برچسب: ایمنی

من آخر هفته خیلی شلوغی داشتم. درست‌تر بگم، هفته خیلی شلوغی و اگر دقیق تر بخوام حرف بزنم؛ ماه خیلی شلوغی! این وسط هم کلی خبر خوب داشتیم که خب نرسیدیم در موردشون حرف بزنیم. اما به نظرم یکی از جالبترین‌هاش که جاش اینجا بود، بحث مشکل امنیتی نشت اطلاعات کلاودفلر بود. توضیحات اشتباه هم در موردش خیلی زیاد داده شده، حتی سایت های معتبر خارجی.

کلاودفلر یک سیستم دی ان اس است که کنار دی ان اس کلی سرویس دیگه هم می ده. مثل فشرده کننده صفحات، جلوگیری کننده از حملات، ریدایرکت اچ تی تی پی اس و خیلی چیزهای دیگه. در واقع کلاودفلر صفحه شما رو دریافت می کنه، به دلایل مختلف تغییرش می ده و اونو برای کاربر می فرسته. مثل یک کش خیلی خوب و کارا.

اما چند روز قبل کلاودفر یک خبر بزرگ منتشر کرد: باگ گزارش شده توسط تاویس اورماندی از پروژجت زیرو گوگل بهشون خبر داده که در بعضی صفحات اطلاعات غیر عادی وجود داره! خیلی غیرعادی؛ در حد توکن لاگین یوزرها، پسوردهاشون، ای پی آی کال ها و غیره و غیره. در واقع اطلاعاتی که باید بین هر یوزر کاملا مخفی باشه، حالا به عنوان بخشی از یک صفحه وب در گوشه ای از اینترنت قابل دیدن است!

اشتباه اول خیلی خبرگزاری ها این بود که فکر می کردن این اطلاعات یک‌جا نشست کرده و در دسترس است. اینطور نبود. مساله این بود که اطلاعات برخی سایت های خیلی بزرگ که از کلاودفلر استفاده می کردن در بعضی صفحات بی ربط پخش در اینترنت قابل دیدن بود و هنوزم هست. در واقع مثل این بود که زیر یکی از صفحات جادی.نت بتونین پسورد یک نفر رو ببینین (یا توکن لاگین کردنش رو) و با داشتن اون بتونین به جاش لاگین کنین.

این مساله به خاطر باگ موسوم به Buffer Overrun ایجاد شده بود. باگی که در زبان های سی و سی پلاس پلاس برنامه نویس موظف به مواظب بودن در موردش است و در نتیجه بارها و بارها اشتباها از زیر دست تست ها در می ره و باعث مشکلات امنیتی بزرگ می شه. این باگ اینطوری کار می کنه که یک متغیر از جای تعیین شده برای خودش بیرون می زنه و با بقیه حافظه قاطی می شه! کد زیر دقیقا خطی است که باعث شد کلاودفلر دچار مشکل بشه:

if ( ++p == pe )
    goto _test_eof;

یک ابزار که قراره صفحه رو بهینه کنه، این رو صدا می زنه و تا وقتی که پوینتر به جای مورد نظر «برسه». حالا چی می شه اگر پوینتر در یک حالت خاص از اینجا بپره؟ تا مدت ها پیش می ره و بقیه اطلاعات حافظه رو توی متغیر مورد نظر می ریزه! همین می شه که سرور کلاود فلری که مثلا صفحه من رو بر می گردونه ممکنه بخشی از حافظه خودش که حاوی اطلاعات حساسه رو هم ته صفحه من برگردونه!

کلاود فلر می گه فقط در ۷ ساعت این مشکل رو حل کرد؛ از طریق درگیر کردن تیم‌هاش در تمام جهان. البته این باگ از هر سه میلیون و سیصد درخواست اچ تی تی پی فقط ۱ دونه رو درگیر می کرد ولی همین هم کافی بود که هنوزم اگر توی گوگل بگردین، ممکنه بتونین توکن های مشابهی رو پیدا کنین!

چه باید کرد

این هم یکی دیگه از اشتباه‌های بعضی منابع است؛ در واقع من و شما به عنوان یوزر کار چندانی نمی تونیم بکنیم. عوض کردن پسورد همیشه ایده خوبیه ولی در بسیاری از این موارد چیزی که لو می ره پسورد نیست (چون اون فقط یکبار رد و بدل می شه). اکثر سرورها برای نگهداری اطلاعات از توکن ها استفاده می کنن (مثلا قسمت هفتم بستون رو ببینین) و این توکن ها دائما دست به دست می شن. حتی اگر شما پسورد رو عوض کنین این توکن احتمالا کماکان در سرور فعال و معتبر است.

پیشنهاد اصلی در مورد وب مسترها و مدیر سیستم ها است و نه یوزرها. برای مقابله و امن شدن در مقابل این اتفاق امنیتی، لازمه مسوولین سایت ها توکن ها رو ریست کنن یا به یوزرها اجبار کنن که دوباره لاگین کنن و پسورد رو تغییر بدن تا حتی جلوی رو رفتگی های پسوردها هم گرفته بشه. شاید کار خیلی راحتی نباشه ولی چاره ای نیست. به احتمالا به همین دلیله که گوگل و چندین سرویس دیگه در طول دیروز از ما خواستن که دوباره وارد سیستمشون بشیم و توکن های قبلی رو غیر معتبر اعلام کردن.

بهترین نکته؟ شفافیت کلاودفلر که حتی کدهای مشکل دار رو هم نشونمون داد (:

امسال شب یلدای دیجیتال جالبی داشتیم. مشکلات جدی سایت دیجی‌کالا و تلاش فروشگاه‌ها برای راه انداختن چیزی مثل «جمعه سیاه» پر از خرید خارجی ها و پروموشن‌های همزمان با الکامپ. تقریبا هر کدوم از اینها کلی داستان همراهش هست ولی در این مورد خاص می‌خوام با اشاره ای به سایت تبلیغات ای نتورک، در مورد این بگم که ما هنوز برامون جا نیافتاده که چطوری باید به خبرهایی که در مورد مشکلات امنتیی سایتمون می‌دن، عکس العمل نشون بدیم.

مساله اینه که بازی شب یلدای ای نتورک هم دقیقا اشتباه بازی سنگ کاغذ قیچی دلیون رو داره. این بازی هم کلاینت ساید است با متغیری به بامزگی winnings که مشخصه می‌کنه چند بار برنده شدین و ریکوئست هایی که بعد از یک تابع encrypt به سرور خبر می‌دن شما چی برنده شدین. این مساله رو سه چهار نفر از دوستان با ایمیل بهم گفتن و به شکل‌های مختلفی هم تونسته بودن مساله رو حل کنن.

خب دفعه قبل که دقیقا روش رو نشون داده بودم و به نظرم اینبار کار جالبتر این بود سعی کنیم تماس بگیریم و مساله امنیتی رو توضیح بدیم. من شب به پشتیبانی ایمیل زدم و گفتم مشکل امنیتی هست و اگر خودشون خبر ندارن بگن که فردا صبح اطلاعات بیشتری بفرستم. امروز صبح ایمیلی داشتم که درخواست کرده بود اطلاعات بیشتر بدم. دو شیوه حمله به این اسکریپت رو نوشتم و اضافه کردم که برام جالبه که علاوه بر کاربر پشتیبانی، یکی از مدیرها هم به ایمیل اضافه بشه چون برام جالبه که بدونم آیا اگر کسی چنین مشکلاتی رو به ای.نتورک اطلاع بده می تونه انتظار مثلا یکی از جوایز همون بازی رو داشته باشه یا نه.

بعد از مدتی جواب ساده ای گرفتم که تشکر کرده بود از ایمیلم و می گفت «اگر در مسابقه شرکت کنید و برنده یکی از جوایز باشید خوشحال خواهیم شد». امیدوارم که حداقل در پشت صحنه به یک مدیر خبر داده باشن. در واقع اصلی ترین دلیل پیگیری من این بود که ببینم آیا پشتیبانی در یک مدیر رو به این رفت و آمد ایمیلی اضافه می کنه یا نه.

تجربه مشابه زیاد هست – بخصوص موارد حادتر. مثلا یکی از دوستان اخیرا یکی از این به اصطلاح فایروال‌های وطنی رو هک کرده بود. این فایروال‌ها معمولا یک کامپیوتر هستن که یک لینوکس دارن و کمی تنظیم شدن و توی یک جعبه گذاشته شدن و [معمولا] به زور به عنوان فایروال ساخت کشور به شرکت ها فروخته می‌شن. این دوستمون تونسته بود از راه دور با استفاده از یک حفره امنیتی شناخته شده از فایروال رد بشه و وقتی فیلم این کار رو به شکل خصوصی برای اون شرکت فرستاده بود تهدیدش کرده بودن به شکایت به جرم نفوذ غیرمجاز و آموزش هک و غیره و غیره.

شاید تنها تجربه‌های مثبت من در این موارد دوبار بوده. دفعه اول دلیون که اجازه داد فیلمش رو منتشر کنم و جایزه ها رو هم داد و دفعه دوم کسی که یک با هک یک دیتابیس قدیمی به ایمیل من رسیده بود و بهم خبر داد که اون سرویس که من نوشته ام هک شده (:

این در حالیه که توی دنیا شرکت های بزرگ برنامه هایی باگ باونتی برگزار می کنن که توش اگر بتونین به سیستمشون نفوذ کنین،‌جایزه‌های بزرگ می‌دن یا حتی اگر خارج از این مسابقات هم باگی رو پیدا و ریپورت کنین، جایزه دارین. امن بودن از طریق باز بودن نسبت به گزارش ها و علاقمندی به دیدن اشکالات پیش می‌یاد. سیستم های بگیر و ببند و «هیچ کس حرف نزنه تا کسی چیزی نفهمه» و … در نهایت با مشکلات بزرگ روبرو هستن و نتایج خوبی هم نمی دن.

اگر شرکت دارین خیلی خوبه اگر مکانیزمی برای دریافت مشکلات امنتیی داشته باشین و با دادن جایزه به هکرها، اونها رو از آدم های خطرناک پر دردسر به دوست های باحالی که بی دردسر مشکلات شما رو کشف و حل می کنن، تبدیل کنین. امنیت از طریق باسوادی عمومی ارزشمنده و ماندگار وگرنه اگر هر تلاشی برای هر کاری مجازات مرگ و تهدید و دستگیری داشته باشه که نمی شه مدعی امنیت بود (:

آپدیت: کامنت ها رو هم بخونین. بعضی ها می گن این مساله به خاطر رسانه ها بزرگ نمایی شده و از اونی که هست خطرناکتر نشون داده شده

سه روز هم از مشکل حاد امنیتی لینوکس با عنوان گاو کثیف که با آپدیت حل می شد نگذشته که مشکلی پیچیده‌تر در ویندوز نشون داده شده؛ اینبار ظاهرا غیرقابل حل با آپدیت‌های فعلی: اتم بمبینگ یا همون AtomBombing.

محققین امنیتی تکنیکی رو نشون دادن که حمله کننده می‌تونه کد مخربش رو در ویندوزهای مختلف (حتی ده آپدیت آخر) تزریق کنه بدون اینکه ابزارهای معمول آنتی ویروس بتونن چیزی تشخیص بدن. مشکل اصلی اینجاست که این مساله مربوط به یک باگ خاص نیست که بشه حلش کرد بلکه ظاهرا معماری اشتباه باعث این مساله شده.

حمله از طریق جدول‌های اتم (Atom Tables) اتفاق می‌افته؛ قابلیتی که ویندوز به برنامه‌ها می‌ده تا اطلاعات مربوط به رشته‌های کاراکتری، آبجکت‌ها و بقیه انواع داده‌ رو ذخیره کنن و بهشون دسترسی داشته باشن. این جدول‌ها مشترک هستن و همه برنامه‌ها بهشون دسترسی پیدا می‌کنن (برای اطلاعات بیشتر وبلاگ مایکروسافت رو بخونین).

محققین شرکت امنیتی ان سیلو حالا روشی نشون دادن که به خاطر اشتباه طراحی این جداول، اجازه می‌ده کد مخرب بتونه این جدول‌ها رو تغییر بده و باعث بشه برنامه‌های معتبر بتونن کدهای مخرب رو به جای اون اجرا کنن. این مساله باعث می شه عملا آنتی ویروس ها و غیره با روش های فعلی شون نتونن جلوی اجرای این کدها رو بگیرن.

چنین حمله‌ای می تونه در شکل های دیگه باعث حملات مرد میانی، اسکرین شات گرفتن از صفحه دسکتاپ یوزر و دسترسی به پسوردهای ذخیره شده توی براوزر بشه.

در حال حاضر همه نسخه‌های ویندوز نسبت به این مساله آسیب پذیر هستن و به گفته لیبرمن

متاسفانه این مساله قابل پچ نیست چون مشکل در یک باگ نرم افزار یا کد اشتباه نیست – این مساله به خاطر شیوه طراحی سیستم عامل پیش اومده.

که البته امیدوارم مایکروسافت سریعا راه حلی براش پیدا کنه.

آیا نگران باشیم؟

بله ولی در عمل نمی‌تونیم کاری بکنیم. مطمئنا کسی به شما پیشنهاد نمی ده در این لحظه به لینوکس سوییچ کنین ولی خب در نهایت .. چه می دونم. راستش توصیه من به یک آدم معمول در جهان اینه که «نگران نباشین، زندگی همینه». اگر یک آدم مرسوم در دنیا هستین، منتظر بشین ببینین شرکت های بزرگ چه می کنن به زودی.

• منبع اصلی
• اطلاعات فنی تر
• سورس روی گیت هاب

خلاصه مدیریتی:‌ بازم من چند ساعتی از کامپیوترم فاصله گرفتم و جهان به دست نااهلان افتاد! یک مشکل امنیتی توی لینوکس‌ نشون داده شده که می‌تونه باید ارتقای دسترسی افرادی بشه که روی یک سرور اکانت دارن، به اسم مشکل امنیتی می‌گن «گاو کثیف» یا درست‌تر از اون Dirty Cow. راه حل؟ آپدیت کردن لینوکستون به طور صد در صد این مشکل رو حل می‌کنه.

اسم از کجا اومده و این باگ چه می‌کنه

اسم رسمی این مشکل امنیتی هست CVE-2016-5195 ولی از اونجایی که ماجرا مرتبط می‌شه به یک وضعیت رقابتی در شیوه هندل شدن copy on write (یا همون COW) در کرنل لینوکس، بهش گاو کثیف می‌گیم. این شرایط رقابتی باعث می‌شه یک کاربر معمولی بتونه به بخش‌هایی از حافظه که قرار بود غیرقابل نوشتن باشه دسترسی رایت پیدا کنه و در نتیجه بتونه دسترسی خودش رو افزایش بده باگ رو در باگزیلای ردهت ببینین.

آیا لینوکس من هم این مشکل رو داره

بله. تمام لینوکس‌هایی که‌ آپدیت نشده باشن این مشکل رو دارن. هر لینوکسی باید به شکل مطلق و به سرعت آپدیت بشه. در صورتی که کرنل‌های شما قدیمی‌تر از این کرنل‌ها هستن، شما هم این باگ رو دارین:

3.16.36-1+deb8u2 for Debian 8
3.2.82-1 for Debian 7
4.7.8-1 for Debian unstable
4.8.0-26.28 for Ubuntu 16.10
4.4.0-45.66 for Ubuntu 16.04 LTS
3.13.0-100.147 for Ubuntu 14.04 LTS
3.2.0-113.155 for Ubuntu 12.04 LTS

چجوری حلش کنم؟

به سادگی. در هر توزیع مرسوم لینوکس که هستین، یک آپدیت و بعد لود کردن کرنل جدید (ریبوت) میتونه شما رو در مقابل این باگ حفاظت کنه.

کی این رو کشف کرده و آیا لینوکس ناامنه؟

این باگ توسط فیل اوستر کشف و گزارش شده. لینوکس در این لحظه از این نظر ناامن نیست چون یک آپدیت مشکل رو حل می‌کنه. لینوکس قبل از این آپدیت از این نظر ناامن بوده. هر سیستم عاملی در هر لحظه به دلایل مختلف ناامن است و فقط نکته اینه که این ناامنی‌ها در چه لحظه ای گزارش می‌شن و در چه لحظه ای حل می‌شن. خوبی لینوکس اینه که این چنین مشکلاتی رو تقریبا در زمان گزارش حل می‌کنن و با یک آپدیت همه در مقابلش مصون می‌شن ولی تا وقتی از نرم افزار استفاده می‌کنیم، شاهد چنین چیزهایی در تمام سیستم عامل‌ها خواهیم بود.

اطلاعات بیشتر رو از کجا به دست بیارم

اینجا

و آپدیت یادتون نره!

خبر چند وقت پیش رو حتما یادتونه. یک آیفون که باید آنلاک می‌شد تا در مورد یک جنایت اطلاعاتی به دست بیاد و اپل که درخواست دولت رو برای کمک رد کرد و گفت همکاری نمی کنه چون به اینکار امنیت مشتریانش رو به خطر می‌ندازه و در نهایت اف بی آی که ۱.۳ میلیون دلار خرج کرد تا یک گروه اینکار رو براش بکنن. حالا یک محقق امنیت در دانشگاه کمبریج راه بسیار ارزانتری رو برای باز کردن این قفل نشون داده؛ راهی با هزینه حدود ۱۰۰ دلار و با استفاده از وسایل موجود در بازار!

سرگئی سکورباگاتوو توی این مقاله‌اش جزییات باز کردن لاک آیفون رو تشریح کرده. روشی که می‌تونست به اف بی آی کمک کنه که با هزینه‌ای بسیار کم رمز آیفون ۵سی رو باز کنن.

این تکنیک که نند میرورینگ (NAND Mirroring)‌ نام داره قبلا هم به اف بی آی معرفی شده بود ولی اونها باور نکرده بودن که واقعا بشه باهاش رمز رو پیدا کرد و مدیر اف بی آی صریحا گفته بود که «این روش کار نمی‌کنه». نند میرورینگ نیازی به مکانیزم چندان پیشرفته‌ای نداره و به گفته نویسنده مقاله، وسایل مورد نیازش رو می‌شه از بازار خرید. توی تست سکورباگاتوو نشون می‌ده که چطوری یک آیفون ۵سی با آی او اس ۹.۳ روش در حال اجرا است رو باز می‌کنه و با جدا کردن حافظه نند از مدار تلفن،‌ اطلاعات اون رو روی یک مدار آزمایشگاهی کپی می‌کنه و اینکار چطور به سادگی قابل انجام در گوشی‌های مختلف است.

در مرحله دوم این محقق با اجرای یک برنامه روی دیتای به دست اومده، سعی می‌کنه پسورد رو حدس بزنه. روش بروت فورس (حدس زدن کور پسوردها) تونست در حدود ۲۰ ساعت پسورد چهار رقمی رو به دست بیاره و با محاسبه‌ای مشابه برای به دست آوردن یک پسورد ۶ رقمی، به حداکثر حدود ۳ هفته زمان نیاز بود. بخشی از مقاله می‌گه:

این اولین نمونه عمومی از پروسه میرور سخت افزاری برای آیفون ۵سی است. هر مهاجمی می‌تواند با دانش کافی فنی، این پروسه را تکرار کند.

هنوز اف بی آی (که ۱.۳ میلیون دلار از مالیات مردم رو صرف این رمز شکستن کرده بود)‌ و اپل هیچکدوم در مورد این مقاله و نمایش نظری ندادن و گفته می‌شه که این مکانیزم روی آیفون ۵ اس و تمام آیفون‌های ۶ که نند مشابه استفاده می‌کنند هم کار می‌کنه. در ضمن اجرای اون با حافظه‌های نند آیفون‌های دیگه نباید مشکل خاصی داشته باشه.

منبع

هفته گذشته یک خبر عجیب داشت. گروه دی شدو بروکرز اعلام کردن که بخشی از «تسلیحات سایبری» سازمان سازمان امنیت ملی آمریکا رو به دست آوردن که بخشی از اونها هنوز هم روی زیرساخت‌های مهم اینترنت کار می کنن و اونها رو به خریداری که تا فلان تاریخ بشیترین بیت‌کوین رو براشون بفرسته می‌فروشن یا در اقدامی عجیبتر اگر ۱ میلیون بیت‌کوین بگیرن، اطلاعات رو عمومی منتشر خواهند کرد.

این شیوه عجیب اعلام و فروش و انگلیسی دست و پا شکسته اطلاعیه اصلی، شک‌های زیادی درست کرد. در واقع اگر شما ۱۰۰۰ بیت کوین به این گروه هکری می‌دادین و یکی دیگه ۱۵۰۰ تا، دومی برنده می‌شد و فایل‌ها رو می‌گرفت و شما کل پول رو از دست می‌دادین! از اونطرف ۱ میلیون بیت‌کوین درخواست شده، یعنی تقریبا ۶ درصد کل بیت‌کوین‌های در حال گردش در کل جهان. بررسی حساب‌های اعلام شده نشون می‌ده که تا به حال رقم واریزی بیشتر از ۲۰ بیت‌کوین هم نبوده. اما وضع احتمالا تغییر خواهد کرد.

اینترسپت جمعه مطلبی رو منتشر کرده که طبق اسناد اسنودن تایید می‌کنه که ابزارهای نشون داده شده به احتمال خیلی زیاد واقعا بخشی از ابزارها و تسلیحات سایبری ان اس ای هستن. حداقل اسامی ابزارهایی مثل اکسترابیکن، اپیک بنانا و جت پیلو چیزهایی هستن که قبلا ازشون حرف زده شده و امکان حمله‌های موفق به برخی ابزارهای سیسکو رو دارن. همچنین در همین هفته سیسکو هم اشکال رو پذیرفته و تقریبا همه می‌تونیم مطمئن باشیم که ابزارها واقعا مربوط به ان اس ای هستن.

برای خوندن اینکه دقیقا اکسپلویت کشف شده چیه دنبال CVE-2016-6366 بگردین ولی نکته اصلی اینه که این زیرو دی خطرناک دست ان اس ای بوده بدون اینکه در موردش به سیسکو اطلاع داده بشه. همین اتفاق از طرف فایروال فورتینت که ایرانی‌ها هم ازش زیاد استفاده می‌کنن افتاده. فورتینت اعلام کرده یک مشکل امنیتی با درجه خطر بالا نسخه‌های قدیمی‌تر فایروال‌هاش رو تهدید می‌کنه. این باگ در بافر پارسر کوکی‌‌ای است که روی برد قرار گرفته و اجازه می‌ده یک حمله کننده بتونه با فرستادن یک درخواست HTTP دستکاری شده، کنترل دستگاه رو در دست بگیره. به احتمال زیاد در زمانی خیلی کوتاه اخبار مشابهی از جونیپر هم خواهیم شنید.

فعلا اینکه این گروه هکری به کجا وابسته است مشخص نیست اما چیزی که بسیار جالب شده، افشای دسترسی‌های گسترده ان اس ای به تجهیزات زیرساخت اینترنت و داشتن تسلیحات مبتنی بر زیرودی‌هایی است که نه فقط برای همگان اعلام نمی‌شن، که حتی به کارخونه سازنده هم خبر داده نشدن.

[منبع اصلی]