2011 augusztusában egy iráni felhasználó furcsa hibát kapott a Gmail megnyitásakor: a böngésző szerint a szerver tanúsítványa érvénytelen volt. VPN-nel minden rendben működött. Feltett egy kérdést a Google fórumán. Néhány napon belül a Google, a Mozilla, a Microsoft és az Apple is sürgősségi frissítést adott ki.
A lakat a böngészőben
Amikor egy oldal mellett megjelenik a lakat, a böngésző azt ellenőrzi, hogy az oldal tanúsítványát egy megbízható tanúsítványkiadó (CA) állította-e ki. Ilyen kiadóból akkor több tucat volt, és a böngészők mindegyikben egyformán megbíztak. Gervase Markham, a Mozilla akkori felelőse így fogalmazott: ha 64 szervezetben bízunk, és egynek gyenge a védelme, az mindenkinek baj. Mindegy, melyik kiadótól vette a tanúsítványát a Google: ha valaki bármelyik megbízható kiadótól szerez egy hamis google.com tanúsítványt, a böngésző elfogadja.
Minden rendben volt, csak egy kártya maradt bent
A holland DigiNotar papíron mintaszerűen védekezett. Több rétegű hálózata volt, a tanúsítványkiadó szerverek pedig egy filmbe illő szobában álltak: kétféle ajtó, kézfelismerő, PIN-kód, és tanúsítványt csak fizikai kulcskártyával lehetett kiállítani.
A támadó 2011 júliusában egy elavult tartalomkezelővel futó, nyilvános webszerveren jutott be, és onnan haladt befelé. A Fox-IT későbbi vizsgálata szerint:
- a Windows tartományi rendszergazda jelszava gyenge volt, és könnyen kitalálható;
- mind a nyolc tanúsítványkiadó szerver egyetlen tartományban volt, így egy fiókkal mindhez hozzá lehetett férni;
- több gépen nem volt vírusvédelem, és nem volt központi naplózás;
- a kulcskártya pedig állandóan bent volt a gépben, mert az automatikus visszavonási listák elkészítéséhez szükség volt rá.
A „James Bond-szoba” így semmit nem ért. A támadó 531 hamis tanúsítványt állított ki, többek között a google.com, és állítólag a cia.gov nevére is.
A célpont: iráni állampolgárok
A hamis tanúsítványokkal a támadó egy hamis Gmailt tudott kiszolgálni, amit a böngésző valódinak fogadott el. A forgalmat valószínűleg iráni DNS-szerverek megmérgezésével terelte magához. Több mint 300 000 iráni felhasználó, szinte mind magánszemély, került így a támadó szerverére, aki láthatta a leveleiket.
A támadás azért derült ki, mert a Chrome-ba a Google „beledrótozta”, milyen tanúsítványai lehetnek a saját oldalainak. A hamis tanúsítvány megbízható kiadótól jött, de nem tartozott ezek közé, így a Chrome riasztott.
A DigiNotar a betörést július 19-én észlelte, de nem hozta nyilvánosságra. Csak hetekkel később, a Google-fórumon megjelent bejegyzés után ismerte el. Addigra a böngészők kitörölték a megbízható kiadók listájából. Ez a holland állami rendszereket is megbénította, mert azok is a DigiNotar tanúsítványait használták. A holland kormány átvette a cég irányítását, a DigiNotar szeptemberben csődbe ment.
A támadást ugyanaz a magát iráninak valló, „Comodo hacker” néven ismert személy vállalta, aki néhány hónappal korábban egy másik nagy tanúsítványkiadót is megtámadott. Az áldozatok és a politikai háttér (a 2009-es választás utáni tüntetések) alapján valószínű, hogy a leveleket az iráni ellenzék felderítésére használták. Elkövetőt soha nem vontak felelősségre.
Mit tanulhat ebből egy magyar cég?
- A biztonság annyit ér, mint a leggyengébb pontja. A drága beléptetőrendszert egy bent hagyott kártya és egy gyenge jelszó semmissé tette.
- Egy elavult, nyilvános weboldal a belső hálózat kapuja lehet. Ha a weboldal ugyanabban a hálózatban van, mint a belső rendszerek, válassza le róluk.
- A kritikus rendszereket külön kell választani, és nem szabad egyetlen rendszergazdai fiókkal mindenhez hozzáférni.
- Napló nélkül nem tudja megmondani, mi történt. A DigiNotar azért bukott el végleg, mert senki nem tudta megmondani, mekkora a baj.
- Az eltitkolás drágább. A DigiNotar napokig hallgatott, és ezzel a hírnevét és a cégét is elvesztette.
Pontosan ezeket a kérdéseket nézi meg a belső audit: ha egy támadó bejut, meddig jut el, és észreveszi-e valaki.