Cercetătorii de la Universitatea din Boston metoda de atac
(CVE-2019-11728), scanarea adreselor IP și a porturilor rețelei deschise în rețeaua internă a utilizatorului, protejată de un firewall, sau pe sistemul curent (localhost). Atacul poate fi realizat prin deschiderea unei pagini special concepute în browser. Tehnica propusă se bazează pe utilizarea antetului HTTP (HTTP Alternate Services, ). Problema se manifestă în Firefox, Chrome și browserele bazate pe aceste motoare, inclusiv Tor Browser și Brave.
Antetul Alt-Svc permite serverului să determine o modalitate alternativă de acces la site și să instruiască browserul să redirecționeze cererea către un nou gazdă, de exemplu, pentru a distribui încărcătura. De asemenea, este posibil să se specifice un port de rețea pentru redirecționare, de exemplu, specificarea ‘Alt-Svc: http/1.1=„other.example.com:443”; ma=200’ îi indică clientului să se conecteze la gazda other.example.org pentru a obține pagina solicitată, folosind portul de rețea 443 și protocolul HTTP/1.1. Parametrul „ma” stabilește timpul maxim de valabilitate al redirecționării. Pe lângă HTTP/1.1, sunt acceptate protocoale precum HTTP/2-over-TLS (h2), HTTP/2-over plain text (h2c), SPDY (spdy) și QUIC (quic), care utilizează UDP.
Pentru scanarea adreselor, site-ul atacatorului poate testa secvențial adresele de interes din rețeaua internă și porturile de rețea, folosind ca indiciu întârzierea dintre cererile repetate.
În cazul în care resursa redirecționată nu este disponibilă, browserul primește instantaneu un pachet RST și marchează imediat serviciul alternativ ca fiind indisponibil, resetând timpul de viață al redirecționării specificat în cerere.
Dacă portul de rețea este deschis,amentul de conexiune necesită mai mult timp (va încerca să stabilească o conexiune cu schimb de pachete corespunzător) și browserul va reacționa mai lent.
Pentru a obține informații despre verificare, atacatorul poate redirecționa imediat utilizatorul către a doua pagină, care în header-ul Alt-Svc se va referi la un host funcțional al atacatorului. Dacă browserul clientului trimite o cerere către această pagină, se poate considera că redirecționarea cererii inițiale Alt-Svc a fost resetată și hostul și portul verificat sunt indisponibile. Dacă nu s-a trimis o cerere, înseamnă că datele despre prima redirecționare nu au expirat încă și conexiunea a fost stabilită.
Metoda specificată permite, de asemenea, verificarea porturilor de rețea care sunt blocate de browser, cum ar fi porturile serverelor de e-mail. Atacul funcțional a fost pregătit folosind substituirea iframe în traficul victimei și aplicarea protocolului HTTP/2 în Alt-Svc pentru Firefox și QUIC pentru scanarea porturilor UDP în Chrome. În Tor Browser, atacul nu poate fi aplicat în contextul rețelei interne și localhost, dar este potrivit pentru organizarea unei scanări ascunse a hosturilor externe printr-un nod de ieșire Tor. Problema cu scanarea porturilor este deja în Firefox 68.
Headerul Alt-Svc poate fi aplicat de asemenea:
- Pentru organizarea atacurilor DDoS. De exemplu, pentru TLS, redirecționarea poate asigura un nivel de amplificare de 60 de ori, deoarece cererea inițială a clientului necesită 500 de octeți, iar răspunsul cu certificat este de aproximativ 30 KB. Generând astfel de cereri într-un ciclu pe mai multe sisteme client, se pot epuiza resursele de rețea disponibile ale serverului;
- Pentru a ocoli mecanismele de protecție împotriva phishing-ului și malware-ului, oferite de servicii precum Safe Browsing (redirecționarea către un host malițios nu generează un avertisment);
- Pentru a organiza urmărirea mișcării utilizatorului. Suma metodei constă în substituirea iframe-ului, care se referă în Alt-Svc la un handler extern de urmărire a mișcării, invocat indiferent de activarea mijloacelor de protecție împotriva trackerilor. De asemenea, este posibilă urmărirea la nivelul furnizorilor prin utilizarea în Alt-Svc a unui identificator unic (IP:port aleator ca identificator) cu analiza acestuia în traficul de tranzit;
- Pentru extragerea informațiilor despre istoria mișcărilor. Inserând pe pagina ta un iframe cu o solicitare de imagine de pe un site dat, care utilizează Alt-Svc, și analizând starea Alt-Svc în trafic, un atacator capabil să analizeze traficul de tranzit poate concluziona că utilizatorul a vizitat anterior site-ul menționat;
- Zgomotul în jurnalele sistemelor de detecție a intruziunilor. Prin intermediul Alt-Svc se poate genera un val de solicitări către sisteme malițioase în numele utilizatorului, creând impresia unor atacuri false pentru a masca volumul total de informații despre un atac real.
Sursa: opennet.ro
