Metodologjia e re e hakerimit kapërcen problemin e "jitters" të rrjetit, i cili mund të ndikojë në suksesin e sulmeve përmes kanaleve të jashtme
Metodologjia e re, e zhvilluar nga hulumtuesit e Universitetit të Levenit (Belgjikë) dhe Universitetit të Nju Jorkut në Abu Dabi, tregoi se sulmuesit mund të shfrytëzojnë karakteristikat e protokolleve të rrjetit për të organizuar rrjedhje të informacionit të ndjeshëm.
Kjo metodologji e quajtur , e demonstruar këtë vit në konferencën Usenix, përdor karakteristikat e përpunimit të kërkesave të ekzekutuara njëherësh nga protokollet e rrjetit për të eliminuar një nga problemet e sulmeve të largëta në kohë përmes kanaleve të jashtme.
Problemet e sulmeve të largëta në kohë
Në aplikimin e sulmeve në kohë, sulmuesit masin ndryshimet në kohën e ekzekutimit të komandave të ndryshme, duke u përpjekur të anashkalojnë mbrojtjen e siguruar nga enkriptimi dhe të fitojnë të dhëna mbi informacionin e ndjeshëm, siç janë çelësat e enkriptimit, korrespondencën private dhe sjelljen e përdoruesve gjatë shfletimit në web.
Por për të realizuar me sukses sulmet në kohë, sulmuesi ka nevojë për njohuri të saktë rreth kohës që kërkohet nga aplikacioni i sulmuar për të përpunuar kërkesën.
Kjo bëhet problematike kur sulmon sisteme të tilla të largëta si serverët web, sepse vonesa në rrjet (jitters) çon në shpërndarjen e kohës së përgjigjes, duke e bërë më të vështirë llogaritjen e kohës së përpunimit.
Në procesin e sulmeve të largëta në kohë, sulmuesit zakonisht dërgojnë çdo komandë disa herë dhe kryejnë analiza statistikore të kohës së përgjigjes për të reduktuar ndikimin e jitters të rrjetit. Por ky metod është i dobishëm vetëm për njëfarë mase.
"Sa më e vogël të jetë diferenca e kohës, aq më shumë kërkesa nevojiten, dhe në një pikë të caktuar llogaritja bëhet e pamundur," na tregon studiuesi i sistemeve të mbrojtjes së të dhënave dhe autori kryesor i artikullit mbi këtë lloj sulmi, Tom Van Goetem.
"Sulmi në kohë të amortizuar"
Metodologjia e zhvilluar nga Goetem dhe kolegët e tij realizon sulme të largëta në kohë në atë mënyrë që anashkalon ndikimin e jitters të rrjetit.
Parimi që qëndron pas sulmit në kohë të amortizuar është i thjeshtë: duhet të sigurohet që kërkesat të arrijnë në server në një kohë të barabartë, dhe jo të dërgohen njëra pas tjetrës.
Kohesionet garanton që të gjitha kërkesat ndodhen në kushte të njëjta rrjeti, dhe se përpunimi i tyre nuk ndikohet nga rruga ndërmjet sulmuesit dhe serverit. Renditja e marrjes së përgjigjeve do t'i jepë sulmuesit të gjithë informacionin e nevojshëm për të krahasuar kohët e ekzekutimit.
"Avantazhi kryesor i sulmeve me kohë që nuk janë të kaluara është se ato janë shumë më të sakta, prandaj nevojiten më pak kërkesa. Kjo lejon sulmuesin të njohë ndryshimet në kohët e ekzekutimit deri në 100 ns", thotë Van Geetem.
Shkalla minimale e ndryshimit të kohës, e vërejtur nga hulumtuesit gjatë një sulmi tradicional me kohë nëpër internet, ishte 10 µs, që do të thotë se është 100 herë më shumë se gjatë sulmit me kërkesa të kohshme.
Si sigurohet kohësia
"Kohësinë e sigurojmë duke vendosur të dy kërkesat në një paketë rrjeti", shpjegon Van Geetem. "Në praktikë, zbatimi në thelb varet nga protokolli rrjetit."
Për të dërguar kërkesa të kohshme, hulumtuesit përdorin mundësitë e protokolleve të ndryshme rrjetesh.
Për shembull, HTTP/2, i cili po bëhet shpejt standardi i de-fakto për serverët e webit, mbështet "multipleximin e kërkesave" - një funksion që lejon klientin të dërgojë disa kërkesa paralelisht përmes një lidhjeje TCP.
"Në rastin e HTTP/2, ne duhet thjesht të sigurojmë që të dy kërkesat të vendosen në një paketë (p.sh., duke i regjistruar të dy në socket në të njëjtën kohë)". Megjithatë, ky metodologji ka vetitë e saj të veçanta. Për shembull, në shumicën e rrjeteve të shpërndarjes së përmbajtjes si Cloudflare, e cila siguron përmbajtja për pjesën më të madhe të webit, lidhja ndërmjet serverëve kufitarë dhe sitit bëhet përmes protokollit HTTP/1.1, i cili nuk mbështet multipleximin e kërkesave.
Megjithëse kjo e ul efikasitetin e sulmit me kohë, ato ende mbeten më të sakta se sulmet tradicionale të largëta me kohë, sepse eliminojnë jitter-in ndërmjet sulmuesit dhe serverit kufitar CDN.
Në rastin e protokolleve që nuk mbështesin multipleximin e kërkesave, sulmuesit mund të përdorin një protokoll rrjeti të ndërmjetëm që inkapsulon kërkesat.
Researcherët treguan se si funksionon një sulm i përhershëm temporal në rrjetin Tor. Një sulmues në këtë rast inkapsulon shumë kërkesa në një qelizë Tor — një paketë e enkriptuar që transmetohet midis nyjeve të rrjetit Tor në paketa TCP të njëjta.
«Pas të gjitha, zinxhiri Tor për shërbimet onion e merr rrugën deri te serveri, kështu që ne mund të garantojmë që kërkesat do të arrijnë njëkohësisht», thotë Van Gëtem.
Sulmet e përhershme temporale në praktikë
Në artikullin e tij, studiuesit analizuan sulmet e përhershme temporale në tri situata të ndryshme.
Kur sulmet e drejtpërdrejta temporale një sulmues lidhet drejtpërdrejt me serverin dhe përpiqet të organizojë një rrjedhje të informacionit sekret që lidhet me aplikacionin.
«Duke pasur parasysh se në krijimin e shumicës së aplikacioneve web nuk merren parasysh se sulmet temporale mund të jenë shumë praktike dhe të sakta, ne besojmë se shumë faqe interneti janë të ndjeshme ndaj këtyre sulmeve», shpjegon Van Gëten.
Kur sulmet e ndërmjetme temporale sulmuesi bën kërkesa për faqe të tjera uebi nga shfletuesi i viktimës dhe bën supozime mbi përmbajtjen e informacionit konfidencial duke vëzhguar sekuencën e përgjigjeve.
Sulmuesit kanë përdorur këtë skemë për të shfrytëzuar një cenueshmëri në programin e shpërblimeve për defekteve HackerOne dhe për të nxjerrë informacione si fjalët kyçe të përdorura në raportet konfidenciale për cenueshmëritë e pazgjidhura.
«Kërkova raste kur një sulm temporal ishte regjistruar më parë, por nuk ishte konsideruar efektiv. Një defekt i HackerOne është raportuar të paktën tri herë (identifikuesit e defekteve: , dhe ), por nuk u rregullua sepse konsiderohej se ky sulm nuk mund të përdorej. Atëherë krijova një projekt të brendshëm kërkimor me sulmet e përhershme temporale.
Në atë kohë, ajo ende mbetej shumë e papërsosur, sepse vazhdonim të merreshim me detajet e sulmit, por gjithsesi, ajo rezultoi mjaft e saktë (në lidhjen time të WiFi në shtëpi arrita rezultate shumë të sakta).
Studiuesit gjithashtu përpoqën të kryenin sulme të përhershme temporale në protokollin WiFi WPA3.
Një nga autorët e studimit, Mati Vanhoef, kishte zbuluar më parë . Por më shumë apo më pak kohë për t'u përdorur në pajisjet me performancë të lartë, ose nuk mund të përdorej kundër serverëve.
«Me ndihmën e një lloji të ri të sulmeve që sfidojnë kohën, ne demonstruam se është e mundur të përdoret authentication handshake (EAP-pwd) kundër serverëve, edhe pse ata kanë pajisje të fuqishme», shpjegon Van Goetem.
Momenti ideal
Në artikullin e tij, kërkuesit ofruan rekomandime për mbrojtjen e serverëve nga sulmet që sfidojnë kohën, siç janë kufizimi i ekzekutimit në kohë konstante dhe shtimi i një vonese të rastësishme. Për zbatimin e mjeteve praktike mbrojtëse kundër sulmeve të drejtpërdrejta që sfidojnë kohën, të cilat do të kishin pak ndikim në funksionimin e rrjetit, kërkohen studime të mëtejshme.
«Ne mendojmë se kjo fushë studimi është në fazat shumë të hershme të zhvillimit dhe kërkon një studim shumë më të thellë», thotë Van Goetem.
Në hulumtimet e ardhshme, do të jetë e mundur të studiohen metodologji të tjera që hakerat mund të përdorin për të kryer sulme të sinkronizuara që sfidojnë kohën, protokolle të tjera dhe nivele ndërmjetësuese të rrjetit, që mund të sulmohen, si dhe të vlerësohet ndjeshmëria e faqeve të njohura të internetit që lejojnë këto kërkime në përputhje me programin e gjetjes së gabimeve.
Emri «sihtor» u zgjodh, «sepse gjatë këtyre sulmeve nuk përdorëm asnjë informacion (absolut) mbi kohën», shpjegon Van Goetem.
«Për më tepër, ato mund të konsiderohen «sihtore» edhe sepse sulmet që sfidojnë kohën përdoren prej kohësh, dhe sipas hulumtimeve tona, situata vetëm do të bëhet më e keqe».
Teksti i plotë i raportit me Usenix ndodhet .
Me lejen e reklamës
me mbrojtje kundër sulmeve DDoS dhe pajisje të reja. Të gjitha këto flasin për serverët tanë epikë.. Konfigurimi maksimal - 128 bërthama CPU, 512 GB RAM, 4000 GB NVMe.
Burimi: habr.com
