Websecurity - Веб безпека

Фахівці компанії Core Security Technologies ще влітку на конференції Black Hat продемонстрували новий тип атаки на комерційні бази даних, за допомогою якої зловмисники зможуть одержувати з баз даних закриту інформацію, причому в самій системі керування базами даних чи у сполучному програмному забезпеченні може і не бути яких-небудь уразливостей.

Під час демонстрації уразливості фахівці компанії заявили, що в даному випадку використовується так звана атака таймінга, техніка застосовувана для взлому багатьох криптографічних систем. Нова атака ефективно працює проти алгоритму Btree, використовуваного для створення індексів майже у всіх популярних СУБД, наприклад у MySQL чи Oracle.

“На сьогодні загрози безпеки стосуються в основному помилок у програмному забезпеченні чи невірній конфігурації мережевого оточення і додаткового сполучного програмного забезпечення, тому зловмисники можуть одержати доступ до даних, так чи інакше обійшовши систему авторизації й аутентифікації” - говорять у Core Security.

Новий же тип атак цілком покладається на спадкоємні характеристики алгоритмів індексування даних. У криптографії, атаки, що використовують метод таймінга, являють собою спеціальну техніку, коли нападник аналізує час, витрачений програмою на виконання криптографічного алгоритму.

Далі, за допомогою статистичних даних про швидкість роботи усіх використовуваних алгоритмів хакер з відкритих джерел одержує інформацію про те, який алгоритм використовується (на підставі даних за часом), а також яка саме криптографічна система розгорнута. Після чого, робота зловмисника зводиться до виявлення готових експлоітів для зв’язки алгоритм шифрування - програма шифрування, або до створення власного “ключа” для цього алгоритму, що більш складно, але і більш ефективно.

У випадку з базами даних підхід той же. Зловмисник, що бажає, наприклад, одержати закриті дані з БД якого-небудь сайта, заходить на цей сайт, після чого робить тестові виміри часу виконання команди Insert, що відповідає за додавання даних у БД. Зробити це можна масою способів, наприклад, написавши у форумі сайта повідомлення різної довжини. Далі порівнюються дані вставки малого і великого обсягу даних. У результаті тимчасових вимірів (таймінга) у зловмисника з’являються дані про використовувану СУБД і її версію. Ще більш ефективний метод таймінга у випадку одночасної вставки даних різного обсягу.

В результаті одержання даних про час виконання, можна буде одержати інформацію про структуру даних і дерево індексів СУБД, після чого задача зловмисника по одержанню закритих даних багаторазово спрощується. Ще одна небезпека даного методу в тім, що виявити дану атаку при активному відвідуванні сайта практично неможливо, тому що крім зловмисника з даними активно працюють і легітимні користувачі.

По матеріалам http://www.secblog.info.

This entry was posted on 22:44 20.01.2008 and is filed under Новини. You can follow any responses to this entry through the RSS 2.0 feed.