Конфиденциално „облако“. Търсим алтернатива на откритите решения

Аз съм инженер по образование, но общувам повече с предприемачи и управители на производства. Преди известно време се обърна към мен за съвет собственик на промишлена компания. Въпреки че предприятието е голямо и е основано през 90-те години, управлението и счетоводството работят по старомоден начин в локална мрежа.

Това е следствие от опасения за бизнеса и засилен контрол от страна на държавата. Законите и нормативите могат да бъдат интерпретирани много широко от проверяващите органи. Например, можем да споменем измененията в данъчния кодекс, които отменят давността на данъчните нарушения, фактически разрушаване на банковата и одиторската тайна..

В резултат собственикът на предприятието започна да търси решения за надеждно съхранение на информацията и безопасна предаване на документи. Виртуален "сейф".

Задачата бе разгледана с назначен системен администратор: необходим е дълбок анализ на съществуващите платформи.

• услугата не трябва да е облачна в класическия смисъл на думата, т.е. без съхранение на мощностите на трета страна. Само собствен сървър;
• необходимо е устойчиво криптиране на предавани и съхранявани данни;
• задължително е да има възможност за спешно изтриване на съдържанието от всяко устройство с натискане на един бутон;
• решението е разработено в чужбина.

Четвъртият пункт предложих да бъде премахнат, тъй като руските приложения имат официални сертификати. Директорът явно каза какво трябва да се прави с тези сертификати.

Избираме варианти.

Отбелязах три решения (колкото повече варианти за избор, толкова повече съмнения):

• Open Source — проект Syncthing.net , поддържан от ентусиаст-разработчик на име Джейкоб Борг.
• Resilio.com, управляемо от американската компания Resilio Inc. (по-рано този сервиз се наричаше BitTorrent Sync).
• Проект Pvtbox Электронен сейф от pvtbox.net приложения за синхронизиране. Кипърска регистрация.

Собственикът на компанията слабо разбира техническите детайли, затова подготвих отчета във вид на списъци с плюсове и минуси на всеки вариант.

Резултати от анализа

Syncthing

Плюсове:

• Open source;
• Активност на главния разработчик;
• Проектът съществува от много години;
• Безплатен.

Минуси:

• Няма клиент за iOS интерфейс;
• Бавни Turn сървъри (те са безплатни, затова забавят). За тези, които
  не знаят, Turn се използва при невъзможност за директно свързване;
• Сложна настройка на интерфейса (нужен е многогодишен опит в програмирането);
• Липса на бърза търговска поддръжка.

Resilio

Предимства: поддръжка на всички устройства и бързи Turn сървъри.

Минуси: Един много съществен минус – пълно игнориране от страна на поддръжката на всички запитвания. Н零 реакция, дори и когато се пише от различни адреси.

Pvtbox

Предимства:

• Поддръжка на всички устройства;
• Бързи Turn сървъри;
• Възможност за сваляне на файл без инсталиране на приложението;
• Адекватна служба за поддръжка, включително по телефона.

Минуси:

• Млад проект (малко отзиви и добри рецензии);
• Много „технически“ интерфейс на сайта, който не винаги е разбираем;
• Липсва подробна документация, по много въпроси се налага да се свързвате с поддръжката.

Какво избра клиентът

Неговият първи въпрос: какъв е смисълът да се разработва нещо безплатно? Отказаха се от Syncthing веднага. Аргументите не помагаха.

След няколко дни клиентът категорично отхвърли Resilio Sync поради липса на поддръжка, тъй като не е ясно към кого да се обърнете в нетипична ситуация. Плюс недоверие към американската регистрация на фирмата.

За по-нататъшен анализ остана Pvtbox Електронен сейф. Преминахме през подробен технически одит на тази платформа, със акцент върху възможността за прихващане, декодиране на данни и несанкционирано проникване в информационното хранилище.

Процес на одит

Извършихме анализ на връзките при стартиране на програмата, в процеса на работа и в спокойно състояние. Трафикът в съответствие със съвременните стандарти в началото е криптиран. Ще опитаме да проведем MITM атака и да подменим сертификата „на лету“ с помощта на Linux (Xubuntu Linux 18.04), Wireshark, Mitmproxy. За това ще внедрим посредник между приложението Pvtbox и сървъра pvtbox.net (имаме обмен на данни със сървера pvtbox.net по https връзка).

Стартираме приложението, за да се уверим, че програмата и синхронизацията на файловете в него работят. В Linux можем веднага да наблюдаваме логовете, ако стартираме програмата от терминала.


Изключваме приложението и променяме адреса на хоста pvtbox.net в файла /etc/hosts с привилегии на супер потребител. Променяме адреса на адреса на нашия прокси-сървър.


Сега подготвяме нашия прокси-сървър за MITM атака на компютъра с адрес 192.168.1.64 в нашата локална мрежа. За целта инсталираме пакета mitmproxy версия 4.0.4.

Стартираме прокси-сървъра на порт 443:
$ sudo mitmproxy -p 443

Стартираме програмата Pvtbox на първия компютър, гледаме изхода на mitmproxy и логовете на приложението.


Mitmproxy съобщава, че клиентът не доверява на подменения сертификат от прокси-сервера. В логовете на приложението също наблюдаваме, че сертификатът на прокси-сервера не преминава проверка и програмата отказва да работи.

Инсталираме сертификата на прокси-сервера mitmproxy на компютъра с приложението Pvtbox, за да направим сертификата "доверен". На компютъра ще инсталираме пакета ca-certificates. След това копираме сертификата mitmproxy-ca-cert.pem от каталога .mitmproxy на прокси-сервера на компютъра с приложението Pvtbox в каталога /usr/local/share/ca-certificates.

Изпълняваме командите:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$ sudo update-ca-certificates


Стартираме приложението Pvtbox. Сертификатът отново не преминава проверка, програмата отказва да работи. Вероятно приложението използва защитен механизъм Certificate pinning.

Подобна атака беше проведена на хоста signalserver.pvtbox.net, както и на самото peer-2-peer свързване между узлите. Разработчикът посочва, че приложението за установяване на peer-2-peer свързвания използва открит протокол webrtc, в който се използва крайно до крайно криптиране по протокол DTLSv1.2.

Ключовете се генерират за всяка инсталация на свързванията и се предават по криптиран канал през signalserver.pvtbox.net.

Теоретично, можеше да се прихванат съобщенията offer и answer на webrtc, да се подменят криптографските ключове и да се има възможност да се декриптират всички съобщения, идващи по webrtc. Но не успяхме да проведем mitm атака на signalserver.pvtbox.net, затова и възможността да се прихванат и подменят съобщенията, изпращани чрез signalserver.pvtbox.net, е невъзможна.

Съответно, на peer-2-peer свързванията тази атака не може да бъде проведена.

Също така беше открит файл с сертификати, предоставян с програмата. Файлът се намира на пътя /opt/pvtbox/certifi/cacert.pem. Този файл беше заменен с файл, който съдържа доверения сертификат от нашия прокси-сървър mitmproxy. Резултатът не се промени - програмата отказа да се свърже с системата, в логовете се наблюдаваше същата грешка,
че сертификатът не преминава проверка.

Резюме на одита

Не успях да прихвана или подменя трафика. Имената на файловете, а още по-малко тяхното съдържание, се предават в криптиран вид, използва се краен до краен криптографски механизъм. В приложението са реализирани редица защитни механизми, предотвратяващи подслушване и внедряване.

В резултат на това компанията купи два отделни сървъра (физически на различни места) за постоянен достъп до информация. Първият сървър се използва за приемане, обработка и съхранение на данни, а вторият - за резервно копиране.

Към полученото индивидуално облако бе свързан работен терминал на директора и мобилен телефон с iOS. Други служители бяха свързани от системния администратор и техническата поддръжка на Pvtbox.

През последното време не съм получавал оплаквания от познат. Надявам се, че моят преглед ще помогне на читателите на Хабр в подобна ситуация.

Източник: habr.com