Lue uutinen mobiilisivustolla

Hyökkääjälle selaimet käyvät avoimesta välityspalvelimesta

3.8.2007 10:17 (päivitetty 10:28) Sony-rootkin leviämisen jäljittämisestä tunnettu Dan Kaminsky esitteli työkalun, jonka avulla hyökkääjä voi luoda kohteensa selaimen avulla näennäisverkon, jonka avulla pääsee esimerkiksi kohteen sisäverkkoon. Työkalu ei hyödynnä varsinaisia tietoturvahaavoittuvuuksia vaan selainten yleisiä toimintaperiaatetta.

Dan Kaminskyn slirpie-työkalun avulla hyökkkääjä voi tunneloida verkkoliikennettä kohteensa selaimen avulla. Työkalu hyödyntää selainten perustoimintatapaa.

Selainten ongelmallisen toiminnallisuuden avulla hyökkääjä voi esimerkiksi selata käyttäjän palomuurin ja nat-reitittimen takana olevia palvelimia käyttäjän selaimen avulla. Hyökkääjän tarvitsee ainoastaan houkutella käyttäjä haittakoodia sisältävälle sivustolle.

Toimii kaikilla valtaselaimilla

Hyödynnetyn "anti-dns pinning"- ja "dns-rebinding"-nimillä tunnetun keinon on todettu toimivan ainakin Internet Explorerin 6- ja 7-, Firefoxin 1-2- sekä Operan 9.0.2-versioilla.

Ainoastaan KHTML/Webkit-pohjaiset selaimet, kuten Safari ja Konqueror, puuttuvat listasta. Tämä ei kuitenkaan tarkoita sitä, että nämä selaimet olisivat haavoittumattomia.

Hyökkäykseen tarvitaan palvelin ja nimitunnus

Perustason dns-rebinding -hyökkäyksessä hyökkääjä rekisteröi nimitunnuksen, johon pahaa aavistamaton käyttäjä houkutellaan. Nimitunnusta tarjoillaan nimipalvelimelta lyhyellä ttl (time to live)-päivitysaikatiedolla.

Ensimmäisellä sivustolle suunnatulla kyselyllä käyttäjä käynnistää haitallisen javascript-koodin, jolloin koodi antaa nimitunnukselle uuden ip-osoitteen. Tämä osoite voi osoittaa esimerkiksi käyttäjän sisäverkon palvelimille tai vaihtoehtoisesti jollekin internet-palvelimelle, johon hyökkääjä haluaa päästä ilman oman osoitteensa paljastamista.

Ongelma selainten yleisessä turvakäytännössä

Varsinainen ongelma johtuu selainten "same origin policy"-käytännöstä, eli jos kaksi palvelinta kuuluu samaan nimitunnukseen, selaimet käsittelevät niitä yhtä turvallisina ja sallivat palvelinten välisen liikenteen. Jos siis hyökkääjän palvelin ja kohdepalvelin sijaitsevat selaimen mielestä samassa domainissa, niiden välillä voidaan lähettää tietoja.

Hyökkäyksen avulla voidaan ottaa kohdepalvelimelle yhteys muuhunkin tcp-porttiin kuin web-palvelinten yleisesti hyödyntämään 80-porttiin.

Hyökkäyksen perustoteutuksen demonstraatioon voi tutustua esimerkiksi täällä. Demoon voi syöttää nat-sisäverkon sisäisen ip-osoitteen, esimerkiksi 127.0.0.1, 10.0.0.1 tai 192.168.0.1. Jotkin välityspalvelimet voivat kuitenkin torpata dns-rebindingin.

Vanha tuttu, heikko suojaus

Dns-rebinding -hyökkäystä varten hyökkääjän ei tarvitse viritellä dns-palvelimia vaan ip-osoitteen vaihto tapahtuu selaimessa javascriptin, Flashin tai Javan avulla.

Keinona dns-rebinding on vanha ja tunnettu ongelma jo viime vuosikymmenen puolesta välistä. Kaminsky pitääkin ongelmaa niin vanhana, ettei sitä vastaan muisteta enää puolustautua.

Nykyisissä selaimissa hyödynnetään "dns pinning" -suojausta. Kun selain selvittää nimitunnukselle ip-osoitteen, selaimen välimuisti antaa saman ip-osoitteen selaimeen kiinteästi ohjelmoidun ajan, joka ei riipu dns-palvelimen ttl-ajasta.

Ongelmaksi muodostuvatkin selainten lisälaajennukset, kuten Flash ja Java, jotka pitävät kirjaa omista ip-nimi -pareista. Hyödyntämällä esimerkiksi kahta samanaikaisesti ip-nimi -parisäilöä, voidaan ip-osoite vaihtaa.

Selaimen avulla voi luoda vpn-tunnelin sisäverkkoihin

Vaikka dns-rebinding -ongelma on tunnettu aiemmin, Kaminskyn Slirpie-työkalu demonstroi, kuinka paha ongelma oikeastaan on. Slirpie sisältää tcp-toteutuksen javascriptillä ja hyödyntää lisäksi pptp-protokollaa ja vanhaa liikenteen tunnelointiin tarkoitettua slip-ohjelmaa.

Näiden työkalujen avulla hyökkääjä voi käytännössä luoda vpn-yhteyden kohteen sisäverkkoon.

Ainakaan tällä hetkellä Kaminsky ei tarjoa työkalua ladattavaksi, mutta kertoo luentokalvoissaan (ppt) todennäköisesti asiasta ymmärtäville kaiken tarpeellisen.

Matias Mäki
matias.maki@sanoma.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (9)

0

0

Sony-rootkin leviämisen jäljittämisestä tunnettu Dan Kaminsky esitteli työkalun, jonka avulla hyökkääjä voi luoda kohteensa selaimen avulla näennäisverkon, jonka avulla pääsee esimerkiksi kohteen sisäverkkoon. Työkalu ei hyödynnä varsinaisia tietoturvahaavoittuvuuksia vaan selainten yleisiä toimintaperiaatetta.

Digitoday

Lainaa Ilmoita asiaton viesti

# 3.8.2007 11:28

0

0

Mielenkiintoista luettavaa. Osa meni vähän yli eikä jaksanut kiinnostaa loppuun asti. Kuitenkin asia toli esitetty melko rautalankamallisesti eikä vaatinut suurta ennaltaperehtymistä asioihin. Oli myös mielenkiintoista juttua ihanasta CAPTCHA-tunnistuksesta ja sen audioversiosta. Myös asiaa miksei koko webbi jo käytä SSL/TLS-tekniikoita...
OffTopiccina: Miksei www-palvelimet käytä enemmän mod_gzippiä tms pakkausta, kun aina lähes 80% sirrettävästä tekstidatasta pakkaantuisi???

lippalakki

Lainaa Ilmoita asiaton viesti

# 3.8.2007 11:54

0

0

Miksei www-palvelimet käytä enemmän mod_gzippiä tms pakkausta, kun aina lähes 80% sirrettävästä tekstidatasta pakkaantuisi???

Tukeekos Microsoft Internet Explorer tuota?

Jupp3

Lainaa Ilmoita asiaton viesti

# 3.8.2007 12:18

0

0

Suurin syy gzipin puutteeseen lienee selvä - palveluntarjoajat näkevät että hyöty (kaista) on pienempi kuin prosessoriaika (% per saitti).

Kuitenkin suurin osa netin liikenteestä ei ole HTML/Plain Text liikennettä vaan huonosti pakkautuvaa media virtaa joten gzipin käyttäminen ei varsinaisesti säästäisi rahaa.

daP

Lainaa Ilmoita asiaton viesti

# 3.8.2007 12:22

0

0

Gzipin käyttö myöskin pistää palvelimen helposti polvilleen. DoS on paljon helpompi, jos pitää livenä pakata.

Jeps

Lainaa Ilmoita asiaton viesti

# 3.8.2007 12:46

0

0

juu .. toimii kun toimii :)

http://img529.imageshack.us/img529/5973/exploitti2mx9.jpg

http://img252.imageshack.us/img252/8927/exploitti3rk2.jpg

Tosin ongelma koskee uskoakseni vain ja ainoastaan Windows käyttöjärjestelmää... eli unix/linux/mac koneet voivat olla täysin turvassa moiselta.

Saattaa tosin olla että windows kone, rajatulla käyttöoikeudella ei taida pahemmin antaa tehdä vpn yhteyksiä ulkomaailmaan :)

image

Lainaa Ilmoita asiaton viesti

# 3.8.2007 11:28

0

0

>Miksei www-palvelimet käytä enemmän mod_gzippiä tms pakkausta, kun aina lähes 80% sirrettävästä tekstidatasta pakkaantuisi???

Tukeekos Microsoft Internet Explorer tuota?

Ei, kun se on Apachen moduli.

Mutta IE on tukenut ikuisuuden gzipiä ja deflatea. Ja kun se palvelin pakkaa vain jos selain sitä pyytää.

-

Lainaa Ilmoita asiaton viesti

# 3.8.2007 14:29

0

0

kylla konqueror:lla nayttaisi toimivan aivan samalla tavalla kuin firefox:llakin..

konq

Lainaa Ilmoita asiaton viesti

# 5.8.2007 10:42

0

0

Nyt on artikkeli kirjoitettu riittävällä syvyydellä. Wiseguys@blackhat from fin - ne vaan haluaa kommentoida epäolennaisia. Ainiin defcon sukkasi pahasti verrattuna blackhattiin laadultaan ja asiapitoisuudeltaan.

Noniin Matias - Dan on showmies

Lainaa Ilmoita asiaton viesti

# 6.8.2007 3:45

Sivut: 1 Edellinen Seuraava

Uutiset

Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa

• IL: Hyvinkään epäilty ampuja keskeytti armeijan hiljattain
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa
• Kreikan ex-pääministeri varoitti vararikosta salaisessa muistiossa