Рафай Балоч
Рафай Балоч | |
---|---|
![]() Рафай Балох в Tech Valley, 2019 год. | |
Рожденный | 5 февраля 1993 г. |
Национальность | пакистанский |
Известный | Эксперт по информационной безопасности |
Заметная работа | Руководство по этичному взлому и тестированию на проникновение |
Награды | Гордость Пакистана |
Почести | Ученый Чевенинга |
Веб-сайт | www |
Рафай Балоч (родился 5 февраля 1993 г.) — пакистанский этический хакер и исследователь безопасности. Он был представлен и известен как национальными, так и международными средствами массовой информации и публикациями. [ 1 ] [ 2 ] как Форбс , [ 3 ] Би-би-си , [ 4 ] «Уолл Стрит Джорнал» , [ 5 ] Экспресс Трибьюн [ 1 ] и TechCrunch . [ 6 ] Он вошел в число «5 лучших этических хакеров 2014 года» по версии CheckMarx. [ 1 ] [ 7 ] Впоследствии он был включен в список «15 самых успешных этических хакеров мира». [ 8 ] и среди «25 лучших искателей угроз» [ 9 ] от журнала SC. Белудж также был добавлен в список TechJuice 25 до 25 за 2016 год и занял 13-е место в списке успешных людей. Компания Reflectiz, занимающаяся кибербезопасностью, опубликовала список «21 лучших экспертов по кибербезопасности, за которыми нужно следить в Твиттере в 2021 году», отметив Рафая Балоча как главного влиятельного человека. [ 10 ] 23 марта 2022 года ISPR отметил вклад Рафая Балоха в области кибербезопасности наградой «Гордость за Пакистан». [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] В 2021 году Высокий суд Исламабада назначил Рафая Балоча amicus curia по делу, касающемуся регулирования социальных сетей. [ 16 ] [ 17 ] [ 18 ]
Личная жизнь
[ редактировать ]Рафай Балоч родился в 1993 году в Карачи. [ 19 ] Он учился в Университете Бахрии , где получил степень бакалавра компьютерных наук. В настоящее время Белудж занесен в Зал славы Университета Бахрии. [ 20 ] В 2020 году Рафай также получил стипендию Chevening. [ 21 ]
Карьера
[ редактировать ]Белудж начал свою хакерскую карьеру, когда еще учился на бакалавра. Затем он написал книгу под названием «Руководство по тестированию на проникновение этического взлома». [ 22 ] Выход его новой книги «Арсенал веб-хакеров: практическое руководство по современному веб-пентестингу» запланирован на август 2024 года. [ 23 ] [ 24 ] [ 25 ] [ 26 ] [ 27 ] [ 28 ] Он является одним из первых пакистанских исследователей безопасности, получивших признание Google , Facebook , PayPal , Apple , Microsoft. [ 29 ] и многие другие международные организации.
Он также написал несколько статей по информационной безопасности , а именно « HTML5 », «Обход брандмауэра веб-приложений» и «Обход политик безопасности браузера для развлечения и прибыли». Современные векторы атак [ 30 ]
Рафай Балоч работал в Управлении электросвязи Пакистана советником по кибербезопасности. [ 31 ] [ 32 ]
Программы вознаграждения за обнаружение ошибок
[ редактировать ]Белудж активно участвовал в программах вознаграждения за обнаружение ошибок и сообщил о нескольких критических уязвимостях. [ 33 ] в нескольких веб-приложениях с открытым исходным кодом, а также в программах поиска ошибок . Балоч обнаружил критические уязвимости в PayPal в 2012 году: он взломал серверы PayPal, воспользовавшись уязвимостью удаленного выполнения кода. Он получил вознаграждение в размере 10 000 долларов и предложение о работе у них в качестве исследователя безопасности, от которого он отказался, поскольку еще учился на бакалавра . в то время [ 34 ] HackRead, новостная платформа InfoSec, включила его в список «10 знаменитых охотников за ошибками всех времен». [ 35 ] Балоч также получил 5000 долларов от Google и Firefox за обнаружение уязвимости в своих браузерах. [ 36 ]
Исследования безопасности
[ редактировать ]Белох активно сообщал о нескольких критических уязвимостях в браузерах. Он начал с поиска обхода Same Origin Policy (SOP) в браузере Android Stock, который изначально был отклонен Google; [ 37 ] однако позже это было подтверждено Google после того, как это подтвердили исследователи из Rapid7. Это было придумано как CVE - 2014-6041 . [ 38 ] Затем Белудж сообщил о нескольких других нарушениях СОП. Исследователи из Trend Micro обнаружили, что эта ошибка более распространена. [ 39 ] Позже сообщалось, что хакеры активно использовали эксплойты Балоча для обхода SOP для взлома учетных записей Facebook . Ошибка обхода SOP была обнаружена исследователем Rapid7 Джо Венниксом для проведения удаленного выполнения кода. [ 40 ] [ 41 ] Балоч также обнаружил несколько уязвимостей в WebView, которые позволяли злоумышленнику читать локальные файлы, а также красть файлы cookie с пользовательского устройства. [ 42 ] В октябре 2020 года Балоч представил несколько уязвимостей подмены адресной строки, затрагивающих Apple Safari, Yandex, Opera Mini, UC Browser, Opera Touch, Bolt Browser и браузер RITS. [ 43 ] [ 44 ] [ 45 ] Раскрытие уязвимостей координировало Rapid7, который предоставил 60-дневный срок для исправления уязвимостей. По истечении 60 дней Белох опубликовал POC-эксплойты затронутых браузеров. [ 46 ] [ 47 ] [ 48 ] [ 49 ] [ 50 ] [ 51 ] [ 52 ] Рафай вместе с другим исследователем обнаружили многочисленные уязвимости безопасности, влияющие на настольный клиент PureVPN для Linux. [ 53 ]
Споры о подделке адресной строки Apple Safari
[ редактировать ]В 2018 году Балоч представил уязвимость в Safari и браузере Microsoft Edge , которая позволила отображать URL-адрес безопасного веб-сайта в адресной строке, в то время как пользователи фактически перенаправлялись на другой, возможно, вредоносный веб-сайт. [ 54 ] Рафай Балох выявил проблему безопасности и проинформировал Apple и Microsoft в начале июня 2018 года. Microsoft устранила проблему в течение двух месяцев, но Apple не ответила на отчет Балоха, несмотря на установленный крайний срок в 90 дней льготного периода, поэтому он обнародовал подробности. [ 55 ] Рафай Балох написал в своей статье, что адресную строку можно использовать, чтобы легко взломать чью-либо конфиденциальность, даже не заметив этого. [ 56 ] Причина, по которой это возможно, заключается в том, что адресная строка является единственным надежным индикатором безопасности в новых браузерах, поскольку она отображает URL-адрес сайта и другие сведения, связанные с веб-страницей, на которой вы находитесь. [ 57 ] [ 58 ] [ 59 ] [ 60 ]
Обнаружение политики Google без обновлений
[ редактировать ]В 2014 году, после того как Рафай Балох и Джо Венникс сообщили Google об ошибке, которая могла позволить хакерам обойти политику одинакового происхождения (SOP) браузера Android Open Source Platform (AOSP), [ 61 ] они обнаружили, что Google уже прекратила поддержку WebView на устройствах Android под управлением Android 4.3 или более ранних версий, одновременно возложив на OEM-производителей и сообщество безопасности с открытым исходным кодом ответственность за предоставление исправлений пользователям. [ 62 ] В то время как официальная позиция Google в отношении WebView для старых устройств до Android 4.4 была следующей: «Если затронутая версия [WebView] до 4.4, мы, как правило, не разрабатываем исправления сами, а приветствуем исправления с отчетом на рассмотрение. Кроме уведомления OEM-производителей, мы не сможем принять меры по любому отчету, затрагивающему версии до 4.4, которые не сопровождаются патчем». [ 63 ] К сожалению, в более старых версиях Android не исправлены ошибки WebView, в основном из-за плохого пути обновления, из-за которого пользователи остаются незащищенными. [ 63 ] [ 64 ]
Затем Google выпустила WebView как отдельное приложение, которое можно было обновлять отдельно от версии устройства Android. Проще говоря, переработка WebView пойдет на пользу последним версиям Android: Lollipop 5.0 и Marshmallow 6.0. [ 63 ] Но эта опция остается недоступной никому в более старой версии операционной системы. [ 55 ]
Что касается политики Google без обновлений, Балох поделился своим мнением с Zimperium, заявив, что «решение Google больше не исправлять критические ошибки безопасности (до KitKat), безусловно, повлияет на подавляющее большинство пользователей. Охранные компании уже наблюдают атаки, когда пользователи злоупотребляют ошибкой обхода Same Origin Policy (SOP), чтобы нацеливаться на пользователей Facebook». [ 65 ]
Metasploit Framework, принадлежащий Rapid7, содержал 11 таких эксплойтов WebView, которые необходимо было исправить, большинство из которых были созданы Рафаем Балочом и Джо Венниксом. [ 66 ] [ 67 ]
Ссылки
[ редактировать ]- ^ Перейти обратно: а б с «Невоспетый достигший успеха: Пакистан возглавил список этических хакеров 2014 года — The Express Tribune» . «Экспресс Трибьюн» . 03.01.2015. Архивировано из оригинала 13 мая 2018 г. Проверено 06 мая 2018 г.
- ^ «Рафай Балох признан одним из лучших этических хакеров 2014 года» . propakistani.pk . Архивировано из оригинала 15 июля 2018 г. Проверено 06 мая 2018 г.
- ^ Фокс-Брюстер, Томас. «Широко распространенная уязвимость Android «наносит ущерб конфиденциальности», утверждают исследователи» . Форбс . Архивировано из оригинала 15 июля 2018 г. Проверено 06 мая 2018 г.
- ^ «Сдвиг в безопасности Android подвергает пользователей риску» . Новости Би-би-си . 2015. Архивировано из оригинала 20 июля 2018 г. Проверено 06 мая 2018 г.
- ^ Ядрон, Дэнни (12 января 2015 г.). «Google не исправляет некоторые старые ошибки Android» . ВСЖ . Архивировано из оригинала 15 июля 2018 г. Проверено 06 мая 2018 г.
- ^ Уиттакер, Зак (20 октября 2020 г.). «Apple, Opera и Yandex исправляют ошибки подмены адресной строки браузера, но миллионы других по-прежнему остаются уязвимыми» . ТехКранч . Архивировано из оригинала 3 апреля 2024 г. Проверено 7 апреля 2024 г.
- ^ Хусейн, Осман. «Рафай Балох признан одним из лучших этических хакеров 2014 года» . Архивировано из оригинала 23 июля 2019 г. Проверено 27 октября 2019 г.
- ^ «15 самых успешных этических хакеров мира» . СК Медиа Великобритания . 06 апреля 2016 г. Архивировано из оригинала 20 июня 2024 г. Проверено 4 июня 2018 г.
- ^ «Перезагрузка 25: Искатели угроз» . СК Медиа . 08.12.2014. Архивировано из оригинала 19 августа 2019 г. Проверено 27 октября 2019 г.
- ^ «21 лучший эксперт по кибербезопасности, за которым стоит следить в Твиттере в 2021 году» . Рефлектиз . 11 апреля 2021 г. Архивировано из оригинала 12 апреля 2021 г. Проверено 12 апреля 2021 г.
- ^ «Пакистанский хакер, сделавший себе имя на мировой премии «Гордость Пакистана»» . Независимый урду (на урду). 2022-03-23. Архивировано из оригинала 25 марта 2022 г. Проверено 3 апреля 2022 г.
- ^ DG ISPR — Рафи Балох входит в пятерку лучших хакеров мира... , заархивировано из оригинала 3 апреля 2022 г. , получено 3 апреля 2022 г.
- ^ Пакистанский этический хакер получит награду «Гордость Пакистана» , архивировано с оригинала 3 апреля 2022 г. , получено 3 апреля 2022 г.
- ^ Рафай Балоч l 23 марта l День Пакистана l хакер Рафай Балоч l Премия ISPR l KnowledgeTV , заархивировано из оригинала 03 апреля 2022 г. , получено 3 апреля 2022 г.
- ^ Аиша (28 марта 2022 г.). «ISPR награждает исследователя кибербезопасности Рафе Балоха - Dicecamp Insights» . Проверено 8 апреля 2024 г.
- ^ «IHC решает пересмотреть новые законы о социальных сетях» . «Экспресс Трибьюн» . 2021-11-22. Архивировано из оригинала 28 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ Асад, Малик (23 ноября 2021 г.). «IHC назначает помощников по делу о правилах социальных сетей» . РАССВЕТ.КОМ . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ «Amicus curiae: IHC ищет мнение о новых правилах социальных сетей» . www.thenews.com.pk . Архивировано из оригинала 06 апреля 2024 г. Проверено 6 апреля 2024 г.
- ^ «Эксперт по кибербезопасности и этический хакер Рафи Балоч, который прославил Пакистан во всем мире» . akhbar-e-jehan.com . Архивировано из оригинала 21 марта 2023 г. Проверено 21 марта 2023 г.
- ^ «ИСТОРИИ УСПЕХА – BIC – Кампус Карачи» . Архивировано из оригинала 06 апреля 2024 г. Проверено 6 апреля 2024 г.
- ^ Шараби, Дэниел (12 мая 2021 г.). «Цифровая безопасность веб-сайтов: эксклюзивный разговор с пакистанским этическим хакером» . Рефлектиз . Архивировано из оригинала 4 апреля 2024 г. Проверено 4 апреля 2024 г.
- ^ Белудж, Рафай (30 сентября 2017 г.). Руководство по этическому взлому и тестированию на проникновение . Нью-Йорк: Публикации Ауэрбаха. дои : 10.4324/9781315145891 . ISBN 978-1-315-14589-1 . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ Белудж, Рафай (12 августа 2024 г.). Арсенал веб-хакеров: практическое руководство по современному веб-тестированию на проникновение (1-е изд.). Бока-Ратон: CRC Press. ISBN 978-1-032-44719-3 .
- ^ «Арсенал веб-хакеров» . blackwells.co.uk . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ «Арсенал веб-хакеров: практическое руководство по современному веб-пентестированию» . Рутледж и CRC Press . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ Белудж, Рафай (июнь 2024 г.). Арсенал веб-хакеров: Практическое руководство по современному веб-пентестированию . ЦРК Пресс. ISBN 978-1-003-37356-8 . Архивировано из оригинала 20 июня 2024 г. Проверено 4 апреля 2024 г.
- ^ Бережливые книги. «Арсенал веб-хакеров: Практическое руководство... книга Рафая Балоха» . Бережливые книги . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ Белудж, Рафай (12 августа 2024 г.). Арсенал веб-хакеров: Практическое руководство по современному веб-пентестированию . Бока-Ратон: CRC Press. дои : 10.1201/9781003373568 . ISBN 978-1-003-37356-8 . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ «Руководство по обновлению безопасности — Центр реагирования на безопасность Microsoft» . msrc.microsoft.com . Архивировано из оригинала 21 марта 2023 г. Проверено 21 марта 2023 г.
- ^ «Черная шляпа Азии 2016» . www.blackhat.com . Архивировано из оригинала 13 мая 2018 г. Проверено 06 мая 2018 г.
- ^ «Рафай Балох — советник по кибербезопасности — PTA» .
- ^ Аиша (28 марта 2022 г.). «ISPR награждает исследователя кибербезопасности Рафе Балоха - Dicecamp Insights» . Проверено 8 апреля 2024 г.
- ^ «Файлы от Рафая Балоха ≈ Packet Storm» . packagestormsecurity.com . Архивировано из оригинала 5 января 2019 г. Проверено 1 июня 2018 г.
- ^ «Работа за столом: молодой технический специалист зарабатывает миллион рупий, используя навыки работы в сфере информационных технологий» . «Экспресс Трибьюн» . 30 декабря 2012 г. Архивировано из оригинала 15 июля 2018 г. Проверено 06 мая 2018 г.
- ^ «10 знаменитых охотников за головами всех времен» . Взломать . 10 февраля 2016 г. Архивировано из оригинала 30 октября 2020 г. Проверено 20 сентября 2020 г.
- ^ «Пакистанский хакер получил 5000 долларов за обнаружение ошибки в Chrome и Firefox» . «Экспресс Трибьюн» . 18 августа 2016 г. Архивировано из оригинала 30 ноября 2017 г. Проверено 20 сентября 2020 г.
- ^ «Google под огнем за незаметное уничтожение критических обновлений безопасности Android почти на один миллиард» . Архивировано из оригинала 13 января 2015 г. Проверено 12 января 2015 г.
- ^ «Веб-сайт CVE» . www.cve.org . Архивировано из оригинала 5 июня 2024 г. Проверено 6 апреля 2024 г.
- ^ «Уязвимость обхода политики одного и того же происхождения имеет более широкий охват, чем предполагалось – Trendmicro» . Трендмикро . 29 сентября 2014 г. Архивировано из оригинала 26 декабря 2017 г. Проверено 1 июня 2018 г.
- ^ «Пробелы в X-Frame-Options (XFO) магазина Google Play позволяют удаленное выполнение кода Android (RCE)» . 10 февраля 2015 г. Архивировано из оригинала 5 января 2019 г. Проверено 1 июня 2018 г.
- ^ «(XFO) Пробелы позволяют удаленное выполнение кода Android (RCE)» . Архивировано из оригинала 28 июня 2015 г. Проверено 1 июня 2018 г.
- ^ «Обход политик безопасности браузера для развлечения и прибыли» (PDF) . Архивировано (PDF) из оригинала 23 декабря 2016 г. Проверено 1 июня 2018 г.
- ^ «Популярные мобильные браузеры уязвимы для атак с подменой адресной строки» . Хакерские новости . Архивировано из оригинала 01 декабря 2023 г. Проверено 3 апреля 2024 г.
- ^ «Исследователи предупреждают об уязвимостях в подмене адресной строки мобильного браузера» . Ежедневный глоток | Новости и мнения о кибербезопасности . 20.10.2020. Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ Уиттакер, Зак (20 октября 2020 г.). «Apple, Opera и Yandex исправляют ошибки подмены адресной строки браузера, но миллионы других по-прежнему остаются уязвимыми» . ТехКранч . Архивировано из оригинала 3 апреля 2024 г. Проверено 3 апреля 2024 г.
- ^ «Недостаток мобильного браузера подвергает пользователей спуфинговым атакам» . ЭТО ПРОФЕССИОНАЛЬНО . 21 октября 2020 г. Архивировано из оригинала 31 октября 2020 г. Проверено 27 октября 2020 г.
- ^ «[Раскрытие уязвимости] Уязвимости подмены панели мобильного браузера» . Блог Rapid7 . 20.10.2020. Архивировано из оригинала 24 октября 2020 г. Проверено 27 октября 2020 г.
- ^ «Популярные мобильные браузеры уязвимы для атак с подменой адресной строки» . Хакерские новости . Архивировано из оригинала 27 октября 2020 г. Проверено 27 октября 2020 г.
- ^ «Apple, Opera и Yandex исправляют ошибки подмены адресной строки браузера, но миллионы других по-прежнему остаются уязвимыми» . news.yahoo.com . 20 октября 2020 г. Архивировано из оригинала 20 июня 2024 г. Проверено 27 октября 2020 г.
- ^ «В Apple Safari, Opera и Yandex обнаружена уязвимость подделки адресной строки, не все исправлены» . Технологический институт «Хиндустан Таймс» . 20 октября 2020 г. Архивировано из оригинала 20 июня 2024 г. Проверено 27 октября 2020 г.
- ^ «Уязвимости адресной строки, обнаруженные исследователем Cyber Citadel» . Кибер Цитадель . 20.10.2020. Архивировано из оригинала 31 октября 2020 г. Проверено 28 октября 2020 г.
- ^ «Недостаток в адресной строке демонстрирует необходимость защиты от кибератак Covid» . Южно-Китайская Морнинг Пост . 2020-10-24. Архивировано из оригинала 26 октября 2020 г. Проверено 28 октября 2020 г.
- ^ «В приложении PureVPN Linux обнаружено множество уязвимостей» . Независимый советник . Архивировано из оригинала 4 апреля 2024 г. Проверено 4 апреля 2024 г.
- ^ «Уязвимость безопасности сделала пользователей Safari и Edge уязвимыми для поддельных веб-сайтов» . Engadget . 12 сентября 2018 г. Архивировано из оригинала 2 января 2019 г. Проверено 1 января 2019 г.
- ^ Перейти обратно: а б Фокс-Брюстер, Томас. «Google под огнем за незаметное уничтожение критических обновлений безопасности Android почти на один миллиард» . Форбс . Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.
- ^ «Подмена адресной строки браузера Apple Safari и Microsoft Edge — запись» . Разные бредни этического хакера . Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.
- ^ Самир, Сармад. «Пакистанский исследователь обнаружил уязвимость подмены адресной строки в Safari и Microsoft Edge» . Проверено 1 января 2019 г.
- ^ «Браузеры Apple Safari и Microsoft Edge содержат ошибку спуфинга» . СК Медиа . 12 сентября 2018 г. Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.
- ^ Николс, Шон (11 сентября 2018 г.). «Поклонники Safari и Edge: вы действительно думаете, что посещаете этот веб-сайт? Обнаружена ошибка подделки URL-адреса» . Регистр . Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.
- ^ «Обнаружен эксплойт подмены URL-адреса Safari для iOS, без задокументированного исправления» . AppleInsider . 11 сентября 2018 г. Архивировано из оригинала 23 октября 2020 г. Проверено 20 сентября 2020 г.
- ^ «Перезагрузка 25: Искатели угроз» . СК Медиа . 08.12.2014. Архивировано из оригинала 19 августа 2019 г. Проверено 19 августа 2019 г.
- ^ «Google больше не предоставляет исправления для WebView Jelly Bean и Prior | Блог Rapid7» . Рапид7 . 12 января 2015 г. Архивировано из оригинала 7 апреля 2023 г. Проверено 7 апреля 2023 г.
- ^ Перейти обратно: а б с Аллен, Грант (18 декабря 2015 г.). Начало Андроида . Апресс. ISBN 9781430246879 . Архивировано из оригинала 22 февраля 2023 г. Проверено 4 декабря 2021 г.
- ^ «Google пропускает старые патчи для Android; 930 миллионов устройств уязвимы» . Threatpost.com . 12 января 2015 г. Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.
- ^ «Нет исправлений для обхода политики того же происхождения на старых устройствах Android» . Блог Zimperium по мобильной безопасности . 15 января 2015 г. Архивировано из оригинала 12 апреля 2019 г. Проверено 19 августа 2019 г.
- ^ «Сдвиг в безопасности Android подвергает пользователей риску» . 13 января 2015 г. Архивировано из оригинала 20 марта 2019 г. Проверено 19 августа 2019 г.
- ^ «Интернет-безопасность: Пакистан помогает Google избежать катастрофы с конфиденциальностью» . «Экспресс Трибьюн» . 20 сентября 2014 г. Архивировано из оригинала 02 января 2019 г. Проверено 1 января 2019 г.