وقت القراءة: 6 دقائق

بعد حادثة 15 مارس ، أدخلت Comodo طرقًا وضوابط إضافية على الفور ضد هذا التهديد الجديد. في 26 مارس ، اكتشفت هذه الأنظمة أن بائعًا آخر تعرض لهجوم مماثل ممن نعتقد أنه نفس الجاني. الإجراءات الأمنية الجديدة تحمي من هذا الهجوم. لم تتضمن أي من هذه الهجمات الأخيرة المساومة على أي بنية تحتية لشركة Comodo. قام Comodo بتحديث تقرير الحادث. نحن في Comodo نتطلع إلى مواصلة عملنا مع جميع أصحاب المصلحة وقطاع الأمن لمواصلة الاستجابة لهذا الحادث من خلال تدابير العلاج ووضع معايير جديدة لهذه التهديدات الجديدة والناشئة.

مع تغير استخدامات الإنترنت ، يتغير نموذج التهديد. كانت نقاط الضعف في البنية التحتية للإنترنت التي أبرزها الهجوم من إيران موجودة منذ أكثر من عقد ، وما تغير هو أهميتها.

المال سلعة قابلة للاستبدال ولا يستحق إنفاق $ X في الوقت والجهد والموارد لحماية الأصول التي تقل قيمتها عن $ X. الحرية ليست سلعة قابلة للاستبدال ، لذا فقد تغير نموذج التهديد.

إذا كنا سنحقق النجاح ، فنحن بحاجة إلى معالجة أمن النظام والنظر إلى ما وراء الحدث المباشر والهدف المحدد. يسلط الهجوم الضوء على ضعف في البنية التحتية لهيئة إصدار الشهادات التي كنا قد اقترحنا بالفعل معالجتها مع اقتراح تفويض هيئة إصدار الشهادات (CAA) المقدم إلى IETF ، الذي شارك في تأليفه بن لوري من Google.

سنلقي نظرة على الجهاز المركزي للمحاسبات في لحظة ، ولكن دعونا أولاً ننظر إلى الأجزاء الأخرى من النظام الضعيفة ؛ مصادقة كلمة المرور ومصادقة الرمز.

كان الهدف النهائي للهجوم المعني هو اعتراض الاتصال بخوادم المصادقة في موفري البريد الإلكتروني الرئيسيين ومواقع الشبكات الاجتماعية ، وتحديدًا للسيطرة على هذه الحسابات من خلال الحصول على أسماء المستخدمين وكلمات المرور. يتمثل الضعف الأساسي في نظام مصادقة الويب الحالي في أن متصفح الويب يصادق على خادم ويب بتمرير كلمة المرور. استخدام SSL يحمي كلمة المرور من الاعتراض أثناء الاتصال لكن خادم الويب يتلقى كلمة المرور الفعلية التي كتبها المستخدم. وبالتالي فإن نتيجة أي اختراق من خادم ويب أو شهادة SSL هو اختراق أوراق اعتماد المستخدم. هذا ضعف لا لزوم له في البنية التحتية لأمن الإنترنت ويمكن حلها من خلال بعض التغييرات الطفيفة على SSL/ آلية مصادقة HTML إذا استطعنا فقط إيجاد الإرادة للعمل.

الجزء الآخر من النظام الذي هو عرضة للخطر هو مصادقة التعليمات البرمجية. واحدة من الخدمات العديدة التي تقدمها الحكومة الإيرانية لمواطنيها هي خادم ويب يقدم برامج مجانية. على عكس البرمجيات المجانية التي تقدمها SourceForge وما شابه ، فإن هذا البرنامج المجاني هو في الغالب برنامج تجاري مسروق مع إزالة أي آليات لحماية النسخ. الخبراء الذين استعرضوا البرنامج يقولون لي أنه يحتوي على أبواب خلفية و قطع الاشجار التي من شأنها تمكين المراقبة الحكومية لاستخدام الجهاز.

إذا كنا سننجح في الدفاع ضد هذا المستوى الجديد من الهجوم ، فيجب أن نكون سباقين ونعالج جميع القضايا الثلاث. إن النهج التفاعلي الذي يعالج نقاط الضعف فقط أثناء استغلالها سيفشل.

ترخيص مرجع مصدق (CAA) هو اقتراح لمعالجة أول مجال للضعف من تأليف نفسي وروب سترادلينج من Comodo و Ben Laurie من Google. تم تقديم المسودة الأولى للاقتراح في أكتوبر 2010 ، قبل وقوع الهجوم أو الأحداث السياسية التي يعتقد أنها كانت دوافع.

CAA هي آلية تسمح لمالك اسم المجال بتحديد السلطات المصدقة و / أو مفاتيح التوقيع المصرح لها بإصدار شهادات للمجال. تسمح الآلية الأساسية للمراجع المصدقة بتجنب إصدار الشهادات بشكل خاطئ وللبرامج التطبيقية لتجنب الاعتماد على الشهادات التي تم إصدارها بشكل خاطئ.

على سبيل المثال ، تخيل أن Alice Corp هي شركة 10,000،30 موظف ولها مكاتب في XNUMX دولة. إذا طلبت Carol CA شهادة تزعم أنها من Alice Corp ، فستتحقق من صحة الشهادة وتصدرها بموجب سياسة Carol CA التي قد تكون مختلفة تمامًا عن السياسة التي ترغب Alice Corp في تطبيقها.

وقد أدركت الشركات الكبيرة التي تعتبر أهدافًا متكررة لهذا النوع من الهجمات هذه الثغرة الأمنية الخاصة وأبرمت اتفاقيات توريد فردية أو مقيدة مع مرجع مصدق واحد أو عدد صغير من المراجع المصدقة. يمكن بعد ذلك دمج عملية إصدار الشهادات وإدارة دورة حياة الشهادة في العمليات التجارية للعميل.

إن منع سوء إصدار شهادة Alice Corp من قبل مرجع مصدق معتمد هو أمر واضح تمامًا حيث سيتم تقديم جميع الطلبات المشروعة من خلال العمليات المحددة المتفق عليها بين Alice Corp و CA المعتمد. تظهر المشكلة عندما لا تكون Carol CA CA معتمدة. لا تملك كارول كاليفورنيا اليوم وسيلة لمعرفة أن سياسة الموردين المقيدة موجودة حتى. يسمح CAA لمالك اسم المجال بالإعلان عن وجود سياسة مورد مقيدة وبالتالي منع حدوث مشكلة خاطئة. إذا كانت Carol CA مدرجة في قائمة المراجع المصدقة المعتمدة ، فستتحقق للتأكد من أنها تتوافق مع أي متطلبات مصادقة إضافية تم الاتفاق عليها خارج النطاق. إذا تم نشر مجموعة من المراجع المصدقة المعتمدة ولم يتم سرد Carol CA ، فمن شبه المؤكد أن الطلب احتيالي ويجب رفضه.

بالإضافة إلى تسهيل عملية CA لتجنب المشكلة الخاطئة ، توفر آلية CAA معيارًا موضوعيًا للمشكلة الخاطئة. في حالة إصدار مرجع مصدق على الرغم من مجموعة تفويض مرجع مصدق منشورة ، فإن إصدار الشهادة يمكن أن يكون مشكلة خاطئة فقط. من المحتمل أن تجد سلطات إصدار الشهادات التي تستمر في إساءة إصدارها أن مزودي برامج العملاء لم يعودوا مستعدين لتضمين شهادات الجذر الخاصة بهم أو وضع علامة عليها على أنها جديرة بالثقة.

وبالتالي فإن الجهاز المركزي للمحاسبات هو عنصر تحكم في المساءلة ضد سوء إصدار الشهادة. على عكس معظم التغييرات المقترحة على البنية التحتية للإنترنت ، يمكن تحقيق فوائد منع الأحداث الخاطئة بسرعة كبيرة. لا يتعين على صاحب اسم المجال الانتظار حتى يقوم الجميع بتحديث متصفح الويب الخاص بهم ، وسوف يحصلون على الفائدة عند نشر المراجع المصدقة ويكون للأخير دافع قوي للقيام بذلك بسرعة كبيرة.

إذا كان نموذج التهديد يقتصر على الهجمات ذات الدوافع المالية من الجريمة المنظمة ، فقد تكون مراقبة المساءلة وحدها كافية. ضوابط المساءلة ليست كافية عندما يمتد نموذج التهديد إلى الوكالات الحكومية يمكنه إكراه مُصدر الشهادة أو وكيله.

يمكننا أن نحاسب أي شخص على سوء التصرف الناتج عن الإهمال أو الخبث ولكن يجب أن يكون النظام قويًا ضد التهديدات بالإكراه. يُخبر موظفو البنك في اليوم الأول من العمل أنه إذا جرت محاولة سطو مسلح ، فعليهم تسليم محتويات الخزنة وعلبة الموت. إن محاولة مقاومة السطو المسلح هي جريمة إطلاق نار. نحن بحاجة إلى اتباع نفس النهج لعمليات هيئة إصدار الشهادات: اتخاذ جميع الاحتياطات المعقولة ولكن لا نتوقع إجراءات غير معقولة. تحد البنوك من السرقات من عمليات السطو المسلح من خلال التأكد من أن كمية المخزون (أي المال) في متناول اليد لا تتجاوز أبدًا مبلغًا صغيرًا نسبيًا.

بالإضافة إلى عنصر التحكم في المساءلة الذي يوفر فائدة فورية تقريبًا بمجرد تعيين رمز سجل موارد DNS الضروري ، تسمح CAA بفرض قيود على مُصدر الشهادات بواسطة برنامج العميل مثل متصفحات الويب. للاستفادة من عنصر التحكم هذا ، يحتاج المستخدم بالطبع إلى تحديث مستعرض الويب الخاص به. وبالتالي ستقتصر الفوائد في البداية على عدد صغير نسبيًا من المستخدمين في البداية ، ولكن هذا قيد مقبول لأن مستخدمي المتصفح الذين من المرجح أن يتم استهدافهم بواسطة هذا النوع من الهجوم يعرفون بالفعل أنهم بحاجة إلى إبقاء دفاعات برامجهم محدثة.

هذه النقطة الأخيرة ، حقيقة أنه من المتوقع أن يكون المستهدفون للهجمات الموجهة من الحكومة أن يكونوا من أوائل الذين تبنوا الإجراءات المضادة أمر مهم لأنه يسمح لنا بالنظر في تدابير أخرى أكثر شمولاً. إن ضعف استخدام أسماء المستخدمين وكلمات المرور كأساس لمصادقة الإنترنت معروف منذ أكثر من عقدين ، وكذلك حقيقة أن النهج المتبع في عالم الويب ، لإيصال كلمة المرور نفسها إلى خادم للتحقق من بين الأسوأ. ما كان ينقص حتى الآن كان الحافز لإجراء التغييرات اللازمة.

في منتصف التسعينات ، واجهنا مشكلة مماثلة مع قوائم بريد الإنترنت. في ذلك الوقت كان كل ما هو ضروري للاشتراك في قائمة بريدية هو إرسال طلب. يمكن لعدد قليل من مديري القوائم البريدية إرسال رسالة بريد إلكتروني لطلب التأكيد ، ولكن نادرًا ما تم استخدام هذا الخيار. ثم في يوم من الأيام ، قررت بعض الواغ الاشتراك في بضعة آلاف من القوائم البريدية العامة لبعضها البعض بحيث يتحول البريد المرسل إلى قائمة واحدة إلى جميع القوائم الأخرى وتسجيل عناوين بريدية بالبيت الأبيض الأمريكي للنتيجة.

أذكر أن الهجوم بدأ يوم الجمعة. بحلول يوم الاثنين التالي ، كانت كل قائمة بريدية تقريبًا على الإنترنت تعمل مع التحقق من طلبات الاشتراك أو مع تمكين التحقق من الطلب. عادة ما تتحرك معايير الإنترنت ببطء شديد ولكن في بعض الأحيان يمكنها التحرك بسرعة كبيرة بالفعل. يمكننا نشر الجهاز المركزي للمحاسبات بنفس السرعة.

في هذه الحالة ، نحتاج إلى التحرك بسرعة: نشر CAA أولاً ثم إصلاح كارثة مصادقة مستخدم الويب.

اختبر أمان بريدك الإلكتروني احصل على بطاقة نقاط الأمان الفورية الخاصة بك مجانًا المصدر: https://blog.comodo.com/comodo-news/fixing-the-problems-1-caa/