Google minulý týden nechal revokovat (zneplatnit) certifikáty pro služby Googlu, které byly vydané/podepsané Francouzským úřadem pro boj proti kyber útokům. The Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) tvrdí, že certifikáty vydávající se za certifikáty Googlu byly vydány „omylem“ chybou jednoho z operátorů, při implementaci služby pro ministerstvo financí zajišťující vyšší bezpečnost.
V překladu to znamená to, že instalovali webový proxy server, který obsahoval intermediate CA (Certifikační Autorita) certifikát od společnosti DGTrésor, kterému plně důveřujete, protože Root certifikát této společnosti považuje váš systém za důvěryhodný (stejně jako stovky dalších CA, o kterých jste nikdy ani neslyšeli). Takže když první zaměstnanec úřadu chtěl navštívit jakoukoliv HTTPS službu Googlu (a ne jen Googlu), tak proxy vygenerovala certifikát pro danou doménu podepsaný CA certifikátem pro ANSSI, což uživatel nijak nezpozoroval, protože této autoritě důvěřuje.
Proč by to někdo dělal? No, aby proxy viděla do šifrovaného provozu a mohla tak odchytit data, která potřebuje. Ve výsledku má proxy jedno šifrované spojení otevřené s uživatelem, kde podvrhla certifikát a další s Googlem, kde se vydává za uživatele. Samozřejmě tohle dělala se všemi ostatními servery, ale jen Google díky prohlížeči Chrome na straně uživatele mohl pojmout podezření, protože toto očividně ověřuje. Nejde o sci-fi, ale o poměrně běžnou praxi v korporátních a vládních sítích, protože to podporuje prakticky každá proxy, nebo UTM firewall. Ti to však většinou generují pomocí self-signed CA, kterou vám přidají do důvěryhodných CA na počítač pomocí politik tamní Microsoft domény. Jediným opodstatněným důvodem pro tento krok by mohla být antivirová inspekce HTTPS provozu, ale pokud již máte antivir na všech stanicích, tak zápory tohoto řešení jasně převažují jeho klady.
Když opomenu, že problémem je celý koncept důvěry v certifikační autority, tak se tomuto dá zamezit u třetích stran pomocí „Name Constraints”. Pokud Root CA podporuje Name Constraints dokáže omezit domény, pro který váš intermediate certifikát dokáže generovat certifikáty. Prostě do této položky uloží seznam všech domén, které vlastníte a umožní vám tak vygenerovat SSL certifikát jen pro ně. Je dobré znát je všechny, protože přidání další domény na kterou jste zapomněli vás může stát tisíce dolarů, pokud to bude mimo předem dohodnutý termín “obnovy Name Constraints”.
Běžného uživatele to však nijak zvlášť neochrání, protože CA, které toto nevynucují mohou dále vydávat certifikáty třetím stranám, které to umožňují. Případně pak půjde o CA, které někdo zcizí přímo Root certifikát (a že se to stalo již mnohokrát).
Snad jsem to nepopsal příliš složitě/nejasně, ale šlo by o tom napsat několikadílný seriál, tak jen stručně. Pokud by tato tématika někoho více zajímala, doporučuji si přečíst něco o Certificate Pinningu a dále pak DANE (DNS-based Authentication of Named Entities) v kombinaci s DNSSEC (Domain Name System Security Extensions).
Naše postřehy
NSA společně s GHCQ trasovali uživatele i pomocí cookies používající reklamní weby jako například Google AdSense. Šlo o unikátní identifikátor uživatele uvnitř cookie, pomocí kterého bylo možné rozeznat stejného uživatele mezi ostatními návštěvníky webu. Je to podobné rozlišení uživatelů (třeba tisícovky za jedním proxy serverem) jako pomocí identifikátoru prohlížeče. Jak moc si myslíte, že je unikátní ten váš?
Bankovní trojan Zeus je v poslední verzi optimalizován pro běh na 64-bitové platformě (Internet Exploreru) a využívá Tor síť pro komunikaci s C&C servery. Podle statistik Kaspersky pouhé 0,01 % uživatelů má 64bitový Internet Explorer (taky jsem čekal mnohem víc), protože prý i na 64bitovém operačním systému lidé stále používají 32bitový IE. Pár schopných IPS (Intrusion Prevention Systémů) dokáže detekovat Tor komunikaci, což může být signálem napadení počítače tímto malwarem. Proces Tor.exe se nespouští přímo, ale je „vložen” do procesu svchost.exe a je jím tak maskován v běžících procesech.
iOS aplikace LinkedIn obsahovala chybu při analýze HTML kódu umožňující podvrhnout odkaz ve zprávě a přesměrovat tak uživatele na web podobný LinkedIn, kam uživatel zadal své přihlašovací údaje. Poslední verze aplikace již opravuje výše popsanou chybu.
Josh Grunzweig (Trustwave) zveřejnil článek popisují malware, který odchytával data zaslané na server metodou POST. Nejednalo se však o proces na straně klienta, ale o modul zavedený do webového serveru IIS (verze 6 i 7). Tím tak mohl nerušeně číst data i když šlo o HTTPS komunikaci, protože modul je dostal již dešifrované. Malware nazvaný ISN navíc umožňuje zobrazit log soubor se všemi zachycenými daty pouhým navštívením serveru s parametrem “isn_getlog”. Stejně tak můžete log soubor smazat pomocí “isn_logdel”, nebo si zobrazit jeho cestu díky “isn_logpath”.
FreeBSD nebude od verze 10.0 používat hardwarové generátory pseudo-náhodných čísel (RNG) od výrobců Intel (RDRAND) a Via (Padlock) pro přímé naplnění entropie /dev/random. Místo toho bude mezi /dev/random a HW RNG běžet algoritmus pro generování pseudo-náhodných čísel s názvem Yarrow. Tento algoritmus bude doplňovat data z HW RNG o svá data a tím tak “navyšovat” entropii již vygenerovaných. Připomeňme že náhodnost čísel je alfou a omegou šifrování. Důvodem jsou nám známé dokumenty NSA zmiňující, že spolupracují s výrobci hardwaru a vkládají zadní vrátka, nebo modifikují algoritmy obsažené v těchto čipech. Aplikace umožnující přímou komunikaci s těmito HW RNG nebudou nijak postiženy, nebo limitovány. I tak se jedná o poměrně razantní krok.
Majitel nejznámějšího exploit packu Blackhole – Paunch (Dmitry Fedotov, Rus, 27-let) byl uvězněn. Kdo to je, kde pracoval, jakou firmu, či auto vlastnil a kolik si vydělal? To sepisuje Brian Krebs na svém blogu.
Edward Snowden zveřejnil další z “produktů” NSA. Tentokrát popisující, jak NSA sleduje na internetu aktivity uživatelů spojené s návštěvou porno stránek. Jako příklad využití je uveden případ diskreditace šesti muslimů.
Mozilla na svém blogu popisuje X-Frame-Options HTTP hlavičku a zároveň tím vyzývá majitelé serverů a webových aplikací, aby ji začali používat, protože dokáže ochránit vaši aplikaci/uživatele před např. Clickjacking útokem.
Možná bychom měli založit další sekci postřehů s nadpisem „Já to říkal”, kam bychom mohli dát například malware používající FBI pro sledování osob sedících za počítačem pomocí webové kamery, která na sebe neupozorní aktivací LED diody. Případně pak proof-of-concept program umožňující přenos dat pomocí zvukové karty (badBIOS). Jen vtip :).
Ve zkratce
- Jak Twitter trasuje vámi navštívené weby a jak tomu zamezit
- Microsoft vydá tento měsíc opravu 0day chyby využívanou botnety a malwarem
- Kaspersky – zpráva kybernetických útoků za rok 2013
- Hacker demonstroval Remote Code Execution chybu na webu EBay
- Locker, nová varianta Cryptolockeru
Závěr
Tento seriál vychází za pomoci konzultantů firmy Datasys, příznivců a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.
ČLÁNKY DO MAILU