Slo-Tech - Včeraj je RSA, varnostni oddelek v podjetju EMC, objavil, da so bili žrtve naprednega računalniškega napada. Zapisali so, da so napadalci uporabili način APT, s čimer jim je uspelo pridobiti nekatere informacije o sistemu SecurID, ki se marsikod uporablja za preverjanje pristnosti z dvema faktorjema. Čeprav naj si napadalci naj ne bi pridobili dovolj podatkov, da bi bil SecurID popolnoma zlomljen, RSA priznava, da obstoji nevarnost, da sta učinkovitost in varnost postopka zaradi vdora zmanjšani. Drugi izdelki niso prizadeti.
Trenutno je zaradi skope izjave RSA znanih malo dejstev, kar podžiga špekulacije. Niso znane podrobnosti o napadu (verjetno je šlo za specialen malware, SQL injection, ribarjenje ali napad s fizičnim dostopom) niti ni znano, kako točno je SecurID kompromitiran. V RSA zagotavljajo, da nevarnosti za uporabnike ni in da jim bodo sproti sporočali podrobnosti.
Saj se da nastavit, da zadeva dovoli samo n poskusov. Ampak PIN izvedet ni tak velik problem. Konec koncev ti lahko nekdo podtakne keylogger. Tukaj namreč govorimo o organizaciji, ki je bila sposobna v RSA Sec vdreti.
Kolikor vem, SecurID ne uporablja PINa, pač pa ob pritisku tipke samo prikaže kodo, ki velja nekaj minut (koda je odvisna od trenutnega časa in serijske številke naprave).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
Različne kartice imaš. Ene imajo tipkovnico in zahtevajo, da na njo vpišeš pin in se potem avtenticiraš z 6 mestno številko, ki se izpiše, druge pa samo konstantno prikazujejo 6 mestno cifro in moraš za geslo uporabiti kombinacijo pin-a in trenutne številke.
Where all think alike, no one thinks very much.
Walter Lippmann, leta 1922, o predpogoju za demokracijo.
Različne kartice imaš. Ene imajo tipkovnico in zahtevajo, da na njo vpišeš pin in se potem avtenticiraš z 6 mestno številko, ki se izpiše, druge pa samo konstantno prikazujejo 6 mestno cifro in moraš za geslo uporabiti kombinacijo pin-a in trenutne številke.
Imaš tudi kalkulatočke, v katere vtakneš bančno kartico.
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
... pri čemer je kljub vsemu najbrž dovolj, če si enkrat samkrat s svojo kartico nekaj plačal na malce sfriziranem POS terminalu.
Ni - prirejeni POS terminal ti lahko prebere magnetni zapis s kartice, kar pa ti pri takem kalkulatorčku ne bo pomagalo, ker samo kodo generira čip na kartici, funkcija kalkulatorja pa je samo napajanje, tipkovnica za vnos PINa in zaslon (tudi preverjanje PINa dela čip na kartici - to velja tudi na POS terminalih, kjer ne potegneš kartice preko magnetnega čitalca, pač pa se za avtorizacijo uporabi čip).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
Tisto pod "Varnost" je bilo napisano že pred časom.
Če te prav razumem: - upravitelj tega sistema ve naključno geslo - geslo se zgenerira na podlagi uporabniškega imena in PIN-a - upravitelj sistema ve kateri sistem preverja geslo
Par vprašanj: - koliko so zaščitene prenosne poti? - kaj se zgodi, če mi nekdo ukrade mobilni telefon? - kako je z varnostjo osnovnega sistema?
Jaz bi bil zelo previden pri izjavah tipa: "bančna kartica s čipom je pa ful varna". So namreč dokazali, da ni.
Ja, v implementaciji je precej slabosti, ampak kolikor vem, še niso odkrili take napake, kjer bi ti lahko prirejen POS terminal prebral vsebino čipa (magnetni zapis je druga zgodba).
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
jst sm že kake 14dni nazaj dobil sporočilo banke, da bodo do konca meseca te napravice zamenjali, s čim pa nevem, mogoče samo z novejšo verzijo.... [NKBM]
Pri SKBju vem da uporabljajo ActiveIdentity kartice. V njih vneseš PIN, ko greš na stran vpišeš svojo ID številko in številko, ki jo je izplunila ta zadeva. Tak način birekel da je kar varen - čeprav je varnost vedno možno izboljšati.
jst sm že kake 14dni nazaj dobil sporočilo banke, da bodo do konca meseca te napravice zamenjali, s čim pa nevem, mogoče samo z novejšo verzijo.... [NKBM]
Jaz pa ne pa mam isto bankanet. Da ti ni samo potekla napravica, ker jo je treba zamenjat na n let, ker se baterija sprazni al nekaj?
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.
Tisto pod "Varnost" je bilo napisano že pred časom.
Če te prav razumem: - upravitelj tega sistema ve naključno geslo - geslo se zgenerira na podlagi uporabniškega imena in PIN-a - upravitelj sistema ve kateri sistem preverja geslo
Par vprašanj: - koliko so zaščitene prenosne poti? - kaj se zgodi, če mi nekdo ukrade mobilni telefon? - kako je z varnostjo osnovnega sistema?
Mislim, da me ne razumeš prav (ali pa jaz tebe ne - kaj je zate upravitelj - spodaj pišem, kot da je to SecureKey strežnik, ne pa administrator sistema ?): 1. upravitelj ne ve nobenega gesla (niti uporabnikovega pina, niti ga ne more razkriti - lahko samo primerja hash poslanega pina s hashom pina, ki je shranjen v imeniku). 2. geslo se ustvari z generatorjem slučajnih števil in ima časovno omejeno veljavnost, poleg tega je uporabno samo enkrat. 3. upravitelj seveda ve, kateri sistem preverja geslo, saj mora temu sistemu poslati poizvedbo po generiranem naključnem geslu. Kako bi sploh lahko nekomu odgovoril, da je avtentikacija uspešna, če ne bi vedel komu ?
1.Prenosna pot je SMS sporočilo. Zaščitena je toliko kot pogled na ekran SecureID kartice ;) Zaradi omejene veljavnosti in tega, da je treba po SMS-u poslano geslo vpisati v isti seji kot prej uporabniško ime in PIN je pravzaprav čisto vseeno, če ga kdo prestreže. 2.Če ti nekdo ukrade mobilni telefon ostaneš brez vseh telefonskih številk, če nimaš backupa ... ;) Lahko pa telefoniraš administratorju, ki v imeniku spremeni tvojo telefonsko številko (zaščita proti socialnemu inženiringu je tu stvar organizacije) ali pa se - če si na delovnem mestu - prijaviš in preko samoadministratorskega vmesnika (priloženo paketu) spremeniš svojo številko. Ker tisti nekdo ne ve tvojega pina mu telefon ne pomaga. Nedvomno pa boš krajo / izgubo telefona opazil bistveno prej kot pa krajo/izgubo SecureID napravice. Mimogrede, če ti kdo ukrade PIN in se potem igra (in ne ugane naključnega gesla "v prvo") boš pa tako ali tako obveščen po SMS-u :) 3. Kaj razumeš pod varnostjo osnovnega sistema ? Osnovni sistem je minimalistično postavljen linux, na katerem tečejo samo nujno potrebne zadeve. Nekako tako kot RSA server. Le da RSA-ju lahko ukradejo algoritem (pa potem ni treba vdirat v server).
V standardni verziji Linuxov - SuSE je osnova, na željo dobiš lahko tudi strojnega (v tem primeru bo malo bolj komplicirano zadevo spravit na virtualni strežnik) ali pa se vgradi kakega po strankini želji. Zadeva je interno sploh precej modularna.
V bistvu me zanima ali uporabljate strojne random number geneatorje ali programske. Ker programski so dosti problematični. V virtualnih mašinah pa sploh.
Ker je SecureKey precej modularen: če želiš večjo varnost jo - ob višji ceni (seveda) - lahko dobiš. Kaj se uporablja je v končni fazi odvisno od naročnika.
V trenutnih postavitvah so povsod programski. Da. Glede na opravljene teste je SecureKey že v programski bistveno bolj zanesljiv (sploh glede na zadnje dogodke, ki so botrovali tej temi) od "obeskov za ključe" ob tem, da je tudi cenejša.
Za napad na SecureKey programski random generator je potreben fizični dostop do mašine ali pa "prisluškovanje" vsem SMS-om in njihova analiza. Pa še s tem dobiš možnost vdora v samo eno postavitev.
Za vdor v vse postavitve RSA je bil pa dovolj en napad. "Ključ" vsega je bil en sam samcat algoritem. Ki ga v RSA "obeskih" ni preprosto zamenjati. Vsaj ne poceni. V SecureKey lahko RNG menjaš po volji, pa uporabniki niti vedeli ne bodo. Pa še prav velikih stroškov ne bo, veliko časa pa tudi ne bomo rabili za to.
Da zaključim. Povsem bulletproof sistema ni. Še v ugasnjen strežnik v zaklenjeni omari, ki ni priključen na omrežje bi se dalo vdreti ;) Pri varnosti tako ni nikoli absolutne varnosti. Raven varnosti se meri s tem, da je dovolj velika, ko je strošek vdora večji od pridobljene koristi.
Realen EPP : SecureKey je boljši od marsikatere konkurence - tako varnostno, kot cenovno, kot glede stroškov vzdrževanja.
