Германы хэд хэдэн их сургуулийн судлаачдын баг HTTPS-д шинэ MITM халдлагыг зохион бүтээсэн бөгөөд энэ нь сессийн ID болон бусад нууц мэдээллийг агуулсан күүкиг задлахаас гадна өөр вэбсайтын контекст дээр дурын JavaScript кодыг ажиллуулах боломжийг олгодог. ALPACA гэж нэрлэсэн халдлага нь өөр өөр програмын түвшний протоколуудыг (HTTPS, SFTP, SMTP, IMAP, POP3) хэрэгжүүлдэг, гэхдээ ижил TLS сертификатуудыг ашигладаг TLS серверүүдийн эсрэг ашиглаж болно.
Халдлага үйлдэгч нь сүлжээний гарц эсвэл утасгүй хандалтын цэгийг удирдсанаар вэб траффикийг өөр сүлжээний порт руу чиглүүлж, TLS шифрлэлтийг дэмждэг FTP эсвэл мэйл сервертэй холбогдож, TLS сертификатыг HTTP сервертэй хуваалцдагт үндэслэсэн болно. Хэрэглэгчийн хөтөч нь хүссэн HTTP сервертэй холболт хийгдсэн гэж үзэх болно. TLS протокол нь бүх нийтийнх бөгөөд хэрэглээний түвшний протоколуудтай холбогддоггүй тул шифрлэгдсэн холболтыг бий болгох нь бүх үйлчилгээнд адилхан бөгөөд буруу үйлчилгээ рүү хүсэлт илгээх алдааг зөвхөн шифрлэгдсэн сессийг үүсгэсний дараа, илгээсэн хүсэлтийн командыг боловсруулах явцад илрүүлж болно.
Үүний дагуу, жишээлбэл, анх HTTPS руу хаягласан хэрэглэгчийн холболтыг HTTPS сервертэй сертификат хуваалцдаг шуудангийн сервер рүү дахин чиглүүлбэл TLS холболт амжилттай хийгдэх боловч шуудангийн сервер дамжуулсан HTTP командыг боловсруулах боломжгүй бөгөөд алдааны код бүхий хариуг буцаана. Энэ хариултыг хөтчөөс хүссэн сайтын хариу болгон боловсруулж, зөв тохируулсан шифрлэгдсэн холбооны сувгаар дамжуулна.
Довтолгооны гурван сонголтыг санал болгож байна:
- Баталгаажуулалтын параметр бүхий күүкиг задлахын тулд "Байршуулах". TLS гэрчилгээнд хамрагдсан FTP сервер нь өгөгдлийг байршуулах, сэргээх боломжийг олгодог бол энэ аргыг хэрэглэнэ. Энэхүү халдлагын хувилбарт халдагчид хэрэглэгчийн анхны HTTP хүсэлтийн зарим хэсгийг, тухайлбал күүкийн толгой хэсгийн агуулгыг хадгалах боломжтой, жишээлбэл, FTP сервер нь хүсэлтийг хадгалагдах файл гэж тайлбарлах эсвэл ирж буй хүсэлтийг бүрэн бүртгэдэг. Амжилттай халдлага хийхийн тулд халдагчид хадгалсан агуулгыг ямар нэгэн байдлаар буцааж авах ёстой. Энэ халдлага нь Proftpd, Microsoft IIS, vsftpd, filezilla болон serv-u-д хамаарна.
- Сайт хоорондын скрипт (XSS)-д зориулсан "Татаж авах". Энэ арга нь халдагч тодорхой заль мэхээр дамжуулан нийтлэг ашигладаг үйлчилгээнд өгөгдөл байрлуулж чадна гэж үздэг. TLS гэрчилгээ, дараа нь хэрэглэгчийн хүсэлтийн хариуд олгож болно. Энэ халдлага нь дээр дурдсан FTP серверүүд, IMAP серверүүд болон POP3 серверүүд (courier, cyrus, kerio-connect, болон zimbra)-д хамаарна.
- "Тусгал" нь өөр вэбсайтын контекст дээр JavaScript-г ажиллуулах арга юм. Энэ арга нь халдагчийн илгээсэн JavaScript код агуулсан хүсэлтийн нэг хэсгийг үйлчлүүлэгч рүү буцаахад үндэслэдэг. Энэхүү халдлага нь дээр дурдсан FTP серверүүд, Cyrus, Kerio-Connect, Zimbra IMAP серверүүд, мөн Sendmail SMTP серверт хамаарна.
Жишээлбэл, хэрэглэгч халдагчийн удирддаг хуудсыг нээх үед тухайн хуудас нь тухайн хэрэглэгчийн идэвхтэй данстай сайтаас (жишээ нь, bank.com) эх сурвалж авах хүсэлтийг эхлүүлж болно. Дундад хүн халдлага хийх үед bank.com руу хаягласан энэхүү хүсэлтийг bank.com-той TLS сертификат хуваалцдаг шуудангийн сервер рүү дахин чиглүүлэх боломжтой. Эхний алдаа гарсны дараа шуудангийн сервер сессийг зогсоохгүй тул "POST / HTTP/1.1" болон "Хост:" гэх мэт үйлчилгээний толгой болон командуудыг үл мэдэгдэх командууд болгон боловсруулах болно (мэйл сервер толгой тус бүрд "500 танигдаагүй тушаал" гэсэн хариултыг буцаана).
Мэйл сервер нь HTTP протоколын онцлогийг ойлгодоггүй бөгөөд үйлчилгээний толгой хэсэг болон POST хүсэлтийн өгөгдлийн блокыг адилхан боловсруулдаг. Тиймээс, POST хүсэлтийн үндсэн хэсэг нь шуудангийн сервер рүү чиглэсэн команд бүхий мөрийг агуулж болно. Жишээлбэл, та дараахыг дамжуулж болно: MAIL FROM: alert(1); Мэйл сервер 501 алдааны мессежийг буцаана alert(1); : алдаатай хаяг: alert(1); дагахгүй байж болно
Энэ хариултыг хэрэглэгчийн хөтөч хүлээн авах бөгөөд энэ нь халдагчийн анх нээсэн сайтын бус, харин хүсэлт илгээсэн bank.com сайтын контекст дээр JavaScript кодыг гүйцэтгэх болно, учир нь хариуг хүчинтэй TLS сессийн дотор хүлээн авсан бөгөөд гэрчилгээ нь bank.com хариултын үнэн зөвийг баталгаажуулсан.
Дэлхийн сүлжээний сканнер нь ойролцоогоор 1.4 сая вэб серверүүд асуудалд өртөмтгий болох нь тогтоогдсон бөгөөд энэ нь янз бүрийн протоколуудын хүсэлтийг холих халдлагад өртөх магадлалтай юм. Бодит халдлага гарч болзошгүйг бусад програмын протокол ажиллуулж байгаа TLS серверүүдтэй 119 вэб серверийн хувьд тодорхойлсон.
Pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla, serv-u зэрэг FTP серверүүдэд ашиглах жишээг бэлтгэсэн; IMAP болон POP3 серверүүд нь dovecot, courier, exchange, cyrus, kerio-connect, zimbra; мөн SMTP серверүүд нь postfix, exim, sendmail, mailenable, mdaemon, opensmtpd. Судлаачид халдлагыг зөвхөн FTP, SMTP, IMAP, POP3 серверүүдтэй хамт судалж үзсэн боловч TLS ашигладаг бусад програмын протоколуудад ч асуудал гарч болзошгүй.
Халдлагыг хаахын тулд хэд хэдэн серверийг хамарсан TLS сертификатыг ашиглах тохиолдолд хостын нэртэй холбогдохын тулд програмын протоколыг харгалзан TLS сессийг тохиролцохын тулд ALPN (Application Layer Protocol Negotiation) өргөтгөлийг болон SNI (Server Name Indication) өргөтгөлийг ашиглахыг санал болгож байна. домэйн нэрсХэрэглээний тал дээр холболт тасалдсаны дараа команд боловсруулах явцад гарах алдааны тоог хязгаарлахыг зөвлөж байна. Халдлагыг хаах арга хэмжээ боловсруулах үйл явц өнгөрсөн оны 10-р сард эхэлсэн. Үүнтэй төстэй хамгаалалтын арга хэмжээг Nginx 1.21.0 (mail proxy), Vsftpd 3.0.4, Courier 5.1.0, Sendmail, FileZill, crypto/tls (Go) болон Internet Explorer дээр аль хэдийн хэрэгжүүлсэн.
Эх сурвалж: opennet.ru
