F-Secure नकली परिणामों के लिए घर पर ही COVID-19 परीक्षण में खामियों का उपयोग करता है

सुरक्षा शोधकर्ताओं ने नकारात्मक परिणामों को सकारात्मक में बदलने के लिए ब्लूटूथ भेद्यता का उपयोग किया।

कोविड-परीक्षण-बोर्ड.png

F-Secure के सुरक्षा शोधकर्ताओं ने COVID-19 के लिए एक घरेलू परीक्षण में एक ब्लूटूथ भेद्यता की पहचान की जिसका उपयोग परीक्षण परिणामों में हेरफेर करने के लिए किया जा सकता है। जब एफ-सिक्योर ने उनके साथ समस्या साझा की, तो निर्माता एल्यूम ने दोष को संबोधित किया।

छवि: एफ-सिक्योर

सुरक्षा शोधकर्ताओं ने COVID-19 के लिए एक घरेलू परीक्षण में एक भेद्यता पाया कि एक बुरा अभिनेता परीक्षण के परिणामों को सकारात्मक से नकारात्मक या इसके विपरीत बदलने के लिए उपयोग कर सकता है। F-Secure ने पाया कि Elume COVID-19 होम टेस्ट को ब्लूटूथ डिवाइस के माध्यम से हेरफेर किया जा सकता है जो नाक के नमूने का विश्लेषण करता है और परिणामों को ऐप तक पहुंचाता है।

एफ-सिक्योर द्वारा भेद्यता की व्याख्या करने के बाद एल्यूम ने दोष को ठीक किया। Elume उन परीक्षणों में से एक है जिसका उपयोग यात्री संयुक्त राज्य में प्रवेश करने के लिए कर सकते हैं। कुछ कार्यक्रम आयोजकों को सीईएस 2022 सहित उपस्थित लोगों के लिए टीकाकरण के प्रमाण की आवश्यकता होती है। यदि उस घटना के दौरान एक सहभागी सकारात्मक परीक्षण करता है, उसे ईवेंट बैज वापस करने के लिए कहा जाएगा और 10 दिनों के लिए क्वारंटाइन।

यहां बताया गया है कि परीक्षण कैसे काम करता है: एक उपयोगकर्ता एक ऐप डाउनलोड करता है, कुछ स्क्रीनिंग सवालों के जवाब देता है, एक सूचनात्मक वीडियो देखता है और फिर परीक्षण करता है। परीक्षण के परिणामों की रिपोर्ट करने के लिए परीक्षण उपकरण ब्लूटूथ के माध्यम से ऐप से जुड़ता है।

कंपनी ने इस तरह दोष समझाया:

“F-Secure ने निर्धारित किया कि STATUS और MEASUREMENT_CONTROL_DATA ट्रैफ़िक दोनों में ‘परीक्षण की स्थिति’ का प्रतिनिधित्व करने वाले केवल बाइट मान को बदलकर, इसके बाद नए CRC और चेकसम मानों की गणना करके, Ellum ऐप प्रक्रियाओं से पहले COVID परीक्षा परिणाम को बदलना संभव था। आंकड़ा।”

सुरक्षा शोधकर्ताओं ने नकारात्मक परीक्षण को सकारात्मक में बदलने के लिए भेद्यता का फायदा उठाया। ऐप स्वचालित रूप से एचआईपीएए अनुपालन क्लाउड कनेक्शन के माध्यम से स्वास्थ्य अधिकारियों को आवश्यक डेटा की रिपोर्ट करता है।

एल्यूम परीक्षण लेने की प्रक्रिया और परिणामों को सत्यापित करने के लिए एक वीडियो अवलोकन सेवा भी प्रदान करता है। एक प्रॉक्टर एक व्यक्ति को परीक्षा देते हुए देखता है और फिर परिणामों के साथ एक प्रमाण पत्र जारी करता है।

यह झूठी रिपोर्ट Elume द्वारा जारी आधिकारिक प्रमाणपत्र में परिलक्षित हुई, जिसमें COVID-19 के लिए एक सकारात्मक परीक्षा परिणाम सूचीबद्ध किया गया था। च-सुरक्षित इस प्रयोग के लिए शोध फाइलें जीथब पर पोस्ट की गईं.

एफ-सिक्योर के न्यूयॉर्क सिटी कार्यालय में एक प्रमुख सुरक्षा सलाहकार केन गैनन ने दोष पाया जो एक बुरे अभिनेता को ब्लूटूथ विश्लेषक के परीक्षण के बाद परिणाम बदलने की अनुमति देता है, लेकिन इससे पहले कि परिणाम ऐप द्वारा रिपोर्ट किए जाते हैं।

गैनन ने एक प्रेस विज्ञप्ति में कहा, “एल्यूम के सुधार से पहले, अत्यधिक कुशल व्यक्ति या साइबर सुरक्षा विशेषज्ञता वाले संगठन सार्वजनिक स्वास्थ्य उपायों को रोकने की कोशिश कर रहे थे, जो कि सीओवीआईडी ​​​​के प्रसार को रोकने के लिए थे, हमारे निष्कर्षों की नकल करके ऐसा कर सकते थे।” “उचित प्रेरणा और तकनीकी कौशल वाला कोई व्यक्ति इन खामियों का उपयोग यह सुनिश्चित करने के लिए कर सकता है कि वे, या जिनके साथ वे काम कर रहे हैं, उन्हें हर बार परीक्षण किए जाने पर नकारात्मक परिणाम मिलता है।”

F-Secure ने सार्वजनिक घोषणा करने से पहले इन निष्कर्षों की व्याख्या करने के लिए Elume से संपर्क किया और सिफारिश की कि कंपनी ये कदम उठाए:

  • नकली डेटा को फ़्लैग करने के लिए परिणामों के आगे के विश्लेषण को लागू करें
  • Android ऐप में अतिरिक्त अस्पष्टता और OS जाँच लागू करें

एलुम में सूचना प्रणाली के प्रमुख एलन फॉक्स ने एक प्रेस विज्ञप्ति में कहा कि कंपनी ने गलत परिणामों के प्रसारण का पता लगाने और उसे रोकने के लिए अपने सिस्टम को अपडेट किया है।

उन्होंने कहा, “हम स्वास्थ्य विभागों, नियोक्ताओं, स्कूलों और अन्य सहित संगठनों को अनुमति देने के लिए एक सत्यापन पोर्टल भी वितरित करेंगे – एल्यूम सीओवीआईडी ​​​​-19 होम टेस्ट की प्रामाणिकता को सत्यापित करने के लिए,” उन्होंने कहा। “हम इस मुद्दे को हमारे ध्यान में लाने के लिए एफ-सिक्योर को धन्यवाद देना चाहते हैं।”

एल्यूम के घरेलू परीक्षण को दिसंबर 2020 में FDA द्वारा अनुमोदित किया गया था और यह उन परीक्षणों में से एक है जिसका उपयोग अंतरराष्ट्रीय यात्री नकारात्मक परीक्षा परिणाम दिखाने के लिए कर सकते हैं।

Leave a Reply

Your email address will not be published.

%d bloggers like this: