Доверие по списку

Каждый пользователь хочет быть уверенным в том, что он попадает именно на тот сайт, на который стремился – иначе список возможных осложнений становится довольно широким. Это может быть и утечка данных его платежной карты с очевидными последствиями, и возможность для третьих лиц наблюдать за его коммуникациями, и другие неприятности. С точки зрения последствий такого рода инцидентов неважно, зашел ли пользователь на фишинговый сайт и стал жертвой обмана, или же злоумышленник вклинился в защищенную коммуникацию — атаке “человек посередине”(Man-In-The-Middle, MITM) посвящено уже несколько статей на нашем сайте. Но вот технологии борьбы с этими угрозами совершенно различны.

От фишинга чаще всего спасает внимание - как правило, пользователь замечает, что что-то очевидно идет «не так»: странно выглядит адресная строка, непривычны детали дизайна, у него внезапно спрашивают пароль посреди коммуникации. Может что-то сообщить о подозрительном контенте и браузер. Но вот от атаки Man-In-The-Middle, если злоумышленник располагает ключом от одного из доверенных сертификатов, защититься куда труднее.

Поэтому если компрометация корневого сертификата одного из доверенных удостоверяющих центров (УЦ) происходит, то это событие еще долго обсуждается на ресурсах, посвященных информационной безопасности. Собственно, случай был ровно один — жертвой хакеров в 2011 году стала голландская компания DigiNotar.

Компрометация партнеров доверенных УЦ происходит гораздо чаще, но это, как правило, диагностируется сравнительно быстро, и партнер наказывается. Последний известный случай был этим летом, когда жертвой стал партнер индийского УЦ, по умолчанию включенного в доверенные сертификаты в поставке MS Windows. Он выпустил без всяких на то оснований сертификаты на сайты Google, был пойман и обезврежен. Индийская сторона отреагировала довольно быстро, но дополнительно разработчики Google Chrome еще и ограничили сайты, подписанные сертификатами пострадавшего УЦ, только сайтами в индийских поддоменах.

Еще до инцидента с DigiNotar в Google задумались о том, что атаку MITM надо вовремя предотвращать. Начали они с себя: в браузере Google Chrome хранится информация о том, какие сертификаты могут подписывать сервисы, предоставляемые компанией. Собственно, скриншот пользователя, который обратил внимание на предупреждение, и оказался той ниточкой, потянув за которую удалось обнаружить взлом компании. Эта технология называется Certificate Pinning: вы запоминаете заведомо верный сертификат и при попытке подмены браузер выдает предупреждение. Разумеется, бывают и плановые смены, но они случаются не чаще раза в год. Внеплановая замена по компрометации всё-таки редкость. Для обеспечение функциональности Certificate Pinning в Mozilla Firefox был разработан специальный плагин, Certificate Patrol. Он обеспечивал всю нужную функциональность, но беда в том, что плагин надо явным образом ставить. В отличии от решения для Chrome он позволяет сохранить любые сайты, а не только вошедшие в фиксированный в браузере список.

Впрочем, начиная с недавно вышедшей версии FireFox 32, разработчики Mozilla решили не надеяться на предусмотрительность пользователей, а позаимствовать уже существующее решение (и список ключей) у Chrome. На посвященной этому странице перечислено, сертификаты каких доменов теперь будут дополнительно проверяться браузером. Это, разумеется, сами сайты Firefox/Mozilla, Twitter, сайты Google (по списку). В будущих версиях планируется добавление Facebook, Dropbox и Tor. Пока непонятно, можно ли будет добавлять интересующие домены в этот список простому пользователю.

Разумеется, у этой технологии есть недостатки - даже в случае, когда список сертификатов формирует сам пользователь. Например, если атака началась до того, как сертификат запомнили, то этот способ ничего не даст. Расширение списка требует кооперации от вносимых туда сервисов — если сервис большой, то серверов у него много и сертификаты тоже могут быть разными. Но, учитывая возможность использовать аккаунты в соцсетях для логинов на многие сайты, внедрение этой меры безопасности в Mozilla вполне оправдано.


Автор:  Дмитрий Белявский (ТЦИ)

Возврат к списку