असुरक्षित,रिपैकेज्ड Mitron ऐप को IT मंत्री ने बताया TikTok का जवाब

क्विंट को पता चला था कि Mitron और TicTic ऐप में एक कॉमन सुरक्षा की दिक्कत है

(फोटो: अर्निका काला/क्विंट)

TikTok को भारत का जवाब कहे जाने वाले और हाल ही में 50 लाख से ज्यादा बार डाउनलोड किए जाने के लिए खबरों में रहे Mitron ऐप को पाकिस्तानी कंपनी QBoxus के TicTic ऐप का रिपैकेज वर्जन पाया गया है. हालांकि इलेक्ट्रॉनिक्स और आईटी मंत्री रविशंकर प्रसाद ने Mitron ऐप की तारीफ की है.

क्विंट ने हाल ही में रिपोर्ट किया था कि Mitron ऐप के डेवलपर ने Code Canyon से TicTic ऐप का कोड $34 में खरीदा था. इसके बाद उसे रिपैकेज कर Mitron ऐप बना दिया था. इस ऐप को बनाने का क्रेडिट IIT रुड़की के छात्र शिवांक अग्रवाल को दिया जा रहा है. 

रविशंकर प्रसाद ने Mitron ऐप को महान प्लेटफॉर्म बताते हुए कहा,

मैंने IIT रुड़की के कंप्यूटर इंजीनियर शिवांक अग्रवाल को बधाई दी है. उन्होंने महान प्लेटफॉर्म बनाया है. Mitron ऐप TikTok और फेसबुक को जवाब है.  

प्रसाद अखिल भारतीय अधिवक्ता परिषद की आयोजित प्रोफेसर एनआर माधव मेनन मेमोरियल लेक्चर सीरीज में ऑनलाइन स्पीच दे रहे थे. उन्होंने कहा, "इस ऐप के 50 लाख डाउनलोड हो चुके हैं. ये इनोवेशन COVID के समय में हुआ है और इससे बहुत भरोसा मिलता है."

दो सुरक्षा खामी मिलीं

क्विंट को पता चला था कि Mitron और TicTic ऐप में एक कॉमन सुरक्षा की दिक्कत है. ये परेशानी 'फॉलो अकाउंट' एक्शन से जुड़ी है. इस दिक्कत की वजह से कोई भी शख्स गलत इरादों से किसी यूजर को एक अकाउंट को फॉलो करने के लिए बाधित कर सकता है. इसके लिए उसे 'फॉलो यूजर' रिक्वेस्ट के कुछ पैरामीटर में छेड़छाड़ करने होंगे.

इसके बाद पता चला कि Mitron ऐप में एक और सुरक्षा की खामी है. द हैकरन्यूज के मुताबिक, इस खामी की वजह से चंद सेकंडों में किसी भी Mitron ऐप यूजर का अकाउंट ऑथोराइजेशन बाईपास किया जा सकता है.  

सिक्योरिटी रिसर्चर राहुल कंकराले ने इस खामी का पता लगाया, जो Mitron ऐप के 'गूगल के साथ लॉगिन' करने का फीचर लागू करने से संबंधित है.

इस खामी का फायदा उठाकर कोई भी शख्स एक टार्गेटेड Mitron ऐप यूजर की प्रोफाइल में लॉगिन कर सकता है. इसके लिए उसे सिर्फ यूनिक यूजर आईडी की जरूरत होगी, जो पेज सोर्स में एक पब्लिक इन्फॉर्मेशन है. लॉगिन बिना किसी पासवर्ड के किया जा सकता है.  

क्या इसका मतलब है कि ये खामी TicTic के सोर्स कोड से आई है?

सिक्योरिटी रिसर्चर राहुल कंकराले ने क्विंट को बताया, "ये दिक्कत TicTic में मौजूद है और अब Mitron ऐप में आ गई है. क्योंकि कोई ऑथेंटिकेशन नहीं है, किसी की भी रिक्वेस्ट के साथ हेरफेर की जा सकती है."

(क्विंट हिन्दी, हर मुद्दे पर बनता आपकी आवाज, करता है सवाल. आज ही मेंबर बनें और हमारी पत्रकारिता को आकार देने में सक्रिय भूमिका निभाएं.)