Popis vzdáleného exploitu pro Skype klienta

Je vidět, že plkáte. Zrojový kód viděli lidi, kteří tomu rozumí a nevyjadřovali se nijak špatně. Možná tedy jste borec světového formátu a ty zdrojáky máte na stole nebo studujete pomocí debuggeru úplně všechno. Chyby jsou v každém SW a Skype není výjimkou. Pro průchod NAT - NAT potřebujete v každém případě externí stroj pro zprostředkování. Pokud NAT neumožňuje UDP punching, nespojíte se bez třetí strany a to je právě chvíle, kdy vám pomůže externí stroj s relayem. Jinak si neškrtnete. Zkuste porozumět TCP/IP a něco si o tom přečíst. Kdyby neexistovaly rozložené supernody, musel byste zpoza NAT využít někoho, kdo bandwith má, ale ten někdo ho musí platit. Proto se účastníci stávají supernody a pomáhají si navzájem. Je to solidární obchod, jak jsem již psal. A jesli jste takový zapepřenec, že ostatním nepomůžete a sám byste ostatní chtěl využívat, tak si zapněte firewall. Za ním se ze Skype supernode nestane. A co se týká sítě Skype, existuje několik supernodů, na které se provádí inicializační přístup. Dále je to už P2P síť, jinak by nápor uživatelů dotyčné stroje těžko zvládaly. Kromě toho Skype respektuje vaše přenosové možnosti.

A nakonec - dokud nebyl Skype, masivně se průchody skrz NAT do jiné NAT nepoužívaly. Zkuste se porozhlédnout v P2P a VoIP projektech a po článcích, které se zbývaly tím, jak je možné, že to se Skype funguje a s jinými nástroji ne (i když teoretické práce existovaly již dříve, reálné a všeobecně funkční nasazení s propojením na P2P je skutečně úspěch Skype).

A uvědomte si, že já vám nenutím jednoduchý Skype a neodmítám jakékoliv jiné varianty. Já se pozastavuji nad tím, jak může být někdo na něco tak zbytečně vysazený, když se od něj může leda tak něco přiučit (s uživatelskou přítulností je to v opensource stále více, než bídné). Tím pádem dále na vaše teorie mimo mísu nemá smysl odpovídat.

Exisuje něco, co je mnohem lepší a funguje to ve všech případech. Říká se tomu "neošizené připojení". Že to někteří musejí obcházet, to je smutné, ale nasazovat jim do počítačů software pod podmínkou částečného přenechání kontroly nad počítačem je asi tak stejně "svobodné", jako bylo členství v SSM pro studium na vysoké škole. Kromě toho, řešit následky a ne příčiny...to byste byl dobrým lékařem. ;-)

A ano, nemusím. Raději si zaplatím pořádnou a přesto poměrně levnou službu, než že bych přistoupil na podmínky, které považuji za pro mě napřijatelné. To nemění nic na tom, že proprietární protokol plus síťový efekt vytvářejí něco, co není daleko od diktatury proletariátu: Dobrovolně se poddej, nebo ti to stejně vnutíme. Skype není o nic lepší než Microsoft Word. Ještě, že aspoň tohle mi nehrozí. S komunikačními prostředky, které mám, jsem spokojen a mohlo by mi to být do značné míry jedno. Přesto myslím, že čím méně lidí bude Skype používat, tím lépe pro ně samotné.

Vy jste fakt ujetej. Nařiďte všem IPv6 a do doby nasazení jim zakažte používat Internet. A běžte se bodnout i se svými teoriemi.

Není to pořád ještě rozumnější rozhodnutí, než skákat na jedné ruce se zavázanýma očima? ;-)

Bodnout ne, ale raději se půjdu vykoupat. :-)

Jak se již zde psalo, existuje něco jako firewall, a proto je vaše poznámka irelevantní.

Jen zdánlivě. Firewall jsou ty zavázané oči, když softwaru nemůžu říct, aby se nedíval. Přijde mi to velice schizofrenní, na počítači zároveň vědomě provozovat software a zároveń témuž softwaru bránit v provozu. Jestli tohle je běžné uvažování, přestávám se smát vtipu o matematikovi a rychlovarné konvici, protože ho překonalo cosi reálnějšího. ;-)

Co porad operujete s tim firewallem?

Pokud chcete Skype (libovolnou sitovou aplikaci) pouzit, musite ho prece skrz firewall pustit.
Pak uz je to jen otazka toho jestli povolite pouze komunikaci iniciovanou od vas, nebo taky iniciovanou zvenci, ale na pouziti Skype minimalne jedno z toho musite povolit.

Vzhledem k tomu ze skype se samovolne pripojuje na spoustu ruznych adres (t.j. spojeni iniciovane od vas!) kvuli sdileni vaseho pripojeni pro dalsi uzivatele skype, tak bohate staci aby se pripojil k nekomu kdo mu podstrci ty data dle popisu v tom exploitu, a uz muze ziskat nad vasim pocitacem kontrolu (muze nastat klidne bez toho ze by jste vy zrovna v te chvili skype primo pouzivali k telefonovani).
A to nemluvim o pripade kdyz vas primo vyzve nejakym jinym kom. kanalem, aby jste mu zavolali pres skype.

Firewall by pomohl jenom v pripade ze by jste zakazali komunikaci na portech pro skype (resp. na aplikaci "skype.exe"). Ale pak by skype nefungoval.

Podle člověka, ktrý se v tom šťoural, se Skype nestane supernodem, když jste za firewallem, takže ani nesdílí vaše spojení (je to logické, protože klienti potřebují prostředníka s veřejnou IP adresou). Ta "spousta" spojení slouží k udržení přehledu o online uživatelích a možnosti se vám dovolat. A řekl bych, že díky uzavřenéu protokolu a šifrování bude dost obtížné pro útočníka se k vám programově dostat, tj. napadení všech počítačů je nepravděpodobné, zejména když uživatelé migrují na novější (a opravené) verze a síť je distribuovaná.

"A řekl bych, že díky uzavřenéu protokolu a šifrování bude dost obtížné pro útočníka se k vám programově dostat"

Smells like "security through obscurity"... ;-)

To těžko. Někteří tady naznačovali, že může dojít k ovládnutí celé sítě, což jsem se pokusil vyvrátit. I když posadíte Skype na tlustou linku, nestáhnete na sebe všechny klienty najednou, nebudete moct jednoduše cíleně ovlivnit chod sítě. Teoreticky byste mohl otrávit tu síť postupně tím, že byste nechal červa šířit. Ovšem překážkou budou aktualizovaní klienti a odlišné podmínky jednotlivých uzlů. Antivirové společnosti pracují s pastmi na takové věci, takže bysme se to záhy dozvěděli. V zásadě je to stejná hrozba, jako jakýkoliv jiný remote exploit. To je nepříjemné, ale jistě ne fatální a výjimečné. Může to potkat jakoukoliv jinou serverovou aplikaci. Není to první ani poslední problém.