Hackerna utnyttjade en sÄrbarhet i OpenPGP-protokollet som varit kÀnd i över tio Är.
Vi förklarar vad det handlar om och varför det inte kan stÀngas ner.
/ Unsplash /
Problem i nÀtverket
I mitten av juni utförde okÀnda mot nÀtverket av kryptografiska nyckelservrar , baserat pÄ OpenPGP-protokollet. Det Àr en standard frÄn IETF (), som anvÀnds för att kryptera e-post och andra meddelanden. SKS-nÀtverket skapades för tretti Är sedan för att distribuera offentliga certifikat. AnvÀndare som anvÀnder för att kryptera data och skapa elektroniska digitala signaturer.
Hackerna har komprometterat certifikaten för tvĂ„ maintainers av GnuPG-projektet â Robert Hansen och Daniel Gillmor. Att ladda ner det skadade certifikatet frĂ„n servern orsakar ett fel i GnuPG â systemet hĂ€nger helt enkelt. Det finns skĂ€l att tro att detta inte kommer att sluta hĂ€r, och antalet komprometterade certifikat kommer bara att öka. För nĂ€rvarande Ă€r omfattningen av problemet oklar.
Attackens kÀrna
Hackerna utnyttjade en sĂ„rbarhet i OpenPGP-protokollet. Den har varit kĂ€nd för samhĂ€llet i över ett decennium. Ăven pĂ„ GitHub relaterade exploits. Men hittills har ingen tagit pĂ„ sig ansvaret för att stĂ€nga "hĂ„let" (vi kommer att diskutera orsakerna mer detaljerat senare).
TvÄ urval frÄn vÄr blogg pÄ Habr:
Enligt OpenPGP-specifikationen kan vem som helst lĂ€gga till digitala signaturer pĂ„ certifikat för att verifiera deras Ă€gare. Det finns ingen övre grĂ€ns för antalet signaturer. HĂ€r uppstĂ„r problemet â SKS-nĂ€tverket tillĂ„ter att lagra upp till 150 000 signaturer pĂ„ ett certifikat, men GnuPG kan inte hantera sĂ„ mĂ„nga. DĂ€rför hĂ€nger GnuPG (och andra implementationer av OpenPGP) nĂ€r certifikatet laddas ner.
En av anvĂ€ndarna â importen av certifikatet tog honom ungefĂ€r 10 minuter. Certifikatet hade över 54 000 signaturer och vĂ€gde 17 megabyte:
$ gpg --homedir=$PWD --recv C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg: key F20691179038E5C6: 4 duplicerade signaturer borttagna
gpg: key F20691179038E5C6: 54614 signaturer som inte kontrollerades pÄ grund av saknade nycklar
gpg: key F20691179038E5C6: 4 signaturer omordnade
gpg: key F20691179038E5C6: offentlig nyckel "Daniel Kahn Gillmor " importerad
gpg: inga slutgiltigt betrodda nycklar hittades
gpg: Totalt antal behandlade: 1
gpg: importerad: 1
$ ls -lh pubring.gpg
-rw-r--r-- 1 filippo staff 17M 2 Jul 16:30 pubring.gpg
Situationen förvÀrras av att OpenPGP-nyckelservrar inte tar bort information om certifikat. Detta görs för att spÄra kedjan av alla ÄtgÀrder med certifikaten och för att förhindra deras manipulation. DÀrför kan komprometterade element inte tas bort.
I grunden Àr SKS-nÀtverket en stor "filserver" dÀr vem som helst kan lagra data. För att illustrera problemet skapade en resident pÄ GitHub förra Äret , som lagrar dokument i nÀtverket av kryptografiska nyckelservrar.
Varför ÄtgÀrdade de inte sÄrbarheten
Det fanns ingen anledning att ÄtgÀrda sÄrbarheten. Den hade tidigare inte anvÀnts för att utföra hackerattacker. Fast IT-gemenskapen utvecklarna av SKS och OpenPGP att uppmÀrksamma problemet.
För rÀttvisans skull bör det nÀmnas att de dock i juni en experimentell nyckelserver . Den har skydd mot sÄdana typer av attacker. Men dess databas fylls pÄ frÄn grunden, och servern Àr inte en del av SKS. SÄ det kommer ta tid innan den kan anvÀndas.
/ Unsplash /
NÀr det gÀller buggen i det ursprungliga systemet hindrar en komplex synkroniseringsmekanism frÄn att ÄtgÀrda den. NÀtverket av nyckelservrar skapades ursprungligen som proof of concept för att skydda Yaron Minsky's doktorsavhandling. Ett ganska specifikt sprÄk, OCaml, valdes för arbetet. Enligt maintainer Robert Hansen Àr det svÄrt att förstÄ koden, dÀrför görs bara smÄ korrigeringar. För att Àndra SKS-arkitekturen mÄste den skrivas om frÄn grunden.
I vilket fall som helst tror ingen pÄ GnuPG att nÀtverket nÄgonsin kommer att kunna ÄtgÀrdas. I ett inlÀgg pÄ GitHub skrev utvecklarna till och med att de inte rekommenderar att arbeta med SKS Keyserver. Egendomligen Àr detta en av huvudorsakerna till att de initierade övergÄngen till den nya tjÀnsten keys.openpgp.org. Vi kan bara bevaka den fortsatta utvecklingen.
NÄgra material frÄn vÄr företagsblogg:
KĂ€lla: habr.com
