9 बैंकिंग एप्स में सिक्योरिटी फ्लो में 10 मिलियन यूजर्स की जानकारी लीक हो सकती है

अधिकांश, यदि सभी नहीं हैं, तो सुरक्षा के प्रति संवेदनशील ऐप उनके सर्वर और आपके फोन के बीच सुरक्षित रूप से एन्क्रिप्टेड लिंक बनाने के लिए टीएलएस कनेक्शन के रूप में जाना जाता है।यह सुनिश्चित करता है कि जब आप अपने फोन पर बैंकिंग कर रहे हों, तो कहें, आप वास्तव में अपने बैंक के साथ संचार कर रहे हैं और कुछ यादृच्छिक, संभावित खतरनाक सर्वर नहीं।

वहाँ सिर्फ एक छोटी सी समस्या है: ऑरलैंडो में वार्षिक कंप्यूटर सुरक्षा अनुप्रयोगों के सम्मेलन में बुधवार को प्रस्तुत एक पत्र के अनुसार, बर्मिंघम विश्वविद्यालय के शोधकर्ताओं ने पाया है कि नौ लोकप्रिय बैंकिंग ऐप टीएलएस कनेक्शन स्थापित करते समय उचित सावधानी नहीं बरत रहे हैं। इन ऐप में 10 मिलियन लोगों का एक संयुक्त उपयोगकर्ता आधार है, जिनके सभी बैंकिंग लॉगिन क्रेडेंशियल्स से समझौता किया जा सकता था यदि इस दोष का शोषण किया गया था।

"यह गंभीर है, उपयोगकर्ताओं को भरोसा है कि ये बैंक अपने संचालन की सुरक्षा कर सकते हैं," बर्मिंघम विश्वविद्यालय में एक कंप्यूटर सुरक्षा पीएचडी छात्र क्रिस मैकमोहन स्टोन, बताते हैं श्लोक में । “यह दोष अब तय हो गया है, हमने इसमें शामिल सभी बैंकों को बताया। लेकिन अगर कोई हमलावर इस भेद्यता के बारे में जानता था और कहता है कि एक उपयोगकर्ता एक पुराना ऐप चला रहा है, तो यह शोषण करने के लिए बहुत तुच्छ होगा। केवल आवश्यकता यह है कि हमलावर को अपने शिकार के समान नेटवर्क पर रहना होगा, इसलिए सार्वजनिक वाईफाई नेटवर्क की तरह।

कागज के अनुसार प्रभावित ऐप्स की सूची यहां दी गई है।

टीएलएस कनेक्शन यह सुनिश्चित करने के लिए है कि जब आप अपनी बैंक लॉगिन जानकारी टाइप करते हैं, तो आप इसे केवल अपने बैंक में भेज रहे हैं और कोई नहीं। यह सुरक्षा एहतियात दो-चरणीय प्रक्रिया है।

यह बैंकों या अन्य संस्थाओं द्वारा एक क्रिप्टोग्राफिक रूप से हस्ताक्षरित प्रमाण पत्र पर भेजने के साथ शुरू होता है, यह सत्यापित करते हुए कि वे वास्तव में वे हैं जो वे होने का दावा करते हैं। ये हस्ताक्षर प्रमाणपत्र अधिकारियों द्वारा दिए गए हैं, जो इस प्रक्रिया में तीसरे पक्ष के भरोसेमंद हैं।

एक बार जब यह प्रमाणपत्र भेज दिया जाता है - और एप्लिकेशन यह सुनिश्चित करता है कि यह वैध है - सर्वर के होस्टनाम को सत्यापित किया जाना चाहिए। यह केवल उस सर्वर के नाम की जाँच कर रहा है जिसे आप यह सुनिश्चित करने के लिए कनेक्ट करने का प्रयास कर रहे हैं कि आप किसी और के साथ संबंध स्थापित नहीं कर रहे हैं।

यह दूसरा चरण है जहां इन बैंकों ने गेंद को गिरा दिया।

स्टोन कहती हैं, "हमें पता चलता है कि इनमें से कुछ ऐप चेक कर रहे थे कि सर्टिफिकेट सही से साइन किया हुआ था, लेकिन वे होस्टनाम को ठीक से चेक नहीं कर रहे थे।" "तो वे किसी भी सर्वर के लिए किसी भी वैध प्रमाण पत्र की उम्मीद करेंगे।"

इसका मतलब है कि एक हमलावर एक प्रमाण पत्र को खराब कर सकता है और एक मध्य-मध्य हमले को माउंट कर सकता है। जहां हमलावर बैंक और उपयोगकर्ता के बीच संबंध को होस्ट करता है। इससे उन्हें एक्सेस मिलेगा सब उस कनेक्शन के दौरान भेजी गई जानकारी।

जबकि यह दोष ठीक हो गया है, यदि आप अपने ऊपर सूचीबद्ध किसी भी ऐप का उपयोग करते हैं जरूर सुनिश्चित करें कि आपका ऐप ठीक करने के लिए अपडेट किया गया है। स्टोन लोगों को घर पर मोबाइल बैंकिंग करने के लिए दृढ़ता से आग्रह करता है, एक व्यक्ति के मध्य हमले की किसी भी संभावना से बचने के लिए अपना स्वयं का नेटवर्क।

वेब पर सुरक्षित रहें, दोस्तों।