Analys av ett kritiskt fel i algoritmen för kryptering av KIB SEARCHINFORM

Övervakning av all information som cirkulerar inom organisationen är en av huvuduppgifterna vid praktisk implementering av organisatoriska och styrande dokument (Informationssäkerhetspolicy och andra interna dokument på lägre nivåer) i organisationen.
System för att förhindra läckage av konfidentiell information från informationssystemet (Data Leak Prevention, DLP) kan i stor utsträckning lösa detta problem.

Det finns tillräckligt med varianter av dessa system på den moderna marknaden, såsom: SearchInform DLP, Infowatch Traffic Monitor DLP, Zecurion DLP, Symantec DLP och andra. Men idag kommer denna artikel att handla om produkten från företaget LLC "SörchInform".

Informationssäkerhetsramverket SearchInform (KIB SörchInform) är en seriös och flexibelt anpassningsbar programvara som, tack vare sin funktionalitet och omfattande analytiska verktyg, utgör en allvarlig konkurrens till andra företag i denna sektor. Men som med alla produkter har KIB SörchInform en av nackdelarna, som nu kommer att diskuteras.

Bild 1 – Logotyp för KIB SörchInform

I KIB SörchInform är en av källorna för informationsinsamling agenten (Windows/Linux). Agenten för Windows och Linux har ett modulärt system för informationsinsamling, där moduler kan aktiveras eller deaktiveras vid behov. Vi kommer att titta på modulen Device (övervakning av externa enheter, nätverksenheter, processer etc.). En demoversion av denna produkt kan officiellt erhållas via utvecklarens webbplats (med fullständig funktionalitet). De följande åtgärderna kommer att genomföras med hjälp av den erhållna licensnyckeln — programversionen EndPointController 5.51.0.9 (agentversion 5.51.0.9).

Det största problemet med detta modul är algoritmen för kryptering av information på externa bärbara enheter. Låt oss granska arbetsprincipen för krypteringsalgoritmen i KIB SörchInform.

Installera agenten på arbetsstationen och ställer in övervakningen av externa enheter (modul Device) i avsnittet "Nätverksmiljö" i EndPointController 5.51.0.9.

Bild 2 – Installation och aktivering av modulen

Vi konfigurerar krypteringsinställningarna i modulen Device under fliken "Kryptering": vi genererar en nyckel och aktiverar kryptering för alla enheter (det är möjligt att aktivera kryptering endast för vissa informationsbärare).

Bild 3 – Inställning av vitlista

Bild 4 – Konfiguration av kryptering

Nu går vi vidare med att analysera krypteringsalgoritmen för denna produkt. Vi kopierar filerna "Install.exe" och "Grundläggande rätt.rtf" från den kontrollerade arbetsstationen "WINOC" till det externa flyttbara lagringsmediet "Flyttbar disk (E:)". Som kan ses på bild 5 skapades objekten "Install.exe" och "Grundläggande rätt.rtf" i den dolda mappen "System Volume Information". Därmed kan vi dra slutsatsen att mappen "System Volume Information" innehåller en lista över krypterade objekt på det flyttbara lagringsmediet.

Bild 5 – mappen "System Volume Information"

Bild 6 – Rotmappen av det flyttbara informationslagringsmediet

Som bekant finns det tre aspekter som bygger upp informationssäkerheten – dessa är integritet, tillgänglighet och konfidentialitet. Dessa aspekter äventyras med användning av detta krypteringsmetod, eftersom systeminformation om huruvida ett objekt är krypterat eller inte måste finnas i själva objektets header.

Vid den nuvarande uppbyggnaden av algoritmen finns det risker för slumpmässig modifiering/borttagning av objekt i mappen "System Volume Information" på det flyttbara lagringsmediet, vilket kan leda till att de ursprungliga krypterade objekten går förlorade, liksom modifiering av själva objekten på okontrollerade stationer (till exempel: omdöpning av objektet "Install.exe" med den nätverksvägen "E:Install.exe" på en dator utan agent, medan informationsfilen från programvaran KIB SearchInform i mappen "System Volume Information" "Install.exe" med nätverksvägen "E:System Volume InformationInstall.exe" förblir oförändrad, eftersom agenten som skulle ändra metadata saknas, vilket gör att öppenheten av denna fil blir omöjlig).

Vi hoppas att utvecklaren tar hänsyn till denna brist i funktionen för kryptering av flyttbara informationslagringsmedier i produkten KIB SearchInform och ändrar dess algoritm.

Källa: habr.com