گوگل، مائیکروسافٹ اور یاہو نے سنجیدگی سے ای میل کی کمزوری کو ٹھیک کیا ہے

گوگل، مائیکروسافٹ اور یاہو نے اپنے ای میل کے نظام میں ایک کرپٹیٹوگرافک کمزوری کو تسلیم کیا ہے جس میں حملہ آور کو ایک چھپی ہوئی پیغام بنانے کی اجازت دی جا سکتی ہے جو ریاضیاتی سلامتی کی توثیق کو منظور کرتی ہے.

کمزورتا DKIM، یا DomainKeys شناخت شدہ میل پر اثر انداز کرتا ہے. بڑے ای میل بھیجنے والے کی طرف سے. DKIM ایک ای میل کے ارد گرد ایک کرپٹیٹوگرافک دستخط لپیٹ دیتا ہے جس کے ذریعہ پیغام بھیج دیا جاتا ہے جس کے ذریعہ ڈومین نام کی تصدیق کرتا ہے، جس سے زیادہ آسانی سے جائز طریقے سے پیغامات کو پھیلانے میں مدد ملتی ہے.

مسئلہ سائن ان کی چابیاں ہیں جو 1،024 بٹس سے کم ہیں بڑھتی ہوئی کمپیوٹر کی طاقت کی وجہ سے فکسڈ کیا جائے. امریکی سیرٹی نے بدھ کو جاری مشورے میں کہا ہے کہ 1،024 بٹس سے کم چابیاں دستخط کرنے پر دستخط کیے جاتے ہیں، اور RSA-768 بٹس تک اس کی چابیاں فیکٹریئر کی گئی ہیں. [

[مزید پڑھنے: آپ کے ونڈوز پی سی سے میلویئر کو کیسے ہٹا دیں]

فلوریڈا کے بنیاد پر ریاضی ہارس کو گوگل کے ایک نوکرانی سے ایک ای میل بھیجا گیا تھا جب اس نے فلائٹ میگزین کی طرف سے بدھ کو شائع کردہ ایک رپورٹ کے مطابق، صرف 512 بٹ کلیدی کا استعمال کیا تھا.

یہ سوچنا کچھ ہوشیار ٹیسٹ ہو سکتا ہے. Google کی طرف سے، انہوں نے اس حقیقت کو فکسڈ کیا، پھر اس کا استعمال سیرسی برن سے لیری صفحہ تک، Google کے بانیوں سے چھپا ہوا پیغام بھیجنے کے لئے استعمال کیا تھا.

یہ آزمائش نہیں تھی لیکن حقیقت میں ایک سنگین مسئلہ ہے، جس میں سے ایک ای میل جو بکس ہوسکتا ہے قابل اعتماد ہوگا. ڈی کے ایم ایم معیاری کے مطابق، ای میل پیغامات جو چابیاں کم ہیں وہ 1،024 بٹس کو مسترد نہیں ہوتے ہیں.

ہراساں پایا کہ یہ مسئلہ گوگل تک محدود نہیں تھا بلکہ مائیکرو مائیکروسافٹ اور یاہو بھی، جن میں سے سب کو یہ مسئلہ طے کیا گیا تھا امریکہ - سی آر ٹی کے مطابق، دو دن پہلے. ہیریس نے وائرڈ کو بتایا کہ وہ پے پال، یاہو، ایمیزون، ایب، ایپل، ڈیل، لنکڈ، ٹویٹر، ایس بی سیگ گلوبل، یو ایس بینک، ایم پی بینک، میچ ڈاٹ کام، اور ایچ ایس بی بی میں استعمال کرتے ہیں یا پھر 512 بٹ یا 768 بٹ چابیاں پایا.

کمزور دستخط کی چابیاں سائبر کرائم کے لئے ایک برانچ ہیں. وہ منتخب طور پر لوگوں کو کمپیوٹر کے سافٹ ویئر کا استحصال کرنے اور میلویئر کو انسٹال کرنے کی کوشش میں غیر فعال لنکس کے ساتھ لوگوں کو نشانہ بناتے ہیں، ایک طرز عمل جسے اسپائر فشنگ کے طور پر جانا جاتا ہے. اگر کوئی ای میل صحیح DKIM دستخط پر مشتمل ہے، تو اس کے وصول کنندگان کے ان باکس میں ختم ہونے کا امکان زیادہ ہے.

US-CERT نے بھی ایک اور مسئلہ کا انتباہ کیا. ڈی کے ایم ایم کی تفصیلات ایک بھیجنے والے کو پرچم کرنے کی اجازت دیتا ہے کہ وہ پیغامات میں ڈی کے ایم ایم کی جانچ کررہے ہیں. امریکی - CERT نے کہا کہ کچھ وصول کنندگان کو "جانچ کے موڈ میں ڈی کے ایم ایم کے پیغامات کو قبول کریں گے جب پیغامات کا علاج کیا جاسکتا ہے تو وہ ڈی ایم ایم ایم دستخط نہیں تھے".

خبروں کے تبصرے اور تبصرے [email protected] کو بھیجیں گے. ٹویٹر پر مجھے فالو کریں:jeremy_kirk