» »

Napad na RSA, prizadet SecurID

Napad na RSA, prizadet SecurID

Slo-Tech - Včeraj je RSA, varnostni oddelek v podjetju EMC, objavil, da so bili žrtve naprednega računalniškega napada. Zapisali so, da so napadalci uporabili način APT, s čimer jim je uspelo pridobiti nekatere informacije o sistemu SecurID, ki se marsikod uporablja za preverjanje pristnosti z dvema faktorjema. Čeprav naj si napadalci naj ne bi pridobili dovolj podatkov, da bi bil SecurID popolnoma zlomljen, RSA priznava, da obstoji nevarnost, da sta učinkovitost in varnost postopka zaradi vdora zmanjšani. Drugi izdelki niso prizadeti.

Trenutno je zaradi skope izjave RSA znanih malo dejstev, kar podžiga špekulacije. Niso znane podrobnosti o napadu (verjetno je šlo za specialen malware, SQL injection, ribarjenje ali napad s fizičnim dostopom) niti ni znano, kako točno je SecurID kompromitiran. V RSA zagotavljajo, da nevarnosti za uporabnike ni in da jim bodo sproti sporočali podrobnosti.

41 komentarjev

RockyS ::

Bolj kot oni me naj obvešča moja banka!

poweroff ::

Saj to je bil že v osnovi fail, da njihov algoritem za SecurID ni bil javno znan...
sudo poweroff

sidd ::

Še vedno je tule PIN, tako da tudi če bi zlomili algoritem ni bojazni...
no idea for signature
signed
I

BigBoss ::

sidd je izjavil:

Še vedno je tule PIN, tako da tudi če bi zlomili algoritem ni bojazni...


Ja, ampak to potem ni več dvofaktorska avtentikacija. (Kar veš IN kar imaš).
Je samo še username/password. In ko nekdo izve geslo si v .... .

mrdaco ::

Pin je 4 mestna številka, ki nima prav veliko kombinacij.

mastah ::

securid se zaklene po 3 neuspesnih

poweroff ::

Saj se da nastavit, da zadeva dovoli samo n poskusov. Ampak PIN izvedet ni tak velik problem. Konec koncev ti lahko nekdo podtakne keylogger. Tukaj namreč govorimo o organizaciji, ki je bila sposobna v RSA Sec vdreti.
sudo poweroff

ender ::

Kolikor vem, SecurID ne uporablja PINa, pač pa ob pritisku tipke samo prikaže kodo, ki velja nekaj minut (koda je odvisna od trenutnega časa in serijske številke naprave).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

gslo ::

super, tale securID token se uporablja tudi za dostop do HKOM omrežja :-)

Zgodovina sprememb…

  • spremenilo: gslo ()

kar-nekdo ::

SecurID na bankah deluje v kombinaciji PINa!

mastah ::

isto za hkom

poweroff ::

Ne, PIN-a v klasičnem smislu res ne vsebuje.

Ampak kdor ima malo pamti v glavi zadevo implementira takole: vpišeš username, za geslo pa: PIN+trenutno SecurID geslo.
sudo poweroff

r0ker ::

na bankanetu je tak :O

Poldi112 ::

Različne kartice imaš. Ene imajo tipkovnico in zahtevajo, da na njo vpišeš pin in se potem avtenticiraš z 6 mestno številko, ki se izpiše, druge pa samo konstantno prikazujejo 6 mestno cifro in moraš za geslo uporabiti kombinacijo pin-a in trenutne številke.
Where all think alike, no one thinks very much.
Walter Lippmann, leta 1922, o predpogoju za demokracijo.

BigBoss ::

Ne morem, da ne bi naredil malo reklame ;)

Securekey

Tisto pod "Varnost" je bilo napisano že pred časom.

denial ::

Tukaj namreč govorimo o organizaciji, ki je bila sposobna v RSA Sec vdreti.

Kje so časi, ko so bili script kiddiji največji APT :D

More speculation:
ZDNet
The Register
SELECT finger FROM hand WHERE id=3;

Zgodovina sprememb…

  • spremenil: denial ()

ender ::

Poldi112 je izjavil:

Različne kartice imaš. Ene imajo tipkovnico in zahtevajo, da na njo vpišeš pin in se potem avtenticiraš z 6 mestno številko, ki se izpiše, druge pa samo konstantno prikazujejo 6 mestno cifro in moraš za geslo uporabiti kombinacijo pin-a in trenutne številke.
Imaš tudi kalkulatočke, v katere vtakneš bančno kartico.
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

mojca ::

ender je izjavil:

Imaš tudi kalkulatočke, v katere vtakneš bančno kartico.


... pri čemer je kljub vsemu najbrž dovolj, če si enkrat samkrat s svojo kartico nekaj plačal na malce sfriziranem POS terminalu.

ender ::

mojca je izjavil:

... pri čemer je kljub vsemu najbrž dovolj, če si enkrat samkrat s svojo kartico nekaj plačal na malce sfriziranem POS terminalu.
Ni - prirejeni POS terminal ti lahko prebere magnetni zapis s kartice, kar pa ti pri takem kalkulatorčku ne bo pomagalo, ker samo kodo generira čip na kartici, funkcija kalkulatorja pa je samo napajanje, tipkovnica za vnos PINa in zaslon (tudi preverjanje PINa dela čip na kartici - to velja tudi na POS terminalih, kjer ne potegneš kartice preko magnetnega čitalca, pač pa se za avtorizacijo uporabi čip).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

poweroff ::

Jaz bi bil zelo previden pri izjavah tipa: "bančna kartica s čipom je pa ful varna". So namreč dokazali, da ni. :D
sudo poweroff

poweroff ::

BigBoss je izjavil:

Ne morem, da ne bi naredil malo reklame ;)

Securekey

Tisto pod "Varnost" je bilo napisano že pred časom.


Če te prav razumem:
- upravitelj tega sistema ve naključno geslo
- geslo se zgenerira na podlagi uporabniškega imena in PIN-a
- upravitelj sistema ve kateri sistem preverja geslo

Par vprašanj:
- koliko so zaščitene prenosne poti?
- kaj se zgodi, če mi nekdo ukrade mobilni telefon?
- kako je z varnostjo osnovnega sistema?
sudo poweroff

mp218 ::

Točno takega kot je na sliki mam :(

Me prav zanima kolk časa bo trajal, da me kdo pozove in reče, da je treba zadevo zamenjat.

ender ::

poweroff je izjavil:

Jaz bi bil zelo previden pri izjavah tipa: "bančna kartica s čipom je pa ful varna". So namreč dokazali, da ni. :D
Ja, v implementaciji je precej slabosti, ampak kolikor vem, še niso odkrili take napake, kjer bi ti lahko prirejen POS terminal prebral vsebino čipa (magnetni zapis je druga zgodba).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

kanzyani ::

jst sm že kake 14dni nazaj dobil sporočilo banke, da bodo do konca meseca te napravice zamenjali, s čim pa nevem, mogoče samo z novejšo verzijo.... [NKBM]

kar-nekdo ::

Sicer varno ali ne, kolko je pa varen denar v denarnici :D?

roli ::

Pri SKBju vem da uporabljajo ActiveIdentity kartice. V njih vneseš PIN, ko greš na stran vpišeš svojo ID številko in številko, ki jo je izplunila ta zadeva. Tak način birekel da je kar varen - čeprav je varnost vedno možno izboljšati.
http://www.r00li.com

poweroff ::

Ender - res je, čipa ni možno prebrati (vsaj na enostaven način ne), saj v tem je finta smartcarda.
sudo poweroff

M.B. ::

kanzyani je izjavil:

jst sm že kake 14dni nazaj dobil sporočilo banke, da bodo do konca meseca te napravice zamenjali, s čim pa nevem, mogoče samo z novejšo verzijo.... [NKBM]


Jaz pa ne pa mam isto bankanet. Da ti ni samo potekla napravica, ker jo je treba zamenjat na n let, ker se baterija sprazni al nekaj?
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.

denial ::

Steven M. Bellovin in da house: KLIK
SELECT finger FROM hand WHERE id=3;

jkreuztzfeld ::

Sem želel napisat par stvari, pa je vse relevantno napisano že na linku v denialovem postu...
--
Great minds run in great circles.

Zgodovina sprememb…

BigBoss ::

poweroff je izjavil:

BigBoss je izjavil:

Ne morem, da ne bi naredil malo reklame ;)

Securekey

Tisto pod "Varnost" je bilo napisano že pred časom.


Če te prav razumem:
- upravitelj tega sistema ve naključno geslo
- geslo se zgenerira na podlagi uporabniškega imena in PIN-a
- upravitelj sistema ve kateri sistem preverja geslo

Par vprašanj:
- koliko so zaščitene prenosne poti?
- kaj se zgodi, če mi nekdo ukrade mobilni telefon?
- kako je z varnostjo osnovnega sistema?


Mislim, da me ne razumeš prav (ali pa jaz tebe ne - kaj je zate upravitelj - spodaj pišem, kot da je to SecureKey strežnik, ne pa administrator sistema ?):
1. upravitelj ne ve nobenega gesla (niti uporabnikovega pina, niti ga ne more razkriti - lahko samo primerja hash poslanega pina s hashom pina, ki je shranjen v imeniku).
2. geslo se ustvari z generatorjem slučajnih števil in ima časovno omejeno veljavnost, poleg tega je uporabno samo enkrat.
3. upravitelj seveda ve, kateri sistem preverja geslo, saj mora temu sistemu poslati poizvedbo po generiranem naključnem geslu. Kako bi sploh lahko nekomu odgovoril, da je avtentikacija uspešna, če ne bi vedel komu ?

1.Prenosna pot je SMS sporočilo. Zaščitena je toliko kot pogled na ekran SecureID kartice ;) Zaradi omejene veljavnosti in tega, da je treba po SMS-u poslano geslo vpisati v isti seji kot prej uporabniško ime in PIN je pravzaprav čisto vseeno, če ga kdo prestreže.
2.Če ti nekdo ukrade mobilni telefon ostaneš brez vseh telefonskih številk, če nimaš backupa ... ;)
Lahko pa telefoniraš administratorju, ki v imeniku spremeni tvojo telefonsko številko (zaščita proti socialnemu inženiringu je tu stvar organizacije) ali pa se - če si na delovnem mestu - prijaviš in preko samoadministratorskega vmesnika (priloženo paketu) spremeniš svojo številko. Ker tisti nekdo ne ve tvojega pina mu telefon ne pomaga. Nedvomno pa boš krajo / izgubo telefona opazil bistveno prej kot pa krajo/izgubo SecureID napravice.
Mimogrede, če ti kdo ukrade PIN in se potem igra (in ne ugane naključnega gesla "v prvo") boš pa tako ali tako obveščen po SMS-u :)
3. Kaj razumeš pod varnostjo osnovnega sistema ? Osnovni sistem je minimalistično postavljen linux, na katerem tečejo samo nujno potrebne zadeve. Nekako tako kot RSA server. Le da RSA-ju lahko ukradejo algoritem (pa potem ni treba vdirat v server).

Mogoče bo takole bolj jasno :
Kako SecureKey deluje

poweroff ::

Kakšen RNG se uporablja?
sudo poweroff

BigBoss ::

Preživel je "metodo Special Publication 800-22rev1a National Institute of Standards and Technology (NIST)"

Aja, še to : dolžina enkratnega gesla je nastavljiva. Pri RSA SecureID je vedno 6 znakov.

poweroff ::

Jaz sem vprašal nekaj drugega.
sudo poweroff

BigBoss ::

V standardni verziji Linuxov - SuSE je osnova, na željo dobiš lahko tudi strojnega (v tem primeru bo malo bolj komplicirano zadevo spravit na virtualni strežnik) ali pa se vgradi kakega po strankini želji.
Zadeva je interno sploh precej modularna.

poweroff ::

Se pravi gre v osnovi za virtualne strežnike, ki vsebujejo softwerski RNG?
sudo poweroff

BigBoss ::

Zakaj se mi zdi, da si nisi prebral spletne strani, na katero sem linkal ?

poweroff ::

V bistvu me zanima ali uporabljate strojne random number geneatorje ali programske. Ker programski so dosti problematični. V virtualnih mašinah pa sploh.

Kolikor vidim, se strojni ne uporabljajo. Da?
sudo poweroff

BigBoss ::

Ker je SecureKey precej modularen: če želiš večjo varnost jo - ob višji ceni (seveda) - lahko dobiš.
Kaj se uporablja je v končni fazi odvisno od naročnika.

V trenutnih postavitvah so povsod programski. Da.
Glede na opravljene teste je SecureKey že v programski bistveno bolj zanesljiv (sploh glede na zadnje dogodke, ki so botrovali tej temi) od "obeskov za ključe" ob tem, da je tudi cenejša.

Za napad na SecureKey programski random generator je potreben fizični dostop do mašine ali pa "prisluškovanje" vsem SMS-om in njihova analiza. Pa še s tem dobiš možnost vdora v samo eno postavitev.

Za vdor v vse postavitve RSA je bil pa dovolj en napad. "Ključ" vsega je bil en sam samcat algoritem. Ki ga v RSA "obeskih" ni preprosto zamenjati. Vsaj ne poceni. V SecureKey lahko RNG menjaš po volji, pa uporabniki niti vedeli ne bodo. Pa še prav velikih stroškov ne bo, veliko časa pa tudi ne bomo rabili za to.

Da zaključim. Povsem bulletproof sistema ni. Še v ugasnjen strežnik v zaklenjeni omari, ki ni priključen na omrežje bi se dalo vdreti ;)
Pri varnosti tako ni nikoli absolutne varnosti. Raven varnosti se meri s tem, da je dovolj velika, ko je strošek vdora večji od pridobljene koristi.

Realen EPP : SecureKey je boljši od marsikatere konkurence - tako varnostno, kot cenovno, kot glede stroškov vzdrževanja.

neres ::

Govori se, da bo mogoče treba zamenjat vse te žetone:
http://online.wsj.com/article/SB1000142...

Čakam kaj na to porečejo banke, ki uporabljajo ta sistem (npr. NKBM).

McMallar ::

Ne mogoce, definitivno jih bo treba.
Why can't a programmer tell the difference between Halloween and Christmas?
Because OCT31 = DEC25


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Kiberkriminal pod Alpami

Oddelek: Informacijska varnost
263611 (2546) STASI
»

Znane vse podrobnosti napada na RSA

Oddelek: Novice / Varnost
146339 (5126) MrStein
»

Marčevski napad na RSA kompromitiral žetone SecurID

Oddelek: Novice / Varnost
4312672 (10623) MyotisSI
»

Hekerji vdrli v Lockheed Martin

Oddelek: Novice / Varnost
3812322 (10288) darkolord

Več podobnih tem