Tôi được đào tạo để trở thành một kỹ sư nhưng tôi giao tiếp nhiều hơn với các doanh nhân và giám đốc sản xuất. Cách đây một thời gian, người chủ của một công ty công nghiệp đã xin lời khuyên. Mặc dù thực tế là doanh nghiệp này có quy mô lớn và được thành lập vào những năm 90, nhưng việc quản lý và kế toán vẫn hoạt động theo cách cũ trên mạng cục bộ.
Đây là hệ quả của nỗi lo sợ cho hoạt động kinh doanh của họ và sự kiểm soát ngày càng tăng của nhà nước. Cơ quan thanh tra có thể giải thích luật và các quy định rất rộng. Điển hình là việc sửa đổi Luật Thuế, về hành vi vi phạm thuế, tiêu hủy thực tế .
Do đó, chủ doanh nghiệp bắt đầu tìm kiếm các giải pháp lưu trữ thông tin đáng tin cậy và chuyển giao tài liệu an toàn. Ảo "an toàn".
Chúng tôi đã giải quyết vấn đề này với một quản trị viên hệ thống toàn thời gian: chúng tôi cần phân tích chuyên sâu về các nền tảng hiện có.
- dịch vụ không được dựa trên đám mây, theo nghĩa cổ điển của từ này, tức là. không cần lưu trữ tại cơ sở của tổ chức bên thứ ba. Chỉ máy chủ của bạn;
- cần mã hóa mạnh mẽ dữ liệu được truyền và lưu trữ;
- cần có khả năng xóa khẩn cấp nội dung khỏi bất kỳ thiết bị nào chỉ bằng một nút bấm;
- giải pháp đã được phát triển ở nước ngoài.
Tôi đề nghị bỏ điểm thứ tư, vì... Các ứng dụng của Nga có chứng chỉ chính thức. Giám đốc đã trực tiếp nói rõ nên làm gì với những chứng chỉ đó.
Chọn tùy chọn
Tôi đã chọn ba giải pháp (càng nhiều lựa chọn, càng nghi ngờ):
- Nguồn mở - dự án , được duy trì bởi nhà phát triển nhiệt tình Jacob Borg.
- , được giám sát bởi American Resilio Inc. (trước đây dịch vụ này có tên là BitTorrent Sync).
- Dự án từ các ứng dụng đồng bộ hóa. Đăng ký Síp.
Chủ sở hữu công ty không hiểu rõ về sự phức tạp của kỹ thuật nên tôi đã định dạng báo cáo dưới dạng danh sách ưu và nhược điểm của từng phương án.
Kết quả phân tích
Hợp nhất
Ưu điểm:
- Mã nguồn mở;
- Hoạt động của nhà phát triển chính;
- Dự án đã có từ rất lâu;
- Miễn phí.
Nhược điểm:
- Không có ứng dụng khách nào cho iOS shell;
- Máy chủ quay chậm (chúng miễn phí nên chạy chậm). Cho những ai
không biết, Turn được sử dụng khi không thể kết nối trực tiếp; - Thiết lập giao diện phức tạp (cần nhiều năm kinh nghiệm lập trình);
- Thiếu sự hỗ trợ thương mại nhanh chóng.
khả năng phục hồi
Ưu điểm: hỗ trợ cho tất cả các thiết bị và máy chủ Turn nhanh.
Nhược điểm: Một điều rất quan trọng là việc hoàn toàn phớt lờ mọi yêu cầu của dịch vụ hỗ trợ. Không phản hồi, ngay cả khi bạn viết từ các địa chỉ khác nhau.
Pvtbox
Ưu điểm:
- Hỗ trợ tất cả các thiết bị;
- Máy chủ quay nhanh;
- Khả năng tải xuống tệp mà không cần cài đặt ứng dụng;
- Dịch vụ hỗ trợ đầy đủ, bao gồm. bằng điện thoại.
Nhược điểm:
- Dự án trẻ (ít đánh giá và đánh giá tốt);
- Giao diện của trang web rất “công nghệ” và không phải lúc nào cũng rõ ràng;
- Không có tài liệu chi tiết đầy đủ, nhiều vấn đề cần được hỗ trợ.
Khách hàng đã chọn gì?
Câu hỏi đầu tiên của anh ấy là: phát triển thứ gì đó miễn phí có ích lợi gì? Đồng bộ hóa đã bị hủy bỏ ngay lập tức. Các cuộc tranh luận không có tác dụng.
Vài ngày sau, khách hàng đã từ chối Resilio Sync một cách rõ ràng do thiếu sự hỗ trợ, bởi vì... Không rõ phải đi đâu trong tình huống khẩn cấp. Cộng với sự không tin tưởng vào việc đăng ký tại Mỹ của công ty.
Để phân tích sâu hơn, két sắt Pvtbox Electronic vẫn còn. Chúng tôi đã tiến hành kiểm tra kỹ thuật toàn diện nền tảng này, tập trung vào khả năng chặn, giải mã dữ liệu và truy cập trái phép vào kho lưu trữ thông tin.
Quy trình kiểm toán
Chúng tôi đã phân tích các kết nối khi bắt đầu chương trình, trong khi vận hành và ở trạng thái bình tĩnh. Lưu lượng truy cập theo tiêu chuẩn hiện đại ban đầu được mã hóa. Hãy thử thực hiện một cuộc tấn công MITM và thay thế chứng chỉ một cách nhanh chóng bằng cách sử dụng Linux (Xubuntu Linux 18.04), Wireshark, Mitmproxy. Để thực hiện việc này, chúng tôi sẽ giới thiệu một trung gian giữa ứng dụng Pvtbox và máy chủ pvtbox.net (có trao đổi dữ liệu với máy chủ pvtbox.net thông qua kết nối https).
Chúng tôi khởi chạy ứng dụng để đảm bảo rằng chương trình và đồng bộ hóa tệp hoạt động trong đó. Trong Linux, bạn có thể quan sát ngay việc ghi nhật ký nếu chạy chương trình từ thiết bị đầu cuối.
Tắt ứng dụng và thay thế địa chỉ máy chủ pvtbox.net trong file / Etc / hosts với đặc quyền siêu người dùng. Chúng tôi thay thế địa chỉ bằng địa chỉ máy chủ proxy của chúng tôi.
Bây giờ, hãy chuẩn bị máy chủ proxy của chúng tôi cho một cuộc tấn công MITM trên máy tính có địa chỉ 192.168.1.64 trên mạng cục bộ của chúng tôi. Để thực hiện việc này, hãy cài đặt gói mitmproxy phiên bản 4.0.4.
Chúng tôi khởi động máy chủ proxy trên cổng 443:
$ sudo mitmproxy -p 443
Chúng tôi khởi chạy chương trình Pvtbox trên máy tính đầu tiên, xem nhật ký ứng dụng và đầu ra mitmproxy.
Mitmproxy báo cáo rằng máy khách không tin tưởng vào chứng chỉ giả mạo từ máy chủ proxy. Trong nhật ký ứng dụng, chúng tôi cũng thấy rằng chứng chỉ máy chủ proxy không vượt qua quá trình xác minh và chương trình từ chối hoạt động.
Cài đặt chứng chỉ máy chủ proxy mitmproxy đến máy tính có ứng dụng Pvtbox để tạo chứng chỉ "đáng tin cậy". Cài đặt gói chứng chỉ ca trên máy tính của bạn. Sau đó sao chép chứng chỉ mitmproxy-ca-cert.pem từ thư mục .mitmproxy của máy chủ proxy sang máy tính có ứng dụng Pvtbox vào thư mục /usr/local/share/ca-certificates.
Chúng tôi thực hiện các lệnh:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt
$sudo cập nhật-ca-chứng chỉ
Khởi chạy ứng dụng Pvtbox. Chứng chỉ lại không được xác minh và chương trình từ chối hoạt động. Ứng dụng này có thể đang sử dụng cơ chế bảo mật Ghim chứng chỉ.
Một cuộc tấn công tương tự đã được thực hiện trên máy chủ signalserver.pvtbox.net, cũng như chính kết nối ngang hàng giữa các nút. Nhà phát triển chỉ ra rằng ứng dụng thiết lập kết nối ngang hàng sử dụng giao thức webrtc mở, sử dụng mã hóa giao thức đầu cuối DTLSv1.2.
Khóa được tạo cho mỗi thiết lập kết nối và được truyền qua kênh được mã hóa thông qua signalserver.pvtbox.net.
Về mặt lý thuyết, có thể chặn các tin nhắn chào hàng và trả lời webrtc, thay thế các khóa mã hóa ở đó và có thể giải mã tất cả các tin nhắn đến qua webrtc. Nhưng không thể thực hiện cuộc tấn công mitm vào signalserver.pvtbox.net nên không có cách nào để chặn và thay thế các tin nhắn được gửi qua signalserver.pvtbox.net.
Theo đó, không thể thực hiện cuộc tấn công này trên kết nối ngang hàng.
Một tập tin có chứng chỉ được cung cấp cùng với chương trình cũng được phát hiện. Tệp được đặt tại /opt/pvtbox/certifi/cacert.pem. Tệp này đã được thay thế bằng tệp chứa chứng chỉ đáng tin cậy từ proxy mitmproxy của chúng tôi. Kết quả không thay đổi - chương trình từ chối kết nối với hệ thống, lỗi tương tự được ghi nhận trong nhật ký,
rằng chứng chỉ không vượt qua được quá trình xác minh.
Kết quả kiểm toán
Tôi không thể chặn hoặc giả mạo lưu lượng truy cập. Tên tệp và hơn thế nữa là nội dung của chúng được truyền ở dạng mã hóa, sử dụng mã hóa đầu cuối. Ứng dụng thực hiện một số cơ chế bảo mật ngăn chặn việc nghe lén và xâm nhập.
Kết quả là công ty đã mua hai máy chủ chuyên dụng (ở các vị trí khác nhau) để truy cập thông tin vĩnh viễn. Máy chủ đầu tiên được sử dụng để nhận, xử lý và lưu trữ thông tin, máy chủ thứ hai được sử dụng để sao lưu.
Thiết bị đầu cuối làm việc của giám đốc và điện thoại di động trên iOS đã được kết nối với đám mây riêng lẻ. Các nhân viên khác được kết nối bởi quản trị viên hệ thống toàn thời gian và hỗ trợ kỹ thuật của Pvtbox.
Trong thời gian qua, không có lời phàn nàn nào từ người bạn. Tôi hy vọng đánh giá của tôi sẽ giúp ích cho độc giả Habr trong tình huống tương tự.
Nguồn: www.habr.com