Что такое перехват данных
Исследование: Перехват трафика мобильного Интернета через GTP и GRX
Большинство абонентов считают, что работа через сотовую сеть достаточно безопасна, ведь крупный оператор связи наверняка позаботился о защите. Увы, на практике в мобильном Интернете есть множество лазеек, дающих широкие возможности для злоумышленников.
Исследователи Positive Technologies обнаружили уязвимости в инфраструктуре сетей мобильной связи, которые позволяют перехватывать GPRS-трафик в открытом виде, подменять данные, блокировать доступ к Интернету, определять местоположение абонента. Под угрозой оказываются не только мобильные телефоны, но и специализированные устройства, подключенные к 2G/3G/4G-сетям с помощью модемов: банкоматы и терминалы оплаты, системы удаленного управления транспортом и промышленным оборудованием, средства телеметрии и мониторинга и т.д.
Операторы сотовой связи, как правило, шифруют трафик GPRS между мобильным терминалом (смартфоном, модемом) и узлом обслуживания абонентов (SGSN) алгоритмами GEA-1/2/3, что осложняет перехват и расшифровку информации. Чтобы обойти это ограничение, злоумышленник может проникнуть в опорную сеть оператора, где данные не защищены механизмами аутентификации. Ахиллесовой пятой являются узлы маршрутизации (или шлюзовые узлы), которые называются GGSN. Их легко обнаружить, в частности, с помощью поисковика Shodan. У проблемных узлов открыты GTP-порты, что позволяет атакующему установить соединение, а затем инкапсулировать в созданный туннель управляющие пакеты GTP. При правильном подборе параметров GGSN воспримет их как пакеты от легитимных устройств сети оператора.
Протокол GTP, описанный выше, никаким образом не должен быть «виден» со стороны Интернета. Но на практике это не так: в Интернете имеется более 207 тысяч устройств по всему земному шару с открытыми GTP-портами. Более полутысячи из них являются компонентами сотовой сети и отвечают на запрос об установлении соединения.
Еще одна возможность для атак связана с тем, что GTP — далеко не единственный протокол управления на найденных узлах. Также встречаются Telnet, FTP, SSH, Web и др. Используя уязвимости в этих интерфейсах (например, стандартные пароли), нарушитель может подключиться к узлу оператора мобильной связи.
Экспериментальный поиск по сайту Shodan выдает несколько уязвимых устройств, в том числе с открытым Telnet и отключенным паролем. Достаточно подключиться к данному устройству и произвести в нем необходимые настройки для того, чтобы оказаться внутри сети оператора в Центральноафриканской Республике.
При этом всякий, кто получил доступ к шлюзовому узлу любого оператора, автоматически получает доступ к сети GRX, которая объединяет всех сотовых операторов и используется для предоставления доступа к Интернету абонентам в роуминге. Воспользовавшись единичной ошибкой в конфигурации на одном устройстве, злоумышленник получает возможность проводить различные атаки на абонентов любого оператора в мире.
Среди множества вариантов использования скомпрометированного пограничного узла следует отметить следующие: отключение абонентов от Интернета или блокировка их доступа к нему; подключение к Интернету под видом другого абонента и за чужой счёт; перехват трафика жертвы и фишинг. Злоумышленник также может определить идентификатор абонента (IMSI) и следить за местоположением абонента по всему миру, пока он не сменит SIM-карту.
Опишем некоторые угрозы более подробно.
Интернет за чужой счет
Цель: исчерпание счета абонента, использование подключения в противозаконных целях.
Вектор атаки: злоумышленник действует через сеть GRX или из сети оператора.
Атака заключается в отправке пакетов «Create PDP context request» с IMSI известного заранее абонента, таким образом происходит подключение к сети с его учетными данным. Ничего не подозревающий абонент получит огромные счета.
Возможно подключение с IMSI несуществующего абонента, так как авторизация абонента происходит на этапе подключения к SGSN, а к GGSN доходят уже «проверенные» соединения. Поскольку SGSN в данном случае скомпрометирован, никакой проверки не проводилось.
Результат: подключение к сети Интернет под видом легитимного абонента.
Перехват данных
Цель: подслушивание трафика жертвы, фишинг.
Вектор атаки: злоумышленник действует через сеть GRX или из сети оператора.
Злоумышленник может перехватить данные, передающиеся между абонентским устройством и сетью Интернет, путем отправки на обслуживающий SGSN и GGSN сообщения «Update PDP Context Request» с подмененными адресами GSN. Данная атака представляет собой аналог атаки ARP Spoofing на уровне протокола GTP.
Результат: подслушивание или подмена трафика жертвы, раскрытие конфиденциальной информации.
DNS-туннелирование
Цель: получить нетарифицируемый доступ к Интернету со стороны мобильной станции абонента.
Вектор атаки: злоумышленник — абонент сотовой сети, действует через мобильный телефон.
Давно известная атака, уходящая корнями во времена dial-up, потерявшая смысл при появлении дешевого и быстрого выделенного Интернета. Однако в мобильных сетях находит применение, например, в роуминге, когда цены за мобильный Интернет неоправданно высоки, а скорость передачи данных не так важна (например, для проверки почты).
Суть атаки в том, что некоторые операторы не тарифицируют DNS-трафик, обычно для того, чтобы переадресовать абонента на страницу оператора для пополнения счета. Этим можно воспользоваться — путем отправления специализированных запросов на DNS-сервер; также для этого необходим специализированный узел в интернете, через который будет осуществляться доступ.
Результат: получение нетарифицируемого доступа к сети Интернет за счет оператора сотовой связи.
Подмена DNS на GGSN
Цель: подслушивание трафика жертвы, фишинг.
Вектор атаки: злоумышленник действует через Интернет.
В случае получения доступа к GGSN (что, как мы уже заметили, вполне возможно) можно подменить адрес DNS на свой, перенаправить весь абонентский трафик через свой узел и таким образом осуществить «подслушивание» всего мобильного трафика.
Результат: подслушивание или подмена трафика всех абонентов, сбор конфиденциальных данных, фишинг
Как защититься
Некоторые подобные атаки были бы невозможны при правильной настройке оборудования. Но результаты исследования Positive Technologies говорят о том, что некорректная настройка — отнюдь не редкость в мире телекоммуникационных компаний. Зачастую и производители устройств оставляют включенными некоторые сервисы, которые должны быть отключены на данном оборудовании, что дает нарушителям дополнительные возможности. В связи с большим количество узлов подобный контроль рекомендуется автоматизировать с использованием специализированных средств, таких как MaxPatrol.
В целом, необходимые для защиты от таких атак меры безопасности включают правильную настройку оборудования, использование межсетевых экранов на границах сети GRX и Интернета, использование рекомендаций 3GPP TS 33.210 для настройки безопасности внутри сети PS-Core, мониторинг защищенности периметра, а также выработку безопасных стандартов конфигурации оборудования и периодический контроль соответствия этим стандартам.
Ряд специалистов возлагают надежды на новые стандарты связи, которые включают и новые технологии безопасности. Однако, несмотря на появление таких стандартов (3G, 4G), совсем отказаться от сетей старого поколения (2G) не удастся. Причиной этого являются особенности реализации мобильных сетей, в частности то, что у базовых станций 2G лучше покрытие, а также то, что на их инфраструктуре работают и сети 3G. В стандарте LTE все так же используется протокол GTP, а поэтому необходимые меры по защите будут актуальными в обозримом будущем.
О перехвате трафика: 4-10% зашифрованного HTTPS-трафика сегодня перехватывается
Совсем недавно довелось наткнуться на весьма любопытную заморскую статью. Хотелось бы сопоставить изложенные там факты с российским опытом. Смело делитесь своими мыслями в коментариях. Спойлер: шеф, все пропало!
В этой статье мы рассмотрим, проблему перехвата зашифрованного веб-трафика и её влияние на онлайн-безопасность. Согласно исследованию, опубликованному в NDSS 2017, сегодня перехватывается от 4% до 10% HTTPS-трафика. Анализ перехватов показал, что хотя они не всегда приносят вред, но всё же средства перехвата зачастую ослабляют шифрование, используемое для обеспечения безопасности коммуникаций, что повышает риски для пользователей.
Как перехватывается шифрованный трафик?
Как показано на иллюстрации, трафик перехватывается с помощью «атаки посредника». Специальное ПО перенаправляет на себя шифрованное соединение и притворяется запрошенным сайтом. Затем перехватчик открывает новое шифрованное соединение с целевым сайтом и проксирует данные сквозь себя, между двумя соединениями, что делает перехват по большей части «невидимым». Поскольку перехватчик получает доступ к не зашифрованным данным в рамках соединения, то он может считывать, изменять и блокировать любой контент, передающийся или получаемый клиентом.
Есть два основных способа перехвата соединений: локальный и удалённый.
Локальный перехват: когда программа-перехватчик выполняется прямо на пользовательском компьютере, сетевой стек операционной системы модифицируется таким образом, чтобы перехватывать и перенаправлять соединения в перехватчика. Этот подход обычно используется антивирусным ПО для мониторинга сетевых подключений, чтобы идентифицировать зловредные скачивания и попытки зловредов похитить данные или внедрить рекламу.
Удалённый перехват: выполняется посредством вставки в сетевой путь мониторинга, соединяющего пользовательский компьютер с сайтом, к которому обращается пользователь. Например, это можно сделать с помощью перенаправления сетевого трафика на перехватчика посредством политик файрвола. Сетевой перехват обычно выполняется «блоками защиты» (security box), которые пытаются выявить атаки или мониторят утечки корпоративных данных из всех компьютеров в сети. Эти аппараты также зачастую используются для перехвата и анализа электронной почты.
Важный аспект перехвата — как приложения выдают себя за сайты, а пользовательские браузеры не замечают подмены. Обычно при установке HTTPS-соединения браузер подтверждает подлинность сайта, проверяя представленный на нём сертификат. Если сертификат не проходит проверку, то браузер выдаёт предупреждение, как на картинке выше, что соединение потенциально небезопасно. Поэтому «невозможность подделки» TLS-сертификатов является краеугольным камнем онлайн-безопасности. Это техническое средство, дающее нам уверенность, что мы общаемся с правильной стороной, а не с самозванцем.
Возникает вопрос, а как HTTPS-перехватчики могут генерировать валидные сертификаты для всех сайтов, если они создавались как неподделываемые? Ответ кроется в процедуре определения браузером валидности сертификата. Если в общем, то при установке нового соединения браузер смотрит, подписан ли представленный на сайте сертификат одним из центров сертификации. Сертификаты центров хранятся локально на компьютере, в доверенном хранилище, поэтому любой добавляемый туда сертификат центра сертификации может быть использован для генерирования валидного сертификата для любого сайта.
Поэтому перехватчику проще всего подделывать сертификаты не через какую-то мудрёную криптографическую атаку, а посредством добавления собственного «корневого» сертификата в хранилище на компьютере. Тогда браузер будет доверять любому сертификату, подписанному перехватчиком. Это не является уязвимостью, потому что добавление сертификата, конечно, возможно только тогда, если у перехватчика есть доступ к файловой системе компьютера, или если сертификат установил сисадмин.
Насколько распространён перехват HTTPS?
Измерение количества перехватов — задача непростая, потому что перехватчики себя не рекламируют. Так что для регистрации фактов перехвата мы использовали усовершенствованную версию технологии сетевого «отпечатка пальца», известную как TLS fingerprinting. Это позволило нам определять, какое ПО осуществляет соединение (перехватчик или браузер). Технология оценивает конструкцию клиентского приветственного TLS-пакета (например, наборы шифров и TLS-опции) и сравнивает её с базой данных известных «отпечатков». Их надёжность очень высока, особенно по сравнению с user-agent’ом, рекламируемым в HTTP-запросе.
Исследователи оценивали работу большого интернет-магазина, сайта Cloudflare и серверы обновления Firefox. Оценивалось количество перехваченного их сервисами браузерного трафика. Важно иметь много «точек обзора», потому что результат меняется в зависимости от того, откуда смотреть. Например, в целом доля перехватываемых HTTPS-соединений варьируется от 4% до 10%. Это много, но важно помнить, что не все перехваты выполняются злоумышленниками.
Разбив по операционным системам трафик на Cloudflare и интернет-магазин выяснилось, что с Windows перехватывается гораздо чаще, чем с MacOS. Трафик с Android и iOS перехватывается значительно реже, чем с настольных ОС. Полное разбиение можно посмотреть на странице 13 нашего отчёта (ссылка в начале статьи).
Разбиение перехвата трафика обновления Firefox демонстрирует совсем другую картину. Чаще всего перехватом занимаются мобильные провайдеры. Отчасти это можно объяснить тем, что настольная версия Firefox использует отдельное хранилище для корневых SSL-сертификатов, что делает его менее вероятным кандидатом на перехват по сравнению с другими браузерами.
Кто и почему занимается перехватом на коммуникациях?
Вопреки распространённому мнению, перехват трафика не обязательно несёт вред. Согласно проведенному исследованию, обычно трафик перехватывается по двум противоположным причинам:
• Улучшение безопасности: антивирусы и некоторые корпоративные файрволы/IPS перехватывают трафик ради защиты своих пользователей. Они хотят проверять шифрованный трафик, стараясь предотвратить проникновение зловредов или мониторить утечку данных. Некоторое ПО для родителей и блокировщики рекламы используют аналогичный подход для блокирования трафика на определённые сайты.
• Активность злоумышленников: на другом конце спектра находится зловредное ПО, которое выполняет перехват ради внедрения рекламы или похищения конфиденциальных данных.
Выявив «отпечатки» известных продуктов, исследователи смогли отнести на их счёт немалую долю перехватов. При этом несколько приложений все же определить не удалось, что вполне может быть зловредным ПО.
Как перехват HTTPS-трафика влияет на безопасность?
Если перехват выполняется не с корыстными целями, то почему вообще это может ослабить онлайн-безопасность?
Основная причина в том, что большинство продуктов для перехвата используют не самую лучшую криптографию. И когда выполняется перехват, соединение от перехватчика к сайту использует небезопасное шифрование пользовательских данных вместо более надёжных алгоритмов, применяемых в современных браузерах.
А из-за слабого/уязвимого шифрования трафик становится уязвимее для атак. Хакеры также могут перехватывать шифрованные соединения и похищать данные вроде документов, электронных писем и сообщений мессенджеров. В некоторых случаях, например, у Komodia, реализация криптографии настолько плоха, что атакующий может с минимальными усилиями перехватывать любые зашифрованные коммуникации.
Чтобы посчитать влияние HTTPS-перехватов на безопасность соединений исследователи проанализировали безопасность криптографических стеков, используемых перехватчиками. В целом у 65% перехваченных соединений на серверы обновления Firefox безопасность снижена, а 37% оказались легкоуязвимы к «атакам посредника» из-за вульгарных криптографических ошибок (например, сертификаты не валидированы) [65,7%+36,8%=102,5%, но так в оригинале — прим. переводчика]. Не сильно лучше оказалась ситуация с трафиком на Cloudflare.
Чтобы закончить на «позитивной» ноте, нужно упомянуть, что в редких случаях (4,1% у интернет-магазина и 14% у Cloudflare) перехват повышает безопасность соединений. Но это по большей части следствие ранжирования более слабых шифров (RC4 и 3DES).
В целом перехваты HTTPS распространены больше, чем ожидалось (4%—10%), и они влекут за собой серьёзные риски, поскольку ухудшают качество шифрования. Более того, используемые для перехвата реализации HTTPS не имеют тех же механизмов автоматического обновления, как в браузерах, что делает применение фиксов менее вероятным. Пассивные и перехватывающие промежуточные устройства тоже повлияли на задержанный релиз TLS 1.3 в браузерах.
Надеемся, что привлечение внимания к этой проблеме поможет программным вендорам, полагающимся на перехват, осознать рискованность этой практики. Ну а у нас есть очередная тема для дискуссии.
Что такое перехват сеанса и как его предотвратить? Типы захвата сессии. Как происходит захват сессии?
Мы ассоциируем файлы cookie с отслеживанием и раздражающей рекламой в интернете, но они также сохраняют поисковые запросы, позволяя нам заходить на сайты без ввода логина и пароля. Однако, если кто-то перехватит файл cookie, то это может привести к катастрофической кибератаке под названием «перехват сеанса».
Украденные файлы cookie являются ключевыми элементами распространенных и опасных атак по захвату сессий, которые могут поставить наши конфиденциальные данные под угрозу от рук злоумышленников. Перехват сеанса может нанести большой ущерб еще до того, прежде чем мы узнаем, что произошло.
Что такое перехват сеанса?
Это серия взаимодействий между вашим устройством и веб-сервером. Сессия начинается, как только вы входите на сайт или в приложение, например, в онлайн-банк. Она продолжается все время, пока вы находитесь внутри кабинета, проверяете свой баланс или совершаете платежные операции, и заканчивается в тот момент, когда вы выходите из системы. Но как веб-сервер узнает, что каждый запрос, который вы делаете, на самом деле исходит от вас?
Вот тут-то и появляются куки. После входа в систему вы отправляете свои учетные данные на веб-сервер. Он подтверждает кто вы и дает вам идентификатор сеанса, используя файл куки, который будет прикреплен к вам в течение всей сессии. Вот почему вы не выходите из Вконтакте каждый раз, когда посещаете чей-то профиль, и почему интернет-магазин запоминает, что вы положили в свою корзину покупок, даже если вы обновите страницу.
Но если злоумышленник воспользуется специальными методами управления сеансом или украдет ваш куки-файл, он может перехватить сессию. Таким образом, он может обмануть веб-сервер, который будет уверен в том, что запросы поступают от вас, авторизованного пользователя. С этого момента киберпреступник может делать банковские переводы или совершать онлайн-покупки от вашего имени, даже не крадя вашу регистрационную информацию.
Типы захвата сессии
Угон сессии можно разделить на две основные категории, в зависимости от того, чего хочет преступник.
Как происходит захват сессии?
Существует довольно много методов для выполнения атаки захвата сеанса. Большинство тактик зависят от уязвимостей веб-сервера, но также и многие пользователи не думают о безопасности своих данных.
Как предотвратить перехват сеанса?
Возможность перехвата сеанса обычно сводится к безопасности веб-сайтов или приложений, которые вы используете. Тем не менее, есть шаги, которые можно выполнить, чтобы защитить себя.
Перехват информации
Информация — важный ресурс. Она позволяет избавляться от неопределенности, принимать решения. Для любой компании информация —это конкурентное преимущество. Чем больше в организации знают о рынке, потребителях, продукте, трендах и конкурентах, тем более эффективные решения, ведущие к большей прибыли, будут приниматься.
Особенное место занимает знание конкурентов. Для анализа их деятельности и положения на рынке используются открытые данные — информация публикуемая самой компанией или СМИ. Косвенная информация, которую разглашают или косвенно демонстрируют, к примеру, через фото в соцсетях, сотрудники. Но некоторые прибегают к незаконным способам добычи сведений, одним из которых является несанкционированный перехват информации.
Перехваченная информация может быть использована для шантажа, получения наживы, получения конкурентного преимущества, проведения вредоносных кампаний.
Несанкционированный перехват информации
Нельзя сказать, что каналы коммуникации непременно являются слабым местом любой компании. Но то, что они представляют интерес для злоумышленников, сомнений не вызывает.
Данные, которыми располагает компания, могут находиться в одном из трех состояний — храниться, обрабатываться или передаваться. Перехват информации осуществляется именно во время ее передачи. Хранящиеся данные, как правило, надежно защищены. Не будем говорить о тех случаях, когда базу данных банально забывают запаролить — это нельзя считать правилом, хоть и происходит такое довольно регулярно. Ответственные организации используют и стандартные, и продвинутые методы защиты. Обойти их если и можно, то действие такое потребует серьезной подготовки и ресурсов и зачастую просто невыгодно.
Данные во время передачи менее защищены, хотя средства защиты есть и совершенствуются. Сам факт, что в процессе передачи участвует как минимум две стороны, есть этапы и различные средства, участвующие в процессе, означает наличие потенциально слабых мест. И этим пользуются злоумышленники (хотя и не всегда они).
Перехват информации может производиться путем подключения к каналам ее передачи, получения контроля над одним из этапов передачи, внедрения шпионской программы или использования аппаратных средств.
Для перехвата нецифровой информации существует специальное оборудование. «Жучки» для прослушивания, камеры, лазерные устройства, которые могут считывать вибрации с окон и таким образом записывать разговоры, и многие другие. В литературе по соответствующей тематике можно найти описания десятков подобных устройств. К тому же такие средства продолжают изобретаться, а существующие совершенствуются.
Прослушка телефонных линий — это, можно сказать, классический метод перехвата информации. Он используется не только недобросовестными конкурентами, но и, зачастую, спецслужбами, которым для этого нужна санкция суда.
Прослушка телефона может осуществляться разными способами. К существующим добавились новые, когда телефония изменилась с появлением сотовой связи. Для прослушки используются как специальные программы, так и прямое подключение к кабелю, позволяющее перехватывать весь трафик. Однако, если связь использует шифрование, то такое подключение бесполезно.
Перехват данных при их передаче по протоколам передачи файлов или почтовым протоколам может осуществляться с помощью специального ПО, которое внедряется на устройства. Внедрение может быть результатом фишинговых кампаний или происходить из-за небезопасных действий пользователей. К примеру, из-за установки пиратских программ.
Санкционированный перехват информации
Перехватывать информацию могут не только злоумышленники. Этим может заниматься и сама компания, владеющая конфиденциальными данными. И делать это она будет как раз для того, чтобы их защитить. Для этих целей компании используют DLP-системы. Это класс программ, которые созданы для того, чтобы держать под контролем каналы цифровой коммуникации.
Сотрудники пользуются различными мессенджерами, пересылают сообщения и файлы, используя протоколы передачи данных. DLP-система держит под контролем все каналы и сканирует передаваемые данные. Этот процесс также можно назвать перехватом информации.
Цель такого перехвата — проверка, не используются ли цифровые каналы для передачи секретов компании, и не вредят ли сотрудники интересам работодателя.
Программа решает, какая информация относится к конфиденциальной, сравнивая ее с хранящимися в базе образцами. В DLP-систему можно загружать текстовые или графические файлы, которые будут служить триггерами для выполнения нужных действий. Если сотрудник пересылает по почте файл, образец которого хранится в базе, система может заблокировать передачу или просто сообщит службе безопасности, сохранив всю информацию и метаданные о зарегистрированном случае.
Так же система может срабатывать не только на файлы, но и на отдельные слова и фразы. При настройке политики безопасности можно создать словари, к примеру, с именами руководства, грубыми фразами, словами, которые могут указывать на обсуждение коммерческой тайны. И система будет реагировать так, как будет задано в настройках, когда эти слова будут встречаться в переписках и разговорах. Такие меры позволяют выявлять нелояльных сотрудников и возможные утечки на ранних стадиях.
Таким образом, перехват информации может быть не только угрозой безопасности, но и методом борьбы с угрозами. Многие компании, особенно связанные с финансами, обороной, разработками, энергетикой, хранящие и обрабатывающие персональные или секретные данные, прибегают к фильтрации входящего и исходящего трафика, чтобы гарантировать сохранность этих данных.