Το πρόβλημα ασφαλείας Freak επηρεάζει όλες τις εκδόσεις των Windows
Όταν ανακαλύφθηκε το πρόβλημα ασφαλείας με την κωδική ονομασία Freak, θεωρήθηκε ότι αυτό επηρεάζει μόνο τους χρήστες της apple και όσους χρησιμοποιούν συσκευές με android. Τελικά σύμφωνα με την Microsoft, επηρεάζει και όλες τις εκδόσεις των Windows. Αυτό κάνει το πρόβλημα ασφαλείας ακόμη ποιο σοβαρό.
Τι είναι το Freak;
Το Freak (CVE-2015-0204) είναι μια αδυναμία του πρωτοκόλλου SSL/TLS η οποία υπάρχει εδώ και μια δεκαετία, αλλά μόλις πρόσφατα ανακαλύφθηκε από ερευνητές ασφαλείας στο Γαλλικό ινστιτούτο έρευνας της επιστήμης υπολογιστών και αυτοματισμών. Κάποιος επιτιθέμενος θα μπορούσε να χρησιμοποιήσει αυτή την αδυναμία για να αναγκάσει το πρόγραμμα περιήγησης του χρήστη να χρησιμοποιήσει ποιο ασθενής κρυπτογράφηση. Με αυτό τον τρόπο θα μπορούσε πολύ ποιο εύκολα να σπάσει την κρυπτογράφηση, να διαβάσει τα πρωτότυπα δεδομένα της επικοινωνίας του προγράμματος περιήγησης του χρήστη με τον web server. Και έτσι ο επιτιθέμενος, θα μπορούσε να αποκτήσει πρόσβαση σε κωδικούς, αριθμούς πιστωτικών καρτών και σε άλλες ευαίσθητες πληροφορίες του χρήστη.
Για ποιο λόγο υπάρχει η αδύναμη κρυπτογράφηση;
Η ιστορία πάει πίσω στην δεκαετία του 90, όταν η κυβέρνηση των Ηνωμένων Πολιτειών έβγαλε νόμο, με τον οποίο υποχρέωνε τις αμερικάνικες εταιρίες να χρησιμοποιούν ποιο ασθενής κρυπτογράφηση στα προϊόντα που απευθύνονταν εκτός Ηνωμένων Πολιτειών και την ισχυρή για εντός των τειχών. Αργότερα το 2000 άλλαξε ο νόμος περί εξαγωγών στις Ηνωμένες Πολιτείες και επέτρεπε την χρήση ισχυρής κρυπτογράφησης και στα προϊόντα που απευθύνονταν για τον υπόλοιπο κόσμο. Το πρόβλημα είναι ότι η υποστήριξη για την αδύναμη κρυπτογράφηση δεν αφαιρέθηκε ποτέ.
Πως λειτουργεί η επίθεση;
- Το πρόγραμμα περιήγησης του χρήστη κατά την σύνδεση με τον Web Server ζητάει την κανονική κρυπτογράφηση.
- Ο επιτιθέμενος παρεμβάλλεται στην επικοινωνία και αλλάζει το μήνυμα του προγράμματος περιήγησης, έτσι ώστε να ζητάει την αδύναμη κρυπτογράφηση
- Ο Web Server του απαντάει, στέλνοντας στον χρήστη κλειδιά αδύναμης κρυπτογράφησης.
- Λόγω αδυναμίας στο πρωτόκολλο το πρόγραμμα περιήγησης τα αποδέχεται.
- Από εδώ και πέρα όλη η επικοινωνία γίνεται με αδύναμη κρυπτογράφηση.
Οι Web Servers
Απαραίτητη προϋπόθεση για να πετύχει η επίθεση είναι ο Web Server να υποστηρίζει την απαρχαιωμένη αυτή μέθοδο κρυπτογράφησης. Θα περίμενε κανείς ότι ελάχιστοι Web Server σήμερα, θα αντιμετώπιζαν αυτό το πρόβλημα. Η πραγματικότητα είναι όμως, πολύ διαφορετική. Σε έλεγχο που έγινε σε παραπάνω από 14 εκατομμύρια δικτυακούς τόπους που υποστηρίζουν το ασφαλές πρωτόκολλο επικοινωνίας SSL, περισσότεροι από το 36% βρέθηκαν να είναι ευάλωτοι σε αυτού του είδους την επίθεση.
Πόσο εύκολο είναι να σπάσει η ασθενής κρυπτογράφηση;
Όταν είχε βγει στην δεκαετία του 90 ήταν πολύ δύσκολο να σπάσει, απαιτούνταν πολύς χρόνος και πρόσβαση σε τεράστια επεξεργαστική ισχύ που έδιναν μόνο σούπερ-υπολογιστές. Πρακτικά εκείνη την εποχή την ασθενή κρυπτογράφηση μπορούσε να την σπάσουν μόνο κυβερνητικές υπηρεσίες ασφαλείας κάποιων χωρών. Αλλά ακόμη και για αυτές δεν ήταν εύκολη υπόθεση, αφού απαιτούσε χρόνο αλλά και χρήμα.
Στην σημερινή εποχή με την κατακόρυφη αύξηση της επεξεργαστικής ισχύος τα πράγματα έχουν αλλάξει. Μπορεί κάποιος χρησιμοποιώντας ένα δίκτυο 75 υπολογιστών να σπάσει την ασθενής κρυπτογράφηση σε 7 ώρες. Το κόστος για την ενοικίαση της επεξεργαστικής ισχύος 75 υπολογιστών για 7 ώρες είναι γύρω στα 100$. Βλέπουμε, ότι σήμερα είναι και γρήγορο και εύκολο και φθηνό να σπάσει κανείς την αδύναμη κρυπτογράφηση, σε αντιδιαστολή με ότι ίσχυε στο παρελθόν.
Ποια συστήματα επηρεάζει;
Όπως προείπαμε αυτό το πρόβλημα επηρεάζει τα συστήματα της apple και συσκευές με android. Οι εκδόσεις των Windows που επηρεάζονται είναι οι εξής:
- Windows Server 2003
- Windows Vista
- Windows Server 2008
- Windows 7
- Windows 8 and 8.1
- Windows Server 2012
- Windows RT
Ο λόγος που δεν βλέπουμε παλιότερες εκδόσεις των Windows, είναι επειδή η Microsoft σταμάτησε την υποστήριξη προς αυτές και επομένως δεν ερευνά νέα προβλήματα ασφαλείας για εκδόσεις των Windows, παλιότερες από τα Vista.
Όσον αφορά τους χρήστες του Linux, φαίνεται προς το παρών τουλάχιστον, να μην επηρεάζονται από το πρόβλημα. Να θυμίσουμε απλώς ότι αρχικά είχε θεωρηθεί ότι και οι χρήστες των Windows δεν επηρεαζόταν.
Ποια είναι η ανταπόκριση των κατασκευαστών;
Η Google ανακοίνωσε ότι ήδη, έχει δώσει ενημέρωση ασφαλείας στους κατασκευαστές συστημάτων που επιλύει το ζήτημα στο android. Παράλληλα οι προγραμματιστές της Google έβγαλαν για τα συστήματα της Apple έκδοση του Chrome που δεν επηρεάζετε από το πρόβλημα ασφαλείας. Επίσης η Google καλεί τους διαχειριστές των δικτυακών τόπων να απενεργοποιήσουν την υποστήριξη στη ασθενής κρυπτογράφηση.
H Apple ανακοίνωσε ότι υπάρχει έτοιμη διόρθωση για το IOS και OSX και θα διανεμηθεί με τις ενημερώσεις την επόμενη βδομάδα.
Η Microsoft ανακοίνωσε ότι διερευνά το ζήτημα και θα εκδώσει ενημέρωση ασφαλείας που θα διορθώνει το πρόβλημα, χωρίς όμως να δίνει κάποια ημερομηνία. Βέβαια οφείλουμε να πούμε ότι η ανακάλυψη, ότι και τα Windows επηρεάζονται από αυτό το πρόβλημα είναι ποιο “φρέσκια”, από ότι για την Apple και το Android.