Postřehy z bezpečnosti: nemluvme už o Heartbleedu?

Martin Čmelík 21. 4. 2014

V dnešním díle Postřehů se podíváme na novinky chyby Heartbleed, doporučené postupy u systémů postižených touto chybou, na několik malwarů pro platformu Android, ukázkový kód form grabbingu ve Firefoxu používaný bankovním malwarem, o prolomení čtečky otisku prstů Samsung Galaxy S5 a mnoho dalšího.

Trochu jsem v titulku zalhal, protože téma „Heartbleed“ je stále tím hlavním v oblasti bezpečnosti a pokud bych o něm nic nenapsal, tak by byl tento díl asi příliš krátký.

Nebudu zde popisovat co že to je za chybu a jaké mohou být následky, protože to jste museli číst snad už stokrát. Lze říci, že kolem této chyby v OpenSSL se strhla až hysterie a ví o ní i lidé, kteří by vás nikdy nenapadli. Pozitivem může být, že se o bezpečnost bude zajímat více lidí, ale šířit pochybnými médii zprávu ve smyslu, že všechny šifrovací klíče jsou kompromitované je holý nesmysl. Nechci nijak zlehčovat závažnost této chyby, kterou ještě zvyšuje jednoduchost útoku, ale hysterie ve smyslu ”všechny vaše účty, hesla, data a šifrovací klíče jsou zcizeny” nevede k ničemu a jen mate a děsí ostatní.

Shrnul bych tady však pár nových informací ze článků, které vyšly minulý týden.

OpenVPN zkompilované s postiženou verzí OpenSSL je možné napadnout pokud klienti používají klientské SSL VPN spojení. Se zprávou přišla společnost Mandiant a je tak prý možné použít aktivní spojení klientů a vydávat se za ně. Vícefaktorová autentizace je v tomto případě k ničemu, protože útočník vystupuje s validním session tokenem. Ve zprávě si můžete přečíst i doporučení pro nastavení IDS/IPS zařízení.

OpenVPN je asi nejrozšířenější open-source software pro vytváření/správu VPN spojení vůbec. Švédská společnost Mullvad byla schopna dostat se díky chybě Heartbleed i k privátním klíčům OpenVPN serveru.

Nmap scripting engine (NSE) má také script pro detekci heartbleed chyby na systémech. Stačí aktualizovat nmap s podporou NSE a spustit:

nmap -sV --script=ssl-heartbleed <target>

Postižena je i Tor síť. Vetší část serverů v síti Tor používala postiženou verzi OpenSSL a tak správci Tor sítě začali odklánět uživatele od těchto serverů, aby je ochránili, protože šifrování je alfou a omegou sítě Tor. V současně době už se jedná jen o deset procent.

Na blogu Googlu je seznam aktualizovaných systémů a služeb a časová osa podle které aktualizace probíhala, nebo teprve bude probíhat.

Podle společnosti Netcraft bylo chybou postiženo na půl milionu HTTPS serverů (přibližně 17 % z celkového počtu). Z toho jen 80 tisíc revokovalo svůj certifikát, takže zde stále potenciálně hrozí, že útočník může mít privátní klíč systémů, které jen aktualizovaly verzi OpenSSL. Tato společnost také vydala doplňky pro Chrome, Firefox a Operu umožňující zjistit zranitelnou verzi OpenSSL na právě prohlíženém webu.

Z mobilních platforem je postižen Android ve verzi 4.1.1, dále některá zařízení společnosti BlackBerry a iOS netrpí touto chybou vůbec.

Doporučený postup:

  • Aktualizace na poslední verzi OpenSSL

  • Revokování/zneplatnění aktuálního certifikátu

  • Generování nového privátního klíče

  • Generování nového SSL certifikátu

Samozřejmě to platí jen pro klíče, které byly v paměti serveru. Klíče uložené např. v HSM modulech tímto ohrožené nejsou.

Pokud vás toto téma ještě pořád zajímá, můžete se podívat ne detailní časovou osu od objevení chyby až do posledních zpráv. Věděli jste, že ji objevil člen Google security teamu Neel Mehta 21. března?

Naše postřehy

Čtečku otisků prstů na Samsungu Galaxy S5 lze jednoduše oklamat. Na Youtube si můžete pustit video názorně ukazující, že se nejedná o poplašnou zprávu. Stejným způsobem lze oklamat i iPhone 5S a pokud jste měli to štěstí navštívit konferenci Security Session 2014, tak, díky přednášce Michala Doležela – Falsifikace biometrické charakteristiky a detekce živosti, víte, z jakých všech materiálů je možné vlastní otisk pořídit a jakými způsoby lze čtečky všech typů oklamat. Video bude již brzy na kanálu konference. Mně se nejvíce líbili rozpuštění gumoví medvídci :).

Trojan-SMS.AndroidOS.Stealer.a je jednou z hlavních hrozeb platformy Android a cesta vede k autorům z Ruska. Jedná se ve zkratce o malware řízený z C&C serveru, který hledá v telefonu soukromé údaje, SMS, geolokační údaje a odesílá je zpět.

iBanking (Android/Spy.Agent.AF) je bankovní trojský kůň pro Android, který se tváří jako “Bezpečnostní aplikace” a pomocí injekce HTML kódu sbírá bankovní účty uživatelů a i aktivně provádí falešné platby, kdy je malware schopen číst verifikační kódy bank zasílané pomocí SMS, nebo přesměrovat hovory. V nové verzi se snaží podvrhnout i aplikaci pro Facebook a nabádá uživatele ke stažení.

K tomu bych chtěl jen dodat, že platforma Android ve mě stále nevzbuzuje důvěru. Schvalovací proces iOS aplikací není nic, čemu byste chtěli být vystaveni každý den, ale očividně to nějaký smysl má ve spojení s důkladným ověřováním aplikací. Nedávno jsem na půjčený tablet instaloval hru z oficiálního Play Storu a po prvním spuštění mi aplikace hlásila, že v systému “nalezla 13 virů”. To vzbuzuje všechno, jen ne důvěru. Pokud máte obavy, co všechno byste s sebou mohli v telefonu či tabletu nosit, stáhněte si raději aplikaci Mobile Security & Antivirus od společnosti Avast a proveďte úplný scan systému.

Kritický (jaký také jiný) update Javy obsahuje opravu pro celkem 104 chyb, z toho 37 bezpečnostních chyb. Čtyři chyby dosáhly CVSS (Common Vulnerability Scoring System) skóre 10 a 35 je vzdáleně zneužitelných.

První fáze analýzy kódu populárního šifrovacího programu TrueCrypt má dobré výsledky.

Form grabbing v prohlížeči Firefox, aneb jak pracuje bankovní malware. 100 řádků ukázkového kódu, který umožní kyberzločincům ukrást vaše peníze nebo mailové účty.

Ve zkratce

Pro pobavení

Expert ve firmě

widgety

Závěr

Tento seriál vychází za pomoci konzultantů firmy Datasys, příznivců a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.

Našli jste v článku chybu?
Vitalia.cz: Muž, který miluje příliš. Ženám neimponuje

Muž, který miluje příliš. Ženám neimponuje

Vitalia.cz: Voda z Vltavy před a po úpravě na pitnou

Voda z Vltavy před a po úpravě na pitnou

Vitalia.cz: Tohle jsou nejlepší česká piva podle odborníků

Tohle jsou nejlepší česká piva podle odborníků

120na80.cz: Pálení žáhy: která jídla ne a co nás uzdraví?

Pálení žáhy: která jídla ne a co nás uzdraví?

Lupa.cz: Jak levné procesory změnily svět?

Jak levné procesory změnily svět?

Vitalia.cz: Tahák, jak vyzrát nad zápachem z úst

Tahák, jak vyzrát nad zápachem z úst

DigiZone.cz: Wimbledon na Nova Sport až do 2019

Wimbledon na Nova Sport až do 2019

DigiZone.cz: Ginx TV: pořad o počítačových hráčích

Ginx TV: pořad o počítačových hráčích

Podnikatel.cz: Babišovi se nedá věřit, stěžovali si hospodští

Babišovi se nedá věřit, stěžovali si hospodští

DigiZone.cz: Digi Slovakia zařazuje stanice SPI

Digi Slovakia zařazuje stanice SPI

Vitalia.cz: dTest odhalil ten nejlepší kečup

dTest odhalil ten nejlepší kečup

Podnikatel.cz: Udělali jsme velkou chybu, napsal Čupr

Udělali jsme velkou chybu, napsal Čupr

Vitalia.cz: Fyzioterapeutka: Chůze naboso? Rozhodně ano!

Fyzioterapeutka: Chůze naboso? Rozhodně ano!

Vitalia.cz: Jsou vegani a vyrábějí nemléko

Jsou vegani a vyrábějí nemléko

DigiZone.cz: Světový pohár v přímém přenosu na ČT

Světový pohár v přímém přenosu na ČT

DigiZone.cz: Samsung EVO-S: novinka pro Skylink

Samsung EVO-S: novinka pro Skylink

DigiZone.cz: Numan Two: rozhlasový přijímač s CD

Numan Two: rozhlasový přijímač s CD

Lupa.cz: Jak se prodává firma za miliardu?

Jak se prodává firma za miliardu?

DigiZone.cz: Nova opět stahuje „milionáře“

Nova opět stahuje „milionáře“

DigiZone.cz: Parlamentní listy: kde končí PR...

Parlamentní listy: kde končí PR...