機密性の高い「クラウド」。 オープンソリューションに代わるソリューションを探しています

私は訓練を受けたエンジニアですが、起業家や制作ディレクターとのコミュニケーションの方が多いです。 少し前に、ある産業会社のオーナーがアドバイスを求めてきました。 この企業は大規模で 90 年代に設立されたにもかかわらず、管理と会計はローカル ネットワーク上で昔ながらの方法で行われています。

これは彼らのビジネスに対する懸念と国家による管理の強化の結果です。 法律や規制は検査当局によって非常に広範囲に解釈される可能性があります。 その一例が税法の改正です。 時効の撤廃 税金違反、実際の破棄の場合 銀行業務と監査の秘密.

その結果、ビジネスオーナーは、情報の信頼性の高い保管と文書の安全な転送のためのソリューションを探し始めました。 仮想的な「安全」。

私たちはフルタイムのシステム管理者と協力してこの問題に取り組みました。既存のプラットフォームを徹底的に分析する必要がありました。

• サービスは、古典的な意味でのクラウドベースであってはなりません。 第三者機関の施設に保管することはありません。 あなたのサーバーのみ。
• 送信および保存されたデータの強力な暗号化が必要です。
• ボタンをクリックするだけであらゆるデバイスからコンテンツを緊急に削除できる機能が必須です。
• このソリューションは海外で開発されました。

私は XNUMX 番目の点を削除することを提案しました。なぜなら... ロシアのアプリケーションには公式証明書があります。 そういう証明書をどうするかということを局長が直接言いました。

オプションを選択

私は XNUMX つの解決策を選択しました (選択肢が多いほど、疑問も多くなります)。

• オープンソース - プロジェクト 同期もの.net 、熱心な開発者 Jacob Borg によって保守されています。
• Resilio.com、アメリカンレシリオ社監修。 (以前は、このサービスは BitTorrent Sync と呼ばれていました)。
• プロジェクト Pvtbox 電子金庫 から pvtbox.net 同期アプリケーション。 キプロス登録。

会社のオーナーは技術的な複雑さについてほとんど理解していないため、各オプションの長所と短所のリストの形式でレポートを作成しました。

分析結果

シンシケーション

プロたち:

• オープンソース;
• 主要な開発者の活動。
• このプロジェクトは非常に長い間行われてきました。
• 無料。

短所：

• iOS シェルにはクライアントがありません。
• 遅いターン サーバー (無料なので速度が遅くなります)。 そんな方のために、
  直接接続できない場合は Turn が使用されます。
• 複雑なインターフェース設定 (長年のプログラミング経験が必要)。
• 迅速な商用サポートが不足している。

レシリウム

長所： すべてのデバイスと高速 Turn サーバーのサポート。

短所： XNUMX つの非常に重要な点は、サポート サービスによるリクエストを完全に無視していることです。 異なるアドレスから書き込んでも応答はゼロです。

プライベートボックス

長所：

• すべてのデバイスをサポートします。
• ファストターンサーバー。
• アプリケーションをインストールせずにファイルをダウンロードする機能。
• 適切なサポートサービス（サービスを含む） 電話で。

コンズ:

• 若いプロジェクト (レビューはほとんどなく、良いレビュー)。
• サイトのインターフェースは非常に「技術的」で、必ずしも明確ではありません。
• 完全に詳細なドキュメントはなく、多くの問題でサポートが必要です。

顧客は何を選択しましたか?

彼の最初の質問は、「無料で何かを開発することに何の意味があるのか​​?」です。 同期はすぐに放棄されました。 議論は機能しませんでした。

数日後、お客様はサポート不足を理由に Resilio Sync をきっぱりと拒否しました。 緊急事態が発生した場合、どこに行くべきかは明確ではありません。 さらに、同社のアメリカでの登録に対する不信感も加わりました。

さらなる分析のために、Pvtbox 電子金庫が残されています。 私たちは、データの傍受、復号化、情報ストレージへの不正侵入の可能性に焦点を当てて、このプラットフォームの完全な技術監査を実施しました。

監査プロセス

プログラムの開始時、動作中、および平穏な状態での接続を分析しました。 最新の標準に従って、トラフィックは最初に暗号化されます。 MITM 攻撃を実行し、次のコマンドを使用してその場で証明書を置き換えてみましょう。 Linux (Xubuntu Linux 18.04)、Wireshark, ミットプロキシ。 これを行うために、Pvtbox アプリケーションと pvtbox.net サーバーの間に仲介者を導入します (https 接続を介して pvtbox.net サーバーとのデータ交換が行われます)。

アプリケーションを起動して、プログラムとファイルの同期が機能することを確認します。 Linux では、ターミナルからプログラムを実行すると、すぐにログを観察できます。


アプリケーションをオフにして、ファイル内の pvtbox.net ホスト アドレスを置き換えます。 /etc/hosts スーパーユーザー権限を持っています。 アドレスをプロキシ サーバーのアドレスに置き換えます。


次に、ローカル ネットワーク上のアドレス 192.168.1.64 のコンピュータに対する MITM 攻撃に備えてプロキシ サーバーを準備しましょう。 これを行うには、mitmproxy パッケージ バージョン 4.0.4 をインストールします。

プロキシ サーバーをポート 443 で起動します。
$ sudo mitmproxy -p 443

最初のコンピューターで Pvtbox プログラムを起動し、mitmproxy の出力とアプリケーション ログを確認します。


ミットプロキシ クライアントがプロキシ サーバーからのスプーフィング証明書を信頼していないことを報告します。 アプリケーション ログでは、プロキシ サーバーの証明書が検証に合格せず、プログラムが動作を拒否していることもわかります。

プロキシサーバー証明書のインストール ミットプロキシ Pvtbox アプリケーションがインストールされたコンピュータに接続して、証明書を「信頼できる」ものにします。 ca-certificates パッケージをコンピュータにインストールします。 次に、プロキシ サーバーの .mitmproxy ディレクトリから mitmproxy-ca-cert.pem 証明書を、Pvtbox アプリケーションがインストールされているコンピューターの /usr/local/share/ca-certificates ディレクトリにコピーします。

次のコマンドを実行します。
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$sudo update-ca-certificates


Pvtbox アプリケーションを起動します。 証明書の検証が再び失敗し、プログラムが動作しなくなりました。 アプリケーションはセキュリティ メカニズムを使用している可能性があります 証明書の固定.

同様の攻撃がホストに対して実行されました シグナルサーバー.pvtbox.net、 ノード間のピアツーピア接続自体も同様です。 開発者は、ピアツーピア接続を確立するアプリケーションが、エンドツーエンドのプロトコル暗号化を使用するオープン webrtc プロトコルを使用していることを示しています。 DTLSv1.2。

キーは接続セットアップごとに生成され、暗号化されたチャネル経由で送信されます。 シグナルサーバー.pvtbox.net。

理論的には、webrtc のオファー メッセージとアンサー メッセージを傍受し、そこにある暗号化キーを置き換えて、webrtc 経由で到着するすべてのメッセージを復号化することが可能です。 しかし、signalserver.pvtbox.net に対して mitm 攻撃を実行することは不可能であったため、signalserver.pvtbox.net を通じて送信されたメッセージを傍受して置き換える方法はありません。

したがって、ピアツーピア接続に対してこの攻撃を実行することはできません。

プログラムに付属の証明書を含むファイルも発見されました。 ファイルは /opt/pvtbox/certifi/cacert.pem にあります。 このファイルは、mitmproxy プロキシからの信頼された証明書を含むファイルに置き換えられました。 結果は変わりませんでした。プログラムはシステムへの接続を拒否し、同じエラーがログに記録されました。
証明書が検証に合格していないこと。

監査結果

トラフィックを傍受したりなりすましたりすることはできませんでした。 ファイル名とその内容はさらに暗号化された形式で送信され、エンドツーエンドの暗号化が使用され、アプリケーションには盗聴や侵入を防ぐ多数のセキュリティ メカニズムが実装されています。

その結果、同社は情報への永続的なアクセスのために XNUMX 台の専用サーバー (物理的には異なる場所にあります) を購入しました。 最初のサーバーは情報の受信、処理、保存に使用され、XNUMX 番目のサーバーはバックアップに使用されます。

ディレクターの仕事用端末と iOS 上の携帯電話が、結果として得られた個別のクラウドに接続されました。 他の従業員は、フルタイムのシステム管理者と Pvtbox のテクニカル サポートによって接続されました。

過去しばらくの間、その友人から苦情はありませんでした。 私のレビューが同様の状況にあるHabrの読者に役立つことを願っています。

出所： habr.com