Читать «Цифровой журнал «Компьютерра» № 85» онлайн - страница 3

События развивались следующим образом. Злоумышленники (или злоумышленник) получили доступ к сети DigiNotar 17 июля и орудовали там ещё пять дней. За это время они завладели административными правами на двух сертификационных серверах и выпустили сотни сертификатов. 19 июля в ходе рутинной проверки сотрудники DigiNotar обнаружили и немедленно отозвали 128 «фальшивых» сертификатов. 20 июля нашлись ещё 129 таких сертификатов. Они были отозваны на следующий день. 27 июля вспыли и тоже были отозваны ещё 75 нелегально полученных сертификатов. 29 июля обнаружен и отозван выпущенный злоумышленниками сертификат google.com.

К тому времени в DigiNotar уже заметили, что эти сертификаты пытаются использовать главным образом с иранских IP-адресов. Дальнейшее исследование вопроса показало, что 99 процентов пользователей, наткнувшихся на «липовый» сертификат google.com (датированный, кстати, 10 июля), находятся в Иране, причём соединения преимущественно осуществлялись через TOR и прокси-серверы. Тем не менее, как указывают в Fox-IT, существует вероятность того, что некоторые почтовые сообщения в Gmail могли быть перехвачены, равно как и пароли. Знание пароля позволяет заинтересованным сторонам постоянно навещать почтовый ящик без ведома хозяина и узнавать пароли уже к другим ресурсам, если их пользователь в качестве основного почтового ящика установил именно gmail.com.

И, возможно, если бы не постинг на форумах поддержки Google, никто бы ничего и не узнал.

Кому и зачем это надо?

Вообще-то в данном случае история повторяется. Весной этого года случилось событие, которое злые языки поименовали «Comodogate»: центр сертификации Comodo оскандалился, когда его партнёр из Южной Европы пал жертвой сходной атаки, тоже осуществлявшейся с IP-адресов в Иране. Та атака, правда, была куда менее урожайной. Злоумышленникам удалось получить девять поддельных цифровых сертификатов: login.yahoo.com, mail.google.com, www.google.com, login.skype.com, addons.mozilla.org и login.live.com. Получен был и сертификат Global Trustee, с помощью которого злоумышленники могли выдать свой сайт за любой другой. Например, чтобы выманивать у доверчивых пользователей пароли.

Хотя с помощью поддельного SSL-сертификата можно выдать любой поддельный сайт за настоящий, это не так-то просто. Сначала надо придумать, как направить пользователя на поддельную страницу. Вдобавок, учитывая, насколько быстро осуществляется отзыв сертификатов в случае обнаружения взломов, период их пригодности крайне ограничен.

Правда, львиная доля трудностей исчезает, если речь идёт о сети, которую полностью контролирует сам злоумышленник. Браузеры регулярно проверяют актуальность SSL-сертификатов, обращаясь к определённым адресам. Достаточно перекрыть к ним доступ, и становится возможным использовать отозванные «поддельные» сертификаты (при условии, что в браузерах нет дополнительных средств проверки, как в Chrome). Контроль над сетью упрощает и перенаправление пользователей на поддельные сайты.