Снимено е пресретнување на шифриран сообраќај jabber.ru и xmpp.ru

Администраторот на серверот Jabber jabber.ru (xmpp.ru) идентификуваше напад за декрипција на корисничкиот сообраќај (MITM), извршен во период од 90 дена до 6 месеци во мрежите на германските хостинг провајдери Hetzner и Linode, кои се домаќини на проектен сервер и помошна VPS околина. Нападот е организиран со пренасочување на сообраќајот кон транзитен јазол кој го заменува сертификатот TLS за XMPP конекции шифрирани со помош на екстензијата STARTTLS.

Нападот бил забележан поради грешка на организаторите, кои немале време да го обноват сертификатот TLS кој се користел за измама. На 16 октомври, администраторот на jabber.ru, при обидот да се поврзе на услугата, добил порака за грешка поради истекување на сертификатот, но сертификатот што се наоѓа на серверот не бил истечен. Како резултат на тоа, се покажа дека сертификатот што го добил клиентот е различен од сертификатот испратен од серверот. Првиот лажен TLS сертификат беше добиен на 18 април 2023 година преку услугата Let's Encrypt, во која напаѓачот, можејќи да го пресретне сообраќајот, можеше да потврди пристап до сајтовите jabber.ru и xmpp.ru.

Отпрвин, постоеше претпоставка дека проектниот сервер е компромитиран и дека се врши замена на негова страна. Но, ревизијата не откри никакви траги на хакирање. Воедно, во дневникот на серверот е забележано краткотрајно исклучување и вклучување на мрежниот интерфејс (NIC Link is Down/NIC Link is Up), кое е извршено на 18 јули во 12:58 часот и можело укажуваат на манипулации со поврзување на серверот со прекинувачот. Вреди да се одбележи дека два лажни TLS сертификати беа генерирани неколку минути порано - на 18 јули во 12:49 и 12:38 часот.

Покрај тоа, замената беше извршена не само во мрежата на провајдерот Hetzner, кој е домаќин на главниот сервер, туку и во мрежата на давателот на Linode, кој беше домаќин на VPS околини со помошни прокси кои го пренасочуваат сообраќајот од други адреси. Индиректно, беше откриено дека сообраќајот до мрежната порта 5222 (XMPP STARTTLS) во мрежите на двата провајдери беше пренасочен преку дополнителен хост, што даде причина да се верува дека нападот го извршило лице со пристап до инфраструктурата на провајдерите.

Теоретски, замената можеше да се изврши од 18 април (датумот на создавање на првиот лажен сертификат за jabber.ru), но потврдените случаи на замена на сертификатот беа регистрирани само од 21 јули до 19 октомври, сето ова време шифрирана размена на податоци со jabber.ru и xmpp.ru може да се смета за компромитиран . Замената престана откако започна истрагата, беа спроведени тестови и беше испратено барање до службата за поддршка на давателите на услуги Hetzner и Linode на 18 октомври. Во исто време, дополнителна транзиција при рутирање на пакети испратени до портата 5222 на еден од серверите во Линод сè уште се забележува денес, но сертификатот повеќе не се заменува.

Се претпоставува дека нападот можел да биде извршен со знаење на провајдерите на барање на агенциите за спроведување на законот, како резултат на хакирање на инфраструктурата на двата провајдери или од вработен кој имал пристап до двата провајдери. Со тоа што ќе може да го пресретнува и менува сообраќајот XMPP, напаѓачот може да добие пристап до сите податоци поврзани со сметката, како што е историјата на пораки зачувана на серверот, а исто така може да испраќа пораки во име на други и да прави промени во пораките на другите луѓе. Пораките испратени со шифрирање од крај до крај (OMEMO, OTR или PGP) може да се сметаат за компромитирани ако клучевите за шифрирање се потврдени од корисниците од двете страни на врската. На корисниците на Jabber.ru им се препорачува да ги променат лозинките за пристап и да ги проверат клучевите OMEMO и PGP во нивните складишта PEP за можна замена.

Извор: opennet.ru