Az oldalcsatornás támadás magyarázata és az AD biztonsági hatásai

A CPU oldalcsatornás támadásai 2018. január 4. óta a Spectre és a Meltdown bejelentése óta ragadják meg a híreket. Ebben a bejegyzésben meghatározzuk az oldalcsatornás támadásokat, melyek nem azok, és hol érinthetik az Active Directory biztonságát.

Január óta több ilyen típusú CPU-támadást fedeztek fel és hoztak nyilvánosságra, a Spectre változataitól kezdve a szimmetrikus többszálú (SMT) új támadásokig, mint például a TLBLeed vagy a nemrég bejelentett PortSmash. Ezen oldalcsatornás támadási technikák némelyikét nehezebb kihasználni, és nem valószínű, hogy megtörténik, mivel az összes változót össze kell kapcsolni, de mások, mint például a PortSmash, sokkal problémásabbak lehetnek a nyilvános felhőfelhasználók számára, és végső soron Active Directory biztonság.

Mi az a CPU oldalcsatornás támadás? És mi nem?

Először is határozzuk meg az oldalsó csatorna támadást (SCA). Ez a fajta támadás valóban művészeti ág, mert nem egy kriptográfiai műveletben (matematika vagy szoftverhiba alapján történő megfejtés) való sérülékenység kihasználására összpontosít, hanem az SCA a hardveres fizikai megvalósítást használja a kriptográfiai kulcsok megfejtésére.

Egyszerűen fogalmazva: megfigyelés.

Pontosabban, a támadók különféle technikákat alkalmaznak az energiafogyasztás, az elektromágneses hullámok, a hang, a gyorsítótár megfigyelésére egy megosztott fizikai rendszerben, vagy a hardver által végzett számítások hiperszálak feldolgozása, időzítése esetén, hogy rendkívül pontos következtetést lehessen levonni a titkos kulcsról. .

Ha ezt szeretné hazahozni, nézze meg, hogyan használták a brit MI5-ügynökök mellékcsatornák megfigyeléseit, hogy kémkedjenek a londoni egyiptomi nagykövetség kommunikációja után 1965-ben. Mikrofonokat helyeztek el az egyiptomiak által használt rotor-rejtjelező gép közelében. figyeli a kattintási hangokat, elegendő információt adva nekik a rejtjel feltöréséhez.

A CPU oldalcsatornás támadásainál a kiberbűnözők megfigyelik a CPU folyamatait, az operációs rendszer kernel összes parancsát feldolgozó rész, mint például a böngésző megnyitása és egy weboldal betöltése a bankba való bejelentkezéshez.

Mi nem az oldalcsatornás támadás?

Az SCA pontosabb meghatározásához fontos megérteni, hogy mi nem az. Az SCA nem egy kriptorendszer feltörésének kísérlete azáltal, hogy megszerzi a gyakorlati jogos hozzáférést. A szociális mérnök vagy a gumitömlős kriptoanalízis (gondoljunk arra, hogy valakit gumitömlővel verünk, hogy rákényszerítsük, hogy adja át a páncélszekrény kulcsait) különálló támadások, amelyek hitelesítő adatokat keresnek. Az SCA megfigyeli a mindennapi számítási tendenciákat és gyakoriságokat, hogy privát információkat nyerjen ki egy szerverről vagy egy laptopról.

Oldalcsatornás támadási forgatókönyv

Az A vállalatnak van egy nyilvános felhőben tárolt webhelye, amelyhez az ügyfelek a fiókjukba való bejelentkezéshez férnek hozzá. Amikor az ügyfél a webhelyen tartózkodik, a felső sarokban a zöld lakatot látja, amely jelzi, hogy a webhelyről küldött/kapott információ védett a kíváncsi szemektől.

Hank, the Hacker is rendelkezik fiókkal ugyanannál a nyilvános felhőszolgáltatónál, és a virtuális gépe véletlenül ugyanazon a fizikai gépen van, mint az A vállalat webszerverének virtuális gépe. A virtuális gépeik ugyanazokat a hardvererőforrásokat használják; így Hank különféle oldalcsatornás megfigyeléseket (például fent felsoroltak) használ az érzékeny információk kinyerésére, például a kriptográfiai kulcsokra, amelyek lehetővé teszik számára az A vállalat webhelye és az ügyfél közötti biztonságos kommunikáció feloldását.

Az oldalcsatornás támadási technikák kitartó ereje

A fenti forgatókönyv nem csak ma valós, hanem egyre gyakoribbá válik, ahogy az emberek a munkaterhelést a nyilvános felhőbe helyezik át. Hozzáadhatnék egy csomó statisztikát a nyilvános felhőhasználatról, de értitek - valószínűleg jelenleg is vannak felhőprojektjei.

De ez nem csak megosztott virtuális gépek IaaS-helyzetben. A feltörekvő számítási felhő architektúrák és fejlesztési modellek fokozzák az erőforrások megosztását. Olyan szervezetek, amelyek kihasználják a konténerek szolgáltatásként kínált gyors alkalmazástelepítés előnyeit (például Azure Kubernetes Service), vagy olyan felhőalapú alkalmazásokat építenek, amelyek kihasználják a szerver nélküli számítástechnikát (például az Azure Functionst).) feltétlenül el kell gondolkodnia azon, hogy az oldalcsatornás támadások hogyan befolyásolhatják alkalmazásaikat.

Ezen túlmenően, bár ezek a támadások rendkívül bonyolultnak hangzanak, és úgy tűnhet, hogy csak nagyon speciális és célzott rossz szereplők tudják kihasználni őket; a valóság az, hogy ezek a támadások egyre kifinomultabbak és elérhetőbbek a kutatók, kormányzati szervek vagy rossz haverok munkája révén. A valóságban ezt a fajta támadást a mimikatz eszköztárba építik be, így a nem túl kifinomult emberek könnyen elindíthatják ezt a kanapéról.

IT/biztonsági tanácsadó Hector Martin összefoglalja az oldalsó csatornás támadások nehézségeit és kitartó erejét:

És igen, a Spectre v1 és a PortSmash nem tűnik el. Bárki, aki tud valamit a CPU-król, tudta, hogy a PortSmash elméletileg évekig lehetséges (csak valaki vette a fáradságot, hogy végre megvalósítsa). Kapcsolja ki a HT-t vagy a petíciós operációs rendszereket, hogy alapértelmezés szerint biztonsági tartomány-tudatos HT-t hajtson végre.

- Hector Martin (@marcan42) 2018. november 2

Hogyan veszélyeztetheti egy oldalcsatornás támadás az Active Directoryt

Tehát ha az SCA a megfigyelésekről szól, és nem a feltört hitelesítő adatok használatáról, akkor aggódnia kell az Active Directory (AD) miatt?

Igen.

Nézzük meg, hogyan veszélyeztetheti az SCA az Ön Active Directory biztonságát.

A PortSmash exploitban az SCA megfigyeli az egymagon egy időben futó két program időzítési szivárgását (egyidejű többszálú feldolgozás), hogy kivonja az interneten keresztüli privát kommunikációhoz használt OpenSSL kulcsot. .

Korábbi példánkkal élve, az A vállalat webhelye (amely a nyilvános felhőben található Hank, a Hacker virtuális gépével együtt) egyszeri bejelentkezést alkalmaz, amely az Active Directoryt használja, és az ellopott visszafejtési kulcsok felfedik az interneten keresztül továbbított AD-hitelesítő adatokat.

A PortSmashnak ez a forgatókönyve valószínűleg az Active Directory legnagyobb sebezhetősége, mert sajnos sok olyan rendszer létezik, amely úgynevezett „alap” hitelesítést használ, amelyet csak az OpenSSL véd. A webszervereken kívül más rendszerek is veszélybe kerülhetnek, de ez a legalacsonyabb függő gyümölcs.

Egy másik forgatókönyv szerint a B vállalat tartományvezérlője ugyanabban a nyilvános felhőben és ugyanazon a fizikai gépen található, mint Hank, a Hacker virtuális gépe (vagy a DC olyan virtuális gépen található, amelyhez Hank virtuális gép adminisztrátorként fér hozzá a fizikai gépen). Az SCA-val a visszafejtési kulcs kiszivároghat az időzítési megfigyelés révén, és hozzáférést biztosíthat a HAnk számára a DC-hez.

Amint Hank kézhez kapja az AD hitelesítő adatait, olyan helyzetbe kerül, mint FLynn, és oldalirányban mozoghat, vagy növelheti jogosultságait, hogy bennfentesként hozzáférjen az Ön adataihoz.

Tehát amikor oldalcsatornás támadásokról vagy bármilyen biztonsági támadásról olvasol, a lényeg mindig két okon múlik: információlopáson vagy a műveletek megzavarásán. Az SCA egyike annak a sok lehetőségnek, amellyel egy támadó rákaphat az Ön hirdetésére, és így elkezdheti az adatok kiszűrését vagy a rendszer kukázását.

Hogyan védheti meg Active Directoryját az oldalsó csatornás támadásoktól

Minden bizonnyal vannak olyan dolgok, amelyek enyhítik az oldalcsatornás támadásokat, mint például a csatornazaj kibocsátása az akusztikus kriptográfiai elemzés vagy az elektromos vezetékek kondicionálásának megakadályozása érdekében, de a nyilvános felhő esetében nincs hozzáférése az ellenintézkedések megtételéhez.
Néhány dolgot tehet:

• Először hagyja el az alapvető felhasználónév-/jelszó-hitelesítést, és használjon kéttényezős hitelesítést a további biztonsági szint érdekében, amelyhez a támadó nem férhet hozzá.
• Használjon egyesített hitelesítést egy másik forrásból, például az Azure AD-ből, ahelyett, hogy közvetlenül csatlakozna az értékes belső AD-hez.
• Figyelemmel kíséri az Active Directory biztonságát a mesterséges intelligencián alapuló fejlett fenyegetésészlelés funkcióval, amely képes önállóan megtanulni a felhasználók és rendszerek normális viselkedését. Így kiküszöbölheti a hamis pozitív eredményeket, és kiküszöbölheti a gyanús tevékenységeket.
• Figyelje a vSphere és a Hyper-V for VM-műveleteket a gyanús tevékenységekre, valamint az Azure-tevékenységnaplókat az előfizetés erőforrásain végzett műveletek figyelésére.