Övervakning av krypterad trafik från jabber.ru och xmpp.ru har registrerats

Administratören för Jabber-servern jabber.ru (xmpp.ru) har upptäckt en attack som syftar till att avlyssna användartrafik (MITM), som har pågått i upp till 90 dagar till 6 månader inom de tyska hostingleverantörerna Hetzner och Linode, där projektets server och stödjande VPS-miljöer är belägna. Attacken har organiserats genom att omdirigera trafik till en transitnod som ersätter TLS-certifikatet för XMPP-anslutningar, som krypteras med hjälp av STARTTLS-tillägget.

Attacken upptäcktes på grund av ett misstag av dess organisatörer, som inte hann förnya TLS-certifikatet som användes för att genomföra ersättningen. Den 16 oktober fick administratören för jabber.ru ett felmeddelande vid försök att ansluta till tjänsten på grund av att certifikatet hade gått ut, men certifikatet som var installerat på servern var inte utgånget. Det visade sig att certifikatet som mottogs av klienten skiljde sig från certifikatet som skickades av servern. Det första falska TLS-certifikat certifikatet erhölls den 18 april 2023 via tjänsten Let’s Encrypt, där angriparen, med möjlighet att avlyssna trafik, kunde bekräfta åtkomst till hemsidorna jabber.ru och xmpp.ru.

Inledningsvis fanns det misstankar om att projektservern hade blivit komprometterad och att ersättningen genomfördes på serverns sida. Men en genomförd granskning avslöjade inga spår av intrång. Samtidigt noterades i loggen på servern en kortvarig avstängning och återaktivering av nätverksgränssnittet (NIC Link is Down/NIC Link is Up), vilket inträffade den 18 juli kl. 12:58 och kan ha indikerat manipulering med serverns anslutning till switchen. Det är anmärkningsvärt att två falska TLS-certifikat genererades bara några minuter innan — den 18 juli kl. 12:49 och 12:38.

Dessutom genomfördes ersättningen inte bara i nätverket hos leverantören Hetzner där huvudservern är belägen, utan även i nätverket hos leverantören Linode, där VPS-miljöer med stödjande proxyer fanns som omdirigerade trafik från andra adresser. Indirekt har det förts fram att trafiken till nätverksport 5222 (XMPP STARTTLS) i både leverantörers nätverk omdirigeras genom en extra värd, vilket ger anledning att anta att attacken genomfördes av en person med tillgång till leverantörernas infrastruktur.

Teoretiskt sett kunde bytet ha skett från den 18 april (datumet för skapandet av det första falska certifikatet för jabber.ru), men bekräftade fall av certifikatbyte har endast registrerats från den 21 juli till den 19 oktober; under hela denna tid kan den krypterade datalagringen med jabber.ru och xmpp.ru anses vara äventyrad. Bytet upphörde efter att utredningen inleddes, tester utfördes och den 18 oktober en förfrågan skickades till supporttjänsterna för leverantörerna Hetzner och Linode. En ytterligare omdirigering vid paketrutning, som skickas till port 5222 på en av servrar Linode, observeras fortfarande idag, men certifikatet byts nu inte längre ut.

Det antas att attacken kan ha utförts med veta av leverantörerna på begäran av brottsbekämpande myndigheter, som ett resultat av att båda leverantörernas infrastruktur hackades, eller av en anställd som hade tillgång till båda leverantörerna. Med möjlighet att avlyssna och modifiera XMPP-trafik kunde angriparen få tillgång till all information kopplad till konton, såsom den sparade meddelandehistoriken på servern, och kunde även skicka meddelanden i någon annans namn och göra ändringar i andra meddelanden. Meddelanden som skickas med användning av end-to-end-kryptering (OMEMO, OTR eller PGP) kan anses vara osårbara, om krypteringsnycklarna bekräftas av användarna på båda sidor av anslutningen. Användare av jabber.ru rekommenderas att byta sina inloggningslösenord och kontrollera nycklarna OMEMO och PGP i sina PEP-lagringar för eventuell eventuell modification.

Källa: opennet.ru