Saya seorang insinyur berdasarkan pelatihan, tetapi saya lebih banyak berkomunikasi dengan pengusaha dan direktur produksi. Beberapa waktu lalu, pemilik sebuah perusahaan industri meminta nasihat. Terlepas dari kenyataan bahwa perusahaan tersebut besar dan didirikan pada tahun 90an, manajemen dan akuntansi bekerja dengan cara lama di jaringan lokal.
Hal ini merupakan konsekuensi dari ketakutan terhadap bisnis mereka dan meningkatnya kontrol oleh negara. Undang-undang dan peraturan dapat ditafsirkan secara luas oleh otoritas inspeksi. Contohnya adalah amandemen Kode Pajak, untuk pelanggaran pajak, kehancuran sebenarnya .
Akibatnya, pemilik bisnis mulai mencari solusi untuk penyimpanan informasi yang andal dan transfer dokumen yang aman. Virtual "aman".
Kami mengatasi masalah ini dengan administrator sistem penuh waktu: kami memerlukan analisis mendalam terhadap platform yang ada.
- layanan tidak boleh berbasis cloud, dalam pengertian klasiknya, mis. tanpa penyimpanan di fasilitas organisasi pihak ketiga. Hanya server Anda;
- diperlukan enkripsi yang kuat atas data yang dikirim dan disimpan;
- kemampuan untuk segera menghapus konten dari perangkat apa pun hanya dengan mengklik tombol diperlukan;
- solusinya dikembangkan di luar negeri.
Saya mengusulkan untuk menghapus poin keempat, karena... Aplikasi Rusia memiliki sertifikat resmi. Direktur langsung mengatakan apa yang harus dilakukan dengan sertifikat tersebut.
Pilih opsi
Saya memilih tiga solusi (semakin banyak pilihan, semakin banyak keraguan):
- Sumber Terbuka - proyek , dikelola oleh pengembang yang antusias, Jacob Borg.
- , diawasi oleh American Resilio Inc. (sebelumnya layanan ini disebut BitTorrent Sync).
- Proyek dari aplikasi sinkronisasi. Pendaftaran Siprus.
Pemilik perusahaan kurang memahami seluk-beluk teknis, jadi saya memformat laporan dalam bentuk daftar pro dan kontra dari setiap opsi.
Hasil analisa
Sinkronkan
Kelebihan::
- Sumber terbuka;
- Kegiatan pengembang utama;
- Proyek ini sudah ada sejak lama;
- Gratis.
Cons:
- Tidak ada klien untuk shell iOS;
- Server Belok Lambat (gratis, jadi melambat). Bagi mereka, siapa
tidak sadar, Turn digunakan ketika tidak mungkin terhubung secara langsung; - Pengaturan antarmuka yang rumit (membutuhkan pengalaman pemrograman bertahun-tahun);
- Kurangnya dukungan komersial yang cepat.
Resilio
Pro: dukungan untuk semua perangkat dan server Putar cepat.
Cons: Salah satu hal yang sangat penting adalah pengabaian sepenuhnya terhadap permintaan apa pun dari layanan dukungan. Tidak ada tanggapan, meskipun Anda menulis dari alamat yang berbeda.
kotak privat
Pro:
- Mendukung semua perangkat;
- Server Putar Cepat;
- Kemampuan mengunduh file tanpa menginstal aplikasi;
- Layanan dukungan yang memadai, termasuk. Melalui telepon.
Kontra:
- Proyek muda (sedikit ulasan dan ulasan bagus);
- Antarmuka situs ini sangat “canggih” dan tidak selalu jelas;
- Tidak ada dokumentasi yang benar-benar rinci; banyak masalah yang memerlukan dukungan.
Apa yang dipilih pelanggan?
Pertanyaan pertamanya adalah: apa gunanya mengembangkan sesuatu secara gratis? Sinkronisasi segera ditinggalkan. Argumennya tidak berhasil.
Beberapa hari kemudian, pelanggan dengan tegas menolak Resilio Sync karena kurangnya dukungan, karena... Tidak jelas ke mana harus pergi dalam situasi darurat. Ditambah ketidakpercayaan terhadap pendaftaran perusahaan di Amerika.
Untuk analisa lebih lanjut, brankas Pvtbox Electronic tetap ada. Kami melakukan audit teknis penuh terhadap platform ini, dengan fokus pada kemungkinan intersepsi, dekripsi data, dan entri tidak sah ke dalam penyimpanan informasi.
Proses Audit
Kami menganalisis koneksi pada awal program, selama pengoperasian, dan dalam keadaan tenang. Lalu lintas menurut standar modern pada awalnya dienkripsi. Mari kita coba melakukan serangan MITM dan mengganti sertifikat dengan cepat menggunakan Linux (Xubuntu Linux 18.04), Wireshark, Mitmproxy. Untuk melakukan ini, kami akan memperkenalkan perantara antara aplikasi Pvtbox dan server pvtbox.net (ada pertukaran data dengan server pvtbox.net melalui koneksi https).
Kami meluncurkan aplikasi untuk memastikan program dan sinkronisasi file berfungsi di dalamnya. Di Linux, Anda dapat langsung mengamati logging jika Anda menjalankan program dari terminal.
Matikan aplikasi dan ganti alamat host pvtbox.net di file / Etc / hosts dengan hak pengguna super. Kami mengganti alamat tersebut dengan alamat server proxy kami.
Sekarang mari kita persiapkan server proxy kita untuk serangan MITM pada komputer dengan alamat 192.168.1.64 di jaringan lokal kita. Untuk melakukan ini, instal paket mitmproxy versi 4.0.4.
Kami memulai server proxy pada port 443:
$ sudo mitmproxy -p 443
Kami meluncurkan program Pvtbox di komputer pertama, melihat output mitmproxy dan log aplikasi.
Mitmproxy melaporkan bahwa klien tidak mempercayai sertifikat spoof dari server proxy. Dalam log aplikasi kami juga melihat bahwa sertifikat server proxy tidak lolos verifikasi dan program menolak untuk bekerja.
Memasang sertifikat server proxy mitmproxy ke komputer dengan aplikasi Pvtbox untuk membuat sertifikat “tepercaya”. Instal paket ca-certificates di komputer Anda. Kemudian salin sertifikat mitmproxy-ca-cert.pem dari direktori .mitmproxy server proxy ke komputer dengan aplikasi Pvtbox ke direktori /usr/local/share/ca-certificates.
Kami menjalankan perintah:
$ sudo openssl x509 -di mitmproxy-ca-cert.pem -informasikan PEM -keluar mitmproxy-ca-cert.crt
$sudo update-ca-sertifikat
Luncurkan aplikasi Pvtbox. Sertifikat gagal diverifikasi lagi dan program menolak bekerja. Aplikasi tersebut mungkin menggunakan mekanisme keamanan Penyematan sertifikat.
Serangan serupa juga dilakukan terhadap tuan rumah server sinyal.pvtbox.net, serta koneksi peer-2-peer itu sendiri antar node. Pengembang menunjukkan bahwa aplikasi untuk membuat koneksi peer-2-peer menggunakan protokol webrtc terbuka, yang menggunakan enkripsi protokol ujung ke ujung DTLSv1.2.
Kunci dihasilkan untuk setiap pengaturan koneksi dan dikirimkan melalui saluran terenkripsi melalui server sinyal.pvtbox.net.
Secara teoritis, dimungkinkan untuk mencegat penawaran webrtc dan menjawab pesan, mengganti kunci enkripsi di sana dan dapat mendekripsi semua pesan yang masuk melalui webrtc. Namun serangan mitm tidak dapat dilakukan pada signalserver.pvtbox.net, sehingga tidak ada cara untuk mencegat dan mengganti pesan yang dikirim melalui signalserver.pvtbox.net.
Oleh karena itu, serangan ini tidak mungkin dilakukan pada koneksi peer-2-peer.
File dengan sertifikat yang disertakan dengan program juga ditemukan. File terletak di /opt/pvtbox/certifi/cacert.pem. File ini telah diganti dengan file yang berisi sertifikat tepercaya dari proxy mitmproxy kami. Hasilnya tidak berubah - program menolak untuk terhubung ke sistem, kesalahan yang sama terjadi di log,
bahwa sertifikat tersebut tidak lolos verifikasi.
Hasil audit
Saya tidak dapat mencegat atau memalsukan lalu lintas. Nama file, dan terlebih lagi isinya, dikirimkan dalam bentuk terenkripsi, enkripsi ujung ke ujung digunakan. Aplikasi ini menerapkan sejumlah mekanisme keamanan yang mencegah penyadapan dan infiltrasi.
Akibatnya, perusahaan membeli dua server khusus (secara fisik di lokasi berbeda) untuk akses permanen terhadap informasi. Server pertama digunakan untuk menerima, memproses dan menyimpan informasi, server kedua digunakan untuk cadangan.
Terminal kerja direktur dan ponsel di iOS terhubung ke cloud individual yang dihasilkan. Karyawan lain dihubungkan oleh administrator sistem penuh waktu dan dukungan teknis Pvtbox.
Selama kurun waktu terakhir, tidak ada keluhan dari teman tersebut. Saya harap ulasan saya akan membantu pembaca Habr yang mengalami situasi serupa.
Sumber: www.habr.com