[Black Hat USA 2016] Phát hiện kiểu tấn công mới vượt qua mã hóa HTTPS

Thảo luận trong 'Black Hat USA 2016' bắt đầu bởi WhiteHat News #ID:2112, 27/07/16, 12:07 PM.

  1. WhiteHat News #ID:2112

    WhiteHat News #ID:2112 WhiteHat Support

    Tham gia: 16/06/15, 03:06 PM
    Bài viết: 363
    Đã được thích: 31
    Điểm thành tích:
    48
    Các nhà nghiên cứu vừa phát hiện một kiểu tấn công mới có thể phá vỡ mã hóa HTTPS. Cuộc tấn công được thực hiện bằng cách khai thác một mạng bất kỳ, bao gồm cả mạng Wi-Fi công cộng, vốn là nơi mà người lướt Web cần mã hóa HTTPS nhất.

    Cuộc tấn công lợi dụng tính năng WPAD - Web Proxy Autodisovery để tiết lộ các truy vấn trình duyệt nhất định cho kẻ tấn công. Sau đó, kẻ tấn công có thể thấy toàn bộ URL của mỗi trang web mà mục tiêu truy cập. Việc khai thác có thể thực hiện trên mọi trình duyệt và hệ điều hành. Cách tấn công sẽ được trình bày lần đầu tiên tại hội nghị Black Hat tuần tới tại Las Vegas.

    “Chúng ta dựa vào HTTPS để bảo đảm an ninh cho thông tin liên lạc ngay cả khi các mạng LAN/Wi-Fi không đáng tin. Tuy nhiên, chúng tôi thấy rằng rằng HTTPS không thể đảm bảo an ninh khi WPAD được kích hoạt. Vì vậy, rất nhiều người đang đứng trước nguy cơ bị tấn công khi truy cập trình duyệt từ các mạng không đáng tin cậy”, nhà nghiên cứu Itzik Kotler của SafeBreach cho biết.
    [​IMG]



    Ngoại trừ URL đầy đủ, tất cả lưu lượng HTTPS khác không bị ảnh hưởng bởi cuộc tấn công này. Tuy nhiên, trong một số trường hợp, việc tiết lộ URL rất nguy hiểm. Ví dụ, tiêu chuẩn OpenID sử dụng URL để xác thực người dùng đến các trang web và dịch vụ được hỗ trợ. Một ví dụ khác là dịch vụ chia sẻ tài liệu, như của Google và Dropbox, hoạt động bằng cách gửi cho người dùng một token an ninh có trong URL. Nhiều cơ chế đặt lại mật khẩu tương tự dựa trên các token an ninh URL. Kẻ tấn công có được URL trong bất kỳ trường hợp này có thể giành quyền truy cập đầy đủ vào tài khoản hoặc dữ liệu của mục tiêu.

    Cách khả thi nhất để thực hiện cuộc tấn công là nhà điều hành mạng gửi đi một phản hồi độc hại khi máy tính sử dụng giao thức cấu hình máy chủ động (dynamic host configuration protocol – DHCP) để kết nối mạng. Ngoài việc phát hành địa chỉ, DHCP có thể được sử dụng để thiết lập máy chủ proxy mà trình duyệt sẽ sử dụng khi cố gắng truy cập vào các URL nhất định. Kỹ thuật tấn công này hoạt động bằng cách buộc các trình duyệt có được một tập tin cấu hình tự động proxy (PAC) quy định cụ thể các loại URL sẽ kích hoạt sử dụng proxy. Vì mã PAC độc hại nhận truy vấn trước khi kết nối HTTPS được thiết lập, kẻ tấn công sẽ có được toàn bộ URL dưới dạng bản rõ.

    Cách thứ hai để thực hiện cuộc tấn công là sử dụng mã độc sửa đổi các thiết lập mạng trên máy tính mục tiêu để sử dụng proxy. Trong cả hai trường hợp, mục tiêu của cuộc tấn công không thấy bất kỳ dấu hiệu cho thấy có điều gì không ổn, và thanh địa chỉ của trình duyệt tiếp tục hiển thị kết nối HTTPS là hợp lệ. Trường hợp ngoại lệ đáng chú ý là, theo kịch bản đầu tiên, các tùy chọn kết nối mạng của máy tính (ví dụ, thẻ Proxies của Mac trong phần nâng cao các thiết lập mạng ưa thích của hệ thống) sẽ hiển thị đang sử dụng proxy tự động phát hiện mà không có thêm chi tiết. Trường hợp cuộc tấn công được thực hiện bằng cách sử dụng mã độc, cấu hình mạng của máy tính sẽ hiển thị đang sử dụng proxy cấu hình tự động và cũng hiển thị URL của kẻ tấn công.

    Đây không phải là cuộc tấn công duy nhất lợi dụng WPAD và PAC. Hồi tháng 4, các nhà nghiên cứu đã chỉ ra cách trojan ngân hàng BlackMoon cài đặt tập tin PAC lên máy tính bị lây nhiễm để chuyển hướng trình duyệt đến các trang lừa đảo khi truy cập vào các trang mục tiêu. Tập tin cũng chứa một hàm JavaScript mà BlackMoon lợi dụng để chặn thông tin nhạy cảm của người dùng và để xáo trộn các trang ngân hàng mục tiêu. Cách tấn công cụ thể cũng sẽ được trình bày tại Black Hat USA 2016 vào tuần tới.

    Lỗ hổng mà tấn công Unholy PAC khai thác nằm trong đặc điểm kỹ thuật WPAD, được biết đến lần đầu tiên năm 1999. Điều đó có nghĩa là lỗ hổng này không dễ khắc phục bởi nhà sản xuất hệ điều hành hoặc trình duyệt. Tuy nhiên, trình duyệt phần lớn có thể tránh được lỗ hổng bằng cách làm theo hướng dẫn của Edge và Internet Explorer 11, sử dụng hàm FindProxyForUrl cùng với URL được cắt ngắn để chỉ lưu trữ tên, ngược lại với URL đầy đủ có thể chứa token xác thực hoặc thông tin nhạy cảm.

    "Làm như vậy, trình duyệt giúp loại bỏ tiết lộ dữ liệu giao thức xuống mức tối thiểu (chỉ tên máy chủ), vốn đã được tiết lộ với thế giới thông qua các truy vấn DNS và không được coi là quá nhạy cảm", nhà nghiên cứu của SafeBreach cho biết. Người dùng cuối có thể vô hiệu hóa WPAD, nhưng biện pháp này không hiệu quả trong các trường hợp cần có WPAD để kết nối tới một mạng nào đó.

    Theo Ars Technica
     
    Last edited by a moderator: 27/07/16, 12:07 PM
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  2. tuanhoangsse

    tuanhoangsse New Member

    Tham gia: 04/01/18, 09:01 PM
    Bài viết: 1
    Đã được thích: 0
    Điểm thành tích:
    1
    Cảm ơn bác , cho em xin thêm thông tin thêm vào inbox ạ
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  3. Bkis Hunter

    Bkis Hunter Active Member

    Tham gia: 30/12/17, 06:12 PM
    Bài viết: 41
    Đã được thích: 3
    Điểm thành tích:
    8
    WPAD là gì
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  4. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 969
    Đã được thích: 652
    Điểm thành tích:
    113
    WPAD = Web Proxy Auto-Discovery
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  5. Bkis Hunter

    Bkis Hunter Active Member

    Tham gia: 30/12/17, 06:12 PM
    Bài viết: 41
    Đã được thích: 3
    Điểm thành tích:
    8
    WPDA là gì vậy???
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  6. Bkis Hunter

    Bkis Hunter Active Member

    Tham gia: 30/12/17, 06:12 PM
    Bài viết: 41
    Đã được thích: 3
    Điểm thành tích:
    8
    Ý mình là vai trò cụ thể của nó cơ?
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  7. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 969
    Đã được thích: 652
    Điểm thành tích:
    113
    WPAD (Web Proxy Auto-Discovery) được sử dụng để đảm bảo tất cả các hệ thống trong một tổ chức cùng sử dụng một cấu hình web proxy như nhau. Thay vì cấu hình thủ công cho từng thiết bị thì WPAD định vị tập tin cấu hình proxy và áp dụng cấu hình tự động.
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan