Человеки посередине

Берд Киви

В августе прошлого года на хакерской конференции BlackHat в Лас-Вегасе одна из наиболее впечатляющих презентаций была сделана Робертом Грэмом (Robert Graham), работающим в небольшой фирме Errata Security. Доклад и инструментарий Грэма наглядно демонстрировали, как легко можно получать доступ к информации, которую ее владельцы считают надежно защищенной.

Метод Грэма, названный SideJacking (то есть «побочное подключение»), принципиально ничем не отличается от давным-давно известного способа атаки под названием «человек посередине» (man-in-the-middle). Главная особенность новой атаки - ее редкостная простота и легкость воплощения. Большинство методов типа man-in-the-middle подразумевают незаметное вклинивание в защищенный криптографией канал связи и дополнительный этап дешифровки информации перехватчиком. Красота же метода SideJacking в том, что он не требует никакой возни с шифрами, ключами и сертификатами.

Очень многие сетевые сервисы вроде Gmail, Blog-Spot, Facebook*, MySpace и им подобных предоставляют пользователям защищенный портал для безопасного входа - с адресом https:// и шифрованием по протоколу SSL. Но после того, как логин и пароль введены, последующий сеанс связи обычно проходит в открытом виде. Делается это ради экономии компьютерных ресурсов, а для поддержания безопасности применяют метод попроще, называемый «идентификатор сеанса» (session ID). Как правило, это однократно генерируемая строка случайного вида, передаваемая в cookies или URL-адресе сеанса. Именно этот идентификатор и является целью SideJacking’а. Для перехвата используется сниффер беспроводных сетей WiFi или прокси-сервер. Получив идентификатор сеанса, злоумышленник представляется выдавшему его сервису как подлинный пользователь, после чего может делать с аккаунтом жертвы практически все, что заблагорассудится.

Демонстрируя в прошлом году свой метод и реализующие его программы Ferret и Hamster, Грэм отметил, что единственный способ защититься от такой атаки - это перейти на полностью шифрованный сеанс связи. Благо некоторые сервисы, вроде той же почты Gmail, его предоставляют - достаточно лишь поменять в адресной строке https:// на https://. Однако теперь в блоге Грэма появилась заметка, где он существенно скорректировал свою точку зрения на вопросы безопасности протокола SSL в его конкретных реализациях.

Проанализировав сеансы почты Gmail c SSL-шифрованием, Грэм установил, что если работа протокола по тем или иным причинам нарушается, то система автоматически переходит в открытый режим передачи. В частности, когда пользователь пытается подсоединиться к Google Mail через точку доступа WiFi, система автоматически пробует оба варианта подключения - сначала с включенным, затем с выключенным SSL. В итоге через эфир проходит «печенька» с идентификатором сеанса в открытом виде. А значит, ее может перехватить и использовать находящийся поблизости злоумышленник, оснащенный шпионскими средствами. И дабы стало ясно, что это проблема всеобщего характера, остается сказать, что почта Gmail приведена здесь лишь в качестве примера, причем далеко не худшего. Ибо, как свидетельствуют эксперты, автоматический переход в лишенный шифрования режим работы при сбоях практикуют очень многие сайты, использующие SSL, за исключением разве что банков (да и то не всех).

Весной нынешнего года Роберт Грэм собирался принять участие в европейской конференции BlackHat в Амстердаме, где непременно продемонстрировал бы свои новые открытия - случись это год-два назад. Теперь же в Германии, Британии и некоторых других странах ЕС принимаются драконовские законы, объявляющие преступлением изготовление и распространение хакерских аналитических программ. Поэтому и деловая поездка в некогда либеральную Голландию теперь вызывает у хакеров вроде Грэма резонные опасения.

В подобных декорациях весьма своеобразно смотрятся конфиденциальные документы германских властей, недавно слитые в Сеть через сайт компромата WikiLeaks. В просочившихся бумагах Министерство юстиции, прокуратура и полиция федеральной земли Бавария препираются насчет того, кому платить за недешевые шпионские услуги по установке троянцев на ПК подозреваемых - для доступа к зашифрованным SSL-сеансам и телефонным разговорам через Skype. Германская фирма Digitask, на коммерческой основе оказывающая властям эти «интимные» услуги, в условиях запрета на вольное хакерство заломила цену как заправский монополист. Месяц прослушки Skype оценен в 3500 евро, перехвата SSL - в 2500 евро, стоимость инсталляции ПО - еще 2500 евро сверху.

Особо странно эти калькуляции выглядят по той причине, что все криптохозяйство системы Skype хранится по соседству, в Люксембурге. А сама компания никогда не скрывала, что охотно сотрудничает с правоохранительными структурами. Иначе говоря, получается, что баварские власти кряхтят от высокой стоимости «неофициального» шпионажа. Эта ситуация очень напоминает похожие расклады в сетях GSM, где сеансы шифрованной связи в действительности закрыты только на участках между абонентом и базовой станцией соты, а на всех прочих этапах пакеты передаются в открытом виде. Другими словами, с санкционированным подслушиванием через оператора технически нет никаких проблем. Однако органы обычно предпочитают использовать собственную аппаратуру. Да, дорого, зато без лишней волокиты.