АНБ предупреждает о рисках использования подстановочных сертификатов и предлагает меры по их устранению

6
АНБ предупреждает о рисках использования подстановочных сертификатов и предлагает меры по их устранению

Агентство национальной безопасности США (АНБ) предупреждает об опасностях, связанных с использованием сертификатов с широким охватом для аутентификации нескольких серверов в организации.

В документе, опубликованном на прошлой неделе, агентство предоставляет меры по снижению рисков, связанных с использованием подстановочных сертификатов. К ним относится недавно раскрытый метод ALPACA, который можно использовать для различных атак перенаправления трафика.

Агентство имеет в виду опасности, создаваемые подстановочными знаками или многодоменными цифровыми сертификатами, которые проверяют идентичность сервера, чтобы разрешить надежное и безопасное соединение через криптографический протокол TLS.

В презентации два месяца назад исследователи показали, что серверы TLS, использующие разные протоколы, но с совместимыми сертификатами (например, подстановочные знаки, многодоменные), могут быть использованы с помощью атаки путаницы содержимого протокола прикладного уровня.

Они назвали эту технику ALPACA , сокращенно от Application Layer Protocols, Allow Cross-Protocol Attack, отметив, что злоумышленник, выполняющий определенные условия, может, по крайней мере, украсть файлы cookie или выполнить атаки с межсайтовым сценарием.

Цифровой сертификат с подстановочными знаками может использоваться с несколькими поддоменами в одном домене, поэтому он может охватывать несколько серверов (например, электронную почту, FTP, приложения), в то время как многодоменный сертификат используется для нескольких доменов на одном IP-адресе.

АНБ говорит [PDF] , что «ALPACA представляет собой сложный класс методов эксплуатации , которые могут принимать различные формы,» и реалистичный сценарий для такого нападения потребуется следующее:

  • целевое веб-приложение, использующее TLS
  • другая служба / приложение (обычно не веб-сервер), которое представляет действительный сертификат TLS с именем субъекта, которое будет действительным для целевого веб-приложения, например, когда сертификаты с подстановочными знаками имеют слишком широкую область действия
  • средство для злоумышленника перенаправить сетевой трафик жертвы, предназначенный для целевого веб-приложения, во вторую службу (вероятно, достигается путем отравления системы доменных имен (DNS) или компрометации посредника)
  • HTTP-запрос, который принимается второй службой, в результате чего хотя бы часть запроса отражается обратно отправителю

Злоумышленник, отвечающий этим «относительно необычным условиям», сможет запустить, по крайней мере, фишинг, промывку, вредоносную рекламу или атаки типа «злоумышленник в середине» (MitM).

Используя технику ALPACA, злоумышленник может заставить веб-браузер жертвы доверять и выполнять ответы, отраженные от вредоносной службы, которые подписаны правильным сертификатом.

Это открывает двери для кражи файлов cookie сеанса, личных данных пользователей и выполнения произвольного кода в контексте уязвимого сервера.

  1. Злоумышленник побуждает пользователя посетить созданный URL (фишинг, вредоносная реклама и т. Д.)
  2. Пользователь отправляет запрос URL на app.example.com.
  3. Используя один из многих методов манипулирования сетью, злоумышленник перенаправляет запрос пользователя на service.example.com.
  4. Не-HTTP service.example.com (например, протокол передачи файлов [FTP], простой протокол передачи почты [SMTP] или другой не веб-сервер) пытается обработать HTTP-запрос, вызывая ошибку, которая отражает вредоносный контент в ответ сервера
  5. Ответ сервера подписан сертификатом * .example.com
  6. Браузер пользователя получает ответ на свой запрос. Поскольку запрос был направлен на app.example.com, а ответ аутентифицирован * .example.com, браузер доверяет ответу и выполняет его в контексте app.example.com. Это дает вредоносному скрипту доступ к пользовательским данным и файлам cookie для app.example.com в браузере.

АНБ также напоминает организациям о роли сертификатов с подстановочными знаками в архитектуре доверия, поскольку они «могут использоваться для представления любой системы в пределах своей области».

По этой причине они должны обеспечить защиту закрытого ключа подстановочного сертификата и хранить его на хорошо обслуживаемом сервере, чтобы избежать риска его получения злоумышленником путем компрометации плохо защищенной машины.

Устранение рисков подстановочных сертификатов

АНБ рекомендует организациям следить за тем, чтобы сертификаты с подстановочными знаками использовались ответственно, а их сфера действия в организации хорошо понималась.

Компании должны определить, где хранятся закрытые ключи для этих сертификатов, и использовать уровень безопасности, необходимый для всех приложений в области действия сертификатов.

Еще одна рекомендация агентства — использовать шлюз приложений или брандмауэр веб-приложений (WAF) перед серверами, в том числе не HTTP.

Зашифрованный DNS и проверка расширений безопасности DNS (DNSSEC) для предотвращения перенаправления DNS, которое может привести к попаданию целевых пользователей в вредоносное место.

АНБ также рекомендует включить согласование протоколов на уровне приложений (ALPN), если это возможно, и постоянно обновлять браузеры до их последней версии.

ОСТАВЬТЕ ОТВЕТ

Пожалуйста, введите ваш комментарий!
пожалуйста, введите ваше имя здесь