Taggat med: DPI

NSA varnar för TLS-inspektion

NSA

Amerikanska säkerhetsmyndigheten NSA går nu ut och varnar för  Transport Layer Security Inspection (TLSI). Anledningen till att NSA nu varnar för TLSI är för att metoden att granska nätverkstrafik som går in och ut ur organisationer blir allt vanligare samt att denna metod även medför ett antal olika säkerhetsrisker.

Några anledningar till att TLSI blir allt vanligare är för att kontrollera att nätverkstrafiken inte innehåller någon form av skadlig kod eller att klienter kommunicerar med skadliga webbplatser eller Command and Control-servrar (C&C). Denna form av inspektion kan också förekomma i enheter såsom Deep Packet Inspection (DPI) eller NIDS/IDS, Network Intrusion Detection Software.

Exempel på hur det kan se ut med och utan TLS-inspektion:

Bild från NSA

Problemen som NSA pekar på

Men vilka problem är det då som kan uppstå med denna set-up? Jo det finns flertalet problem som jag tänkte gå igenom här:

Validering av certifikat – Tidigare undersökningar visar på att certifikatvalideringen i TLSI-enheter inte varit 100%-ig och detta ökar risken för bl.a. man-i-mitten attacker.

Algoritmer och SSL/TLS-versioner – Precis som förra punkten så kan brister i SSL/TLS-handskakningen eller val av algoritmer påverka säkerheten såsom nedgraderingsattacker.

Tillgången till klartext – Det finns en punkt i organisationen där någon kan läsa och modifiera klartexttrafik. Detta är ett problem ur säkerhetssynpunkt men även integritet. Ett intrång kan även leda till att klartexttrafik kan läsas.

Insiderhotet – En person som har tillgång till trafiken kan läsa ut lösenord. Se till att ha en särskild granskningsroll som kan se vad TLSI-administratörerna gör för något.

Observera också att en TLSI kan användas både för utgående trafik från klienter men även inkommande (reverse proxy) för exempelvis webbsajter. Värt att nämna här är även den sårbarhet i F5:s produkter som Christoffer Jerkeby hittade. Vill du själv testa TLSI så kan jag rekommendera Erik Hjelmviks PolarProxy.

En annan sak som NSA lyfter i rapporten är även att du bör undvika att bädda in flertalet produkter där din klartext flödar. Försök att hålla ner komplexiteten för riskerna ökar med antalet produkter samt så försvåras felsökning. Certifikatspinning kan också bli ett problem samt så påpekas att HTTP Strict Transport Security (HSTS) inkluderar stöd för att binda en TLS-session(?).

Rapporten från NSA kan du hitta i sin helhet här:

NSA tls rapport
MANAGING RISK FROM TRANSPORT LAYER SECURITY INSPECTION 

Källa: NSA

Tor Browser 4.0 och Tails 1.2

Nyligen så släpptes en ny version av Tor Browser samt det anonyma och säkra operativsystemet Tails. Dessa två uppdateringar åtgärdar ett antal sårbarheter såsom POODLE. Även så använder man sig numera av Firefox 31-ESR (här kan du läsa mer om ESR).

Tor har även ny metod att kringgå censurering såsom Kinas brandvägg, denna nya metod har fått namnet Meek och kan beskrivas genom följande diagram:

Tor Meek transport

Kortfattat kan man säga att Meek kan använda sig av molntjänster såsom Google App Engine, Amazon CloudFront eller Microsoft Azure för att genomföra vidarekoppling av trafik.

Eftersom dessa tjänster används av otroligt många sajter på nätet så är det svårt för DPI-produkter att urskilja Tor-trafik och således censurera denna trafik.

Tor inför ScrambleSuit

ScrambleSuit är resultatet av forskning från Karlstad Universitet där målet var att hitta något sätt att gömma trafik över nätverket från anonymiseringsnätverket Tor. Men även att förhindra aktiva förfrågningar såsom exempelvis Kinas stora brandvägg använder sig av för att hitta Tor-noder.

ScrambleSuit

Med den nya versionen av obfsproxy så är ScrambleSuit integrerad:

obfsproxy 0.2.6 was released last week and adds ScrambleSuit to the set of available pluggable transports. Bridge operators are now called to update their software and configuration. At least Tor 0.2.5.1-alpha is required. The latest version of obfsproxy can be installed from sourcepip and Debian unstable.

There must be a critical mass of bridges before ScrambleSuit is made available to the Tor users who need it, so please help!

Så förutom bättre skydd mot detektion av Tor-trafik med hjälp av DPI (Deep Packet Inspection) så måste även ett lösenord användas för att ansluta till ingångsnoder. Detta för att försvåra för aktiva förfrågningar där syftet är att upptäcka ingångsnoder.

Forskarna har även tänkt på möjligheten att berätta lösenordet till en ingångsnod över telefon så har därför valt A-Z samt 0-9 enbart versaler.

ServerTransportOptions scramblesuit password=LLDNOWV7I4P6RKFJMDEMIY2GNU2IQISA

Här kan du läsa mer om ScrambleSuit: