Vitaly Denisov

• Co to sÄ… bezpieczne poÅ‚Ä…czenia?
• Różne typy ochrony przed zagrożeniami sieciowymi
• Zagrożenia zwiÄ…zane z bezpiecznymi poÅ‚Ä…czeniami
  • Gmail i wirusy
  • Wirusy serwerów sieciowych
  • RozwiÄ…zania
  • Kaspersky Internet Security
• Wniosek

Co to są bezpieczne połączenia?

Bezpieczne połączenia mają na celu ochronę danych wysyłanych między dwoma komputerami za pośrednictwem Internetu. Bezpieczne połączenia powinny:

• Maskować poufne dane przed osobami trzecimi
• Weryfikować identyfikacjÄ™ osoby, z którÄ… wymieniane sÄ… informacje
• Chronić informacje przed przeglÄ…daniem lub modyfikowaniem przez osoby trzecie

Istnieje kilka sposobów zabezpieczania transmisji danych - wszystkie z nich opierają się na wykorzystywaniu szyfrowania danych oraz specjalnych kluczy używanych do odczytywania informacji. Klucze te (zwane również certyfikatami) zazwyczaj przechowywane są w specjalnej bazie danych - archiwum certyfikatów - i są dostępne dla autoryzowanych użytkowników.

1. Szyfrowanie danych. Metoda ta polega na maskowaniu informacji (na przykład e-maili) przed osobami trzecimi oraz weryfikacji nadawcy. Nie jest jednak weryfikowana autentyczność dwóch komputerów uczestniczących w wymianie informacji. Aby stworzyć zaszyfrowaną wiadomość i aby mogła ona zostać odczytana przez dwóch odbiorców, odbiorcy muszą mieć zainstalowany odpowiedni program (taki jak PGP, GPG czy S/MIME). Większość szyfrowanych danych przesyłanych jest za pośrednictwem poczty elektronicznej.

2. Szyfrowanie tunelu transferu. Metoda ta polega na ukrywaniu całej zawartości połączenia sieciowego oraz weryfikowaniu autentyczności wszystkich komputerów uczestniczących w połączeniu sieciowym. Jednak w większości przypadków, w przeciwieństwie do pierwszej metody, same dane nie są weryfikowane. Na przykład, nie jest możliwa weryfikacja nadawcy wiadomości e-mail otrzymanej za pośrednictwem szyfrowanego tunelu. Takie protokoły szyfrowania nazywane są SSL oraz TLS.

Obecnie ogromna większość aplikacji internetowych obsługuje szyfrowany tunel transmisji: serwery pocztowe oraz programy klienckie, serwery sieciowe i przeglądarki, jak również wiele specjalistycznych aplikacji sieciowych, takich jak systemy bankowe wykorzystywane do zarządzania kontami i dokonywania płatności online. Prostota tej metody jest oczywista dla programistów: standardowy protokół transferu danych można zaimplementować w ustanowionym bezpiecznym połączeniu sieciowym (minimalizując potrzebę wprowadzania jakichkolwiek zmian w aplikacjach przystosowanych do współpracy z siecią). Znane protokoły funkcjonują następująco:

• HTTPS (bez szyfrowania HTTP - główny protokół internetowy, szyfrowany przy użyciu SSL/TLS)
• POPS (bez szyfrowania POP3 - główny protokół do otrzymywanie poczty elektronicznej, szyfrowany przy użyciu SSL/TLS)
• SMPTPS (bez szyfrowania SMTP - główny protokół do wysyÅ‚ania poczty elektronicznej, szyfrowany przy użyciu SSL/TLS)
• MAPS (bez szyfrowania IMAP4 - powszechny protokół do otrzymywania poczty elektronicznej, szyfrowany przy użyciu SSL/TLS)
• NNTPS (bez szyfrowania NNTP - powszechny protokół do czytania wiadomoÅ›ci, szyfrowany przy użyciu SSL/TLS)

Niektóre usługi sieciowe oferowane są wyłącznie poprzez połączenie szyfrowane, na przykład popularny Gmail.

W niniejszym artykule zbadano szyfrowane tunele transferu, lub tak zwane bezpieczne połączenia.

Różne typy ochrony przed zagrożeniami sieciowymi

Połączenia sieciowe wykorzystywane są do transmitowania zarówno użytecznych informacji, jak i szkodliwych danych, które mogą stanowić zagrożenie dla komputerów. Do typowych przykładów szkodliwych danych należy większość współczesnych zagrożeń: ataki hakerów, trojany, robaki pocztowe orz exploity, które wykorzystują luki w aplikacjach sieciowych.

Do zwalczania niebezpiecznych danych wykorzystywane są następujące rodzaje programów i pakietów aplikacji:

• Zapory ogniowe:
  • SprawdzajÄ… każde poÅ‚Ä…czenie sieciowe na lokalnym komputerze zgodnie z wyznaczonymi reguÅ‚ami: poÅ‚Ä…czenie zostanie zaakceptowane lub odrzucone.
  • MogÄ… wykrywać trojany (ale nie mogÄ… ich usuwać), gdy próbujÄ… przesyÅ‚ać pobrane poufne dane osobie trzeciej.
  • Nie mogÄ… wykrywać wirusów, bez wzglÄ™du na rodzaj poÅ‚Ä…czenia sieciowego.

• Ochrona przed atakami sieciowymi (IDS: System wykrywania wÅ‚amaÅ„):
  • Skanuje w poszukiwaniu ataków, dla których istnieje sygnatura w ustanowionym poÅ‚Ä…czeniu sieciowym, bez wzglÄ™du na protokół, i może je zablokować.
  • Potrafi wykrywać wirusy, bez możliwoÅ›ci usuwania ich, w powszechnych protokoÅ‚ach HDLC, takich jak protokół HTTP oraz POP3. Gdy w wiadomoÅ›ci e-mail otrzymanej za poÅ›rednictwem protokoÅ‚u POP3 zostanie wykryty wirus, można jedynie okreÅ›lić poÅ‚Ä…czenie sieciowe. Nie gwarantuje to jednak ochrony przed wirusami wykrywanymi w poczcie elektronicznej. Gdy użytkownik bÄ™dzie próbowaÅ‚ pobrać inne wiadomoÅ›ci z serwera, zainfekowana wiadomość spowoduje, że zaatakowane maszyna przerwie poÅ‚Ä…czenie z serwem pocztowym.
  • Nie potrafi wykrywać wirusów w poÅ‚Ä…czeniach szyfrowanych.

• RozwiÄ…zania antywirusowe (poczta elektroniczna oraz sieć):
  • PotrafiÄ… wykrywać i neutralizować wirusy, których sygnatury zostaÅ‚y zawarte w bazie danych, podczas wysyÅ‚ania i otrzymywania danych za poÅ›rednictwem znanego protokoÅ‚u HDLC.
  • Nie mogÄ… wykrywać wirusów w poÅ‚Ä…czeniu szyfrowanym.

Zagrożenia związane z bezpiecznymi połączeniami

Jak już wspomniałem wcześniej, za pośrednictwem połączeń sieciowych mogą być transmitowane zarówno użyteczne, jak i szkodliwe informacje. Standardowe rozwiązania chronią komputery przed zagrożeniami występującymi w standardowych połączeniach sieciowych, ale nie są w stanie przeciwdziałać zagrożeniom w bezpiecznych połączeniach. Weryfikacja zawartości bezpiecznego połączenia jest niemożliwa ze względu na to, że jest ono bezpieczne, jak przedstawiono na przykładzie różnych typów ochrony. W rezultacie, szkodliwe dane w bezpiecznych tunelach mogą spowodować znaczne szkody, niekiedy nawet większe niż gdyby były transmitowane poprzez standardowe połączenie, które nie jest klasyfikowane jako bezpieczne.

To, że łatwo jest szyfrować tunel sieciowy oraz w większości przypadków nie można zweryfikować, kto stworzył plik, prowadzi do pewnego rodzaju sprzeczności: "bezpieczne połączenie" z serwerem zapewnia użytkownikowi poczucie bezpieczeństwa, nie gwarantuje jednak, że połączenie będzie wolne od szkodliwych danych.

Zagrożenia związane z ?bezpiecznymi połączeniami" wydają się oczywiste, zwłaszcza teraz gdy stają się coraz powszechniejsze. Po tym jak programiści zapewnili obsługę protokołów SSL/TLS dla wszystkich popularnych aplikacji sieciowych, wiele serwerów w Internecie zaczęło oferować swoje usługi za pośrednictwem protokołów SSL/ TLS: oprócz największych stron bankowych, wszystkie najpopularniejsze serwisy pocztowe i strony partnerskie umożliwiły dostęp wyłącznie poprzez bezpieczne połączenie. Jednak administratorzy takich serwerów często nie posiadają wystarczających kwalifikacji, aby poprawnie skonfigurować bezpieczne połączenie serwerowe.

Sytuację pogarsza dodatkowo fakt, że atak na komputer można przeprowadzić zdalnie - na przykład, umieszczając szkodliwy plik na serwerze, do którego dostęp możliwy jest tylko za pośrednictwem bezpiecznego połączenia.

Poniżej przedstawiamy kilka przykładów.

Gmail i wirusy

Popularny serwis pocztowy Gmail oferuje dostęp do swoich usług wyłącznie za pośrednictwem bezpiecznego połączenia. Wiadomo, że serwery serwisu Gmail wykorzystują oprogramowanie antywirusowe. Rozważmy teraz kilka hipotetycznych sytuacji:

1. Twórca wirusów wysyła swojego wirusa subskrybentowi Gmaila.
2. Oprogramowanie antywirusowe Gmaila nie wykrywa wirusa, ponieważ aktualizacja antywirusowych baz danych została z jakiegoś powodu opóźniona.
3. Po pewnym czasie użytkownik pobiera zainfekowaną wiadomość e-mail z lokalnego komputera, ponieważ oprogramowanie antywirusowe Gmaila, zostało zoptymalizowane, przez co wiadomości e-mail nie są skanowane po tym, jak zostaną przesłane użytkownikowi, ale gdy znajdą się już w skrzynce odbiorczej.
4. Oprogramowanie antywirusowe na lokalnym komputerze, do którego bazy dodano już odpowiednią sygnaturę, nie wykrywa wirusa, ponieważ połączenie sieciowe zostało zaszyfrowane zgodnie z wymaganiami Gmaila, a moduł ochrony poczty programu antywirusowego nie potrafił przeskanować zaszyfrowanych danych.
5. Moduł ochrony plików programu antywirusowego wykrywa wirusa w bazie wiadomości e-mail i zaleca usunięcie całej bazy wiadomości e-mail, ponieważ często nie można leczyć takiej bazy.
6. Rezultat: użytkownik może stracić całą swoją korespondencję.

Wirusy na serwerach sieciowych

Oto inny interesujący przykład: szkodliwy użytkownik może umieścić zainfekowany plik na serwerze sieciowym, a następnie skłonić użytkowników Internetu do odwiedzenia tego serwera. Jeśli wirus zostanie umieszczony na zwykłym serwerze HTTP, komputer z oprogramowaniem antywirusowym nie będzie zagrożony. Jeśli jednak wirus zostanie umieszczony na serwerze HTTPS, sytuacja nieco się skomplikuje:

1. Twórca wirusów może wykorzystać lukę w celu zdobycia dostępu do plików przechowywanych na serwerze (jak w przypadku incydentu z serwerami Valuehost, rosyjskiego dostawcy usług hostingowych - http://www.viruslist.pl/weblog.html?weblogid=359) i zastąpić pliki tym wirusem.
2. Użytkownik otwiera znajomą stronę za pomocą standardowej przeglądarki przy użyciu HTTPS. Moduł ochrony WWW programu antywirusowego nie może odczytać danych w połączeniu szyfrowanym i nie może zapobiec pobraniu zainfekowanych plików.
3. Zamiast zwykłej strony internetowej przeglądarka ładuje wirusa, który wykorzystuje lukę w zabezpieczeniach przeglądarki. Wirus natychmiast wykonuje swój kod w przeglądarce. Moduł ochrony plików programu antywirusowego nie może zablokować wykonania złośliwego kodu, ponieważ zainfekowany plik może zostać przetworzony tylko po tym, jak zostanie zapisany na dysku, czyli w tym przypadku dopiero po wykonaniu szkodliwego kodu.
4. Rezultat: komputer zostanie zainfekowany.

RozwiÄ…zania

Aby zapewnić sprawdzanie danych transmitowanych za pośrednictwem bezpiecznego połączenia, większość producentów rozwiązań antywirusowych oferuje wtyczki dla aplikacji sieciowych. Takie podejście posiada zarówno plusy, jak i minusy:

• Plusy:
  • Brak wpÅ‚ywu na strumieÅ„ danych pomiÄ™dzy klientem a serwerem.
  • Osoby trzecie nie mogÄ… uzyskać dostÄ™pu do strumienia danych.
• Minusy:
  • Dla niektórych aplikacji nie można stworzyć wtyczki. PrzykÅ‚adem jest Outlook Express, najpopularniejszy program pocztowy.
  • Z użyciem wtyczek wiążą siÄ™ pewne ograniczenia. PrzykÅ‚adem jest MS Outlook.

Alternatywą dla wykorzystywania wtyczek jest sprawdzanie ruchu pocztowego przy użyciu metody "pośrednika". Rozwiązanie to eliminuje negatywne aspekty architektury wtyczki. Mimo że posiada pewne wady, twórcy oprogramowania antywirusowego zostali zmuszeni do wdrożenia tego podejścia w celu ochrony swoich użytkowników.

Metoda ta stanowi zamach na istotę protokołów SSL/TLS, ponieważ przechwytuje bezpieczne połączenie, zastępuje oryginalny certyfikat i ustanawia dwa bezpieczne połączenia: pomiędzy aplikacją i antywirusowym proxy oraz pomiędzy antywirusowym proxy i zdalnym komputerem.

• Zalety:
  • PoÅ‚Ä…czenia mogÄ… być skanowane w poszukiwaniu dowolnej aplikacji klienckiej.
  • PoÅ‚Ä…czenie może być skanowane w poszukiwaniu wirusów niezależnie od użytego protokoÅ‚u.
  • Oprócz skanowania antywirusowego, proxy może przeprowadzać wszystkie inne operacje na danych, skanowanie pod kÄ…tem phishingu, spamu itd.
  • StrumieÅ„ danych nie może być przeglÄ…dany przez osobÄ™ trzeciÄ…, chyba że osoba taka przeprowadza atak "poÅ›rednika".
• Wady:
  • Modyfikowany jest strumieÅ„ danych pomiÄ™dzy klientem a serwerem. W rezultacie:
    • Aplikacje sieciowe nie mogÄ… zweryfikować autentycznoÅ›ci serwera.
    • Serwer nie może zweryfikować autentycznoÅ›ci klienta.
    • JeÅ›li proxy nie przeprowadzi wÅ‚asnej weryfikacji, może zostać przeprowadzony drugi atak typu "poÅ›rednik" (pomiÄ™dzy proxy a serwerem). Taki atak może zostać przeprowadzony przez szkodliwego użytkownika w celu przeglÄ…dania i modyfikowania danych.

W praktyce, skanowanie ruchu nie stanowi realnego zagrożenia dla użytkowników. Skanowanie jest przeprowadzane na lokalnej maszynie; użytkownik może zostać poproszony o podjęcie decyzji, a wszystkie zdalne certyfikaty mogą być weryfikowane przez oprogramowanie antywirusowe i archiwa certyfikatów, tak jak w przypadku aplikacji sieciowych.

Wady metody "pośrednika" wydają się być znacznie mniej istotne niż jej zalety - komputer jest całkowicie chroniony przed wszelkimi rodzajami zagrożeń atakujących poprzez połączenia sieciowe.

Kaspersky Internet Security

Kaspersky Internet Security zawiera rozwiązania, które weryfikują oba typy bezpiecznych połączeń:

1. Wtyczki dla aplikacji sieciowych:
   • MS Outlook,
   • TheBat,
   • IE ScriptChecker
2. Weryfikacja bezpiecznych połączeń w ruchu przy użyciu metody "pośrednika":
   • Kaspersky Internet Security informuje użytkownika o wszystkich dziaÅ‚aniach:
     • Powiadamia użytkownika o podstawianiu certyfikatu serwera
     • Weryfikuje certyfikaty otrzymywane z serwera w archiwum certyfikatów Windows, dokÅ‚adnie tak samo jak aplikacje sieciowe
     • Ostatni etap metody "poÅ›rednika" nie jest uwzglÄ™dniony. Rejestracja podstawionego certyfikatu w archiwach zaufanych certyfikatów musi zostać dokonana przez użytkownika
   • Kaspersky Internet Security oferuje opcjÄ™ wyÅ‚Ä…czenia sprawdzania pewnych poÅ‚Ä…czeÅ„ (opcje konfiguracyjne: aplikacje/serwery/porty.) RozwiÄ…zuje to problem, jaki mógÅ‚by powstać odnoÅ›nie poprawnego dziaÅ‚ania usÅ‚ug, które sprawdzajÄ… autentyczność klienta.
   • Kaspersky Internet Security sprawdza wszystkie możliwe parametry w bezpiecznych poÅ‚Ä…czeniach:
     • ModuÅ‚ ochrony WWW wykrywa wirusy w ruchu przeglÄ…darki
     • ModuÅ‚ ochrony poczty wykrywa wirusy w ruchu pocztowym
     • ModuÅ‚ ochrony przed phishingiem wykrywa sfaÅ‚szowane strony i odsyÅ‚acze do takich stron
     • ModuÅ‚ ochrony przed banerami blokuje okna wyskakujÄ…ce
     • ModuÅ‚ ochrony przed spamem blokuje niechcianÄ… korespondencjÄ™

Wniosek

Bezpieczne połączenia mają na celu zabezpieczanie danych przed modyfikacją i kradzieżą. Jednak zagrożenia te stanowią realny problem, przed którymi nie są w stanie zapewnić ochrony.

Paradoksalnie, bezpieczne połączenie może dać użytkownikowi fałszywe poczucie bezpieczeństwa. Sytuację pogarsza dodatkowo fakt, że standardowe rozwiązania bezpieczeństwa nie działają w bezpiecznych tunelach.

Dlatego zapewnienie całkowitej ochrony przed zagrożeniami sieciowymi wymaga zastosowania specjalnych metod. Najprostszym i najbardziej oczywistym rozwiązaniem jest użycie wtyczki dla przeglądarek sieciowych. Niestety, wtyczki nie są uniwersalne i wiele aplikacji nie obsługuje ich lub nakłada zbyt wiele ograniczeń na ich funkcjonalność. Inne rozwiązanie stosowane przez producentów oprogramowania antywirusowego polega na weryfikacji ruchu.

Nie należy lekceważyć niebezpieczeństw związanych z bezpiecznymi połączeniami. Podczas podejmowania ważnych decyzji dotyczących bezpieczeństwa twojego komputera upewnij się, że twoje rozwiązanie antywirusowe zapewnia całkowitą ochronę przed wszystkimi zagrożeniami sieciowymi.

Źródło: Kaspersky Lab