Detekce NSA útoku QUANTUMINSERT

Fox-IT publikovali článek, jak detekovat man-on-the-side útok QUANTUMINSERT používaný NSA (více viz Snowdenovy dokumenty). Publikovány byly i patche pro Snort a Bro umožňující detekci.

7.5.2015 07:36 | xm | Bezpečnostní upozornění

Komentáře

[cbtuie]

kua si zoberme že to je v otvorenom kóde kde všade to musí byť v zatvorenom kóde

[Michal]

V otevrenem kodu? Neni to nic v zadnym kodu, je to vlastnost TCP protokolu. Pokud ten obsah neni sifrovany nebo nejak jinak neoveruje integritu, tak nekdo na ceste (nebo v tomhle pripade pri ceste) dokaze zasahovat do komunikace, nic noveho.

[xm]

No vzhledem k tomu, že NSA má podle všeho nejspíš přístup k podpisovým klíčům různých CA, tak běžné HTTPS proti QUANTUMINSERT útoku člověka nijak neochrání. Jedině v kombinaci s pinningem certifikátů/veřejných klíčů, případně s kontrolou síťové perspektivy pomocí notary serverů (ale oboje naráží na to, že velké weby jako Google, Facebook a spol. rotují certifikáty jak na běžícím páse)...

[Jendа]

Do HTTPS pasivně nic nevložíš i když máš alternativní důvěryhodný certifikát.

Spíš mě udivuje že dělají to vkládání místo normálního MITM.

[xm]

Man-on-the-side funguje tak, že útočníkovi pakety "předběhnou" odpověď reálného serveru. Pokud má útočník vhodný certifikát, nic mu pak přeci nebrání vydávat se za ten reálný server.

Jinak na hromadný man-in-the-middle IMHO nemají infrastrukturu, kdežto man-on-the-side se dá provozovat ve velkém jednodušeji (pokud máte příslušná vrátka u ISP otevřená/optické kabely napíchnuté, prostě pokud jste NSA/GCHQ ). NSA není v pozici Číny, aby mohla všechno filtrovat přes jeden Velký Firewall, tak na to musí jít holt takto bokem. Toť alespoň moje úvaha...

[mm]

HTTPS by tento utok dost zkomplikovalo

http://blog.fox-it.com/2015/04/20/deep-dive-into-quantum-insert/

"The usage of HTTPS in combination with HSTS can reduce the effectiveness of QI. Also using a content delivery network (CDN) that offers low latency can make it very difficult for the QI packet to win the race with the real server."

https://leaksource.info/2013/12/30/nsa-quantum-files/ https://leaksource.files.wordpress.com/2013/12/14d.jpg https://leaksource.files.wordpress.com/2013/12/16d.jpg

"Often enough, though, they are effective. Implants with QUANTUMINSERT, especially when used in conjunction with LinkedIn, now have a success rate of over 50 percent, according to one internal document."

“Certain QUANTUM missions have a success rate of as high as 80%, where spam is less than 1%,” one internal NSA presentation states.

[vlastikroot]

Na stredni jsem provozoval ARP spoofing MITM a nikdo si toho nevsim