Киберконтрабанда и подделка цифровых подписей - новые типы киберпреступлений

Немецкие криптографы обнаружили способ подделывать цифровые подписи, а точнее, переносить их с оригинальных документов на фальшивые.

Ранее считалось, что это невозможно: цифровая подпись к каждому документу уникальна, поскольку сама сформирована из содержимого подписываемого файла. Соответственно, если пытаться вырезать цифровую подпись из одного документа и прикрепить к другому, то подпись окажется недействительной по причине несовпадения с содержимым оригинала.

Однако Штефан Люкс из Маннгеймского университета и Магнус Даум из Рурского университета обнаружили способ создавать два разных документа с одной и той же цифровой подписью. Для этого эксплуатируется уязвимость, недавно обнаруженная в распространённом криптографическом алгоритме, известном под названием хэш-функции. Алгоритмы такого рода преобразуют цифровой файл в хэш - цепочку битов фиксированной длины. Этот хэш используется вместе с электронным ключом для генерации подписи.

Подпись проверяется доверенной третьей стороной, которая удаляет ключ и сравнивает оставшееся число с оригинальным хэшем документа. Уязвимость хэш-функций была продемонстрирована ещё в августе 2004, а затем еще в феврале 2005 года, когда исследователи-криптоаналитики из Китая нашли слабину в американском криптоалгоритме SHA-1. Этот криптоалгоритм был разработан в Агентстве национальной безопасности США и принят Национальным институтом стандартов США в качестве инструмента для создания электронной подписи.

Оказалось, что его надёжность под вопросом. С другой стороны, описанные китайцами атаки рассматривались, скорее, как демонстрация технических возможностей - как академический эксперимент, едва ли применимый на практике. Люкс и Даум показали, что это не совсем так. Легкий трюк позволил слить в postscript-формате два документа так, чтобы по очереди один показывался, а другой скрывался, при этом общий хэш файла оставался неизменным.

Таким образом, появляется возможность реальной подмены документов, заверенных цифровой подписью. Со всеми вытекающими последствиями. Подмена - суть и второго типа атак, обнаруженного на сей раз уже американскими специалистами. Метод "контрабандного HTTP-запроса" предусматривает внедрение вредоносных пакетов в поток внешне нормальных запросов к серверу.

Американская фирма Watchfire, специализирующаяся на вопросах сетевой безопасности, объявила об обнаружении нового типа сетевых атак, названного HTTP Request Smuggling ("контрабандный HTTP-запрос"). Этот тип атаки эксплуатирует различия в том, как определённые комбинации программного обеспечения обрабатывают HTTP-запросы.

Умело сформированный HTTP-пакет, внедрённый в поток кажущихся вполне легитимными запросов, позволяет хакеру произвести целый ряд злонамеренных действий, включая дефейсы или внедрение вредоносного кода в обход средств защиты, настроенных на фильтрацию небезопасных пакетов данных. Главная проблема - именно в различных комбинациях программ, обрабатывающих HTTP-запросы.

Самый простой способ такой "контрабанды" сводится к отправке пакетов данных с несколькими заголовками (определяющими размер пакета), вместо одного. Как выяснили исследователи, разные программы по-разному реагируют на наличие нескольких заголовков. Одни набрасываются на первый, игнорируя второй, другие - как раз наоборот.

Если хакеру известна комбинация ПО, установленного на сервере, злоумышленник может "протащить" вредоносный код на машину и, например, подгрузить в кэш веб-сайта фальшивые страницы в обход авторизации.

Другие варианты "контрабандного запроса" подразумевают использование различий в объёме данных, которые разные программы способны обрабатывать, а также в том, как разные программы реагируют на форматирование пакетов.

Источник compulenta.ru