военные действия в сети

[avva]

Report of incident on 15-MAR-2011

У одной из фирм, которая выдает SSL-сертификаты, взломщикам удалось получить поддельные сертификаты. Судя по всему, этот взлом был организован иранскими властями (!). См. последние несколько строк документа.

Список сайтов, сертификаты на которые удалось получить взломщику, включает в себя Google, Yahoo, Skype, Mozilla, Live.com (Microsoft).

Что это значит, такая кража сертификатов? Представьте себе, что вы живете, ну например в Иране, и пользуетесь, ну скажем GMail'ом или Yahoo Mail'ом. Иранские спецслужбы очень хотят перехватить ваш пароль и прочитать вашу почту. Поскольку они контролирует интернет в Иране, они могут приказать вашему провайдеру так подделать интернет-адреса, что когда вы в браузере идете на "mail.google.com", скажем, на самом деле вы попадаете на какой-то поддельный сайт, который только выглядит, как GMail, и перехватывает ваш пароль. Только это не сработает, потому что сайты GMail и Yahoo! Mail пользуются технологией SSL, и ваши закладки ведут на адреса https://mail.google.com или https://login.yahoo.com. Эта технология позволяет браузеру распознать, что ему выдают поддельную страницу - она не "подписана" настоящим цифровым сертификатом Гугля или Яху - и браузер выдает вам огромное предупреждение о том, что вас по-видимому пытаются обмануть.

Но теперь, после взлома серверов компании Comodo, и выдачи с помощью этого взлома новых сертификатов на эти адреса Гугла, Яху и других сервисов, иранские спецслужбы могут сделать поддельный сайт, который обманет ваш браузер, и вы ничего не заподозрите. Теоретически говоря, существует способ отменить уже выданные сертификаты, и это сделали сразу же после взлома. Когда вы идете на mail.google.com или login.yahoo.com, ваш браузер помимо прочего проверяет, не отменили ли случайно сертификаты этих сайтов, которые он получил. Проблема, однако, в том, что те же иранские власти, контролирующие интернет, могут эту проверку заблокировать, не "пропустив" запрос на проверку, который посылает браузер. А в таком случае, к сожалению, основные браузеры не выдают серьезных предупреждений пользователям.

Что из всего этого следует? Эта сетевая атака была предпринята, по-видимому, по инициативе иранских властей, и основной ее целью являлось получить возможность безнаказанно и незаметно (для всех, кроме весьма подкованных технически пользователей) воровать пароли жителей Ирана - видимо, в первую очередь неблагонадежных жителей, диссидентов, и прочая - читать их почту, подсматривать их скайп, следить за тем, что они ищут в сети, и в целом следить за их активностью на сайтах Гугля, Яху, Майкрософта. Эта цель была достигнута.

Comments

[igorla.livejournal.com]

To есть, для иранских пользователей проблема должна решаться путем обновления версии браузеров с новыми зашитыми сертификатами?

[avva.livejournal.com]

Да, но не факт, что иранский интернет пропустит эти обновления теперь. Ну и посмотрим еще, когда IE озаботится это сделать - Mozilla и Chrome очень быстро отреагировали, других пока не слышно.

[nec-p1us-u1tra.livejournal.com]

> но не факт, что иранский интернет пропустит эти обновления теперь.

чем так мучаться, могли бы с этого начать. Подсовывать пользователям браузеры с видоизмененными сертификатами CA. Многие ли пользователи качают с https да хеши сверяют?

[(Anonymous)]

это не так просто, надо держать свой сервер обновлений и выпускать обновления одновременно с официальными, иначе все очень быстро раскроется.

[igorla.livejournal.com]

Обновленная версия может попасть в страну разными путями, не обязательно через сеть. Вопрос в том, осознают ли лица, которых коснется прослушка, опасность и знают ли они как оберечься.

[alexeybobkov]

А возможно ли, что при обновлении подменят сертификаты, зашитые в браузер?

[avva.livejournal.com]

Обновления обычно приходят с официального сайта по тому же протоколу HTTPS, поэтому получаем тут проблему Мюнхгаузена в болоте, но в пользу юзеров.

[nm-work.livejournal.com]

ась?

мне getfirefox.com выдал вот такой линк - http://download.mozilla.org/?product=firefox-4.0&os=linux&lang=en-US

плюс - они задолбаются по https отдавать обновления софта - слишком много вычислительных ресурсов надо.

[sl-kalbas.livejournal.com]

Только что получил через windows update это обновление...

[cat_mucius]

Озаботились уже:
http://support.microsoft.com/kb/2524375

[rezkiy.livejournal.com]

FYI, по умолчанию, настройки IE начиная с седьмого таковы, что он все автопроверяет. Ну и да, апдейт уже вышел (он нужен, так как не произошедшая автопроверка == удачная)

[avva.livejournal.com]

Я именно это имел в виду: что если IE не удается проверить revocation, он это пользователю никак не показывает. Впрочем, я не намеревался как-то особенно критиковать Майкрософт: другие браузеры хоть и показывают, но очень "низехонько", и вообще в последние годы уровень улучшений в секьюрити Майкрософта, скорости апдейтов ипр. ипр. очень на высоте.