Administrator Jabber server jabber.ru (xmpp.ru) otkrio je napad usmjeren na dešifriranje korisničkog prometa (MITM), koji se provodio od 90 dana do 6 mjeseci u mrežama njemačkih hosting provajdera Hetzner i Linode, gdje se nalazi server projekta i pomoćna VPS okruženja. Napad je organiziran preusmjeravanjem prometa na tranzitnu čvorište, koja zamjenjuje TLS certifikat za XMPP veze, šifrirane korištenjem proširenja STARTTLS.
Napad je uočen zbog greške njegovih organizatora, koji nisu uspjeli produžiti TLS certifikat korišten za zamjenu. 16. listopada administrator jabber.ru je prilikom pokušaja povezivanja na servis dobio poruku o grešci zbog isteka certifikata, ali certifikat postavljen na serveru nije bio istekao. U konačnici, utvrđeno je da se certifikat koji je klijent primio razlikuje od certifikata koji je poslao server. Prvi lažni TLS certifikat je dobiven 18. travnja 2023. godine putem usluge Let’s Encrypt, u kojoj je napadač, imajući mogućnost presretanja prometa, mogao potvrditi pristup stranicama jabber.ru i xmpp.ru.
U početku se sumnjalo na kompromitaciju servera projekta i provođenje zamjene s njegove strane. Međutim, izvršeni audit nije pokazao nikakve tragove hakiranja. U dnevniku na serveru primijećeno je kratkotrajno isključivanje i uključivanje mrežnog sučelja (NIC Link is Down/NIC Link is Up), koje je izvršeno 18. srpnja u 12:58 i moglo je ukazivati na manipulacije s povezivanjem servera na switcheve. Zanimljivo je da su dva lažna TLS certifikata generirana nekoliko minuta prije toga — 18. srpnja u 12:49 i 12:38.
Osim toga, zamjena se provodila ne samo u mreži provajdera Hetzner, gdje se nalazi glavni server, već i u mreži provajdera Linode, gdje su se nalazila VPS okruženja s pomoćnim proxyji, koji preusmjeravaju promet s drugih adresa. Indirektno je utvrđeno da se promet na mrežnoj portu 5222 (XMPP STARTTLS) u mrežama oba provajdera preusmjerava putem dodatnog hosta, što je dalo osnovu za pretpostavku da je napad izvršila osoba koja ima pristup infrastrukturi provajdera.
Teoretski, zamjena je mogla početi 18. travnja (datum stvaranja prvog lažnog certifikata za jabber.ru), ali potvrđeni slučajevi zamjene certifikata zabilježeni su samo od 21. srpnja do 19. listopada. Tijekom tog razdoblja šifrirana razmjena podataka s jabber.ru i xmpp.ru može se smatrati kompromitiranom. Zamjena je prestala nakon početka istrage, provođenja testova i slanja 18. listopada zahtjeva podršci pružatelja usluga Hetzner i Linode. U međuvremenu, dodatni prijelaz pri usmjeravanju paketa koji se šalju na port 5222 jednog od poslužitelja Linode, i dalje se uočava, ali certifikat sada nije kompromitiran.
Pretpostavlja se da je napad mogao biti izvršen uz znanje pružatelja usluga na zahtjev policije, kao rezultat hakiranja infrastrukture oba pružatelja ili od strane zaposlenika koji je imao pristup kod oba pružatelja. Imajući mogućnost presretanja i modifikacije XMPP prometa, napadač je mogao dobiti pristup svim podacima vezanim uz račune, kao što su pohranjena povijest razmjene poruka na poslužitelju, te je mogao slati poruke u tuđe ime i unositi izmjene u tuđe poruke. Poruke poslane korištenjem end-to-end šifriranja (OMEMO, OTR ili PGP) mogu se smatrati nekompromitiranim, pod uvjetom da su šifrirajući ključevi potvrđeni od strane korisnika s obje strane veze. Korisnicima jabber.ru preporučuje se da promijene lozinke i provjere ključeve OMEMO i PGP u svojim PEP pohrana na mogućnost zamjene.
Izvor: opennet.ru
