Ogromne niebezpieczeństwo: aktualizacje automatyczne

Podczas konferencji hakerów Defcon eksperci od zabezpieczeń Itzik Kotler i Tomer Bitto przedstawili nowe narzędzie o nazwie Ippon, które wkrótce zamierzają udostępnić w Sieci. Ippon włamuje się do mechanizmów automatycznej aktualizacji oprogramowania w wielu aplikacjach, wprowadzając w błąd programy takie jak Adobe Reader, Alcohol 120%, Notepad++ czy Skype i podsuwając im rzekomą aktualizację zabezpieczeń. W razie udanego ataku zaproponowane w ten sposób do instalacji pliki mogą tak naprawdę zawierać nie prawdziwe uaktualnienia, ale raczej trojany albo rootkity.

Podobne narzędzie w ubiegłym roku przygotowało dwóch argentyńskich programistów. W odróżnieniu od Evilgrade'a program Ippon napisany w języku Python może występować jako tzw. dziki punkt dostępowy (Rogue Access Point), który może przyciągać ofiarę rzekomo darmowym dostępem do Internetu. W przypadku okablowanej sieci LAN napastnik musi odgrywać rolę Man in the Middle za pomocą spoofingu ARP.

Aby odpowiednio reagować na żądania sprawdzenia dostępności aktualizacji, Ippon jest wyposażony między innymi w małą bazę danych, w której znajdują się adresy używane przez programy do poszukiwania aktualizacji. Jeśli Ippon stwierdzi próbę wywołania takiego adresu, przerywa połączenie i sam komunikuje się z programem. Użytkownicy narzędzia mogą poszerzać bazę danych o nowe programy –. jest ona zwykłym plikiem tekstowym w formacie XML.

Ochronę przed wspomnianymi atakami zapewnia szyfrowanie komunikacji przy użyciu HTTPS oraz cyfrowo podpisane aktualizacje. Na przykład aktualizacji dla Firefoksa nie da się zmanipulować za pomocą Ippona. Eksperci nie byli też w stanie przechytrzyć stworzonego przez Microsoft mechanizmu Windows Update. Wszystko wskazuje na to, że Microsoft zabezpieczył swoje narzędzie różnymi mechanizmami ochronnymi i metodami szyfrowania, w wyniku czego podsunięcie systemowi Windows fałszywej aktualizacji nie jest możliwe.

wydanie internetowe www.heise-online.pl