Компьютерра PDA N134 (03.09.2011-09.09.2011)
Шрифт:
Компания DigiNotar была одним из таких центров сертификации.
29 августа в официальном блоге Google появилось объявление о том, что на территории Ирана против пользователей сервисов компании была предпринята попытка атаки класса "человек посередине" (man-in-the-middle). Сертификаты, использованные при этом, похоже, утекли ещё в июле.
При атаке "человек посередине" в коммуникационной сессии принимают участие три субъекта: клиент, сервер и посредник-злоумышленник, оказывающийся между ними. "Посредник" прикидывается сервером для клиента и клиентом для сервера. Сертификаты придуманы как раз для
Первое сообщение о возможной атаке появилось на форуме техподдержки Google. Некий продвинутый пользователь, проживающий, по его словам, в Иране, пожаловался, что, когда он пытается зайти на Gmail с помощью Chrome, браузер предупреждает его о подозрительном сертификате. По-видимому, сработали добавленные в Chrome в июне дополнительные средства обеспечения безопасности.
"Когда я пользовался VPN, никаких предупреждений не было. Я думаю, это мой провайдер или правительство устроило эту атаку", - добавил автор исходного сообщения. Поскольку все интернет-соединения в стране идут через сеть местной телекоммуникационной компании Ertebatat Zirsakht, предположения, что она замешана в происходящем, не замедлили появиться.
В Google быстро выяснили, что злоумышленник использовал фальшивый SSL-сертификат, выпущенный и уже отозванный голландским центром сертификации DigiNotar. Поддержка всех сертификатов DigiNotar в Chrome была немедленно отключена; на ситуацию также оперативно отреагировали в Microsoft и в Mozilla, отключив сертификаты DigiNotar и в своих браузерах.
Кроме сертификата gmail.com, в распоряжении злоумышленников оказалось более пятисот SSL-сертификатов для целого ряда крупнейших доменов интернета, в числе которых google.com, microsoft.com, mossad.gov.il, mozilla.org, skype.com, torproject.org, windowsupdate.com, twitter.com и aol.com.
Поскольку скандала было уже не утаить, компания VASCO, которой DigiNotar приходится дочерней структурой, признала, что вообще-то о хакерской атаке на DigiNotar было известно с 19 июля. Согласно пресс-релизу, когда вторжение было обнаружено, в DigiNotar направили специалистов по компьютерной безопасности из компании Fox-IT. Они провели аудит и пришли к выводу, что проблема устранена, а все утекшие сертификаты отозваны. Затем последовали полтора месяца молчания, о которых в DigiNotar, наверное, уже жалеют.
События развивались следующим образом. Злоумышленники (или злоумышленник) получили доступ к сети DigiNotar 17 июля и орудовали там ещё пять дней. За это время они завладели административными правами на двух сертификационных серверах и выпустили сотни сертификатов. 19 июля в ходе рутинной проверки сотрудники DigiNotar обнаружили и немедленно отозвали 128 "фальшивых" сертификатов. 20 июля нашлись ещё 129 таких сертификатов. Они были отозваны на следующий день. 27 июля вспыли и тоже были отозваны ещё 75 нелегально полученных сертификатов. 29 июля обнаружен и отозван выпущенный злоумышленниками сертификат google.com.
К тому времени в DigiNotar уже заметили, что эти сертификаты пытаются использовать главным образом с иранских IP-адресов. Дальнейшее исследование вопроса показало, что 99 процентов пользователей, наткнувшихся на "липовый" сертификат google.com (датированный, кстати, 10 июля), находятся в Иране, причём соединения преимущественно осуществлялись
И, возможно, если бы не постинг на форумах поддержки Google, никто бы ничего и не узнал.
Вообще-то в данном случае история повторяется. Весной этого года случилось событие, которое злые языки поименовали "Comodogate": центр сертификации Comodo оскандалился, когда его партнёр из Южной Европы пал жертвой сходной атаки, тоже осуществлявшейся с IP-адресов в Иране. Та атака, правда, была куда менее урожайной. Злоумышленникам удалось получить девять поддельных цифровых сертификатов: login.yahoo.com, mail.google.com, www.google.com, login.skype.com, addons.mozilla.org и login.live.com. Получен был и сертификат Global Trustee, с помощью которого злоумышленники могли выдать свой сайт за любой другой. Например, чтобы выманивать у доверчивых пользователей пароли.
Хотя с помощью поддельного SSL-сертификата можно выдать любой поддельный сайт за настоящий, это не так-то просто. Сначала надо придумать, как направить пользователя на поддельную страницу. Вдобавок, учитывая, насколько быстро осуществляется отзыв сертификатов в случае обнаружения взломов, период их пригодности крайне ограничен.
Правда, львиная доля трудностей исчезает, если речь идёт о сети, которую полностью контролирует сам злоумышленник. Браузеры регулярно проверяют актуальность SSL-сертификатов, обращаясь к определённым адресам. Достаточно перекрыть к ним доступ, и становится возможным использовать отозванные "поддельные" сертификаты (при условии, что в браузерах нет дополнительных средств проверки, как в Chrome). Контроль над сетью упрощает и перенаправление пользователей на поддельные сайты.
Подобное вполне возможно в странах, где фильтруется интернет. Государственные провайдеры "по звонку сверху" легко заблокируют нужные адреса. Есть и мотив: компетентные органы с помощью фальшивых сертификатов могут вторгаться в личную переписку интересующих их лиц. Иранские власти, понятное дело, опасаются, что на подчинённых им территориях разгорится очередной акт драмы "Арабская весна", поэтому всевозможные местные "несогласные" у них - у властей - вызывают самый пристальный интерес.
Поскольку атака шла с иранских IP, в СМИ моментально предположили, что всё произошедшее - результат действий иранских спецслужб. Однако вскоре некий субъект, выступивший под ником ComodoHacker (он же Джанам Фадайе Рабар - Janam Fadaye Rahbar), объявил, что это его рук дело, что он действовал в одиночку и что он один стоит тысячи хакеров.
По поводу нынешней атаки специалисты из компании F-Secure снова говорили, что, "вероятно, это правительство Ирана использует такие методы, чтобы мониторить деятельность местных диссидентов".
Но вот вчера на Pastebin.com появился новый манифест от старого знакомого ComodoHacker, который опять утверждает, что это сделал он. По его словам, у него есть доступ ещё к четырём "высокопрофильным" центрам сертификации, называть которые он не стал, а также к серверам компаний StartCom и GlobalSign, к которым он получил доступ "хитроумным способом".