CDR SecUpdate 27 - unikátní chatovací program využívá Tor a nezanechá stopy
Zkušení matadoři na poli informační bezpečnosti se rozhodli vstoupit ještě jednou do vod anonymních chatovacích programů. Vzali to tentokrát z gruntu a koncept vypadá velmi dobře!
Chyby v softwaru
Úterní aktualizace Microsoftu záplatují nejen IE
Týká se verzí: IE 11 a nižší, téměř všechny verze Microsoft Windows včetně 8.1, RT, Server 2008, Server 2012 R2
Zítra nás čeká pravidelné Úterý aktualizací Microsoftu, které přinese mimo jiné aktualizaci kritické chyby v Internet Exploreru. Druhý kritický bulletin se týká systému obecně ve většině verzí včetně RT, další tři opravují chybu umožňující zisk vyšších práv. Poslední šestý bulletin aktualizuje díru umožňující odepření služby v Service Bus na Windows Serveru.
Včasná aktualizace je tentokrát zvlášť důležitá, protože se chyby týkají i nejnovějších verzí IE na aktuálních systémech. Dokazuje to fakt, že i bez XP není nijak extra bezpečno, na druhou stranu včasná aktualizace minimalizuje nebezpečí - většinou hackerům trvá delší dobu, než zabudují chyby do svých struktur, které cílí na běžné uživatele.
Novinky
Invisible.im: zajímavý koncept pseudoanonymního kecálku nás zaujal
Chatovacích programů "podporujících soukromí" známe již pěknou řádku. Konec konců po kauze Snowden by si doufáme už vůbec nikdo nedovolil komunikovat v nešifrované formě, často se vývojáři předhání kolikabitové šifrování jejich program zvládá. Šifrování samotné však neřeší jeden velký problém a tím jsou metadata, která konverzace na systémech zanechává. Když Pepa Whistleblower pošle Tomovi Novinářovi data přes zašifrovaný kanál a druhý den vyjdou informace v novinách, není pro právníky až tak důležitý obsah komunikace, ale spíše fakt, že k ní vůbec došlo. S tím by si měl do jisté míry poradit například TorChat a také nový počin internetových veteránů Invisible Instant Messenger.
TorChat projekt
Projekt pod taktovkou Patricka Graye a HD Moore (Rapid7, Metasploit) poběží na cibulové síti Tor, kde využije unikátních adres skrytých služeb Tor ke spuštění lokálního XMPP serveru. Ten bude komunikovat se servery ostatních uživatelů vyznávajících stejnou technologii. Nad celou komunikací bude držet strážnou ruku navíc OTR (Off-the-record technologie, neplést s Off the record u Google Talk), která dokáže podle specifikace zamíchat metadata tak, že není možné následně zjistit, kdo komu jaká data poslal.
Jak to v bude fungovat?
Vývojářský tým plánuje vytvořit seznam ověřených novinářů, u kterých bude uvedená adresa skryté služby Tor s možností kontaktu (dokonce tu je nápad integrovat tento seznam do “seznamu kontaktů” každé kopie komunikátoru). Kdokoliv na světě by tak měl mít možnost anonymně poskytnout data nebo informace komukoliv jinému (ano počítá se s modulem pro odesílání souborů).
Když Pepa Whistleblower bude chtít odeslat data Tomovi, najde si jeho adresu například na Tomově webu (tom@onionadresa.onion) a zapne Invisible IM v anonymním módu. To zaručí generování jednorázového OTR klíče, přes který následně bude realizována komunikace s Tomem na jeho adrese. OTR klíč jako důkazný materiál komunikace následně program automaticky smaže po ukončení konverzace.
Metasploit Framework v akci
“Začne to být zajímavé, pokud dvě osoby operují v módu novinář. V našem modelu jsou obě strany kryptograficky ověřené, jejich zprávy jsou zašifrované a nikdo nemůže říct, že jeden je v seznamu kontaktů toho druhého ani že spolu vůbec komunikovali, natož kdy,” píší zakladatelé na oficiálním webu projektu invisible.im.
Autoři však otevřeně říkají, že předem “napíchnuté” osoby podobná služba nemá šanci ochránit. Pokud na systému běží trojský kůň, který odesílá screenshoty obrazovky s časovým razítkem, těžko se bude obviněný bránit. Mimochodem pravděpodobně nejznámější systém na světě pro práci s exploity Metasploit Framework vytvořil právě HD Moore s firmou Rapid7, jeho nástroje jsou pro napadání systémů specializované.
Zneužívání chyb mají v popisu práce, nevynechali ani vlastní nápad. První problém, který se nabízí, je krádež soukromého klíče ke komunikaci, díky tomu by se útočník mohl vydávat za oběť. Koncept těchto zpráv implikuje další nepříjemnost, tou je starý dobrý spam/phishing/malware. Princip systému přece podněcuje k anonymním zprávám, které mohou obsahovat cokoliv, a autora by nemělo být možné dohledat (o to jde).
Autoři projektu doufají, že by se mohl stát jejich software standardem pro komunikaci na internetu. Podle nich není jediný důvod, proč by měli uživatelé odhalovat svojí identitu, zvláště po kauzách GCHQ/NSA. Jak si s tím poradí samotná síť Tor, která nemusí být na velký počet uživatelů se softwarem podobného typu připravená, to teprve uvidíme.
Čtete týdenní bezpečnostní bulletin internetového magazínu CDR. Moderní trendy počítačové bezpečnosti a hlídací pes nově objevených kritických chyb ve vašem softwaru na jednom místě.
To je pro dnešek vše, zůstaňte s námi a za týden nashledanou.
Minulé díly CDR Security Update
Funkce jako z akčního filmu: RCS umí vzdáleně ovládat telefon
Na iOS podle Fortinetu existují dva viry. Co to ale znamená?
Díly CDR Security Update SPECIÁL
Zdroje:
Jiří Moos (Google+)
Jirka Moos je redaktor CDR.cz a DIIT.cz, kreativec se smyslem pro humor a také blázen do zabezpečení IT systémů. Vede bezpečnostní týdeník CDR Security Update a v současné době řeší marketing a redakční spolupráce CDR/DIIT.
