Компании "Инфовотч" видимо надоели обвинения в нарушении Конституции РФ и тайны переписки, и они решили перевести внимание на другую группу, подставив экспертов в области тестирования на проникновение. Инкриминируют им не много, ни мало - 273 статью УК - т.е. до 3х лет.
Понятно, что все это глупости, и настоящие пентестеры не создают вредоносное программное обеспечение, а используют утилиты удаленного управления, НО!
Между пентестерами и антивирусной индустрией действительно существует некоторый конфликт.
Г-н Гостев из ЛК в своем блоге комментирует:
конкретизирую еще больше: присесть по 273 пентестер может только если заказчик окажется недоволен или решит сэкономить на оплате. Но возникнут серьезные проблемы с доказательством "создания" и туманным наличием "распространения". Гораздо проще пентестера пустить не по 273, а по 274. Или 272 :)
Тут есть не совсем правда. Дело в том, что по 274 у нас практически нет правоприменительной практики. 272 практически полностью закрывается договором, где прописывается возможность нарушения целостности, доступности и конфиденциальности, а также меры по минимизации последствий.
НО! 273 - подразумевает такую вещь как разработка и распространение вне зависимости от последствий (ущерба). Казалось бы - что здесь такого?
Дело в том, что в ходе тестов на проникновение часто используются различные "утилиты удаленного управления", которые, при желании, можно классифицировать как "вредоносные". Особенно учитывая текущую ситуацию, когда некоторые "очень эвристические" антивирусы срабатывают на любой чих.
Детализирую. Сложность "утилит удаленного управления" может меняться в зависимости от ТЗ на работы. Это могут быть относительно простые вещи (даже HTML или HTA-файлы), которые оставляют маркер в уязвимой системе или на внешнем сервере, демонстрируя наличия проблемы. Такой подход часто используется в ходе оценки эффективности программы повышения осведомленности в области ИБ, когда "закрепление" в нескольких тысячах систем тестируемых сотрудников не имеет смысла.
Но иногда, в ходе глубоких Red Team Pentest заказчика интересует, сумеет ли "продвинутый" злоумышленник обойти комплекс средств защиты, куда входят и антивирусы...
В этой ситуации пентестерам приходится искать недостатки в антивирусных программах и разрабатывать "утилиты удаленного управления", обходящие защиту.
Казалось бы - и в чем проблема? На то они и пентесты, чтобы искать уязвимости. По окончанию - отрапортовали антивирусному вендору об уязвимости, он закрыл проблему, и все счастливы...
Но.......................................
Жалко!
Достаточно дорого и затратно разрабатывать новые и новые методы обхода антивирусных средств для каждого теста. Хочется использовать их пока вендор сам не закроет проблему. И сменить responsible (или full) disclosure на non-disclosure.
И тут возникает конфликт. Антивирусному вендору тоже обидно, что кто-то нашел у него уязвимость и во всю использует, не ставя его в известность.
Таким образом, потенциальная проблема есть, но существует она в основном из-за конфликта интересов пентестеров и антивирусных вендоров. И, соответственно, решать её придется каждой компании, занимающейся пентестами для себя индивидуально.
вторник, 1 сентября 2009 г.
пятница, 28 августа 2009 г.
WPA взломан?! Опять?!
Toshihiro Ohigashi и Masakatu Morii опубликовали работу об улучшенной атаке на WPA. Вместо QoS используется MitM, но логика та же. Результаты - восстановление MIC, расшифрование коротких пакетов.
Время атаки уменишилось на порядок (с 10-15 до 1-2 минут), но результаты пока не критичны.
В любом случае WPA-TKIP стоит держать только для совместимости.
Время атаки уменишилось на порядок (с 10-15 до 1-2 минут), но результаты пока не критичны.
В любом случае WPA-TKIP стоит держать только для совместимости.
пятница, 17 июля 2009 г.
Уважаемый. Напишите о практической реализации MITM атаки на Wi-Fi сеть инсайдером!
Вот такой странный комментарий появился у меня в журнале.
Ну что ж, по просьбе зрителей.
Данная информация предоставляется на условиях "КАК ЕСТЬ", без предоставления каких-либо гарантий и прав. Все информация в этом сообщении носит информационный характер и не должна использоваться для нарушения Российского и международного законодательства. Используя данную информацию, Вы соглашаетесь с тем, что авторы не несут ответственности за использование Вами данной информации, и Вы принимаете на себя весь риск, связанный с использованием данной информации. Авторы не несут ответственности за использование данной информации третьими лицами.
Вариант 1 (сложный). Двойной MITM
Необходимо:
1. Точка доступа (AP)
2. Рабочая станция под управлением Windows (WS)
3. Опционально - рабочий набор утилит Aircrack с возможностью внедрения фреймов (HS) (может быть под Windows или под Linux). Это требование включает в себя "правильную" сетевую карту, драйверы и т.д.
Последовательность действий:
1. AP настраивается в режиме AP :) с использованием известного злоумышленнику ключа WPA2 и SSID реальной точки доступа.
2. WS подключается к AP и к проводной сети. Сетевые адаптеры переводятся в режим моста (bridge) для проброса трафика между проводным и беспроводным сегментом.
3. Атакуемый отключается от реальной точки доступа с помощью HS, реализующей атаку deauth flood .
4. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing через проводной адаптер.
5. Задача решена, землекопа полтора.
Вариант 2 (простой). Просто MITM
Необходимо:
1. Рабочая станция под управлением Linux (HS) с Aircrack (HS).
2. Виртуальная машина Windows WS (я использую VmWare) на HS.
Последовательность действий:
1. HS подключается к легитимной точке доступа с использованием известного плохому парню ключа WPA2.
2. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing.
3. Задача решена, землекопа полтора.
Поскольку все это шаманство связанно с тем, что WinPcap не умеет работать с беспроводными адаптерами, а Cain&Abel и круче ettercap и вообще rulezz foreva , но не очень работает на Linux то существует еще:
Вариант 3. Kiddie-style
Необходимо:
1. Рабочая станция под управлением Windows (WS) с установленным AirPcap.
Последовательность действий:
1. WS подключается к легитимной точке доступа с использованием известного плохому парню ключа WPA2.
2. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing.
3. Задача решена, землекопа полтора.
PPS. Вообще работать с WiFi стало как-то скучно. Недавно, проводя внутренне обучение обнаружил, что в AirCrack уже встроили wep0ff и wep0ff_ng.
Просто - запускай ивзламывай тестируй.
Ну что ж, по просьбе зрителей.
Данная информация предоставляется на условиях "КАК ЕСТЬ", без предоставления каких-либо гарантий и прав. Все информация в этом сообщении носит информационный характер и не должна использоваться для нарушения Российского и международного законодательства. Используя данную информацию, Вы соглашаетесь с тем, что авторы не несут ответственности за использование Вами данной информации, и Вы принимаете на себя весь риск, связанный с использованием данной информации. Авторы не несут ответственности за использование данной информации третьими лицами.
Вариант 1 (сложный). Двойной MITM
Необходимо:
1. Точка доступа (AP)
2. Рабочая станция под управлением Windows (WS)
3. Опционально - рабочий набор утилит Aircrack с возможностью внедрения фреймов (HS) (может быть под Windows или под Linux). Это требование включает в себя "правильную" сетевую карту, драйверы и т.д.
Последовательность действий:
1. AP настраивается в режиме AP :) с использованием известного злоумышленнику ключа WPA2 и SSID реальной точки доступа.
2. WS подключается к AP и к проводной сети. Сетевые адаптеры переводятся в режим моста (bridge) для проброса трафика между проводным и беспроводным сегментом.
3. Атакуемый отключается от реальной точки доступа с помощью HS, реализующей атаку deauth flood .
4. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing через проводной адаптер.
5. Задача решена, землекопа полтора.
Вариант 2 (простой). Просто MITM
Необходимо:
1. Рабочая станция под управлением Linux (HS) с Aircrack (HS).
2. Виртуальная машина Windows WS (я использую VmWare) на HS.
Последовательность действий:
1. HS подключается к легитимной точке доступа с использованием известного плохому парню ключа WPA2.
2. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing.
3. Задача решена, землекопа полтора.
Поскольку все это шаманство связанно с тем, что WinPcap не умеет работать с беспроводными адаптерами, а Cain&Abel и круче ettercap и вообще rulezz foreva , но не очень работает на Linux то существует еще:
Вариант 3. Kiddie-style
Необходимо:
1. Рабочая станция под управлением Windows (WS) с установленным AirPcap.
Последовательность действий:
1. WS подключается к легитимной точке доступа с использованием известного плохому парню ключа WPA2.
2. На WS запускается программа Cain & Abel, реализующая атаку MITM на протокол SSL с использованием ARP-spoofing.
3. Задача решена, землекопа полтора.
PPS. Вообще работать с WiFi стало как-то скучно. Недавно, проводя внутренне обучение обнаружил, что в AirCrack уже встроили wep0ff и wep0ff_ng.
Просто - запускай и
среда, 15 июля 2009 г.
Новые 0-day
Две полезных заметки Валерия Марчука про незакрытые и активно используемые злоумышленниками уязвимости:
Уязвимости нулевого дня и защита от текущих угроз
Защита от 0-day в Microsoft DirectShow
PS. Поздравляю Валерия с получением статуса MVP. Сейчас с Positive Technologies и SecurityLab сотрудничает уже 3 эксперта, сертифицированные как MVP in Enterprise Security.
Уязвимости нулевого дня и защита от текущих угроз
Защита от 0-day в Microsoft DirectShow
PS. Поздравляю Валерия с получением статуса MVP. Сейчас с Positive Technologies и SecurityLab сотрудничает уже 3 эксперта, сертифицированные как MVP in Enterprise Security.
четверг, 25 июня 2009 г.
Сколько людей, столько мнений. Аудиторы PCI о хранении PAN
Практически одновременно запущенно два сайта по PCI DSS: один от Информзащиты и второй от Digital Security.
Интересным оказалось наличие у аудиторов двух диаметрально противоположных взглядов на хранение PAN.
Если Digital Security достаточно категорично выступает против хранения PAN в открытом виде и предлагает использовать их хэш-значения, то Информзащита не видит ничего противоречащего требованиям PCI в хранении PAN в открытом виде в почтовых ящиках пользователей.
Цитировать и вырывать из контекста не хочу, лучше посмотреть оригинальные обсуждения.
Интересным оказалось наличие у аудиторов двух диаметрально противоположных взглядов на хранение PAN.
Если Digital Security достаточно категорично выступает против хранения PAN в открытом виде и предлагает использовать их хэш-значения, то Информзащита не видит ничего противоречащего требованиям PCI в хранении PAN в открытом виде в почтовых ящиках пользователей.
Цитировать и вырывать из контекста не хочу, лучше посмотреть оригинальные обсуждения.
понедельник, 22 июня 2009 г.
Secret, Sex, Love, God? Нет, 1234567!
Опубликован подготовленный Дмитрием Евтеевым обзор наиболее распостраненных нарушений парольной политики в российских компаниях.
Как показано в публикации, статистика используемых паролей российских пользователей значительно отличается от данных западных исследований. Так, список наиболее распространенных паролей включает только фразы, составленные из расположенных рядом символов, таких как 1234567 и qwerty, тогда как западные пользователь больше склонны использовать слова английского языка (password, love и т.д.). Более 50% используемых паролей состоят только из цифр, что крайне негативно сказывается на их стойкости.
Требования PCI DSS нарушаются в 74 случаях из 100, а администраторы более склонны к использованию пустых паролей чем обычные пользователи.
Полный текст исследования:
http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf
Другие исследования Positive Technologies:
http://www.ptsecurity.ru/analytics.asp
Как показано в публикации, статистика используемых паролей российских пользователей значительно отличается от данных западных исследований. Так, список наиболее распространенных паролей включает только фразы, составленные из расположенных рядом символов, таких как 1234567 и qwerty, тогда как западные пользователь больше склонны использовать слова английского языка (password, love и т.д.). Более 50% используемых паролей состоят только из цифр, что крайне негативно сказывается на их стойкости.
Требования PCI DSS нарушаются в 74 случаях из 100, а администраторы более склонны к использованию пустых паролей чем обычные пользователи.
Полный текст исследования:
http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf
Другие исследования Positive Technologies:
http://www.ptsecurity.ru/analytics.asp
воскресенье, 7 июня 2009 г.
Дональд Кнут выступает против патентования ПО
Приятно, когда разумные люди говорят разумные вещи.
http://www.securitylab.ru/news/380977.php
http://www.groklaw.net/article.php?story=20090603224807259
http://www.securitylab.ru/news/380977.php
http://www.groklaw.net/article.php?story=20090603224807259
Подписаться на:
Сообщения (Atom)