UPnP ஒரு பாதுகாப்பு அபாயமா?
பல புதிய திசைவிகளில் இயல்புநிலையாக UPnP இயக்கப்படுகிறது. ஒரு கட்டத்தில், எஃப்.பி.ஐ மற்றும் பிற பாதுகாப்பு வல்லுநர்கள் பாதுகாப்பு காரணங்களுக்காக யு.பி.என்.பியை முடக்க பரிந்துரைத்தனர். ஆனால் இன்று UPnP எவ்வளவு பாதுகாப்பானது? UPnP ஐப் பயன்படுத்தும் போது நாங்கள் வசதிக்காக பாதுகாப்பை வர்த்தகம் செய்கிறோமா?
UPnP என்பது “யுனிவர்சல் பிளக் அண்ட் ப்ளே” என்பதைக் குறிக்கிறது. UPnP ஐப் பயன்படுத்தி, ஒரு பயன்பாடு தானாகவே உங்கள் திசைவியில் ஒரு போர்ட்டை அனுப்ப முடியும், இது துறைமுகங்களை கைமுறையாக அனுப்புவதில் உள்ள சிக்கலைச் சேமிக்கிறது. UPnP ஐ முடக்க மக்கள் பரிந்துரைக்கும் காரணங்களை நாங்கள் பார்த்துக் கொண்டிருப்போம், எனவே பாதுகாப்பு அபாயங்கள் குறித்த தெளிவான படத்தைப் பெறலாம்.
பட கடன்: Flickr இல் நகைச்சுவை_நோஸ்
உங்கள் நெட்வொர்க்கில் உள்ள தீம்பொருள் UPnP ஐப் பயன்படுத்தலாம்
உங்கள் உள்ளூர் நெட்வொர்க்கில் கணினியைப் பாதிக்க நிர்வகிக்கும் ஒரு வைரஸ், ட்ரோஜன் ஹார்ஸ், புழு அல்லது பிற தீங்கிழைக்கும் நிரல் முறையான நிரல்களைப் போலவே UPnP ஐப் பயன்படுத்தலாம். ஒரு திசைவி பொதுவாக உள்வரும் இணைப்புகளைத் தடுக்கும், சில தீங்கிழைக்கும் அணுகலைத் தடுக்கும் போது, UPnP தீங்கிழைக்கும் நிரலை ஃபயர்வாலை முழுவதுமாகத் தவிர்க்க அனுமதிக்கும். எடுத்துக்காட்டாக, ஒரு ட்ரோஜன் ஹார்ஸ் உங்கள் கணினியில் ரிமோட் கண்ட்ரோல் புரோகிராமை நிறுவலாம் மற்றும் உங்கள் திசைவியின் ஃபயர்வாலில் ஒரு துளை திறக்கலாம், இது இணையத்திலிருந்து உங்கள் கணினியை 24/7 அணுக அனுமதிக்கிறது. UPnP முடக்கப்பட்டிருந்தால், நிரலால் துறைமுகத்தைத் திறக்க முடியவில்லை - இருப்பினும் இது ஃபயர்வாலை வேறு வழிகளிலும் தொலைபேசியிலும் புறக்கணிக்கக்கூடும்.
இது ஒரு பிரச்சனையா? ஆம். இதைச் சுற்றி எதுவும் இல்லை - உள்ளூர் திட்டங்கள் நம்பகமானவை என்று UPnP கருதுகிறது மற்றும் துறைமுகங்களை அனுப்ப அனுமதிக்கிறது. தீம்பொருளை துறைமுகங்களை அனுப்ப முடியாமல் இருப்பது உங்களுக்கு முக்கியம் என்றால், நீங்கள் UPnP ஐ முடக்க வேண்டும்.
UPNP ஐ முடக்குமாறு FBI மக்களிடம் கூறியது
விண்டோஸ் எக்ஸ்பியில் இடையக வழிதல் இருப்பதால் 2001 ஆம் ஆண்டின் இறுதியில், எஃப்.பி.ஐயின் தேசிய உள்கட்டமைப்பு பாதுகாப்பு மையம் அனைத்து பயனர்களும் யு.பி.என்.பியை முடக்க அறிவுறுத்தியது. இந்த பிழை ஒரு பாதுகாப்பு இணைப்பு மூலம் சரி செய்யப்பட்டது. இந்த ஆலோசனை யுபிஎன்பியில் இல்லை என்பதை அவர்கள் உணர்ந்த பிறகு, என்ஐபிசி உண்மையில் இந்த ஆலோசனையின் திருத்தத்தை வெளியிட்டது. (ஆதாரம்)
இது ஒரு பிரச்சனையா? இல்லை. சிலர் NIPC இன் ஆலோசனையை நினைவில் வைத்துக் கொள்ளலாம் மற்றும் UPnP ஐப் பற்றி எதிர்மறையான பார்வையைக் கொண்டிருக்கலாம், இந்த ஆலோசனை அந்த நேரத்தில் தவறாக வழிநடத்தப்பட்டது மற்றும் குறிப்பிட்ட சிக்கலை விண்டோஸ் எக்ஸ்பிக்கான ஒரு இணைப்பு மூலம் பத்து ஆண்டுகளுக்கு முன்பு சரி செய்யப்பட்டது.
பட கடன்: பிளிக்கரில் கார்ஸ்டன் லோரென்ட்ஸன்
ஃப்ளாஷ் UPnP தாக்குதல்
UPnP க்கு பயனரிடமிருந்து எந்தவிதமான அங்கீகாரமும் தேவையில்லை. உங்கள் கணினியில் இயங்கும் எந்தவொரு பயன்பாடும் UPNP வழியாக ஒரு போர்ட்டை அனுப்ப திசைவியைக் கேட்கலாம், அதனால்தான் மேலே உள்ள தீம்பொருள் UPnP ஐ துஷ்பிரயோகம் செய்யலாம். எந்தவொரு உள்ளூர் சாதனங்களிலும் தீம்பொருள் இயங்காத வரை நீங்கள் பாதுகாப்பாக இருப்பதாக நீங்கள் கருதலாம் - ஆனால் நீங்கள் தவறாக இருக்கலாம்.
ஃப்ளாஷ் யுபிஎன்பி தாக்குதல் 2008 இல் கண்டுபிடிக்கப்பட்டது. உங்கள் வலை உலாவியில் ஒரு வலைப்பக்கத்தில் இயங்கும் சிறப்பாக வடிவமைக்கப்பட்ட ஃப்ளாஷ் ஆப்லெட், உங்கள் திசைவிக்கு ஒரு யுபிஎன்பி கோரிக்கையை அனுப்பலாம் மற்றும் துறைமுகங்களை அனுப்புமாறு கேட்கலாம். எடுத்துக்காட்டாக, ஆப்லெட் உங்கள் கணினிக்கு 1-65535 போர்ட்களை அனுப்ப ரூட்டரைக் கேட்கலாம், இது முழு இணையத்திற்கும் திறம்பட வெளிப்படும். இதைச் செய்தபின், உங்கள் கணினியில் இயங்கும் நெட்வொர்க் சேவையில் ஒரு பாதிப்பைத் தாக்குபவர் பயன்படுத்த வேண்டும், இருப்பினும் - உங்கள் கணினியில் ஃபயர்வாலைப் பயன்படுத்துவது உங்களைப் பாதுகாக்க உதவும்.
துரதிர்ஷ்டவசமாக, இது மோசமடைகிறது - சில ரவுட்டர்களில், ஃபிளாஷ் ஆப்லெட் முதன்மை டிஎன்எஸ் சேவையகத்தை யுபிஎன்பி கோரிக்கையுடன் மாற்றக்கூடும். போர்ட் பகிர்தல் உங்கள் கவலைகளில் மிகக் குறைவானதாக இருக்கும் - தீங்கிழைக்கும் டிஎன்எஸ் சேவையகம் மற்ற வலைத்தளங்களுக்கு போக்குவரத்தை திருப்பி விடக்கூடும். எடுத்துக்காட்டாக, இது பேஸ்புக்.காமை இன்னொரு ஐபி முகவரியில் முழுவதுமாக சுட்டிக்காட்டக்கூடும் - உங்கள் இணைய உலாவியின் முகவரிப் பட்டி பேஸ்புக்.காம் என்று சொல்லும், ஆனால் நீங்கள் ஒரு தீங்கிழைக்கும் அமைப்பால் அமைக்கப்பட்ட வலைத்தளத்தைப் பயன்படுத்துகிறீர்கள்.
இது ஒரு பிரச்சனையா? ஆம். இது எப்போதும் சரி செய்யப்பட்டது என்பதற்கான எந்தவிதமான குறிப்பையும் என்னால் கண்டுபிடிக்க முடியவில்லை. இது சரி செய்யப்பட்டிருந்தாலும் (இது கடினமாக இருக்கும், இது யுபிஎன்பி நெறிமுறையிலேயே ஒரு சிக்கல் என்பதால்), இன்னும் பயன்பாட்டில் உள்ள பல பழைய திசைவிகள் பாதிக்கப்படக்கூடியதாக இருக்கும்.
திசைவிகளில் மோசமான UPnP நடைமுறைகள்
யுபிஎன்பி ஹேக்ஸ் வலைத்தளம் வெவ்வேறு திசைவிகள் யுபிஎன்பியை செயல்படுத்தும் வழிகளில் பாதுகாப்பு சிக்கல்களின் விரிவான பட்டியலைக் கொண்டுள்ளது. இவை யுபிஎன்பி உடனான பிரச்சினைகள் அல்ல; அவை பெரும்பாலும் UPnP செயலாக்கங்களில் சிக்கல்கள். எடுத்துக்காட்டாக, பல ரவுட்டர்களின் UPnP செயலாக்கங்கள் உள்ளீட்டை சரியாக சரிபார்க்கவில்லை. தீங்கிழைக்கும் பயன்பாடு இணையத்தில் தொலைநிலை ஐபி முகவரிகளுக்கு (உள்ளூர் ஐபி முகவரிகளுக்கு பதிலாக) பிணைய போக்குவரத்தை திருப்பிவிட ஒரு திசைவியைக் கேட்கலாம், மேலும் திசைவி இணங்குகிறது. சில லினக்ஸ் அடிப்படையிலான திசைவிகளில், திசைவியில் கட்டளைகளை இயக்க UPnP ஐ பயன்படுத்த முடியும். (ஆதாரம்) இதுபோன்ற பல சிக்கல்களை வலைத்தளம் பட்டியலிடுகிறது.
இது ஒரு பிரச்சனையா? ஆம்! காடுகளில் மில்லியன் கணக்கான திசைவிகள் பாதிக்கப்படக்கூடியவை. பல திசைவி உற்பத்தியாளர்கள் தங்கள் யுபிஎன்பி செயலாக்கங்களைப் பாதுகாப்பதில் ஒரு நல்ல வேலையைச் செய்யவில்லை.
பட கடன்: பிளிக்கரில் பென் மேசன்
நீங்கள் UPnP ஐ முடக்க வேண்டுமா?
நான் இந்த இடுகையை எழுதத் தொடங்கியபோது, UPnP இன் குறைபாடுகள் மிகவும் சிறியவை என்று முடிவு செய்வேன் என்று எதிர்பார்க்கிறேன், சில வசதிகளுக்காக கொஞ்சம் பாதுகாப்பை வர்த்தகம் செய்வதற்கான எளிய விஷயம். துரதிர்ஷ்டவசமாக, UPnP க்கு நிறைய சிக்கல்கள் இருப்பதாகத் தெரிகிறது. பியர்-டு-பியர் பயன்பாடுகள், கேம் சர்வர்கள் மற்றும் பல VoIP நிரல்கள் போன்ற போர்ட் பகிர்தல் தேவைப்படும் பயன்பாடுகளை நீங்கள் பயன்படுத்தாவிட்டால், நீங்கள் UPnP ஐ முழுவதுமாக முடக்குவது நல்லது. இந்த பயன்பாடுகளின் கனமான பயனர்கள் வசதிக்காக சில பாதுகாப்பை விட்டுக்கொடுக்கத் தயாரா என்பதைக் கருத்தில் கொள்ள விரும்புவார்கள். யுபிஎன்பி இல்லாமல் நீங்கள் இன்னும் துறைமுகங்களை அனுப்பலாம்; இது இன்னும் கொஞ்சம் வேலை. போர்ட் பகிர்தலுக்கான எங்கள் வழிகாட்டியைப் பாருங்கள்.
மறுபுறம், இந்த திசைவி குறைபாடுகள் வனப்பகுதியில் தீவிரமாகப் பயன்படுத்தப்படுவதில்லை, எனவே உங்கள் திசைவியின் யுபிஎன்பி செயல்பாட்டில் உள்ள குறைபாடுகளை சுரண்டும் தீங்கிழைக்கும் மென்பொருளை நீங்கள் காணும் வாய்ப்பு மிகவும் குறைவு. சில தீம்பொருள்கள் துறைமுகங்களை முன்னோக்கி அனுப்ப UPnP ஐப் பயன்படுத்துகின்றன (எடுத்துக்காட்டாக, கான்ஃபிக்கர் புழு), ஆனால் இந்த திசைவி குறைபாடுகளை சுரண்டுவதற்கான தீம்பொருளின் ஒரு உதாரணத்தை நான் காணவில்லை.
இதை நான் எவ்வாறு முடக்குவது? உங்கள் திசைவி UPnP ஐ ஆதரித்தால், அதன் வலை இடைமுகத்தில் அதை முடக்க ஒரு விருப்பத்தை நீங்கள் காணலாம். மேலும் தகவலுக்கு உங்கள் திசைவியின் கையேட்டைப் பாருங்கள்.
UPnP இன் பாதுகாப்பு குறித்து நீங்கள் உடன்படவில்லையா? ஒரு கருத்தை இடுங்கள்!
