W październiku 2017 roku miałem okazję uczestniczyć w seminarium promującym system DLP DeviceLock, gdzie reklamowano nie tylko podstawowe funkcje zabezpieczeń przed wyciekami, takie jak blokowanie portów USB, analiza kontekstowa poczty i schowka, ale także ochronę przed administratorem. Model jest prosty i elegancki — do małej firmy przychodzi instalator, instaluje pakiet oprogramowania, blokuje BIOS, tworzy konto administratora DeviceLock, a lokalnemu administratorowi pozostawia jedynie prawa do zarządzania systemem Windows i innym oprogramowaniem. Nawet w przypadku złych zamiarów, ten administrator nic nie ukradnie. Ale to wszystko teoria…
Ponieważ przez ponad 20 lat pracy w zakresie opracowywania środków ochrony informacji, mogłem się przekonać, że administrator może wszystko, szczególnie mając fizyczny dostęp do komputera, to główną ochroną przed nim mogą być jedynie środki organizacyjne, takie jak ścisłe raportowanie i fizyczna ochrona komputerów zawierających ważne dane, to natychmiast pojawiła się myśl, aby sprawdzić odporność proponowanego produktu.
Próba dokonania tego zaraz po seminarium się nie powiodła, w przeciwnym razie zabezpieczenie przed usunięciem podstawowej usługi DlService.exe zostało zastosowane, a nawet zapomniano o prawach dostępu i wyborze ostatniej skutecznej konfiguracji, w wyniku czego nie udało się jej zhakować, jak większość wirusów, zabraniając systemowi dostępu do odczytu i wykonania.
Na wszystkie pytania dotyczące zabezpieczeń istniejących w składzie produktu sterowników przedstawiciel firmy-dewelopera Smart Line pewnie twierdził, że „wszystko jest na tym samym poziomie”.
Dzień później postanowiłem kontynuować badania, pobrałem wersję próbną. Od razu zdziwił mnie rozmiar dystrybucji wynoszący prawie 2 GB! Przywykłem, że oprogramowanie systemowe, do którego zazwyczaj zalicza się środki ochrony informacji (SZI), ma zazwyczaj znacznie mniejszy rozmiar.
Po instalacji zdziwiłem się po raz drugi — rozmiar wspomnianego pliku .exe też jest całkiem spory — 13 MB. Od razu pomyślałem, że przy takiej objętości jest się do czego przyczepić. Spróbowałem podmienić moduł za pomocą odroczonego zapisu — zablokowane. Zbadałem katalogi programu i tam było aż 11 sterowników! Spróbowałem zmienić uprawnienia — nie były zablokowane! No dobrze, wszystkim zakaz, restartujemy!
Efekt jest naprawdę spektakularny – wszystkie funkcje przestały działać, usługa się nie uruchomiła. Jakie tam zabezpieczenia, bierz i kopiuj, co chcesz, na pamięci USB lub przez sieć. Wydobył się pierwszy poważny problem systemu – zbyt silny związek między komponentami. Tak, usługa powinna komunikować się z driverami, ale po co się zawieszać, gdy nikt nie odpowiada? W rezultacie jest jeden sposób na obejście zabezpieczeń.
Dowiedziawszy się, że ta cudowna usługa jest taka delikatna i wrażliwa, postanowiłem sprawdzić jej zależności od zewnętrznych bibliotek. Tutaj jest jeszcze prościej, lista jest długa, po prostu losowo usuwamy bibliotekę WinSock_II i obserwujemy niezbyt odmienny obraz – usługa się nie uruchomiła, system otwarty.
W rezultacie mamy to, co opisał referent na seminarium, potężny mur, ale ogrodzony nie cały strzeżony obszar z powodu braku pieniędzy, a na otwartym odcinku zwykły kolczasty dziki krzew. W tym przypadku, biorąc pod uwagę architekturę produktu programowego, która zakłada niezabezpieczone domyślnie środowisko oraz wiele różnorodnych wkładeczek, przechwytywaczy, analizatorów ruchu, to raczej płot, przy czym wiele desek jest przykręconych wkrętami od zewnątrz i łatwo je odkręcić. Problemy większości podobnych rozwiązań tkwią w tym, że w tak dużej liczbie potencjalnych dziur zawsze istnieje prawdopodobieństwo zapomnienia o czymś, przeoczenia zależności lub wpłynięcia na stabilność z powodu nieudanej implementacji jednego z przechwytywaczy. Biorąc pod uwagę, że przedstawione w tym artykule luki leżą na wierzchu, produkt zawiera wiele innych, których szukanie zajmie jeszcze kilka godzin.
Na rynku jest pełno przykładów prawidłowej realizacji zabezpieczeń przed wyłączeniem, na przykład krajowe oprogramowanie antywirusowe, w którym nie można łatwo obejść zabezpieczeń. Z tego, co mi wiadomo, nie poskąpili czasu na certyfikację FSTEC.
Po przeprowadzeniu kilku rozmów z pracownikami Smart Line, znaleziono kilka podobnych miejsc, o których nawet nie słyszeli. Jednym z przykładów jest mechanizm ArrInitDll.
Nie jest on najgłębszy, ale w wielu przypadkach pozwala obejść się bez wchodzenia w jądro systemu operacyjnego i nie wpływa na jego stabilność. Sterowniki nVidia w pełni wykorzystują ten mechanizm do dostosowywania karty graficznej do konkretnej gry.
Zastanawia całkowity brak kompleksowego podejścia do budowy zautomatyzowanego systemu opartego na DL 8.2. Proponuje się przedstawienie klientowi zalet produktu oraz sprawdzenie obliczeniowej mocy posiadanych komputerów i serwerów (analizatory kontekstowe są bardzo zasobochłonne, a modne obecnie biurowe monobloki i nettopy oparte na Atomie w tym przypadku się nie nadają) i po prostu nałożyć na to produkt. Przy tym takie terminy jak „podział dostępu”, „zamknięte środowisko programowe” nawet nie padły na seminarium. Mówiono o szyfrowaniu, że oprócz złożoności, wywoła pytania regulatorów, chociaż w rzeczywistości nie ma z tym żadnych problemów. Pytania dotyczące certyfikacji nawet w FSTEK są odrzucane z powodu rzekomej złożoności i długotrwałości. Jako specjalista w dziedzinie bezpieczeństwa, który wielokrotnie uczestniczył w podobnych procedurach, mogę powiedzieć, że w trakcie ich przeprowadzania ujawnia się wiele podatności, podobnych do opisanych w tym materiale, ponieważ specjaliści laboratoriów certyfikujących mają poważne przygotowanie w tej dziedzinie.
W rezultacie przedstawiony system DLP może wykonywać bardzo ograniczony zestaw funkcji, które w rzeczywistości zapewniają bezpieczeństwo informacji, generując przy tym duże obciążenie obliczeniowe i tworząc u nieznających się na zagadnieniach bezpieczeństwa kierownictwa firmy poczucie ochrony danych korporacyjnych.
Rzeczywiście może chronić jedynie naprawdę dużą ilość danych przed nieuprzywilejowanym użytkownikiem, ponieważ administrator ma pełną zdolność do całkowitego wyłączenia ochrony, a dla mniej istotnych tajemnic nawet młodszy menedżer ds. sprzątania może potrafić dyskretnie sfotografować ekran, a nawet zapamiętać adres lub numer karty kredytowej, zaglądając przez ramię kolegi.
Co więcej, wszystko to jest prawdziwe tylko w przypadku braku fizycznego dostępu pracowników do podzespołów PC lub przynajmniej do BIOS-u w celu aktywacji rozruchu z zewnętrznych nośników. Wówczas może nawet nie pomóc BitLocker, który prawdopodobnie nie jest stosowany w firmach, które dopiero zaczynają myśleć o ochronie informacji.
Wynik, jak to może brzmieć banalnie, w kompleksowym podejściu do bezpieczeństwa informacji, obejmującym nie tylko rozwiązania sprzętowe i programowe, ale także środki organizacyjno-techniczne, mające na celu wykluczenie fotografii/wideo oraz niedopuszczenie do obiektu osób z "fenomenalną pamięcią". Nie można w żadnym wypadku polegać na cudownym produkcie DL 8.2, reklamowanym jako jednolite rozwiązanie większości problemów z bezpieczeństwem przedsiębiorstwa.
Źródło: habr.com
