Хабрахабр

Security Week 18: шифровальная истерика

Нелегкая выдалась неделя для средств обмена зашифрованными сообщениями. Средства как бы работали, но то в одном найдут дыру, то в другом еще какую проблему. Все началось в понедельник, когда группа европейских исследователей анонсировала серьезные уязвимости в ряде почтовых клиентов, поддерживающих шифрование по стандартам OpenPGP или S/MIME (новость). Анонсировала, поделилась информацией с особо важными людьми «под эмбарго»: в мире уязвимостей так делают, чтобы попавшие под раздачу вендоры смогли, например, выпустить патч. А еще — чтобы «особо важные люди» высказались в пользу важности и нужности исследования в публичном порядке.

Для двух опубликованных сценариев атаки наличие своего бренда (Efail), логотипа и веб-странички выглядит странно, но, впрочем, ладно. Но что-то пошло не так, и вместо вторника пришлось обнародовать информацию в тот же понедельник (судя по всему, в Твиттере пошло обсуждение и начали раскрываться детали). В сообщение перед зашифрованными текстом вставляется битый тег img — так, чтобы на сервер атакующего отправился не только запрос на загрузку картинки, но чтобы к нему еще было прицеплено расшифрованное сообщение.
В первом методе атаки используется совсем простая схема, когда «отравленный» тег вставляется открытым текстом. Оба метода атаки эксплуатируют встроенный в почтовые клиенты просмотрщик сообщений в виде веб-страниц. Во втором все происходит чуть хитрее: эксплуатируется отсутствие проверки целостности в том же S/MIME (OpenPGP подвержен, но в меньшей степени), благодаря чему аналогичный «вредоносный» тег можно вставить непосредственно в зашифрованный текст.

Видеодемонстрация атаки

Ему придется модифицировать их, отправить обратно жертве и надеяться, что на той стороне сработает встроенный «маячок». То есть злоумышленник должен не только получить доступ к зашифрованным сообщениям жертвы. Интересна также не совсем адекватная реакция фонда EFF: в понедельник, ознакомившись с отчетом еще под эмбарго, они написали, что «это очень серьезная проблема», и порекомендовали всем-всем-всем переходить на Signal. Не самый результативный метод, но, с другой стороны, речь идет о шифровании, а в шифровании уровень паранойи каждый выбирает для себя самостоятельно. После выхода полного отчета детали были пересказаны на сайте EFF, но рекомендация установить Signal (и еще удалить плагины для дешифрования) осталась.

Эксперты шутят

В плейнтексте атака, очевидно, бессильна. Насчет «удалите плагины» и «не расшифровывайте уже полученные сообщения»: в случае Efail есть временное решение (до выпуска патча для используемого вами почтового клиента) куда проще: выключить HMTL-представление сообщений. А по поводу Signal: не очень понятно желание EFF рекламировать этот мессенджер по поводу и без повода, тем более что смена инфраструктуры (почта -> чатик) вот так, от одной маленькой проблемы, происходить не должна.

Дальше идут вообще продуктивные переговоры: «Мы починили! — А вот и нет!»

Исследователи обнаружили в десктопной версии мессенджера чрезмерно вольное обращение с HTML-кодами, которое позволяет провести XSS-атаку и вообще может всячески вводить пользователей в заблуждение. У Signal тоже нашли проблему, и также не самую ужасную в мире. А для мессенджера Telegram (точнее, для его десктопной версии) обнаружился троян Telegrab, крадущий историю сообщений жертв и складывающий ее на сервере с открытым доступом. Проблема сначала была запатчена, но потом оказалось — не до конца. В сложные времена мы живем!

Nethammer развивает идеи удаленной аппаратной атаки Throwhammer и показывает, как можно модифицировать данные на атакуемой системе, не выполняя на ней ни единой строчки кода. Одной строкой:
Интересное развитие аппаратной атаки Rowhammer на персональный компьютер.

У Cisco нашли и удалили очередной намертво вшитый пароль.

Теги
Показать больше

Похожие статьи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»
Закрыть