Car-tech

Ερευνητές: Ο κωδικός Crack θα μπορούσε να επηρεάσει εκατομμύρια

UFO

UFO
Anonim

Οι ερευνητές Nate Lawson και Taylor Nelson λένε ότι έχουν ανακαλύψει ένα βασικό σφάλμα ασφαλείας που επηρεάζει δεκάδες βιβλιοθήκες λογισμικού ανοιχτού κώδικα - συμπεριλαμβανομένων εκείνων που χρησιμοποιούνται από λογισμικό που εφαρμόζει τα πρότυπα OAuth και OpenID - τα οποία χρησιμοποιούνται για τον έλεγχο των κωδικών πρόσβασης και των ονομάτων χρηστών όταν οι χρήστες συνδέονται σε ιστότοπους. Ο έλεγχος ταυτότητας OAuth και OpenID γίνεται αποδεκτός από δημοφιλείς τοποθεσίες Web όπως το Twitter και το Digg.

Διαπίστωσαν ότι ορισμένες εκδόσεις αυτών των συστημάτων σύνδεσης είναι ευάλωτες σε αυτό που είναι γνωστό ως επίθεση χρονισμού. Οι κρυπτογράφοι γνωρίζουν τις επιθέσεις χρονισμού για 25 χρόνια, αλλά γενικά θεωρείται ότι είναι πολύ δύσκολο να τραβηχτούν σε ένα δίκτυο. Οι ερευνητές σκοπεύουν να αποδείξουν ότι δεν συμβαίνει αυτό.

Οι επιθέσεις θεωρούνται τόσο δύσκολες επειδή απαιτούν πολύ ακριβείς μετρήσεις. Καταγράφουν τους κωδικούς πρόσβασης μετρώντας το χρόνο που χρειάζεται ένας υπολογιστής για να απαντήσει σε μια αίτηση σύνδεσης. Σε ορισμένα συστήματα σύνδεσης, ο υπολογιστής θα ελέγξει τους χαρακτήρες κωδικών πρόσβασης μία φορά τη φορά και θα κλωτσήσει ένα μήνυμα "αποτυχία σύνδεσης" μόλις εντοπίσει έναν κακό χαρακτήρα στον κωδικό πρόσβασης. Αυτό σημαίνει ότι ένας υπολογιστής επιστρέφει μια εντελώς κακή προσπάθεια σύνδεσης με ένα μικρότερο κομμάτι γρηγορότερα από ένα login όπου ο πρώτος χαρακτήρας του κωδικού είναι σωστός.

Προσπαθώντας να συνδεθείτε ξανά και ξανά, ποδηλασία μέσω χαρακτήρων και μέτρηση του χρόνου που χρειάζεται για ο υπολογιστής να απαντήσει, οι χάκερ μπορούν τελικά να καταλάβουν τους σωστούς κωδικούς πρόσβασης.

Όλα αυτά ακούγονται πολύ θεωρητικά, αλλά οι επιθέσεις στο χρονοδιάγραμμα μπορούν πραγματικά να επιτύχουν στον πραγματικό κόσμο. Πριν από τρία χρόνια, ένας συνηθίζει να χάσει το σύστημα παιχνιδιών Xbox 360 της Microsoft και οι άνθρωποι που κατασκευάζουν έξυπνες κάρτες έχουν προσθέσει προστασία επίθεσης χρονισμού για χρόνια.

Ωστόσο, οι προγραμματιστές του Διαδικτύου έχουν από καιρό υποθέσει ότι υπάρχουν πάρα πολλοί άλλοι παράγοντες - - που επιβραδύνουν ή επιταχύνουν τους χρόνους απόκρισης και καθιστούν σχεδόν αδύνατο να πάρουν τα ακριβή αποτελέσματα, όπου τα νανοδευτερόλεπτα κάνουν τη διαφορά, απαιτούνται για μια επιτυχημένη επίθεση χρονισμού.

Αυτές οι υποθέσεις είναι λανθασμένες, σύμφωνα με τον Lawson, ιδρυτή της το συμβουλευτικό γραφείο ασφαλείας Root Labs. Ο ίδιος και ο Νέλσον δοκιμάστηκαν επιθέσεις μέσω του Διαδικτύου, των τοπικών δικτύων και των υπολογιστικών συστημάτων του cloud και διαπίστωσαν ότι ήταν σε θέση να σπάσουν τους κωδικούς πρόσβασης σε όλα τα περιβάλλοντα χρησιμοποιώντας αλγορίθμους για να εξαλείψουν το θόρυβο του δικτύου.

Σχεδιάζουν να συζητήσουν τις επιθέσεις τους η διάσκεψη του Black Hat αργότερα αυτό το μήνα στο Λας Βέγκας.

Λέει ότι επικεντρώθηκε σε αυτούς τους τύπους εφαρμογών Web ακριβώς επειδή συχνά θεωρείται ότι είναι άτρωτοι στις επιθέσεις χρονισμού. "Ήθελα να φτάσω στους ανθρώπους που το γνώριζαν ελάχιστα", δήλωσε.

Οι ερευνητές διαπίστωσαν επίσης ότι τα ερωτήματα που γίνονται σε προγράμματα γραμμένα σε ερμηνευμένες γλώσσες όπως η Python ή Ruby - και οι δύο πολύ δημοφιλείς στο Web απαντήσεις πολύ πιο αργά από άλλους τύπους γλωσσών όπως Γ ή γλώσσα συναρμολόγησης, καθιστώντας τις επιθέσεις χρονισμού πιο εφικτές. "Για τις γλώσσες που ερμηνεύονται, καταλήγετε σε πολύ μεγαλύτερη χρονική διαφορά από ό, τι σκέφτηκαν οι άνθρωποι", ανέφερε ο Lawson.

Ωστόσο, αυτές οι επιθέσεις δεν είναι τίποτα που οι περισσότεροι άνθρωποι πρέπει να ανησυχούν, σύμφωνα με τον Yahoo Διευθυντή Προτύπων Eran Hammer-Lahav, συνεργάτης τόσο σε έργα OAuth όσο και σε OpenID. "Δεν με ανησυχεί αυτό", έγραψε σε ένα μήνυμα ηλεκτρονικού ταχυδρομείου. "Δεν νομίζω ότι κάποιος μεγάλος πάροχος χρησιμοποιεί οποιαδήποτε βιβλιοθήκη ανοιχτού κώδικα για την υλοποίηση από την πλευρά του διακομιστή και ακόμα κι αν το έκαναν αυτό δεν είναι μια τετριμμένη επίθεση για εκτέλεση."

Οι Lawson και Nelson έχουν ειδοποιήσει τους προγραμματιστές λογισμικού που επηρεάζονται από το πρόβλημα, αλλά δεν θα κυκλοφορήσουν τα ονόματα ευάλωτων προϊόντων μέχρι να καθοριστούν. Για τις περισσότερες βιβλιοθήκες που επηρεάζονται, η επιδιόρθωση είναι απλή: Προγραμματίστε το σύστημα να πάρει το ίδιο χρονικό διάστημα για να επιστρέψει και τους σωστούς και εσφαλμένους κωδικούς πρόσβασης. Το ενδιαφέρον είναι ότι οι εφαρμογές που βασίζονται σε σύννεφο θα μπορούσαν να είναι πιο ευάλωτες σε αυτές τις επιθέσεις, διότι υπηρεσίες όπως το Amazon EC2 και το Slicehost δίνουν στους επιτιθέμενους έναν τρόπο να πάρουν

Ο Lawson και ο Nelson δεν λένε πριν από τη συζήτησή τους στο Black Hat πόσο ακριβείς ήταν οι μετρήσεις του χρονισμού τους, αλλά υπάρχουν πραγματικοί λόγοι για τους οποίους θα ήταν δύσκολο να βγούμε από αυτό το είδος επίθεσης το σύννεφο, σύμφωνα με τον Scott Morrison, CTO, με το Layer 7 Technologies, έναν φορέα παροχής ασφάλειας σε cloud computing.

Επειδή πολλά διαφορετικά εικονικά συστήματα και εφαρμογές ανταγωνίζονται για υπολογιστικούς πόρους στο σύννεφο, μπορεί να είναι δύσκολο να έχουμε αξιόπιστα αποτελέσματα είπε. "Όλα αυτά τα πράγματα λειτουργούν για να βοηθήσουν στην επίλυση αυτής της ιδιαίτερης … επίθεσης επειδή απλώς προσθέτει απρόβλεπτο σε ολόκληρο το σύστημα."

Παρόλα αυτά, είπε ότι αυτός ο τύπος έρευνας είναι σημαντικός γιατί δείχνει πώς μια επίθεση, που φαίνεται σχεδόν αδύνατη σε κάποιους, μπορεί πραγματικά να λειτουργήσει.

Ο Robert McMillan καλύπτει την ασφάλεια ηλεκτρονικών υπολογιστών και τη γενική τεχνολογία που σπάζει τα νέα για

Η υπηρεσία ειδήσεων IDG

. Ακολουθήστε τον Robert στο Twitter στο @bobmcmillan. Η διεύθυνση ηλεκτρονικού ταχυδρομείου του Robert είναι [email protected]