हाल ही में लास वेगास में आयोजित ब्लैक हैट और डेफकॉन सुरक्षा सम्मेलनों के दौरान, बर्च ने एक डिस्क एन्क्रिप्शन और प्री-बूट प्रमाणीकरण सॉफ्टवेयर में खोजी गई नौ कमजोरियों के निष्कर्षों को सबके सामने रखा। इस सॉफ्टवेयर का नाम क्रिप्टोप्रो सिक्योर डिस्क है, और इसकी इन कमियों का फायदा उठाकर कोई भी हमलावर इसकी अखंडता जाँच को दरकिनार कर एन्क्रिप्टेड उपकरणों तक पूरी पहुँच हासिल कर सकता था।
यह सॉफ्टवेयर जर्मन फर्म क्रिप्टवेयर द्वारा तैयार किया गया है और इसे मुख्य रूप से एटीएम निर्माताओं के लिए विज्ञापित किया जाता है। कई एटीएम में इसका उपयोग होता है, जिसमें डाइबोल्ड निक्सडॉर्फ का डायनामिक सिक्योरिटी सूट भी शामिल है। हालांकि, यह सॉफ्टवेयर अन्य एंबेडेड डिवाइस निर्माताओं के साथ-साथ माइक्रोसॉफ्ट विंडोज का उपयोग करने वाले बड़े संगठनों के लिए भी एक सुरक्षा समाधान के रूप में बेचा जाता है। यह स्थिति इस बात को उजागर करती है कि जब कोई सॉफ्टवेयर कई उद्योगों में व्यापक रूप से लागू किया जाता है, तो उसमें मौजूद बग्स को ठीक करना सप्लाई चेन की एक बहुत बड़ी चुनौती बन जाता है.
एटीएम के माध्यम से इस रास्ते पर आगे बढ़ने वाले बर्च का कहना है कि इन निष्कर्षों का प्रभाव इससे भी कहीं अधिक व्यापक हो सकता है। एटीएम और वित्तीय नेटवर्क के परिप्रेक्ष्य में कई परतें शामिल होती हैं, जिसके परिणामस्वरूप चीजें एक निश्चित तरीके से लागू हो जाती हैं और तकनीकी अंतर्दृष्टि सीमित रह जाती है, जिससे कई बार बग्स नजरअंदाज हो जाते हैं या उन पर समय पर ध्यान नहीं दिया जाता है.
क्रिप्टवेयर के प्रबंध निदेशक उवे साम ने बताया कि कंपनी ने दिसंबर के शुरुआती दिनों और नवंबर के शुरुआती दिनों में क्रिप्टोप्रो संस्करण 7.7.3 और 7.7.2 के तहत दो चरणों में इन नौ बग्स को पैच कर दिया था। बर्च के अनुसार, पूरी डिस्क्लोजर प्रक्रिया के दौरान कंपनी काफी सक्रिय और सहयोगी रही और उन्होंने इस बात की पुष्टि भी की कि पैच वास्तव में उन कमजोरियों को ठीक करते हैं जिन्हें उन्होंने खोजा था। हालांकि ऐसा लगता है कि क्रिप्टोप्रो सार्वजनिक रूप से अपडेट नोट्स जारी नहीं करता है, लेकिन बर्च का मानना है कि कंपनी ने अपने ग्राहकों के बीच इन पैचों से जुड़ी जानकारी वितरित कर दी थी.
डाइबोल्ड निक्सडॉर्फ के प्रवक्ता माइकल जैकोब्स ने बताया कि उन नौ कमजोरियों में से केवल दो ही डाइबोल्ड निक्सडॉर्फ की डायनामिक सिक्योरिटी हार्ड डिस्क एन्क्रिप्शन प्रणाली से संबंधित हैं, जहाँ एटीएम निर्माता क्रिप्टोप्रो सॉफ्टवेयर का उपयोग करता है। जैकोब्स का कहना है कि कंपनी ने दिसंबर के महीने में उन दो बग्स से संबंधित फिक्स जारी कर दिए थे, लेकिन उनका अकेले उपयोग करके किसी भी डाइबोल्ड निक्सडॉर्फ एटीएम को नुकसान नहीं पहुँचाया जा सकता था.
एटीएम, एंबेडेड उपकरणों और व्यापक उद्यम सुरक्षा के क्षेत्र में सॉफ्टवेयर सप्लाई चेन की मुख्य चुनौती वास्तविक दुनिया में फिक्स लागू करने से जुड़े विभिन्न चरणों से आती है। इस मामले की तरह, सबसे पहले एक डेवलपर को पैच जारी करना पड़ता है, फिर उन कंपनियों को जो इस उत्पाद को अपने स्वयं के सॉफ्टवेयर में एकीकृत करती हैं, उन्हें एक अनुकूलित फिक्स विकसित करना होता है। इसके बाद ग्राहकों को उस पैच के बारे में जानकारी मिलनी चाहिए और वे उसे इंस्टॉल करें, जो उन प्रणालियों के लिए कठिन हो सकता है जो मैदान पर लगातार काम कर रही हैं या जिन्हें आसानी से रोका और अपडेट नहीं किया जा सकता है.
इस पूरी चुनौती के बारे में विस्तार से बात करते हुए डाइबोल्ड निक्सडॉर्फ के प्रवक्ता जैकोब्स ने बताया कि जब किसी सुरक्षा समस्या की पहचान की जाती है, तो कंपनी उसके प्रभाव का आकलन करती है, प्रभावित उत्पादों और कॉन्फ़िगरेशन की पहचान करती है और अपनी उत्पाद सुरक्षा तथा इंजीनियरिंग प्रक्रियाओं के माध्यम से आवश्यक अपडेट तैयार करती है। इसके बाद हम प्रभावित ग्राहकों को सूचित करते हैं और ग्लोबल सिक्योरिटी पोर्टल जैसे मानक सॉफ्टवेयर वितरण चैनलों के माध्यम से अपडेट प्रदान करते हैं। तैनात एटीएम के लिए, प्रत्येक ग्राहक के ऑपरेटिंग मॉडल, सेवा समझौतों और परिवर्तन-प्रबंधन प्रक्रियाओं के आधार पर अपडेट का समन्वय किया जाता है.
सुरक्षा शोधकर्ताओं ने दशकों से इस बात की चेतावनी दी है कि सॉफ्टवेयर को छिपाकर रखने या उसे ताले में बंद रखने की रणनीति पर भरोसा करना कितना खतरनाक हो सकता है। इस शोध के परिणामस्वरूप, इंटरनेट ऑफ थिंग्स के निर्माताओं और वित्तीय क्षेत्र या चिकित्सा उपकरण निर्माण जैसे महत्वपूर्ण उद्योगों के लोगों ने पारदर्शिता को बढ़ावा देने और पैच अपनाने की प्रक्रिया में कुछ प्रगति की है। लेकिन बर्च का यह भी कहना है कि जैसे-जैसे एआई प्रणालियों के कारण सॉफ्टवेयर का मूल्यांकन करना और कमजोरियों को ढूंढना आसान होता जा रहा है, वैसे-वैसे उन शोधकर्ताओं या हमलावर के लिए भी जो किसी विशिष्ट क्षेत्र में गहरी विशेषज्ञता नहीं रखते हैं, आला सुरक्षा उत्पादों पर प्रकाश डालना पहले से कहीं अधिक आवश्यक हो गया है.
बर्च का मानना है कि एआई वास्तव में अस्पष्टता के इस मॉडल को पूरी तरह से समाप्त कर देता है। अब किसी चीज को गहराई से समझने की आवश्यकता नहीं रह जाती है ताकि आगे बढ़कर एक बड़ा प्रभाव डाला जा सके.
