it-swarm.com.de

Welche Sicherheitsrisiken stellen Softwareanbieter dar, die SSL Intercepting-Proxys auf Benutzerdesktops (z. B. Superfish) bereitstellen?

In Bezug auf die jüngste Entdeckung, dass Lenovo eine Adware (Superfish) vorinstalliert, die SSL-Datenverkehr von Computern abfangen kann, auf denen sie installiert ist, gab es eine ganze Reihe von Bedenken wurden festgestellt .

Was sind die Sicherheitsrisiken, wenn OEMs oder andere Unternehmen diese Art von Software auf Kundensystemen installieren?

58
Rory McCune

Ein Proxy-SSL-Zertifikat hat einige Auswirkungen auf Datenschutz und Sicherheit:

  • Superfish kann sich als jede Site ausgeben

    Dies bedeutet nicht, dass Superfish es tun wird (oder tut), aber sie haben die Macht. Da sie über ein Certificate Authority Certificate verfügen, ist jedes von ihnen generierte Zertifikat gültig und wird akzeptiert.

    Anheften von Zertifikaten schützt Sie nicht , auch nicht:

    "Es gibt eine Reihe von Fällen, in denen HTTPS-Verbindungen mithilfe lokaler, kurzlebiger Zertifikate abgefangen werden. Diese Zertifikate werden von einem Stammzertifikat signiert, das manuell auf dem Client installiert werden muss. MITM-Proxys von Unternehmen können dies tun, mehrere Antiviren-/Eltern-Zertifikate Steuerungsprodukte tun dies und Debugging-Tools wie Fiddler können dies auch. Da wir in diesen Situationen nicht brechen können, erhalten vom Benutzer installierte Stammzertifizierungsstellen die Berechtigung, Pins zu überschreiben. Wir glauben nicht, dass es Inkompatibilitätsprobleme geben wird. "

    Wenn Sie Windows und EMET verwenden, kann Certificate Trust Sie schützen, wenn Sie es zuvor konfigurieren. Der Vorgang ist jedoch manuell und etwas kompliziert.

  • Superfish kann Verkehr abfangen

    Als vertrauenswürdige Zertifizierungsstelle kann Superfish auf jeder Site einen MiTM-Angriff ausführen, und der durchschnittliche Benutzer erkennt den Angriff nicht. Erfahrene Benutzer können sehen, dass das Zertifikat von einer fremden Zertifizierungsstelle signiert wurde, wenn sie wissen, wo sie suchen müssen.

  • Superfish kann überall Code einfügen

    Selbst wenn die Site durch SSL/TLS geschützt ist, kann Superfish auf jeder Seite Javascript oder HTML einfügen. Sie stellen nur einen Proxy für die Anforderungen, stellen die Anforderung an den vorgesehenen Server, lesen die Antwort, injizieren Daten und senden Daten an den Benutzer. Und wenn Sie nicht danach suchen, werden Sie es nie bemerken.

  • Mit Superfish kann Malware installiert werden

    Wie oben kann Superfish Windows-Updates Code hinzufügen, heruntergeladene ausführbare Dateien ändern, infizieren Java Applets, Flash-Dateien usw.). Jeder Download kann stillschweigend kompromittiert werden. Sie können sogar die Origin-Site und ändern Fügen Sie geänderte Prüfsummen hinzu. Selbst wenn Sie den Hash nach dem Herunterladen der Dateien berechnen, sehen sie echt aus.

  • Superfish kann jede Site kennen, auf die Sie zugreifen

    Die Software überwacht Ihren Browser und sendet Daten an Superfish. Auch ohne die Software können sie Code auf jeder Site einfügen und Sie überall verfolgen.

  • Jeder im Web kann sein Zertifikat verwenden

    Der private Schlüssel des Zertifikats wurde kompromittiert , sodass jeder, der den Schlüssel kennt, das Superfish-Zertifikat verwenden kann, um gültige SSL-Zertifikate für alles zu erstellen, was er möchte.

Zu sagen, dass sie können , bedeutet nicht oder impliziert nicht, dass sie nur werden dass sie die Macht haben zu tun, wenn sie wollen (oder dazu gezwungen werden).

65
ThoriumBR

Hier sind einige Risiken, denen Sie sich mit dieser speziellen Software aussetzen:

  • Es wird für jede Installation derselbe private Schlüssel verwendet. Da die zugehörige Stammzertifizierungsstelle eine Stammzertifizierungsstelle ist und in Ihre private Vertrauensliste eingefügt wird, ist es für JEDEN trivial, ein Zertifikat zu generieren und es vom betroffenen Client als vertrauenswürdig zu betrachten (in diesem Fall hilft Ihnen sogar das Fixieren von Serverzertifikaten nicht weiter).
  • Alle Daten werden von der Software überprüft: Es ist sehr wahrscheinlich (und sogar wahrscheinlich), dass ein Teil der Daten, die normalerweise durch die SSL-Verschlüsselung geschützt werden sollen, an den Softwareanbieter übertragen und dort analysiert wird. Selbst wenn dieser Anbieter absolut ehrlich war (was angesichts der Art seines Produkts und der Art und Weise, wie es vertrieben wird, bereits etwas zweifelhaft ist), macht es Ihre Daten anfällig für Verstöße, die auf seiner Seite auftreten.
  • Wie bei jeder Software kommt es zu Fehlern. Die Verwendung erhöht die Angriffsfläche Ihres Systems.
12
Stephane

Als sekundäres Problem verbirgt diese Art von Software die wahre Art der Datenverschlüsselung. Da die Software bekannte Zertifikate durch eigene ersetzt, weiß ein Benutzer nicht viel über das ursprüngliche Zertifikat. Wie vermittelt die Software das dem Benutzer? Wenn das ursprüngliche Zertifikat veraltet war oder nicht übereinstimmte, wie würde es an den Benutzer gesendet? Wenn die Site normalerweise von einer Zertifizierungsstelle signiert, aber zu einer anderen geändert wird, wie würde man das wissen? Zweitens zeigt die Benutzeroberfläche, wie die Daten während der Übertragung geschützt wurden. Die Benutzeroberfläche kann nicht anzeigen, dass die ursprüngliche Verbindung unsicher war (z. B. SSL2, Nullzertifikat usw.), da nur die Verschlüsselungsstufe vom lokalen Proxy zum Benutzer angezeigt wird.

8
user219861

Basierend auf einem weiteren wichtigen Superfish-Update: Komodia clientseitige SSL-Überprüfung ist fehlerhaft!

Das Hauptproblem bei SSL Intercepting-Proxys (oder einer internen Krypto-Software), die von OEMs oder einem Drittanbieter wie Komodia entwickelt wurde, besteht darin, dass Sie ihnen nicht wirklich vertrauen können (besonders nach dem Superfish Buzz)! TLDR dieses neuen Updates: Ein Angreifer muss nicht einmal die Root-Schlüssel für einen MitM-Angriff gegen die Opfer extrahieren. Da Komodias Umgang mit einem ungültigen/nicht vertrauenswürdigen/selbstsignierten Zertifikat fehlerhaft ist, kann der Validierungsprozess für SSL-Zertifikate sehr einfach umgangen werden (indem alternative Namen in einem Zertifikat festgelegt werden). Schauen Sie sich den oben verlinkten Beitrag für Details an

Lesson Learned : Die Implementierung von Krypto-Software (einschließlich des Abfangens von Proxys) ist keine leichte Aufgabe. Eine ordnungsgemäße Entwurfsanalyse (von mehreren Kryptoexperten), strenge Tests und Bewertungen müssen mit einer solchen Software durchgeführt werden, bevor sie in der Produktion verwendet wird. Quoiting von eine großartige Antwort auf die Frage Warum sollten wir nicht unsere eigenen rollen?:

Sie können Ihre eigenen rollen, aber Sie werden wahrscheinlich einen großen Sicherheitsfehler machen, wenn Sie kein Experte für Sicherheit/Kryptographie sind oder Ihr Schema von mehreren Experten analysieren lassen. Ich bin eher bereit, auf ein öffentlich bekanntes Open-Source-Verschlüsselungsschema zu setzen, das für alle sichtbar und analysierbar ist. Mehr Augen bedeuten weniger wahrscheinlich, dass die aktuelle Version keine größeren Schwachstellen aufweist als etwas, das von Nicht-Experten intern entwickelt wurde.

2
Rahil Arora