Falešná verze PuTTY

Symantec v příspěvku na svém blogu věnovaném počítačové bezpečnosti upozorňuje na falešnou verzi populárního telnet a ssh klienta PuTTY, jež předává informace o úspěšném spojení (SSH URI) útočníkovi.

21.5.2015 21:21 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[rick]

1. The victim performs a search for PuTTY on a search engine.
2. The search engine provides multiple results for PuTTY. Instead of selecting the official home
page for PuTTY (http://www.chiark.greenend.org.uk/~sgtatham/PuTTY/), the victim unknowingly
selects a compromised website.
3. The compromised website redirects the user several times, ultimately connecting them to an IP
address in the United Arab Emirates. This site provides the user with the fake version of PuTTY to download.

[Lol Phirae]

0. Autor je magor s fixací na dementní URL, a navíc ty binárky neumí normálním způsobem podepsat. (Normálním způsobem myslím tak, aby se daly ověřit přímo ve Windows jako asi tři miliony dalších aplikací. Ne tu kokotinu, co tam má přiloženou na webu.)

[Hans1024]

Ja bych spis rekl, ze uzivatele co naleteli jsou magori s fixaci na dementni model distribuce softwaru

[Jendа]

Jak ve Windows funguje to ověřování podpisů? Já na sedmičkách u binárky vidím že je podepsaná certifikátem od Symantecu vydaným na jméno Pepa Novák - jak z toho zjistím jestli je to Pepa Novák z Litoměřic, náš tvůrce účetnictví, nebo Pepa Novák z Rájce-Jestřebí, konkurenční tvůrce malware? Můžu jenom doufat že se falešný program dost rychle odchytí, někdo ten certifikát revokuje a Windows si stáhnou CRL (to dělají samy? jak často a kde se to nastavuje?). To může i při masivním šíření malware trvat klidně několik dní.

[andree]

Ma tam RSA+DSA podpisy. Jedina skoda ze vsetko siri cez HTTP, takze chain of trust sa nekona :-/

Nastastie ostava moznost stiahnut to z par nahodnych doveryhodnych miest na nete a porovnat...

[Lol Phirae]

Ma tam RSA+DSA podpisy.

Které jsou zcela k ničemu. Takhle se s podpisy ve Windows nepracuje.

[vandrovnik]

A má vůbec možnost to zdarma nějak podepsat správně? Vzhledem k tomu, že putty je zdarma, asi nebude chtít platit každoročně větší obnos za certifikáty...

[Lol Phirae]

https://www.certum.eu/certum/cert,offer_en_open_source_cs.xml

[andree]

mozno to treba poslat autorovi putty...?

[Lol Phirae]

Hele, nevím. Člověku, který si dá do FAQ, že žádnou normální doménu nechce, ani kdyby mu ji někdo zaplatil, ať si to lidi hledaj v Googlu (mimochodem, hned třetí výsledek v hledání je sajta prolezlá spywarem, malwarem, přibalenými reklamními "bonusy" a podvodnými svinstvy odsvrchu dolů), je asi zbytečné jakékoliv podobné návrhy posílat...

[Jendа]

A jak tedy?

[Lol Phirae]

Jako co jak? U normální Windows binárky si klikneš pravým čudlíkem, najedeš na záložku Digitální podpisy a ten si ověříš ten podpis, včetně časovýho razítka. Používá se PKCS #7, je normálně zdokumentováno a zvládají to miliony dalších aplikací, tak to asi fakt nebude velký problém. Válet jako "podpis" smetí někde na obskurním webu je vážně k ničemu.

(Tedy nehledě na to, že s tím normálním podpisem, který je součástí té binárky, se dá dál pracovat a použít ho pro AppLocker, třeba.)

[Jendа]

GOTO #4

[Lol Phirae]

Na podobné šaškárny nemám čas asi náladu. Snažil jsem se tady rozumně vysvětlil fungování věci, evidentně jsem mrhal časem.

[Jendа]

Napsal jsi

U normální Windows binárky si klikneš pravým čudlíkem, najedeš na záložku Digitální podpisy a ten si ověříš ten podpis, včetně časovýho razítka.

Z toho jsem nepochopil co mám "ověřit".

Časové razítko mě nezajímá.

[Lol Phirae]

Nojo, podpis tě nezajímá, protože Franta Novák z Horní Dolní, časové razítko tě taky nezajímá, takže pro tebe je daná funkce opravdu zbytečná. Tak to neřeš, nepřepínej a po ničem nepátrej. (Časové razítko např. proto, že když bude ta binárka dané verze podepsaná 10 měsíců poté, co byla daná verze vydána, tak se nad tím normální člověk asi mírně zamyslí, jestli je to v pořádku. Nemluvě o tom, že když je ta binárka následně zavirovaná, tak ten podpis taky už nebude platný, že.)

[Jendа]

Nojo, podpis tě nezajímá, protože Franta Novák z Horní Dolní

Já furt nechápu, jak si to představuješ. Stáhneš si Putty, klikneš pravým tlačítkem a vidíš tam, že to podepsal Simon Tatham. Jak zjistíš, že je to autor Putty a že to není nějaký jeho zlý jmenovec? (proto ten příklad s Novákem, kterých je spoooousta)

Časové razítko např. proto, že když bude ta binárka dané verze podepsaná 10 měsíců poté, co byla daná verze vydána, tak se nad tím normální člověk asi mírně zamyslí, jestli je to v pořádku.

OK, píšu si, zavirovávat hned po vydání nové verze.

Časové razítko např. proto, že když bude ta binárka dané verze podepsaná 10 měsíců poté, co byla daná verze vydána, tak se nad tím normální člověk asi mírně zamyslí, jestli je to v pořádku.

Jak zjistíš kdy byla ta verze vydaná?

Nemluvě o tom, že když je ta binárka následně zavirovaná, tak ten podpis taky už nebude platný, že.

WTF? Zkompiluju si vlastní verzi s backdoorem a podepíšu ji certifikátem třeba nějakého jmenovce Tathama.

[Lol Phirae]

Tak zjistím, kdy byla vydaná? No, zkus třeba changelog. Ten má i tenhle extra magor. http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html

Jinak ti zcela rozumím. Podpisy jsou k ničemu, certifikáty jsou k ničemu, normální doména je k ničemu, HTTPS je taky k ničemu, nikdo nic nikdy nedokáže ověřit a na každého Tathama připadá 1025 jmenovců vytvářejících malware. Na všechno se vysrat, nechat to nepodepsané na nezapamatovatelné doméně, ať si to lidi vyguglujou, vyřízeno hotovo dvacet. Funguje to výborně, viz tato zprávička.

Čau, konec diskuse.

[Jendа]

Tak zjistím, kdy byla vydaná? No, zkus třeba changelog. Ten má i tenhle extra magor. http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html

Chápu správně, že pro ověření binárky použiješ informace na té stejné stránce odkud jsi ji stáhl?

Strawman.

[Lol Phirae]

Ne, najmu si na to FBI a NSA. Nejhorší ze všeho je srážka s blbcem.

[Julian]

Hele Phile, blbec je ten kdo si o sobě myslí, že je chytřejší, přitom mele blbosti a když už neví jak to doložit, začne být sprostej. Takže Phile, proč tu meleš když to neumíš doložit v souvislostech tak aby to dávalo smysl?

[ivan]

Ne pri upgrade binarky overis(msi instalator overi), ze byla vydana stejnym autorem.

[chrono]

A ako to rieši prvú inštaláciu, alebo to, že si aj novú verziu stiahnem z inej, ako autorovej stránky?

[Jendа]

Řekl bych že velmi častý use-case pro PuTTy je že linuxák přišel k počítači kde to ještě vůbec není a potřebuje něco udělat.

Btw. certifikáty se často vydávají na rok, přinejlepším na tři. Takže nová verze asi bude podepsána jiným.

[Jendа]

(jinak já pro správu software na Windows používám Ninite)

[little.owl]

+1