Der har været en del usikkerhed om, hvilke konsekvenser den sårbarhed i Gnu-TLS-biblioteket, som Version2 og andre medier har omtalt i løbet af dagen, kan tænkes at få. Biblioteket bliver blandt andet anvendt i en del Linux-distributioner, og formodes derfor at være ganske udbredt, både på klienter og servere. Og sikkerhedshullet gør krypterede TLS/SSL-forbindelser mindre sikre – men hvordan?
Sårbarheden, der nu er patchet, betyder, at en angriber kan udforme et særligt certifikat, som bliver godkendt til en krypteret forbindelse – eksempelvis af en browser – selvom certifikatet er ugyldigt. I praksis vil det eksempelvis sige, at en it-kriminel på en eller anden måde narrer en bruger ind på en hjemmeside, der både på URL’en og indholdsmæssigt til forveksling ligner brugerens sædvanlige netbank. Og såfremt brugerens browser anvender det sårbare Gnu-TLS-bibliotek, vil sitet kunne præsentere brugeren for et certifikat og en grøn hængelås, der også giver indtryk af, at brugeren er landet på den rigtige side.
Nu kan den it-kriminelle suge det intetanende offers oplysninger til sig og eksempelvis misbruge dem til at logge ind på den rigtige netbank, Facebook-profil, Gmail-konto eller andet. Sikkerhedshullet er dog ikke kun et problem i browser-sammenhæng, men generelt når det kommer til at have tillid til certifikater. Således også hvis en server kobler op til en anden server, eksempelvis for at hente opdateringer.
Men for at udnytte sikkerhedshullet forudsætter det altså i udgangspunktet, at enten en server eller en klient kobler op til en URL, som en angriber kontrollerer, så det falske certifikat kan præsenteres til klienten. Det kan eksempelvis foregå via phishing-mails med URL’er, der fører til et domæne, der næsten ligner det rigtige, og med et indhold, der også ser troværdigt ud, men altså ikke er det.
En anden angrebsvinkel kunne være et et wifi-hotspot, kontrolleret af en angriber, og som – til trods for at de opkoblede klienter har indtastet den korrekte URL – alligevel præsenterer dem for ondsindet indhold og et falskt certifikat.
»Det betyder, at folk ikke kan stole på certifikater fra den anden ende af en forbindelse, under et eller andet antal mere eller mindre veldefinerede omstændigheder,« skriver Version2-blogger Poul-Henning Kamp, der har indsigt i kryptering, i en mail til Version2. Han fortsætter:
»Det kan bruges til Man-In-The-Middle-angreb, men den slags tager oftest noget tid at sætte op, så det er formodentlig kun dem, der kendte fejlen i forvejen, der har kunnet udnytte det.«
Der kan dog også være situationer, hvor en klient kan udnytte et sårbart Gnu-TLS-bibliotek ved at koble op til en server. Men det hører til sjældenhederne, vurderer Poul-Henning Kamp.
»Kun hvis serveren bruger GNUTLS og checker et klient-certifikat. Det sker så godt som aldrig.«
Phishing-mails
Han gætter på, at der i kølvandet af den nu patchede sårbarhed vil begynde at dukke phishing-mails op, der netop har til formål at lokke brugere ind på sites, der til forveksling ligner den ægte vare, men som er sat op at eksempelvis kriminelle, som er ude efter kreditkortoplysninger og andet.
Poul-Henning Kamp sammenligner situationen med den sårbarhed, der blev opdaget i Apples operativsystemer for nogle uger siden, og hvor certifikater heller ikke blev ordentligt validerede i Safari-browseren. Dog med den forskel, dem, der kører GnuTLS-biblioteket, der er open source, i princippet også har mulighed for at finde og fikse fejlen.
Forskellen på fejl i open source og closed source er i dette tilfælde interessant, da sikkerhedshullet kan have stået åbent siden 2005 i kode, som alle i princippet har kunnet tilgå – også it-kriminelle. Men ingen åbenbart fundet og lukket hullet før folk hos Linux-distributionen Red Hat opdagede det under en koderevision for nyligt.
»Kvalitet sker kun når nogen har ansvaret for det og ressourcerne til det, og i Open Source kniber det utroligt med begge dele. Omvendt kan man sige, det var netop Red Hat, der spottede det her, fordi det var Open Source, så processen virker faktisk, omend meget, meget ringe,« skriver Poul-Henning Kamp.
Leave a Reply