मैन-इन-द-मिडल अटैक क्या होता है और यह किन लक्ष्यों को निशाना बनाता है? Pipelines
अगर आप यह पूछ रहे हैं कि DevOps में मैन-इन-द-मिडल अटैक क्या है, तो यह सिर्फ एक सामान्य नेटवर्क स्निफिंग तकनीक नहीं है। यह एक लक्षित हमला है। समझौता करने का तरीका CI/CD pipelines जब एन्क्रिप्शन कमजोर हो या अनुपस्थित हो, तो पारगमन में डेटा, निर्भरताओं, स्क्रिप्ट या कलाकृतियों को रोककर और उनमें हेरफेर करके।
एक वास्तविक परिदृश्य पर विचार करें: एक CI रनर HTTP का उपयोग करके किसी तृतीय-पक्ष रिपॉजिटरी से निर्भरताएँ प्राप्त करता है। यदि TLS गलत तरीके से कॉन्फ़िगर किया गया है, या इससे भी बदतर, अनुपस्थित है, तो हमलावर उस अनुरोध को रोक सकते हैं और वैध दिखने वाले दुर्भावनापूर्ण पैकेजों को इंजेक्ट कर सकते हैं। तेजी से बदलते परिवेश में... pipelineइन उपकरणों को किसी के ध्यान देने से पहले ही बनाया और तैनात किया जा सकता है। यह एक क्लासिक मैन-इन-द-मिडल अटैक है, लेकिन CI/CD परिणाम।
इस हमले के लिए एन्क्रिप्शन को तोड़ना ज़रूरी नहीं है; यह कमज़ोर कॉन्फ़िगरेशन का फ़ायदा उठाता है। एक कंटेनर बिल्ड पर विचार करें जो बिना प्रमाणीकरण के आंतरिक रिपॉज़िटरी से बेस इमेज या स्क्रिप्ट डाउनलोड करता है। यदि आंतरिक ट्रैफ़िक एन्क्रिप्टेड या सेगमेंटेड नहीं है, तो यह MITM के लिए एक सुनहरा अवसर है। यदि आपको अभी भी यह स्पष्ट नहीं है कि मैन-इन-द-मिडल अटैक क्या है, तो इसे एक अदृश्य कर्ता के रूप में सोचें जो चुपचाप आपके सिस्टम में बदलाव कर रहा है। pipeline बिना कोई स्पष्ट निशान छोड़े उपभोग करता है।
जहां Pipeline ब्रेक्स: वास्तविक MITM प्रवेश बिंदु CI/CD
ऐसे कई कमजोर बिंदु हैं जहां से मैन-इन-द-मिडल अटैक डेवऑप्स फ्लो पर कब्जा कर सकता है:
- HTTP के माध्यम से पैकेज प्राप्त करना: पुराने बिल्ड या सेल्फ-होस्टेड रजिस्ट्रियों में आम है। यदि आप पुल कर रहे हैं पायथन पैकेज, NPM मॉड्यूल, या डॉकटर चित्र HTTPS के बिना, आप असुरक्षित हैं।
- अपुष्ट स्रोत: Pipelineउपयोगकर्ता अक्सर सामुदायिक या ओपन-सोर्स टूल की अखंडता की पुष्टि किए बिना उनका उपयोग करते हैं। MITM हमलावर इन डाउनलोड में छेड़छाड़ कर सकते हैं।
- प्रमाणीकरण के बिना कलाकृति भंडारएस3 बकेट, गिट एलएफएस सर्वर, या आंतरिक आर्टिफैक्ट स्टोर जिन्हें सामान्य एचटीटीपी के माध्यम से एक्सेस किया जाता है, आसान लक्ष्य होते हैं।
- असुरक्षित आंतरिक सेवाएंकई आंतरिक CI/CD टूल्स (रनर, एजेंट, डिप्लॉयमेंट स्क्रिप्ट) नेटवर्क परिधि सुरक्षा को मानकर चलते हैं। MITM इस धारणा का फायदा उठा सकता है।
उदाहरण:
⚠️ असुरक्षित उदाहरण: उत्पादन में उपयोग न करें
यदि इस ट्रैफ़िक को इंटरसेप्ट किया जाता है, तो हमलावर को केवल हेरफेर किया हुआ डेटा भेजना होगा। .tar.gz इसमें एक पेलोड होता है। इसे बिल्ड स्टेज के दौरान अनपैक और एग्जीक्यूट किया जाता है। यह पूर्व हैcisआधुनिक समय में मैन-इन-द-मिडल अटैक क्या करता है? pipelineइसका मतलब है कि यह भरोसे की धारणाओं का फायदा उठाता है।
दुर्भावनापूर्ण बिल्ड: रनटाइम और बिल्ड टाइम के दौरान कोड इंजेक्शन
मैन-इन-द-मिडल हमले केवल अवरोधन तक ही सीमित नहीं होते; वे कोड इंजेक्शन का कारण बनते हैं। एक बार जब कोई दुर्भावनापूर्ण निर्भरता या कलाकृति प्रवेश कर जाती है pipelineहमलावर निर्माण को नियंत्रित करता है।
- बिल्ड टाइम इंजेक्शन: असत्यापित निर्भरताओं को चलाने वाले कंपाइलर या बिल्ड स्क्रिप्ट में ट्रोजन कोड शामिल हो सकता है। मेकफ़ाइल में एक अस्पष्ट पंक्ति के बारे में सोचें जिसे उच्च अनुमतियों के साथ निष्पादित किया जाता है।
- रनटाइम इंजेक्शनसादे टेक्स्ट में उजागर किए गए पर्यावरण चर या गुप्त जानकारी को कैप्चर और पुन: उपयोग किया जा सकता है। यदि आपका रनर लॉग करता है निर्यात AWS_SECRET_KEY=…आपके यहाँ कभी भी रिसाव हो सकता है।
- गतिशील चरण हेरफेर: YAML-परिभाषित CI pipelineअक्सर डायनामिक स्क्रिप्ट लाने के लिए curl/wget का इस्तेमाल किया जाता है। अगर ये स्क्रिप्ट सुरक्षित नहीं हैं, तो MITM हमलावर इन्हें तुरंत बदल सकते हैं।
⚠️ असुरक्षित उदाहरण: उत्पादन में उपयोग न करें
मैन-इन-द-मिडल अटैक क्या होता है, यह जानने से यह समझना आसान हो जाता है कि ये इंजेक्शन कैसे होते हैं: हमलावर डिलीवरी प्रक्रिया का हिस्सा बन जाता है, और आपके सोर्स कोड तक सीधी पहुंच के बिना दुर्भावनापूर्ण निर्देश इंजेक्ट करता है।
DevOps को सुरक्षित करना Pipelineमैन-इन-द-मिडल अटैक के जोखिमों के खिलाफ
आप मैन-इन-द-मिडल अटैक के खतरों को पूरी तरह खत्म नहीं कर सकते, लेकिन आप उन्हें कम कर सकते हैं। pipelineसमझौता करना काफी कठिन है।
कार्रवाई योग्य कदम:
- हमेशा TLS लागू करेंप्रत्येक आर्टिफैक्ट, डिपेंडेंसी और स्क्रिप्ट को HTTPS के माध्यम से ही प्राप्त किया जाना चाहिए।
- चेकसम/हैश सत्यापित करेंSHA256 या इससे भी मजबूत डाइजेस्ट का उपयोग करें और निष्पादन से पहले सत्यापन करें।
- कलाकृतियों पर हस्ताक्षर करें और उनकी पुष्टि करेंस्रोत की प्रामाणिकता सुनिश्चित करने के लिए Sigstore या in-toto का उपयोग करें।
- सुरक्षित सीआई धावकवातावरणों को अलग-थलग करें, साझा रनर से बचें और जहां संभव हो, शेल एक्सेस को अक्षम करें।
- रहस्यों को अलग रखेंगुप्त जानकारी को केवल उन्हीं चरणों में डालें जहाँ इसकी आवश्यकता हो। इसे कभी भी प्रिंट न करें या लॉग में संग्रहीत न करें।
कदम:
✅ निष्पादन से पहले स्क्रिप्ट की अखंडता की पुष्टि करता है
ये ऐसे कड़े उपाय हैं जो मैन-इन-द-मिडल अटैक को एक सैद्धांतिक प्रश्न बना देते हैं, न कि एक वास्तविक घटना।
यह क्यों महत्वपूर्ण है: आपूर्ति श्रृंखला पर प्रभाव और जोखिम का बढ़ना
एक मैन-इन-द-मिडल अटैक में CI/CD pipeline यह सिर्फ एक स्थानीय मुद्दा नहीं है; यह आपके पूरे समाज को भ्रष्ट कर देता है। सॉफ्टवेयर आपूर्ति श्रृंखला. आपके द्वारा निर्मित उत्पाद का प्रत्येक उपभोक्ता जोखिम में है।
जब कोई दुर्भावनापूर्ण आर्टिफैक्ट किसी बिल्ड में प्रवेश करता है, तो वह आगे की ओर वितरित हो जाता है:
- संदिग्ध कंटेनर उत्पादन में भेज दिए जाते हैं।
- दूषित पुस्तकालयों को सार्वजनिक रजिस्टरों में प्रकाशित किया जाता है।
- ग्राहक गुप्त रूप से संशोधित सॉफ़्टवेयर स्थापित करते हैं।
इस तरह के प्रवर्धन के कारण ही आपूर्ति श्रृंखला पर होने वाले हमले इतने हानिकारक होते हैं। MITM यह अक्सर पहला कदम होता है, अंतिम लक्ष्य नहीं। अगर आप यह जानना चाहते थे कि मैन-इन-द-मिडल अटैक क्या होता है, तो अब आपको पता चल गया है: यह फुल-चेन कॉम्प्रोमाइज का शुरुआती बिंदु है।
निष्कर्ष: बाईं ओर खिसकना Pipeline Security
डेवऑप्स में मैन-इन-द-मिडल अटैक का मतलब निष्क्रिय रूप से सुनना नहीं है; इसका मतलब आपके सिस्टम में असुरक्षित फ्लो को सक्रिय रूप से हाईजैक करना है। CI/CD. गलत तरीके से कॉन्फ़िगर किया गया टीएलएसअप्रमाणित स्रोत और असत्यापित कलाकृतियाँ खतरे का द्वार खोल देती हैं। डेवलपर्स को इसका ध्यान रखना होगा। pipelineयह प्रोडक्शन कोड की तरह है: परीक्षित, मान्य और सुरक्षित। इसका मतलब है कि बिना प्रमाणीकरण के डाउनलोड की अनुमति नहीं, HTTP आधारित स्रोतों का उपयोग नहीं और सत्यापन के बिना गतिशील निष्पादन की अनुमति नहीं।
उपकरण जैसे ज़ायजेनी टीमों को उनकी क्षमता को मजबूत करने में मदद करें pipelineकमजोर बिंदुओं का पता लगाकर, कलाकृति की अखंडता को सत्यापित करके, और निर्भरता में छेड़छाड़ को फैलने से पहले ही पकड़ना। बाईं ओर शिफ्ट करना वैकल्पिक नहीं है; यह वास्तविक दुनिया के ऐप सुरक्षा खतरों से आगे रहने का तरीका है। मैन-इन-द-मिडल अटैक क्या है, यह समझना ही काफी नहीं है। आपको इसे पहचानना, रोकना और इसके परिणामों को हल्के में लेना बंद करना होगा। pipeline आपकी सुरक्षा व्यवस्था में एक द्वितीय श्रेणी के नागरिक के रूप में।
