암호화된 트래픽 jabber.ru 및 xmpp.ru 차단 기록

Jabber 서버 jabber.ru(xmpp.ru)의 관리자는 사용자 트래픽(MITM)을 해독하기 위한 공격이 독일 호스팅 제공업체인 Hetzner 및 Linode의 네트워크에서 90일에서 6개월에 걸쳐 수행되었음을 확인했습니다. 프로젝트 서버 및 보조 VPS 환경. 공격은 STARTTLS 확장을 사용하여 암호화된 XMPP 연결에 대한 TLS 인증서를 대체하는 전송 노드로 트래픽을 리디렉션하는 방식으로 구성됩니다.

이 공격은 스푸핑에 사용된 TLS 인증서를 갱신할 시간이 없었던 조직자의 오류로 인해 발견되었습니다. 16월 18일 jabber.ru 관리자가 서비스에 연결을 시도하던 중 인증서 만료로 인한 오류 메시지를 받았으나 서버에 있는 인증서는 만료되지 않았습니다. 그 결과, 클라이언트가 받은 인증서와 서버가 보낸 인증서가 다른 것으로 드러났습니다. 첫 번째 가짜 TLS 인증서는 2023년 XNUMX월 XNUMX일 Let's Encrypt 서비스를 통해 획득되었으며, 공격자는 트래픽을 가로챌 수 있어 jabber.ru 및 xmpp.ru 사이트에 대한 액세스를 확인할 수 있었습니다.

처음에는 프로젝트 서버가 손상되어 그 쪽에서 대체 작업이 수행되고 있다는 가정이 있었습니다. 하지만 감사 결과 해킹 흔적은 발견되지 않았다. 동시에, 서버의 로그에서 네트워크 인터페이스의 단기적인 끄기 및 켜기(NIC 링크가 작동 중지됨/NIC 링크가 작동됨)가 발견되었습니다. 이는 18월 12일 58시 18분에 수행되었으며 다음과 같은 현상이 발생할 수 있습니다. 서버와 스위치의 연결 조작을 나타냅니다. 두 개의 가짜 TLS 인증서가 몇 분 전인 12월 49일 12시 38분과 XNUMX시 XNUMX분에 생성되었다는 점은 주목할 만합니다.

또한 대체는 메인 서버를 호스팅하는 Hetzner 공급자의 네트워크뿐만 아니라 다른 주소의 트래픽을 리디렉션하는 보조 프록시를 사용하여 VPS 환경을 호스팅하는 Linode 공급자의 네트워크에서도 수행되었습니다. 간접적으로 두 공급자의 네트워크에 있는 네트워크 포트 5222(XMPP STARTTLS)에 대한 트래픽이 추가 호스트를 통해 리디렉션되는 것으로 밝혀졌으며, 이는 공격이 공급자의 인프라에 액세스할 수 있는 사람에 의해 수행되었다고 믿을 수 있는 이유를 제공했습니다.

이론적으로는 대체가 18월 21일(jabber.ru에 대한 첫 번째 가짜 인증서 생성 날짜)부터 수행되었을 수 있지만, 확인된 인증서 대체 사례는 19월 18일부터 5222월 XNUMX일까지만 기록되었으며, 이번에는 모두 암호화된 데이터 교환이었습니다. jabber.ru 및 xmpp.ru가 손상된 것으로 간주될 수 있습니다. 조사가 시작된 후 교체가 중단되고 테스트가 수행되었으며 XNUMX월 XNUMX일 Hetzner 및 Linode 제공업체의 지원 서비스에 요청이 전송되었습니다. 동시에 Linode에 있는 서버 중 하나의 포트 XNUMX로 전송된 패킷을 라우팅할 때 추가 전환이 오늘날에도 관찰되지만 인증서는 더 이상 교체되지 않습니다.

두 제공업체의 인프라를 해킹한 결과, 또는 두 제공업체에 접근할 수 있는 직원에 의해 법 집행 기관의 요청에 따라 제공업체가 인지한 상태에서 공격이 수행되었을 수 있다고 추정됩니다. 공격자는 XMPP 트래픽을 가로채고 수정할 수 있어 서버에 저장된 메시징 기록 등 모든 계정 관련 데이터에 접근할 수 있으며, 다른 사람을 대신하여 메시지를 보낼 수도 있고 다른 사람의 메시지를 변경할 수도 있습니다. 종단 간 암호화(OMEMO, OTR 또는 PGP)를 사용하여 전송된 메시지는 연결 양쪽에서 사용자가 암호화 키를 확인한 경우 손상되지 않은 것으로 간주될 수 있습니다. Jabber.ru 사용자는 액세스 비밀번호를 변경하고 PEP 저장소의 OMEMO 및 PGP 키에서 대체 가능한 키를 확인하는 것이 좋습니다.

출처 : opennet.ru