Thời gian đọc: 6 phút

Sau sự cố vào ngày 15 tháng 26, Comodo đã giới thiệu các phương pháp và biện pháp kiểm soát bổ sung ngay lập tức chống lại vectơ mối đe dọa mới này. Vào ngày XNUMX tháng XNUMX, các hệ thống này đã phát hiện ra rằng một đại lý bán lẻ khác cũng đang bị một cuộc tấn công tương tự từ những gì chúng tôi tin là cùng một thủ phạm. Các biện pháp an ninh mới được bảo vệ chống lại cuộc tấn công này. Cả hai cuộc tấn công gần đây đều không liên quan đến việc xâm nhập bất kỳ cơ sở hạ tầng nào của Comodo. Comodo đã cập nhật báo cáo sự cố. Tại Comodo, chúng tôi mong muốn tiếp tục làm việc với tất cả các bên liên quan và ngành bảo mật để tiếp tục ứng phó với sự cố này thông qua các biện pháp khắc phục và đặt ra các tiêu chuẩn mới cho các mối đe dọa mới và đang nổi lên này.

Khi việc sử dụng Internet thay đổi, mô hình mối đe dọa thay đổi. Những điểm yếu trong cơ sở hạ tầng Internet được nhấn mạnh bởi cuộc tấn công từ Iran đã hiện diện hơn một thập kỷ, điều đã thay đổi là ý nghĩa của chúng.

Tiền là hàng hóa có thể thay thế được và không đáng để tiêu tốn X $ thời gian, công sức và nguồn lực để bảo vệ tài sản trị giá dưới $ X. Tự do không phải là một lợi ích có thể thay thế được và vì vậy mô hình đe dọa đã thay đổi.

Nếu chúng ta thành công, chúng ta cần giải quyết vấn đề bảo mật của hệ thống và nhìn xa hơn sự kiện trước mắt và mục tiêu cụ thể. Cuộc tấn công làm nổi bật điểm yếu trong Cơ sở hạ tầng của Cơ quan cấp Giấy chứng nhận mà chúng tôi đã đề xuất giải quyết bằng đề xuất Cấp phép của Cơ quan Cấp Giấy chứng nhận (CAA) được đưa ra cho IETF, đồng tác giả của Ben Laurie của Google.

Chúng ta sẽ xem xét CAA trong giây lát, nhưng trước tiên chúng ta hãy xem xét các phần khác của hệ thống dễ bị tấn công; xác thực mật khẩu và xác thực mã.

Mục tiêu cuối cùng của cuộc tấn công được đề cập là chặn giao tiếp tới các máy chủ xác thực tại các nhà cung cấp email lớn và các trang mạng xã hội, đặc biệt là để giành quyền kiểm soát các tài khoản đó bằng cách lấy tên người dùng và mật khẩu. Điểm yếu cốt lõi trong sơ đồ xác thực Web hiện tại là trình duyệt Web xác thực máy chủ Web bằng cách chuyển mật khẩu cho nó. Sử dụng SSL bảo vệ mật khẩu khỏi bị chặn trong quá trình giao tiếp nhưng máy chủ Web nhận được mật khẩu thực do người dùng nhập. Do đó, hậu quả của bất kỳ sự xâm phạm nào của máy chủ Web hoặc chứng chỉ SSL là sự xâm phạm thông tin đăng nhập của người dùng. Đây là một điểm yếu không cần thiết trong cơ sở hạ tầng bảo mật Internet và một điểm yếu có thể được giải quyết thông qua một số thay đổi nhỏ đối với SSL/ Cơ chế xác thực HTML nếu chỉ chúng ta có thể tìm thấy ý chí hành động.

Phần khác của hệ thống dễ bị tấn công là xác thực mã. Một trong nhiều dịch vụ mà chính phủ Iran cung cấp cho người dân là máy chủ Web cung cấp phần mềm miễn phí. Không giống như phần mềm miễn phí được cung cấp bởi SourceForge và những thứ tương tự, phần mềm miễn phí này chủ yếu là phần mềm thương mại bị đánh cắp với bất kỳ cơ chế bảo vệ chống sao chép nào bị tước bỏ. Các chuyên gia đã xem xét phần mềm cho tôi biết rằng nó có chứa các cửa hậu và logger gõ phím điều đó sẽ cho phép chính phủ giám sát việc sử dụng máy.

Nếu chúng ta sẽ thành công trong việc bảo vệ chống lại cấp độ tấn công mới này, chúng ta sẽ phải chủ động và giải quyết cả ba vấn đề. Một cách tiếp cận phản ứng chỉ giải quyết các lỗ hổng khi chúng bị khai thác sẽ không thành công.

Chứng nhận ủy quyền (CAA) là một đề xuất nhằm giải quyết khu vực lỗ hổng bảo mật đầu tiên do chính tôi và Rob Stradling của Comodo và Ben Laurie của Google sáng tác. Dự thảo đầu tiên của đề xuất được đưa ra vào tháng 2010 năm XNUMX, trước khi vụ tấn công hoặc các sự kiện chính trị được cho là có động cơ xảy ra.

CAA là một cơ chế cho phép chủ sở hữu tên miền chỉ định Tổ chức cấp chứng chỉ nào và / hoặc khóa chữ ký nào được phép cấp chứng chỉ cho một miền. Cơ chế cơ bản cho phép Tổ chức cấp chứng chỉ tránh cấp sai chứng chỉ và đối với phần mềm ứng dụng để tránh phụ thuộc vào chứng chỉ được cấp sai.

Ví dụ, hãy tưởng tượng rằng Alice Corp là một công ty 10,000 nhân viên có văn phòng tại 30 quốc gia. Nếu Carol CA yêu cầu một chứng chỉ có mục đích là từ Alice Corp, họ sẽ xác thực và cấp chứng chỉ theo chính sách của Carol CA có thể rất khác với chính sách mà Alice Corp muốn được áp dụng.

Các tập đoàn lớn là mục tiêu thường xuyên của kiểu tấn công này đã nhận ra lỗ hổng cụ thể này và đã thiết lập các thỏa thuận nhà cung cấp duy nhất hoặc hạn chế với một CA duy nhất hoặc một số lượng nhỏ CA. Sau đó, quá trình cấp chứng chỉ và quản lý vòng đời chứng chỉ có thể được tích hợp vào các quy trình kinh doanh của khách hàng.

Việc ngăn chặn cấp sai chứng chỉ Alice Corp bởi một CA đã được phê duyệt là khá đơn giản vì tất cả các yêu cầu hợp pháp sẽ được thực hiện thông qua các quy trình cụ thể được thỏa thuận giữa Alice Corp và CA đã được phê duyệt. Vấn đề phát sinh khi Carol CA không phải là CA đã được phê duyệt. Ngày nay Carol CA không có cách nào để biết rằng một chính sách hạn chế nhà cung cấp thậm chí còn tồn tại. CAA cho phép chủ sở hữu tên miền quảng cáo sự tồn tại của chính sách hạn chế nhà cung cấp và do đó ngăn chặn việc phát hành sai. Nếu Carol CA nằm trong danh sách của Tổ chức phát hành chứng chỉ được ủy quyền, nó sẽ kiểm tra xem nó có tuân thủ bất kỳ yêu cầu xác thực bổ sung nào đã được đồng ý ngoài phạm vi hay không. Nếu một tập hợp các Tổ chức phát hành chứng nhận được ủy quyền được xuất bản và Carol CA không được liệt kê, yêu cầu gần như chắc chắn là gian lận và phải bị từ chối.

Ngoài việc giúp CA tránh cấp sai dễ dàng hơn, cơ chế CAA cung cấp một tiêu chuẩn khách quan cho việc cấp sai. Nếu một CA phát hành bất chấp bộ Ủy quyền của Tổ chức Phát hành Chứng chỉ đã xuất bản, thì vấn đề của chứng chỉ có thể chỉ là một vấn đề sai. Tổ chức phát hành chứng chỉ liên tục phát hành sai có trách nhiệm nhận thấy rằng các nhà cung cấp phần mềm máy khách không còn sẵn sàng bao gồm các Chứng chỉ gốc của họ hoặc đánh dấu chúng là đáng tin cậy.

Do đó, CAA là một biện pháp kiểm soát trách nhiệm giải trình chống lại việc cấp sai chứng chỉ. Không giống như hầu hết các thay đổi được đề xuất đối với cơ sở hạ tầng Internet, lợi ích của việc ngăn chặn các sự kiện phát hành sai có thể được nhận ra rất nhanh chóng. Chủ sở hữu tên miền không cần phải đợi cho đến khi mọi người cập nhật trình duyệt Web của họ, họ sẽ nhận được lợi ích khi Tổ chức cấp chứng chỉ triển khai và họ có động lực rất mạnh mẽ để làm điều đó rất nhanh chóng.

Nếu mô hình mối đe dọa bị giới hạn trong các cuộc tấn công có động cơ tài chính từ tội phạm có tổ chức, thì chỉ riêng việc kiểm soát trách nhiệm giải trình là đủ. Kiểm soát trách nhiệm giải trình là không đủ khi mô hình mối đe dọa mở rộng đến cơ quan chính phủ điều đó có thể ép buộc tổ chức phát hành chứng chỉ hoặc đại lý của họ.

Chúng tôi có thể buộc một người phải chịu trách nhiệm về vấn đề sai do sơ suất hoặc ác ý nhưng hệ thống phải mạnh mẽ để chống lại các mối đe dọa ép buộc. Các nhân viên ngân hàng được thông báo vào ngày đầu tiên làm việc rằng nếu một vụ cướp có vũ trang được thực hiện thì họ phải giao nộp những thứ bên trong két sắt và hộp đựng đồ chết chóc. Cố gắng chống lại một vụ cướp có vũ trang là một hành vi phạm tội. Chúng ta cần có cách tiếp cận tương tự đối với hoạt động của Cơ quan cấp giấy chứng nhận: thực hiện tất cả các biện pháp phòng ngừa hợp lý nhưng không mong đợi những biện pháp không hợp lý. Các ngân hàng hạn chế trộm cắp từ các vụ cướp có vũ trang bằng cách đảm bảo rằng số lượng hàng tồn kho (tức là tiền) có trong tay không bao giờ vượt quá một số lượng tương đối nhỏ.

Ngoài việc kiểm soát trách nhiệm giải trình mang lại lợi ích gần như ngay lập tức ngay sau khi mã Bản ghi tài nguyên DNS cần thiết được chỉ định, CAA cho phép các hạn chế của nhà phát hành chứng chỉ được thực thi bởi phần mềm máy khách như trình duyệt Web. Để đạt được lợi ích của quyền kiểm soát này, người dùng tất nhiên sẽ cần cập nhật trình duyệt Web của họ. Do đó, những lợi ích ban đầu sẽ bị giới hạn ở một số lượng tương đối nhỏ người dùng lúc đầu, nhưng đây là một hạn chế có thể chấp nhận được vì những người dùng trình duyệt có nhiều khả năng bị nhắm mục tiêu bởi hình thức tấn công này đã biết rằng họ cần phải duy trì khả năng bảo vệ phần mềm của họ hiện tại.

Điểm cuối cùng này, thực tế là những đối tượng được nhắm mục tiêu cho các cuộc tấn công do chính phủ chỉ đạo có thể được mong đợi là những người sớm áp dụng các biện pháp đối phó là rất quan trọng vì nó cho phép chúng ta xem xét các biện pháp khác, toàn diện hơn. Lỗ hổng của việc sử dụng tên người dùng và mật khẩu làm cơ sở xác thực Internet đã được biết đến trong hơn hai thập kỷ qua, cũng như thực tế là phương pháp được áp dụng trong thế giới Web, gửi chính mật khẩu đến một máy chủ để xác minh là một trong những phương pháp tồi tệ nhất. Những gì còn thiếu cho đến bây giờ là động lực để thực hiện những thay đổi cần thiết.

Vào giữa những năm 1990, chúng tôi phải đối mặt với một vấn đề tương tự với danh sách gửi thư trên Internet. Vào thời điểm đó, tất cả những gì cần thiết để đăng ký một danh sách gửi thư là gửi một yêu cầu. Một số người quản lý danh sách gửi thư có thể gửi email để yêu cầu xác nhận, nhưng tùy chọn này hiếm khi được sử dụng. Sau đó, một ngày nọ, một số wag quyết định đăng ký một vài nghìn danh sách gửi thư công khai cho nhau để thư được gửi đến một danh sách sẽ chuyển qua tất cả những người khác và đăng ký các địa chỉ gửi thư của Nhà Trắng Hoa Kỳ để nhận kết quả.

Tôi nhớ lại rằng cuộc tấn công bắt đầu vào một ngày thứ Sáu. Đến thứ Hai tuần sau, hầu hết mọi danh sách gửi thư trên Internet đều chạy với các yêu cầu đăng ký đã được xác minh hoặc đã bật xác minh yêu cầu. Các tiêu chuẩn Internet thường di chuyển khá chậm nhưng đôi khi chúng có thể di chuyển rất nhanh. Chúng tôi có thể triển khai CAA với tốc độ tương tự.

Trong trường hợp này, chúng ta cần tiến hành nhanh chóng: Đầu tiên hãy triển khai CAA và sau đó cho phép khắc phục thảm họa xác thực người dùng Web.

KIỂM TRA BẢO MẬT EMAIL CỦA BẠN NHẬN MIỄN PHÍ SCORECARD NGAY LẬP TỨC Nguồn: https://blog.comodo.com/comodo-news/fixing-the-problems-1-caa/