Core Security Technologies продемонстрировали новый тип атаки на коммерческие базы данных

image

Теги: Core Security Technolog

Новая атака эффективно работает против алгоритма Btree, используемого для создания индексов почти во всех популярных СУБД, например в MySQL или Oracle.

Специалисты компании Core Security Technologies на открывшейся сегодня в Лас-Вегасе (Невада, США) конференции Black Hat продемонстрировали новый тип атаки на коммерческие базы данных, при помощи которой злоумышленники смогут получать из баз данных закрытую информацию, причем в самой системе управления базами данных или в связующем программном обеспечении может и не быть каких-либо уязвимостей.

Во время демонстрации уязвимости специалисты компании заявили, что в данном случае используется так называемая атака тайминга, техника применяемая для взлома многих криптографических систем.

Новая атака эффективно работает против алгоритма Btree, используемого для создания индексов почти во всех популярных СУБД, например в MySQL или Oracle.

"На сегодня угрозы безопасности касаются в основном ошибок в программном обеспечении или неверной конфигурации сетевого окружения и дополнительного связующего программного обеспечения, поэтому злоумышленники могут получить доступ к данным, так или иначе обойдя систему авторизации и аутентификации" - говорят в Core Security.

Новый же тип атак полностью полагается на наследственные характеристики алгоритмов индексирования данных.

В криптографии, атаки, использующие метод тайминга, представляют собой специальную технику, когда атакующий анализирует время, затраченное программой на выполнение криптографического алгоритма.

Далее, при помощи статистических данных о скорости работы всех используемых алгоритмов хакер из открытых источников получает информацию о том, какой алгоритм используется (на основании данных по времени), а также какая именно криптографическая система развернута. После чего, работа злоумышленника сводится к обнаружению готовых эксплоитов для связки алгоритм шифрования - программа шифрования, либо к созданию собственного "ключа" для этого алгоритма, что более трудоемко, но и более эффективно.

В случае с базами данных подход тот же. Злоумышленник, желающий, например, получить закрытые данные из БД какого-либо сайта, заходит на этот сайт, после чего производит тестовые замеры время выполнения команды Insert, отвечающей за добавление данных в БД. Сделать это можно массой способов, например, написав в форуме сайта сообщения различной длины. Далее сравниваются данные вставки малого и большого объема данных. В результате временнЫх замеров (тайминга) у злоумышленника появляются данные об используемой СУБД и ее версии.

Еще более эффективен метод тайминга в случае одновременной вставки данных различного объема.

В результате получения данных о времени выполнения, можно будет получить информацию о структуре данных и дереве индексов СУБД, после чего задача злоумышленника по получению закрытых данных многократно упрощается.

Еще одна опасность данного метода в том, что обнаружить данную атаку при активном посещении сайта практически невозможно, так как помимо злоумышленника с данными активно работают и легитимные пользователи.


или введите имя

CAPTCHA
Страницы: 1  2  3  
1
02-08-2007 14:24:46
Получение с большим геморроем версии бд - врядли кто-нибудь будет заниматься этим.
0 |
1
02-08-2007 14:32:58
А можно еще подделать голос бабушки админа, позвонить ему на работу и под видом что собираешься печь плюшки спросить версию БД
0 |
1
02-08-2007 15:05:14
+1
0 |
1
02-08-2007 14:42:12
после чего задача злоумышленника по получению закрытых данных многократно упрощаетсячем поможет полученная информация (версия БД и прочая фигня) для дальнейших действий? и какие именно должны быть эти "дальнейшие действия"?
0 |
1
02-08-2007 14:47:57
Хня это фсьо, я думал что-то сенсационное. Вообще ИМХО это не сильно таки и закрытая информация какая версия БД и какие в ней ключи. Даже хоть фсю структуру БД знай, просто пусть к ней подключиться попробует если кроме как с localhost нельзя. Я такому злоумышленку даже могу подарить дамп базы без данных. А уж когда если добрался до таблицы с паролями, так ещё же надо md5 подобрать, а если там соль использовалась, то вообще может забыть.
0 |
1
02-08-2007 15:30:58
Возможно, проблема проявится на очень больших базах данных. Тогда действительно, в зависимости от скорости выполнения запроса при авторизации, cначало со "средним паролем", потом больше, меньше, сузить область подбора.
0 |
1
02-08-2007 16:21:50
к примеру билинх какого нибудь крупного провайдера...
0 |
Страницы: 1  2  3