Поверителен "облак". Търсим алтернатива на отворените решения

По образование съм инженер, но общувам повече с предприемачи и производствени директори. Преди време собственик на индустриална фирма помоли за съвет. Въпреки факта, че предприятието е голямо и е създадено през 90-те години, управлението и счетоводството работят по стария начин в локална мрежа.

Това е следствие от страховете за бизнеса им и засиления контрол от страна на държавата. Законите и разпоредбите могат да се тълкуват много широко от контролните органи. Пример за това са промените в Данъчния кодекс, премахване на давността за данъчни нарушения, фактическо унищожаване банкова и одиторска тайна.

В резултат на това собственикът на бизнеса започва да търси решения за надеждно съхранение на информация и сигурен трансфер на документи. Виртуален "сейф".

Работихме по проблема със системен администратор на пълен работен ден: имахме нужда от задълбочен анализ на съществуващите платформи.

• услугата не трябва да е облачно базирана, в класическия смисъл на думата, т.е. без съхранение в съоръжения на трета организация. Само вашия сървър;
• необходимо е силно криптиране на предаваните и съхраняваните данни;
• необходима е възможност за спешно изтриване на съдържание от всяко устройство с натискане на бутон;
• решението е разработено в чужбина.

Предложих да се премахне четвъртата точка, защото... Руските приложения имат официални сертификати. Директорът директно каза какво трябва да се прави с такива удостоверения.

Изберете опции

Избрах три решения (колкото повече избори, толкова повече съмнения):

• Open Source – проект Syncthing.net , поддържан от ентусиазирания разработчик Джейкъб Борг.
• Resilio.com, контролиран от American Resilio Inc. (преди тази услуга се наричаше BitTorrent Sync).
• Проект Pvtbox Електронен сейф от pvtbox.net приложения за синхронизация. Кипърска регистрация.

Собственикът на компанията няма много разбиране за техническите тънкости, така че форматирах доклада под формата на списъци с плюсове и минуси на всяка опция.

Резултати от анализа

Syncthing

Професионалисти:

• Отворен код;
• Дейност на главния разработчик;
• Проектът съществува от много дълго време;
• Безплатно.

против:

• Няма клиент за обвивката на iOS;
• Slow Turn сървъри (те са безплатни, така че се забавят). За тези които
  не е наясно, Turn се използва, когато е невъзможно да се свържете директно;
• Сложна настройка на интерфейса (изисква дългогодишен опит в програмирането);
• Липса на бърза търговска поддръжка.

резилиум

плюсове: поддръжка за всички устройства и сървъри за бързо завъртане.

против: Едно и много важно е пълното игнориране на всякакви искания от страна на поддръжката. Нулев отговор, дори да пишете от различни адреси.

Pvtbox

плюсове:

• Поддържа всички устройства;
• Fast Turn сървъри;
• Възможност за изтегляне на файл без инсталиране на приложението;
• Адекватна поддръжка, вкл. по телефона.

Против:

• Млад проект (малко отзиви и добри отзиви);
• Интерфейсът на сайта е много „технологичен“ и не винаги ясен;
• Няма напълно подробна документация; много проблеми изискват поддръжка.

Какво избра клиентът?

Първият му въпрос е: какъв е смисълът да се разработва нещо безплатно? Синхронизирането беше изоставено незабавно. Аргументите не проработиха.

Няколко дни по-късно клиентът категорично отхвърли Resilio Sync поради липса на поддръжка, защото... Не е ясно къде да отидем в извънредна ситуация. Плюс недоверие към американската регистрация на компанията.

За допълнителен анализ остава сейфът Pvtbox Electronic. Проведохме пълен технически одит на тази платформа, като се фокусирахме върху възможността за прихващане, декриптиране на данни и неоторизирано влизане в хранилището на информация.

Процес на одит

Анализирахме връзките в началото на програмата, по време на работа и в спокойно състояние. Трафикът според съвременните стандарти първоначално е криптиран. Нека се опитаме да извършим MITM атака и да заменим сертификата в движение, използвайки Linux (Xubuntu Linux 18.04), Wireshark, Mitmproxy. За целта ще въведем посредник между приложението Pvtbox и сървъра pvtbox.net (има обмен на данни със сървъра pvtbox.net чрез https връзка).

Стартираме приложението, за да се уверим, че програмата и синхронизацията на файлове работят в него. В Linux можете веднага да наблюдавате регистриране, ако стартирате програмата от терминала.


Изключете приложението и заменете адреса на хоста pvtbox.net във файла / Etc / hosts с привилегии на суперпотребител. Заменяме адреса с адреса на нашия прокси сървър.


Сега нека подготвим нашия прокси сървър за MITM атака на компютър с адрес 192.168.1.64 в нашата локална мрежа. За да направите това, инсталирайте пакета mitmproxy версия 4.0.4.

Стартираме прокси сървъра на порт 443:
$ sudo mitmproxy -p 443

Стартираме програмата Pvtbox на първия компютър, разглеждаме изхода на mitmproxy и регистрационните файлове на приложението.


Mitmproxy съобщава, че клиентът не се доверява на фалшивия сертификат от прокси сървъра. В регистрационните файлове на приложението виждаме също, че сертификатът на прокси сървъра не преминава проверка и програмата отказва да работи.

Инсталиране на сертификат за прокси сървър mitmproxy към компютър с приложението Pvtbox, за да направите сертификата „доверен“. Инсталирайте пакета ca-сертификати на вашия компютър. След това копирайте сертификата mitmproxy-ca-cert.pem от директорията .mitmproxy на прокси сървъра на компютъра с приложението Pvtbox в директорията /usr/local/share/ca-certificates.

Изпълняваме командите:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$sudo update-ca-сертификати


Стартирайте приложението Pvtbox. Сертификатът отново не беше проверен и програмата отказва да работи. Приложението вероятно използва защитен механизъм Фиксиране на сертификат.

Подобна атака беше извършена и срещу домакина signalserver.pvtbox.net, както и самата peer-2-peer връзка между възлите. Разработчикът посочва, че приложението за установяване на peer-2-peer връзки използва отворения протокол webrtc, който използва криптиране на протокол от край до край DTLSv1.2.

Ключовете се генерират за всяка настройка на връзката и се предават по криптиран канал чрез signalserver.pvtbox.net.

Теоретично би било възможно да се прихванат съобщенията за оферта и отговор на webrtc, да се заменят ключовете за шифроване там и да се дешифрират всички съобщения, пристигащи чрез webrtc. Но не беше възможно да се извърши mitm атака на signalserver.pvtbox.net, така че няма начин да се прихванат и заменят съобщенията, изпратени през signalserver.pvtbox.net.

Съответно, не е възможно да се извърши тази атака върху peer-2-peer връзка.

Открит е и файл със сертификати, предоставени с програмата. Файлът се намира в /opt/pvtbox/certifi/cacert.pem. Този файл е заменен с файл, който съдържа доверен сертификат от нашия mitmproxy прокси. Резултатът не се промени - програмата отказа да се свърже със системата, същата грешка беше наблюдавана в дневника,
че сертификатът не преминава проверка.

Резултати от одита

Не успях да прихвана или подправя трафик. Имената на файловете и още повече тяхното съдържание се предават в криптирана форма, използва се криптиране от край до край.Приложението реализира редица механизми за сигурност, които предотвратяват подслушване и проникване.

В резултат на това компанията закупи два специализирани сървъра (физически на различни локации) за постоянен достъп до информация. Първият сървър се използва за получаване, обработка и съхраняване на информация, вторият се използва за архивиране.

Работният терминал на директора и мобилен телефон на iOS бяха свързани към получения индивидуален облак. Други служители бяха свързани от системния администратор на пълен работен ден и техническата поддръжка на Pvtbox.

През изминалия период от време няма оплаквания от приятеля. Надявам се, че прегледът ми ще помогне на читателите на Habr в подобна ситуация.

Източник: www.habr.com