ALPACA - HTTPS-ലെ MITM ആക്രമണങ്ങൾക്കുള്ള ഒരു പുതിയ സാങ്കേതികത

ജർമ്മനിയിലെ നിരവധി സർവ്വകലാശാലകളിൽ നിന്നുള്ള ഒരു സംഘം ഗവേഷകർ HTTPS-ൽ ഒരു പുതിയ MITM ആക്രമണം വികസിപ്പിച്ചെടുത്തിട്ടുണ്ട്, അത് സെഷൻ കുക്കികളും മറ്റ് സെൻസിറ്റീവ് ഡാറ്റയും എക്‌സ്‌ട്രാക്റ്റുചെയ്യാനും മറ്റൊരു സൈറ്റിന്റെ പശ്ചാത്തലത്തിൽ അനിയന്ത്രിതമായ JavaScript കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനും കഴിയും. ആക്രമണത്തെ ALPACA എന്ന് വിളിക്കുന്നു, വ്യത്യസ്ത ആപ്ലിക്കേഷൻ ലെയർ പ്രോട്ടോക്കോളുകൾ (HTTPS, SFTP, SMTP, IMAP, POP3) നടപ്പിലാക്കുന്ന TLS സെർവറുകളിൽ പ്രയോഗിക്കാവുന്നതാണ്, എന്നാൽ പൊതുവായ TLS സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കുന്നു.

ഒരു നെറ്റ്‌വർക്ക് ഗേറ്റ്‌വേ അല്ലെങ്കിൽ വയർലെസ് ആക്‌സസ് പോയിന്റിൽ അയാൾക്ക് നിയന്ത്രണമുണ്ടെങ്കിൽ, ആക്രമണകാരിക്ക് മറ്റൊരു നെറ്റ്‌വർക്ക് പോർട്ടിലേക്ക് വെബ് ട്രാഫിക് റീഡയറക്‌ട് ചെയ്യാനും TLS എൻക്രിപ്‌ഷനെ പിന്തുണയ്‌ക്കുന്ന ഒരു FTP അല്ലെങ്കിൽ മെയിൽ സെർവറുമായി ഒരു കണക്ഷൻ സ്ഥാപിക്കാൻ സംഘടിപ്പിക്കാനും കഴിയും എന്നതാണ് ആക്രമണത്തിന്റെ സാരം. HTTP സെർവറുമായി പൊതുവായുള്ള TLS സർട്ടിഫിക്കറ്റ് , അഭ്യർത്ഥിച്ച HTTP സെർവറുമായി ഒരു കണക്ഷൻ സ്ഥാപിച്ചതായി ഉപയോക്താവിന്റെ ബ്രൗസർ അനുമാനിക്കും. TLS പ്രോട്ടോക്കോൾ സാർവത്രികവും ആപ്ലിക്കേഷൻ-ലെവൽ പ്രോട്ടോക്കോളുകളുമായി ബന്ധമില്ലാത്തതുമായതിനാൽ, എല്ലാ സേവനങ്ങൾക്കുമായി ഒരു എൻക്രിപ്റ്റ് ചെയ്ത കണക്ഷൻ സ്ഥാപിക്കുന്നത് സമാനമാണ്, കൂടാതെ തെറ്റായ സേവനത്തിലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുന്നതിൽ പിശക് നിർണ്ണയിക്കാൻ കഴിയൂ, പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഒരു എൻക്രിപ്റ്റ് ചെയ്ത സെഷൻ സ്ഥാപിച്ചതിനുശേഷം മാത്രമേ. അയച്ച അഭ്യർത്ഥനയുടെ കമാൻഡുകൾ.

അതനുസരിച്ച്, ഉദാഹരണത്തിന്, നിങ്ങൾ ആദ്യം HTTPS-ലേക്ക് സംബോധന ചെയ്ത ഒരു ഉപയോക്തൃ കണക്ഷൻ HTTPS സെർവറുമായി പങ്കിട്ട ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന ഒരു മെയിൽ സെർവറിലേക്ക് റീഡയറക്‌ട് ചെയ്‌താൽ, TLS കണക്ഷൻ വിജയകരമായി സ്ഥാപിക്കപ്പെടും, പക്ഷേ മെയിൽ സെർവറിന് ട്രാൻസ്മിറ്റ് ചെയ്‌തത് പ്രോസസ്സ് ചെയ്യാൻ കഴിയില്ല. HTTP കമാൻഡ് ചെയ്യുകയും പിശക് കോഡുള്ള ഒരു പ്രതികരണം നൽകുകയും ചെയ്യും. ഈ പ്രതികരണം അഭ്യർത്ഥിച്ച സൈറ്റിൽ നിന്നുള്ള പ്രതികരണമായി ബ്രൗസർ പ്രോസസ്സ് ചെയ്യും, ശരിയായി സ്ഥാപിച്ച എൻക്രിപ്റ്റ് ചെയ്ത ആശയവിനിമയ ചാനലിനുള്ളിൽ പ്രക്ഷേപണം ചെയ്യും.

മൂന്ന് ആക്രമണ ഓപ്ഷനുകൾ നിർദ്ദേശിക്കപ്പെടുന്നു:

• പ്രാമാണീകരണ പാരാമീറ്ററുകളുള്ള ഒരു കുക്കി വീണ്ടെടുക്കാൻ "അപ്‌ലോഡ് ചെയ്യുക". TLS സർട്ടിഫിക്കറ്റ് നൽകുന്ന FTP സെർവർ അതിന്റെ ഡാറ്റ അപ്‌ലോഡ് ചെയ്യാനും വീണ്ടെടുക്കാനും നിങ്ങളെ അനുവദിക്കുകയാണെങ്കിൽ ഈ രീതി ബാധകമാണ്. ഈ ആക്രമണ വേരിയന്റിൽ, ആക്രമണകാരിക്ക് ഉപയോക്താവിന്റെ യഥാർത്ഥ എച്ച്ടിടിപി അഭ്യർത്ഥനയുടെ ഭാഗങ്ങൾ നിലനിർത്താൻ കഴിയും, ഉദാഹരണത്തിന്, എഫ്‌ടിപി സെർവർ അഭ്യർത്ഥനയെ സേവ് ഫയലായി വ്യാഖ്യാനിക്കുകയോ ഇൻകമിംഗ് അഭ്യർത്ഥനകൾ പൂർണ്ണമായും ലോഗ് ചെയ്യുകയോ ചെയ്താൽ, കുക്കി ഹെഡറിലെ ഉള്ളടക്കങ്ങൾ പോലെ. വിജയകരമായി ആക്രമിക്കാൻ, ആക്രമണകാരി സംഭരിച്ചിരിക്കുന്ന ഉള്ളടക്കം എങ്ങനെയെങ്കിലും വേർതിരിച്ചെടുക്കേണ്ടതുണ്ട്. ആക്രമണം Proftpd, Microsoft IIS, vsftpd, filezilla, serv-u എന്നിവയ്ക്ക് ബാധകമാണ്.
• ക്രോസ്-സൈറ്റ് സ്ക്രിപ്റ്റിംഗ് (XSS) സംഘടിപ്പിക്കുന്നതിനുള്ള "ഡൗൺലോഡ്". ചില വ്യക്തിഗത കൃത്രിമത്വങ്ങളുടെ ഫലമായി ആക്രമണകാരിക്ക് ഒരു പൊതു TLS സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന ഒരു സേവനത്തിൽ ഡാറ്റ സ്ഥാപിക്കാൻ കഴിയുമെന്ന് രീതി സൂചിപ്പിക്കുന്നു, അത് ഒരു ഉപയോക്തൃ അഭ്യർത്ഥനയ്ക്ക് മറുപടിയായി നൽകാം. മുകളിൽ സൂചിപ്പിച്ച FTP സെർവറുകൾ, IMAP സെർവറുകൾ, POP3 സെർവറുകൾ (കൊറിയർ, സൈറസ്, കെറിയോ-കണക്ട്, സിംബ്ര) എന്നിവയ്ക്ക് ആക്രമണം ബാധകമാണ്.
• മറ്റൊരു സൈറ്റിന്റെ പശ്ചാത്തലത്തിൽ JavaScript പ്രവർത്തിപ്പിക്കുന്നതിനുള്ള "പ്രതിഫലനം". അഭ്യർത്ഥനയുടെ ക്ലയന്റ് ഭാഗത്തേക്ക് മടങ്ങുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ് ഈ രീതി, ആക്രമണകാരി അയച്ച JavaScript കോഡ് അടങ്ങിയിരിക്കുന്നു. മുകളിൽ സൂചിപ്പിച്ച FTP സെർവറുകൾ, സൈറസ്, കെറിയോ-കണക്റ്റ്, സിംബ്ര IMAP സെർവറുകൾ, അതുപോലെ തന്നെ അയയ്ക്കുന്ന SMTP സെർവർ എന്നിവയ്ക്കും ആക്രമണം ബാധകമാണ്.

ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരി നിയന്ത്രിത പേജ് ഒരു ഉപയോക്താവ് തുറക്കുമ്പോൾ, ഉപയോക്താവിന് സജീവമായ അക്കൗണ്ട് ഉള്ള (ഉദാഹരണത്തിന്, bank.com) സൈറ്റിൽ നിന്ന് ഒരു ഉറവിടത്തിനായുള്ള അഭ്യർത്ഥന ഈ പേജിന് ആരംഭിക്കാൻ കഴിയും. ഒരു MITM ആക്രമണ സമയത്ത്, bank.com വെബ്‌സൈറ്റിലേക്കുള്ള ഈ അഭ്യർത്ഥന, bank.com-മായി പങ്കിടുന്ന TLS സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന ഒരു ഇമെയിൽ സെർവറിലേക്ക് റീഡയറക്‌ടുചെയ്യാനാകും. ആദ്യ പിശകിന് ശേഷം മെയിൽ സെർവർ സെഷൻ അവസാനിപ്പിക്കാത്തതിനാൽ, സേവന തലക്കെട്ടുകളും "POST / HTTP/1.1", "Host:" തുടങ്ങിയ കമാൻഡുകളും അജ്ഞാത കമാൻഡുകളായി പ്രോസസ്സ് ചെയ്യും (മെയിൽ സെർവർ "500 തിരിച്ചറിയാത്ത കമാൻഡ്" നൽകും. ഓരോ തലക്കെട്ടും).

HTTP പ്രോട്ടോക്കോളിന്റെ സവിശേഷതകൾ മെയിൽ സെർവറിന് മനസ്സിലാകുന്നില്ല, അതിനായി സേവന തലക്കെട്ടുകളും POST അഭ്യർത്ഥനയുടെ ഡാറ്റ ബ്ലോക്കും അതേ രീതിയിൽ പ്രോസസ്സ് ചെയ്യുന്നു, അതിനാൽ POST അഭ്യർത്ഥനയുടെ ബോഡിയിൽ നിങ്ങൾക്ക് ഒരു കമാൻഡ് ഉപയോഗിച്ച് ഒരു ലൈൻ വ്യക്തമാക്കാൻ കഴിയും. മെയിൽ സെർവർ. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് കടന്നുപോകാം: MAIL FROM: alert(1); അതിലേക്ക് മെയിൽ സെർവർ 501 പിശക് സന്ദേശം നൽകും alert(1); : തെറ്റായ വിലാസം: മുന്നറിയിപ്പ് (1); പിന്തുടരാനിടയില്ല

ഈ പ്രതികരണം ഉപയോക്താവിന്റെ ബ്രൗസറിന് ലഭിക്കും, അത് ആക്രമണകാരിയുടെ തുടക്കത്തിൽ തുറന്ന വെബ്‌സൈറ്റിന്റെ പശ്ചാത്തലത്തിലല്ല, അഭ്യർത്ഥന അയച്ച bank.com വെബ്‌സൈറ്റിന്റെ പശ്ചാത്തലത്തിൽ JavaScript കോഡ് നടപ്പിലാക്കും, കാരണം പ്രതികരണം ശരിയായ TLS സെഷനിൽ വന്നതിനാൽ , bank.com പ്രതികരണത്തിന്റെ ആധികാരികത സ്ഥിരീകരിച്ച സർട്ടിഫിക്കറ്റ്.

ഗ്ലോബൽ നെറ്റ്‌വർക്കിന്റെ ഒരു സ്കാൻ കാണിക്കുന്നത്, പൊതുവെ, ഏകദേശം 1.4 ദശലക്ഷം വെബ് സെർവറുകൾ ഈ പ്രശ്‌നം ബാധിച്ചിട്ടുണ്ടെന്ന്, ഇതിനായി വ്യത്യസ്ത പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച് അഭ്യർത്ഥനകൾ കലർത്തി ആക്രമണം നടത്താൻ സാധ്യമാണ്. മറ്റ് ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോളുകളെ അടിസ്ഥാനമാക്കി ടിഎൽഎസ് സെർവറുകളുള്ള 119 ആയിരം വെബ് സെർവറുകൾക്കായി ഒരു യഥാർത്ഥ ആക്രമണത്തിന്റെ സാധ്യത നിർണ്ണയിക്കപ്പെട്ടു.

ftp സെർവറുകൾ pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla, serv-u, IMAP, POP3 സെർവറുകൾ ഡോവ്‌കോട്ട്, കൊറിയർ, എക്സ്ചേഞ്ച്, സൈറസ്, കെറിയോ-കണക്ട്, സിംബ്ര, SMTP സെർവറുകൾ അയയ്ക്കുക, പോസ്റ്റ്‌ഫിക്സ്, പോസ്റ്റ്ഫിക്സ്, പോസ്റ്റ്ഫിക്സ്, എക്സിം സെർവറുകൾ എന്നിവയ്ക്കായി ചൂഷണത്തിന്റെ ഉദാഹരണങ്ങൾ തയ്യാറാക്കിയിട്ടുണ്ട്. , mailenable, mdaemon, opensmtpd. FTP, SMTP, IMAP, POP3 സെർവറുകൾ എന്നിവയുമായി സംയോജിപ്പിച്ച് മാത്രം ആക്രമണം നടത്താനുള്ള സാധ്യത ഗവേഷകർ പഠിച്ചു, എന്നാൽ TLS ഉപയോഗിക്കുന്ന മറ്റ് ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോളുകൾക്കും പ്രശ്നം ഉണ്ടാകാൻ സാധ്യതയുണ്ട്.

ആക്രമണം തടയുന്നതിന്, ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോളും SNI (സെർവർ നെയിം ഇൻഡിക്കേഷൻ) വിപുലീകരണവും കണക്കിലെടുത്ത് ഒരു TLS സെഷൻ ചർച്ച ചെയ്യാൻ ALPN (അപ്ലിക്കേഷൻ ലെയർ പ്രോട്ടോക്കോൾ നെഗോഷ്യേഷൻ) എക്സ്റ്റൻഷൻ ഉപയോഗിക്കുന്നതിന് നിർദ്ദേശിക്കപ്പെട്ടിരിക്കുന്നു. നിരവധി ഡൊമെയ്ൻ നാമങ്ങൾ ഉൾക്കൊള്ളുന്ന TLS സർട്ടിഫിക്കറ്റുകൾ. ആപ്ലിക്കേഷൻ ഭാഗത്ത്, കമാൻഡുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ പിശകുകളുടെ എണ്ണത്തിന്റെ പരിധി പരിമിതപ്പെടുത്താൻ ശുപാർശ ചെയ്യുന്നു, അതിനുശേഷം കണക്ഷൻ അവസാനിപ്പിക്കും. കഴിഞ്ഞ വർഷം ഒക്ടോബറിലാണ് ആക്രമണം തടയുന്നതിനുള്ള നടപടികൾ വികസിപ്പിക്കുന്നതിനുള്ള നടപടികൾ ആരംഭിച്ചത്. Nginx 1.21.0 (മെയിൽ പ്രോക്സി), Vsftpd 3.0.4, Courier 5.1.0, Sendmail, FileZill, crypto/tls (Go), Internet Explorer എന്നിവയിലും സമാനമായ സുരക്ഷാ നടപടികൾ ഇതിനകം സ്വീകരിച്ചിട്ടുണ്ട്.

അവലംബം: opennet.ru