Atak na aktualizacje
Specjaliści z izraelskiej firmy Radware przygotowali narzędzie, które umożliwia podsunięcie użytkownikowi fałszywych aktualizacji ponad 100 popularnych programów. Narzędzie o nazwie Ippon zostało z powodzeniem przetestowane np. na komunikatorze Skype.
Ippon skanuje sieci Wi-Fi w poszukiwaniu komputerów, które za pomocą protokołu HTTP poprosiły o aktualizację oprogramowania. Jeśli taka maszyna zostanie znaleziona, Ippon błyskawicznie wysyła do niej odpowiedź, wyprzedzając odpowiedź prawdziwego serwera aktualizacji. Narzędzie potrafi dostosować odpowiedź do żądań aplikacji, która poprosiła o aktualizację i informuje, że jest ona dostępna. Następnie komputerowi ofiary podsuwany jest szkodliwy plik do pobrania.
Itzik Kotler z Radware mówi, że jego zespół nie testował skuteczności ataku na systemy aktualizacyjne przeglądarek internetowych. Dodał, że oprogramowanie Microsoftu nie jest zagrożone, gdyż firmowy system aktualizacji używa podpisów cyfrowych. Tak samo powinni postępować, zdaniem Kotlera, wszyscy producenci oprogramowania. Przedstawiciele Radware radzą, by nie aktualizować oprogramowania za pomocą sieci Wi-Fi.
Komentarze (7)
Przemek Kobel, 4 sierpnia 2009, 13:22
Ktoś tu namieszał. Jeśli nie aktualizować przez WiFi, to by znaczyło, że to oprogramowanie jako klient przejmuje rolę routera, tak? Trochę to trudne, skoro nawet Chińczycy dają do oprogramowania funkcję separacji klientów.
Łatwiej byłoby udawać bazę. Ale jeśli ten wynalazek podszywa się pod bazę, to po co mu otwarte sieci, skoro on tworzy własną?
Można ewentualnie podłączyć się pod bazę i uruchomić coś w rodzaju zmodyfikowanego kismeta albo wiresharka (pewnie tak działa ten program), tylko że w takim wypadku nie musi być aktualizacji przez sieć wifi - z punktu widzenia ofiary ataku wszystko może iść po kablu, tyle że do LAN-u podłączony jest AP z bardzo nierozsądnymi ustawieniami.
Mariusz Błoński, 4 sierpnia 2009, 19:09
Wygląda na to, że Ippon potrafi skanować tylko otwarte sieci Wi-Fi. Pewnie kwestią najbliższego czasu jest stworzenie narzędzia, które poradzi sobie też z siecią po kablu.
Eselix, 4 sierpnia 2009, 21:11
W dzisiejszych czasach cała komunikacja powinna byś szyfrowana i podpisana. Gdyby każdy użytkownik Internetu miał własny klucz prywatny za przysłowiową złotówkę, np w cenie dostępu do sieci, do tego specjalizowany układ szyfrujący w procesorze, albo na płycie głównej - świat byłby bezpieczniejszy.
Przemek Kobel, 5 sierpnia 2009, 09:00
Moim zdaniem działa to w sieciach wifi bez separacji klientów i (z automatu) w podłączonych do nich LAN-ach, w których jeszcze mają huby. W każdym innym przypadku ten program nawet się nie dowie, że ktoś inny jest w sieci, nie mówiąc o przechwytywaniu aktualizacji.
Mariusz Błoński, 5 sierpnia 2009, 10:07
Są znacznie prostsze sposoby. Eksperci oceniają, że samo tylko korzystanie z konta użytkownika zamiast konta admina automatycznie chroni przed 85% ataków.
thibris, 6 sierpnia 2009, 14:48
Tylko co zrobić skoro korzystanie z konta admina jest o wiele prostsze
Eselix, 7 sierpnia 2009, 21:46
A tak, to fakt. Ale miałem na myśli sytuację kiedy nasze dane wysyłane przez Internet wpadną w niepowołane ręce, np. przez podsłuchiwanie WiFi albo LAN. Tak jak w komentowanym artykule. Szyfrowanie i certyfikat uniemożliwiłyby podesłanie mi spreparowanych danych. Podobnie tajemnicą pozostałyby informacje o tym jakie strony przeglądam, treści maili, rozmowy gg, pliki wysyłane przez ftp i wiele innych. A tak, każdy program musi sam zadbać o szyfrowanie. A jeśli twórca uzna, że nie jest to potrzebne, albo szkoda mu czasu na dodatkowy kod, to potem mamy właśnie takie sytuacje.
Używanie nieuprzywilejowanego konta do typowej pracy, to dobry pomysł i dobrze, że w końcu wprowadzono to w najbardziej popularnym systemie operacyjnym. Choć wiele osób to wyłącza z powodu irytacji jego nadgorliwością, a jakiś procent społeczeństwa na pytanie "Czy napewno chcesz zezwolić temu wirusowi na kontakt z Internetem i wykasowanie całego dysku?" odpowie "Tak". Lepsze rozwiązanie, to zabezpieczenie oparte na rodzaju wykonywanej akcji niż na prawach użytkownika, czyli domyślne zablokowanie każdemu programowi dostępu do wszystkiego, a zezwolenie konkretnej aplikacji, dajmy na to GG tylko na zapis do katalogu z konfiguracją i archiwum, odczyt tylko z katalogu z emotikonami i dźwiękami, wykonanie tylko pliku gg.exe i update.exe, a kontakt z Internetem tylko pod adresy z podanego zakresu. To jedynie przykład, bo życie jest bardziej skomplikowane, ale wtedy ma się pewność, że dziura w programie nie wyrządzi większej szkody niż skasowanie archiwum rozmów. Niby jest SELinux i podobne, ale ani nie jest to domyślnie stosowane, a i sam uważam, że akurat SELinux jest zbyt skomplikowany w konfiguracji i z tego co się orientuję nie ma takich możliwości co wymieniłem. Może zna ktoś program, który umożliwia takie zabezpieczenia pod Linuxa?