Organy państwowe i niepaństwowe

JerzyS

EFF wątpi w zabezpieczenie SSL przed podsłuchami

Electronic Frontier Foundation (EFF) ostrzega, że organy państwowe mogły uzyskać pozwolenie rutynowe podsłuchiwanie połączeń zabezpieczonych za pomocą SSL. Fundacja powołuje się przy tym na projekt pracy badawczejPDF, w której naukowcy Christopher Soghoian i Sid Stamm przedstawiają przesłanki uzasadniające takie podejrzenia i opisują możliwą strategię obrony.

Obaj badacze nie są jednak w stanie przedstawić niezbitych dowodów. Na początku piszą o tym, że wiele rządów regularnie zmusza firmy do współpracy nad rozwojem środków inwigilacji. W USA statut, zgodnie z którym firmy mogą być zmuszane do takiego działania, wprowadza "zakrojone na nadzwyczaj szeroką skalę czynności". Na przykład jeden z producentów urządzeń do nawigacji został zmuszony do tego, aby w celu nagrywania rozmów prowadzonych w samochodzie aktywować mikrofon wbudowany w urządzeniu. VeriSign, największy dostawca certyfikatów SSL, jest poza tym zaangażowany w kontrakty związane z inwigilacją w telekomunikacji.

W konsekwencji tego – jak stwierdzają badacze w konkluzji – można się więc także spodziewać, że agencje rządowe mają możliwość zmuszania wystawców certyfikatów, takich jak VeriSign, do wystawiania dowolnych kluczy SSL, np. takich, które pozwolą danej agencji imitować usługę w ataku MITM. Tak czy owak w wielu krajach istnieją już państwowe jednostki Certificate Authorities (CA), które w rozpowszechnionych obecnie przeglądarkach są zarejestrowane jako wiarygodne instancje najwyższego poziomu. Internet Explorer, Firefox, Safari i Chrome na ślepo wierzą ponad 100 certyfikatom wystawców, w tym także firmy VeriSign, telekomów, ale też np. agencji zarządzania siecią CNNIC, która podlega chińskiemu rządowi.

Kiedy serwer internetowy przedstawia podpisany przez niego certyfikat, ten fakt jest sygnalizowany użytkownikowi przez ikonkę kłódki albo zielony fragment paska adresowego, które oznaczają, że dane połączenie jest bezpieczne. Jednak idea działania SSL bazuje na zaufaniu do wystawcy certyfikatu (CA). Jeśli ktoś dysponuje kopią tajnego klucza wystawcy certyfikatu albo certyfikatem pośrednim jednego z wielkich wystawców CA, może w locie fałszować klucze SSL i podsłuchiwać w ten sposób szyfrowane połączenia.

Soghoian i Stamm wykryli poza tym, że istnieje komercyjne sprzęt, który w niezauważony sposób może podsłuchiwać połączenia SSL. Firma Packet Forensics reklamuje swoje urządzenie tym, że do jego obsługi wystarczy jedynie kopia prawomocnego klucza certyfikatu. Firma wskazuje także jednoznacznie, że kopię takiego klucza można uzyskać na mocy decyzji sądu.

W dokumencie naukowcy cytują szefa Packet Forensics Victora Oppelmana, który twierdzi, że urządzenie jest już stosowane przez klientów z USA i innych krajów. Tekst reklamowy produktu jednoznacznie określa grupę docelową kupców tego sprzętu: "Wasi śledczy będą mogli zebrać prawdopodobnie najlepsze dowody, o ile tylko użytkownicy będą się pławić w fałszywym poczuciu bezpieczeństwa szyfrowania w Internecie, e-mailach i połączeniach VoIP".

Soghoian i Stamm uznają, że najlepszą ochroną jest dodatek do Firefoksa, który zapisuje informacje o certyfikatach wszystkich odwiedzanych stron WWW. Przy każdym wywołaniu dodatek porównuje aktualne dane i ostrzega, jeżeli jeden z CA w ścieżce certyfikatu pochodzi z innego kraju niż poprzednio. Zmiany takie jako nowy certyfikat wystawiony w wyniku upłynięcia ważności starego, nie wywołują żadnego ostrzeżenia. Naukowcy apelują przy tym do zwykłego zdrowego rozsądku: "Jeśli użytkownik w Chinach zauważy, że jego zaszyfrowane połączenie z Gmailem nagle używa certyfikatu wystawionego przez jednego z chińskich CA, może nabrać podejrzeń, że coś tu się nie zgadza".

W opracowaniu zwraca się uwagę na to, że większość użytkowników po prostu "przeklikuje" wszelkie komunikaty ostrzegawcze. Poza tym proponowana metoda, jak przyznają sami autorzy, nie chroni przed szpiegowaniem obywateli przez organa śledcze USA, jako że firmy ze Stanów Zjednoczonych w pewnym sensie zdominowały rynek certyfikatów.

Wiele stron internetowych w Polsce również używa certyfikatów VeriSign, a wspomniany dodatek do Firefoksa o nazwie Certloc – który obaj specjaliści chcą teraz opublikować – nie zapewnia ochrony np. e-maili albo telefonii internetowej.
http://www.heise-online.pl/newsticker/ne.....64726.html
--------------------------------------------
25C3: udany atak na system certyfikacji SSL

Specjalistom od zabezpieczeń udało się złamać wykorzystujący infrastrukturę klucza publicznego system zabezpieczania transmisji SSL, który często służy do nawiązywania bezpiecznych połączeń internetowych. Dzięki tak zwanej kolizji MD5 specjaliści byli w stanie utworzyć certyfikat wydawcy, który wszystkie ważniejsze przeglądarki internetowe uznały za ważny. Każdy kto posiada taki certyfikat może np. tworzyć i podpisywać certyfikaty SSL dla dowolnej nazwy domenowej. W ten sposób napastnicy, prowadząc ataki typu Man in the Middle, mogą włączać się w zabezpieczone połączenia internetowe i przechwytywać dane (np. w celach phishingowych), nie wywołując przy tym żadnego ostrzeżenia po stronie użytkownika.
Problem z MD5

Szczegóły tego ataku zaprezentowali: Marc Stevens, Aleksander Sotirow i Jacob Appelbaum w wykładzie pt. "MD5 considered harmful today: creating a rogue CA certificate", który odbył się ostatniego dnia 25. konferencji Chaos Communication Congress w Berlinie. Podstawą do przeprowadzenia ataku są znane już luki w algorytmie mieszającym MD5. Jest on wciąż stosowany przez wielu renomowanych wystawców certyfikatów do cyfrowego podpisywania ich certyfikatów, chociaż pierwsze skuteczne ataki są znane od 2004 roku, a ataki w wyrafinowanej formie od 2007 roku. Dzięki takim atakom kolizyjnym możliwe jest utworzenie dwóch zbiorów danych z identycznym podpisem cyfrowym.

Atak przeprowadzony właśnie przez ekspertów od zabezpieczeń jako wspólny projekt z holenderskim Centrum Wiskunde en Informatica (CWI), szwajcarskim Ecole Polytechnique Federale de Lausanne (EPFL), a także z udziałem Uniwersytetu Technicznego w Eindhoven zakłada, że wystawca certyfikatu podpisze spreparowany cyfrowy wniosek o podpisanie klucza, który oprócz danych użytkowych takich jak nazwy domen ma jeszcze dodatkowe bloki danych służące do sprowokowania kolizji. Swoje spostrzeżenia naukowcy wysyłali do wystawcy RapidSSL, który do tej pory wciąż podpisuje swoje certyfikaty wyłącznie z użyciem algorytmu MD5 i jest akceptowany przez większość przeglądarek. Do celów obliczenia danych kolizyjnych eksperci musieli przewidzieć numer seryjny wystawionego certyfikatu. Udało się to dopiero za czwartym razem, albowiem RapidSSL ustawia numery seryjne w trybie sekwencyjnym. Według Stevensa do właściwego ataku potrzebne było jedynie trochę ponad 100 wniosków CSR (Certificate Signing Request).
Obliczenia na konsoli do gier

Wyliczenia danych do przeprowadzenia kolizji, w wyniku której miał powstać sfałszowany certyfikat wystawcy, trwały według naukowców krócej niż dwa dni. Wykorzystano w tym celu klaster złożony z 200 konsol PlayStation 3. Aby utrudnić dokonanie ewentualnych nadużyć za pomocą certyfikatu naukowcy zaopatrzyli go w datę ważności upływającą w 2004 roku, dzięki czemu działał on poprawnie jedynie na systemach testowych z datą ustawioną na 2004 rok.
Wskazana ostrożność

W rozmowie z heise Security Appelbaum, który brał udział w pracach nad tak zwanym atakiem Cold Boot na klucz kryptograficzny, oświadczył, że wybierając miejsce prezentacji wyników swoich prac preferował kongres hakerów CCC, aby uniknąć ewentualnych problemów prawnych z firmami, które mogą na tym ucierpieć, a niewykluczone, że także z niektórymi organami państwowymi. W tym kontekście przypomniał on o incydencie ze zorganizowanej w USA w 2005 roku konferencji Black Hat. Punktem spornym stał się wtedy wykład specjalisty od zabezpieczeń Michaela Lynna poświęcony atakom na szeroko rozpowszechniony system operacyjny dla routerów IOS produkowany przez firmę Cisco. Bardzo istotne z punktu widzenia bezpieczeństwa było wtedy, aby informacje o atakach nie ujrzały zbyt wcześnie światła dziennego. Dlatego też zmuszono między innymi firmy, takie jak Microsoft i Mozilla, do pisemnych deklaracji o dochowaniu tajemnicy.
Zagrożenie

Skutki ataku można uznać za poważne, jeśli nawet nie katastrofalne. Należy w tym punkcie zauważyć, że problem ten nie dotyczy certyfikatów Extended Validation (EV-SSL), ponieważ specyfikacja EV nie pozwala na stosowanie MD5.

Eksperci nie są w stanie odpowiedzieć, czy zainteresowane strony dysponują już sfałszowanymi certyfikatami CA i mogą dzięki temu fałszować cyfrowe podpisy. Jako że obecnie wciąż jeszcze około 30% certyfikatów używa MD5, z praktycznych powodów nie powinno się deaktywować w celach ochrony wszystkich CA z MD5. Na zakończenie swojego wykładu Appelbaum wyraził nadzieję, że od tej pory MD5 będzie stopniowo eliminowany z użycia w Sieci.
Ochrona

Specjaliści od zabezpieczeń zawczasu poinformowali wystawców (CA), których może dotyczyć ten problem, a także producentów przeglądarek. Według ich przypuszczeń dobrze wyposażonym specjalistom od zabezpieczeń odtworzenie ich ataku zajmie co najmniej miesiąc. Dzięki temu wystawcy mogą wyeliminować zagrożenie atakami przestawiając jak najszybciej swoja infrastrukturę na bezpieczniejsze algorytmy podpisów, takie jak SHA-1, a także nadając wystawianym certyfikatom losowe numery seryjne.
http://www.heise-online.pl/newsticker/ne.....75247.html
-----------------------------------------------
http://www.heise-online.pl/newsticker/ne.....76465.html
Black Hat: zaprezentowano nowe metody ataków na protokół SSL

Na odbywającej się właśnie konferencji Black Hat poświęconej zabezpieczeniom w informatyce Moxie Marlinspike zaprezentowałPDF nowy rodzaj ataków na realizowane za pomocą przeglądarki połączenia zabezpieczone protokołem SSL.

Dzięki nim Marlinspike był w stanie wykraść dane logowania użytkowników w serwisach Yahoo!, Google i PayPal.

Atak nie jest jednak wymierzony bezpośrednio w skompromitowanie połączenia SSL, ale korzysta z tego, że użytkownicy z reguły nigdy nie wywołują stron poprzedzając ich adresy łańcuchem określającym bezpieczny protokół (https://). Znacznie częściej otwierają oni niezaszyfrowaną wersję strony, a potem klikają ikonę, która prowadzi do (teoretycznie zaszyfrowanej) strony logowania.

W tym celu Marlinspike stworzył program do ataków typu Man in the Middle Proxy o nazwie SSLStrip, który zamienia wszystkie zlecone przez użytkownika wywołania HTTPS na wywołania HTTP. Po drugiej stronie program pośredniczący nawiązuje połączenie z serwerem wywołanym przez ofiarę i odtwarza na nim wszystkie żądania. Jeśli istnieje taka konieczność, proxy może komunikować się z serwerem za pomocą zaszyfrowanego łącza, np. przy logowaniu. Wszystkie dane z serwera proxy wysyła z powrotem w postaci niezaszyfrowanej do klienta tak, że nawet nie dochodzi do utworzenia połączenia SSL. W ten sposób w przeglądarce nie pojawia się żaden komunikat o błędzie, np. o tym, że certyfikat został uznany za nieważny, ale jednocześnie przeglądarka nie powiadamia o tym, że połączenie jest chronione, a w pasku adresu pojawia się jedynie http://. Jednak u wielu użytkowników wystarczy jedynie ikona w postaci kłódki, aby wywołać w nich poczucia bezpieczeństwa i nie wzbudzać podejrzeń, co do ewentualnych nieprawidłowości.

Poza tym Marlinspike pokazał też inne metody umożliwiające obchodzenie zabezpieczeń przeglądarek z użyciem samodzielnie wygenerowanych certyfikatów. Chodzi tutaj między innymi o certyfikaty dla domen ze znakami specjalnymi (domeny IDN) albo takich, które na pierwszy rzut oka wcale nie wyglądają na domeny. Jako przykład Marlinspike wykorzystał domenę ijjk.cn, która w adresie URL https://www.gmail.com/accounts/ServiceLogin?!f.ijjk.cn przez większość użytkowników zostałaby potraktowana jako jeden z parametrów konta pocztowego Google. Ta metoda nie jest wprawdzie nowa, ale w połączeniu z SSLStrip ataki na połączenia SSL mogą stać się o wiele bardziej skuteczne.

Tym niemniej opisany atak można przeprowadzić jedynie jako operację typu Man in the Middle. Napastnik musi więc najpierw przekierować połączenia ofiary przez swoje proxy. O ile w sieciach LAN dzięki metodom ARP Spoofing nie stanowiłoby to większego problemu, o tyle wśród użytkowników prywatnych byłoby to możliwe jedynie w wyniku manipulowania ustawieniami sieci i routera lub dzięki atakom typu DNS Cache Poisoning.

Poza tym atak nie wykorzystuje żadnej luki w protokole SSL ani też w uwiarygadnianiu certyfikatów. Słabym punktem jest tutaj raczej luka w interfejsach między protokołami, interfejsami użytkownika i samym użytkownikiem – ale to w gruncie rzeczy nie jest żadną nowiną.

Zapraszam do dyskusji

Anonimowość
i

Bezpieczeństwo w sieci