछ भी नहीं है।)

यह मानते हुए कि पार्लर का डेटा खराब डिज़ाइन द्वारा किया गया था, अभी के लिए, 6 जनवरी की ऑनलाइन कहानी बार-बार आत्म-अपराध में से एक है: यूएस कैपिटल में भटक रहे बेदाग दंगाइयों, उल्लासपूर्वक और खुले तौर पर अपनी विफल अतिरिक्त योजनाओं पर चर्चा करते हुए, इंटरनेट पर आपत्तिजनक सबूत पोस्ट करते हुए उस समय, एक ऐसी वेबसाइट पर जो उस सबूत को गुमनाम या सुरक्षित रखने के लिए तैयार नहीं थी।