Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про обхід sandbox в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про топ 10 хакерів. Рекомендую подивитися всім хто цікавиться цією темою.

Хакеры. Топ 10

В даному телевізійному ролику демонструється 10 найбільших хакерів, на думку телевізійників. Стосовно кожного учасника рейтинга розповідається про його найбільші атаки (згадуються як випадки багаторічної давнини, так і останніх років).

В рейтингу присутні як окремі хакери, так і угруповування, в тому числі така відома хакерська група, як Anonymous (порядок в рейтингу дещо суб’єктивний). Рекомендую подивитися дане відео для покращення власних знянь з історії хакерства.

В цьому місяці в журналі “Auditing & Standards” була опублікована моя стаття. В червневому номері журналу Auditing & Standards 06/2012, що вийшов 11.06.2012, опублікована стаття “Штрафування та закриття веб сайтів через законодавство” (Fining or closing web sites due to legislation).

В ній розповідається про можливість накладання штрафів та закриття сайтів, які порушують законодавство. І з 2008 року я дослідив численні закони і вже розповідав про численні випадки, коли можуть закрити сайт чи оштрафувати його власника. В статті розглянуті такі закони, як EU Cookie Law (захист приватності в ЄС) та Ukrainian Euro 2012 Law (захист авторських прав УЄФА).

Дана стаття базується на двох моїх попередніх статтях: Закриття сайтів через законодавство ЄС та Штрафи та закриття сайтів через Євро 2012. Вона вміщує як матеріали цих статей, так і нову інформацію.

Продовжуючи розпочату традицію, після попереднього відео про SSL Spoofing в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід sandbox в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

VUPEN Pwned Google Chrome aka Sandbox/ASLR/DEP Bypass

В ролику демонструється Code Execution уразливість в браузері Google Chrome. Що дозволяє виконати довільний код у браузері (в даному прикладі запускається calc.exe). При цьому обходяться такі захисні технології як пісочниця (sandbox) Chrome, ASLR та DEP.

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Раніше я розповідав про різні причини, через які в Україні правоохоронні органи можуть закрити веб сайти. В останнє я писав про закриття сайтів через розміщення вірусів. А зараз розповім вам про можливість накладання штрафів та закриття сайтів через закони, які стосуються Євро 2012.

В Україні є законодавство стосовно захисту авторського права, в тому числі авторського права УЄФА. Зокрема є закон “Про авторське право і суміжні права“. Відповідно до цього закону, захист авторського права реалізується шляхом встановленим адміністративним, цивільним та кримінальним законодавством. Відповідно до статті 176 Кримінального кодексу “Порушення авторського права і суміжних прав” можливі штрафи, виправні роботи до 2 років та ув’язнення до 2 років за порушення авторського права. А якщо ці дії зроблені повторно, чи групою осбі, чи призвели до значних збитків, то можливі ще більші штрафи, виправні роботи до 2 років та ув’язнення від 2 до 5 років.

Тому copyright УЄФА захищений в Україні поточними законами. Але уряд вирішив зробити закони більш жорсткими. В березні 2012 уряд створив проект Закону про права інтелектуальної власності та репутацію Об’єднання європейських футбольних асоціацій. Спочатку вони планували підняти штрафи за різні порушення авторського права УЄФА, такі як збільшення ув’язнення до 6 років для користувачів та власників сайті за копіювання футбольних записів та поширення їх в Інтернеті. Але потім уряд відмовися від цих змін і ліше запропонував пришвидшити розгляд копірайтних справ в судах. Цей законопроект ще не прийнятий, але це може бути зроблени найближчим часом.

Є один приклад використання закону про авторське право в контексті Євро 2012. У вересні 2011 правоохронці закрити сайт ProstoPrint та саму компанію в зв’язку з порушенням копірайту УЄФА. Офіційна причина правоохоронців для закриття ProstoPrint була такою, що компані продовала футболки з логотипом УЄФА на своєму сайті. При цьому власник ProstoPrint стверджує, що його онлайн магазин не продавав такі футболки і були виготовлені лише ті 15 футболок, що були замовлені правоохоронцями (для створення легальних причин для їхніх дій). Це приклад зловживання сервісами міліцією, коли вони дозволяють таке зловживання (як сервіси другу по замовленню), щоб змусити їх порушити закон та закрити їх.

Навіть без посилення поточних законів, Українське законодавство про авторське право може бути використане проти веб сайтів та компаній, що його порушують. Особливо це стосується копірайту УЄФА, який активно захищається в зв’язку з Євро 2012. Порушення можуть бути зроблені як власниками сайтів (що розмістять заборонений контент), або користувачами сайтів (що завантажать заборонений контент), або правоохоронцями (що заабюзять сервіс, який дозволяє зловживання, як у вищезгаданому випадку), або в результаті взлому сайта та розміщення на ньому такого контенту.

Тому правоохронці можуть притягти до відовідальності тих, хто незаконно копіює футбольні записи та поширує їх в Інтернеті - за це можуть бути штрафи та ув’язнення. А за розміщення на сайтах банерів з логотипом чемпіонату чи трансляцію матчів в Інтернеті, окрім штрафів власники сайтів можуть залишитися без домена і сервера.

Так що за вчинені умисно чи неумисно вищезгадані дії, в тому числі після взлому сайтів, їх власники підпадуть під порушення законодавства. Тому уразливості на веб сайтах можуть підставити їх під штрафи та закриття через порушення копірайту УЄФА. Дана обставина повина стати приводом для власників веб сайтів для покращення їхньої безпеки.

Раніше я розповідав про різні причини, через які в Україні правоохоронні органи можуть закрити веб сайти. В останнє я писав про закриття сайтів через обшук податкової, а також про закриття сайтів через законодавство ЄС (що може стосуватися як європейських сайтів, так і ресурсів інших країн, що направлені на аудиторію ЄС). А зараз розповім вам про закриття сайтів через розміщення шкідливого коду (вірусів).

Після того як в листопаді 2008 СБУ закрила сайт Daily-UA та в грудні 2008 МВС закрила Infostore, я написав статтю про закриття сайтів через їх уразливості, базуючись на цих прикладах (коли сайти закрили через розміщення на них секретних матеріалів та порнографії). Після чого я навів ще багато прикладів українських законів, через які можуть закрити сайти, що їх порушують, та навів випадки подібного закриття веб ресурсів.

Але ще раніше, ще на початку вересня 2008, коли мені потрапив на очі сайт www.crime.org.ua - який є онлайновою версією Кримінального Кодексу України - я звернув увагу на статтю КК України 361.1 (про яку я знав ще з 2004 року), що стосується розповсюдження вірусів, і поглянув на неї під іншим кутом. Як раз з точки зору закриття сайтів зі шкідливим кодом. І з тих пір планував про це написати. Але так як не було прецендентів, то про це я не писав, зате раніше написав статтю про закриття сайтів через секретні матеріали та порнографію, після вищезгаданих випадків з Daily.ua та Infostore. С тих пір дана стаття була лише в планах, чекав доки з’явиться перший прецендент в Україні (хоча писав про випадки закриття сайтів хостерами чи власниками ресурсів саме в зв’язку з розміщенням на них вірусів). Але при спілкуванні з журналістами в останні роки я наводив серед різних причин, чому потрібно слідкувати за безпекою власних сайтів, дані приклади закриття сайтів через законодавство (про які я писав на сайті), в тому числі про можливість закриття в зв’язку з даною статтею КК про розповсюдження вірусів.

І от нарешті з’явився перший прецендент в Україні. Якщо в попередні роки, як я писав в новинах, міліція і СБУ затримували лише продавців “CD з вірусами”, то в цьому році вони вже дісталися до сайтів. При тому, що ще з початку 2000-х років Інтернет є найбільшим джерером розповсюдження вірусів. Як повідомлялося у ЗМІ, 23 березня МВС України припинило роботу веб проекта VX Heavens. Сервер був вилучений співробітниками міліції в зв’язку з порушенням кримінальної справи по статті 361-1 КК (при цьому власники сайта не вважають себе винними). Цей випадок наочно показує, що українські сайти можуть закривати по цій статті КК.

Нагадаю, що в Кримінальному Кодексі стаття 361-1 передбачає відповідальність за “Створення з метою використання, розповсюдження або збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження або збут”. Тобто окрім безпосередньо закриття сайтів, власникам веб ресурсів, які підпали під дію цієї статті, також загрожує штраф, або виправні роботи, або позбавлення волі.

Окрім закриття міліцією сайтів, що публічно займалися розповсюдженням чи продажем вірусів, подібне закриття сайтів може бути спровоковане через розміщення вірусів на сайтах. Тобто це може бути malware для браузерів, що також є вірусом і підпадає під цю статтю. А malware можуть бути розміщені як власниками сайтів, так і через дірки на сайтах. В своїй доповіді про системи виявлення інфікованих веб сайтів на конференції, я описав всі варіанти потрапляння шкідливого коду на сайт.

Тобто, окрім випадків, коли сам власник сайта розміщує віруси на своєму ресурсі, будь-який сайт може бути взломаний через уразливості на ньому та інфікований. Щотижня я повідомляю про нові випадки інфікувань сайтів в Уанеті, в тому числі й державних сайтів. І всі ці сайти по суті підпадають під дану статтю. Так що зловмисники таким чином можуть підставити власника сайта. І дана стаття КК України є гарним приводом для власників веб сайтів для покращення їхньої безпеки.

Продовжуючи розпочату традицію, після попереднього відео про URL Bar Spoofing в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про SSL Spoofing в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Mozilla Firefox SSL Spoofing vulnerability

В ролику демонструється SSL Spoofing уразливість в браузері Mozilla Firefox. Дана уразливість дозволяє підробити URL в адресному рядку браузера і отримати SSL сертифікат від іншого сайта (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображується одна адреса, а потім адреса двічі змінюється і в результаті один сайт отримує SSL сертифікат від іншого. Дана уразливість дещо схожа на Certificate Spoofing в Google Chrome для Android, що я знайшов торік.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Як я писав раніше, в 2011 році в ЄС прийняли закон стосовно cookies, а в деяких країнах ЄС, зокрема в Великобританії, вступ в дію закону відсрочили на рік. І даний закон може призвести до штрафів власникам сайтів, що його не дотримуються, в тому числі це може призвести до закриття сайтів (якщо сума штрафу буде занадто велика для власника сайту, щоб продовжувати його роботу).

Розглянемо цей закон ЄС в контексті штрафів та закриття сайтів. Подібно до всіх тих випадків в законодавсті України, про які я неодноразово писав з 2008, що призводили до закриття сайтів. В останнє я писав про закриття сайтів через обшук податкової.

Цей закон називається EU Cookie Law. Ви можете ознайомитися з детальним поясненням всіх особливостей даного закону в статті Definitive guide to the Cookie Law, в тому числі методів, які власники сайтів можуть використати для дотримання чи не дотримання даного закону. На даний час сайти в Євросоюзі переважно не дотримуються даного закону, але враховуючи, що це діючий закон ЄС, всім сайтам, які підпадають під дію цього закону, бажано його дотримуватися.

З травня 2011 цей закон вніс такі зміни в законодавство про онлайн приватність в ЄС, що у відвідувачів сайтів повинні запитувати дозволу перед використанням кукісів (окрім визначених випадків, таких як форми логіна). Один рік був наданий (як мінімум в UK) для веб сайтів, щоб вони змінили методи своєї роботи відповідно до нового закону і з 26.05.2012 цей закон почав діяти в повну силу (в даному випадку в UK).

Це означає, що сайти, які не відповідають новому закону, можуть бути оштрафовані (на суму до 500000 євро). Як зазначається, зокрема на вищезгаданому сайті, цей закон стосується всіх сайтів направлених на аудиторію ЄС (і власники яких є зарєєстованими компаніями на території ЄС). Тобто не тільки сайти в країнах ЄС (для локальної аудиторії), але всі сайти для аудиторії ЄС.

Що це означає для веб сайтів.

Вони повинні змінити звичайний метод роботи з кукісами (який використовується з часу створення HTTP cookies), тобто “прихований метод”, і почати використовувати “голосний метод” - запитувати кожного користувача і відвідувача перед встанновлення кукісів.

Поточна ситуація.

Я бачив деякі сайти ЄС, включаючи вищезгадані сайти, які запитували перед встановленням кукісів, але небагато сайтів. Більшість сайтів ЄС, які я відвідав за останній рік, не робили цього, тому вони є не сумісними з EU Cookie Law.

Як я перевірив декілька популярних сайтів в ЄС напередодні 26.05.2012, ситуація з сумісністю до нового закону була наступна:

http://www.google.fr - не сумісний (приховано встановив два кукіси)

http://www.google.de - не сумісний (приховано встановив два кукіси)

http://fr.yahoo.com (редирект з yahoo.fr) - не сумісний (приховано встановив сім кукісів)

http://www.bing.com/?cc=fr (редирект з bing.fr) - не сумісний (приховано встановив одинадцять кукісів)

http://ec.europa.eu - на головній сторінці не встановлює кукіси, але після того, як я відвідав наступну сторінку, він встановив один кукі.

Аспект безпеки в даному законі.

Існує зв’язок між законом ЄС стосовно cookies та безпекою веб сайтів. Якщо сайт буде взломаний і кукіси будуть встановлені відвідувачам приховано (автоматично), то цей сайт може бути оштрафований - навіть якщо по замовчуванню цей сайт сумісний закону ЄС (запитує перед встанновленням кукісів).

Так що уразливості на будь-якому сайті (що підпадає під законодавство ЄС) можуть наразити його на штрафи в ЄС в зв’язу з цим законом. І це можуть бути як серйозні уразливості, що призводять до повної компрометаці сайта, так і Cross-Site Scripting (persistent XSS чи навіть reflected XSS) або HTTP Response Splitting уразливості. Тому що за допомогою XSS і HTTPRS уразливостей можна встановлювати кукіси - що робить ці сайти не відповідними до нового закону. Тому даний закон є гарною нагодою для власників веб сайтів для покращення їхньої безпеки.

В цьому місяці в журналі “Web App Pentesting” була опублікована моя стаття. В травневому номері журналу Web App Pentesting 05/2012, що вийшов 22.05.2012, опублікована стаття “Обхід веб антивірусів” (Bypassing web antiviruses).

В ній розповідається про такий метод обходу веб антивірусів, як клоакінг (який відомий ще з 90-х і використовувався для SEO цілей). Просунуте використання клоакінгу передбачає аналіз таких параметрів відвідувачів сайтів як User-Agent, IP та DNS, для виявлення веб антивірусів та приховання від них. Тому всі розробники систем пошуку вірусів на веб сайтах повинні враховувати це для протистояння malware.

Дана стаття базується на двох моїх попередніх статтях: Обхід систем для пошуку вірусів на веб сайтах та Ефективне використання клоакінгу проти веб антивірусів. Вона вміщує як матеріали цих статей, так і нову інформацію. Й детально описує методи, які malware може використати для приховання від веб антивірусів.

P.S.

Виклав на сайті повну версію статті Bypassing Web Antiviruses.

Продовжуючи розпочату традицію, після попереднього відео про експлоіт для Firefox та IE, пропоную нове відео на веб секюріті тематику. Цього разу відео про URL Bar Spoofing в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome Webkit URL Bar Spoof

В ролику демонструється URL Bar Spoofing уразливість в браузері Google Chrome (та інших браузерах на Webkit, таких як Safari). Дана уразливість дозволяє підробити URL в адресному рядку браузера (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображається одна адреса, а потім, після короткотривалого повідомлення про помилку, у вікні відображується інша адреса (при збереженні сторінки попереднього сайта).

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Як я вже писав минулого місяця, через перевірку податкової призупинили свою роботу інтернет-магазини Rozetka.ua і Sokol.ua. Окрім сайтів, також на час перевірки були закриті й офлайнові магазини цих компаній. Закриття сайтів цих інтернет-магазинів було тимчасовим, пов’язане з перевірками податкової адміністрації та обшуком УБОЗом офіса Sokol.ua.

Подібна переспектива може стосуватися будь-яких е-комерс сайтів, в першу чергу онлайн магазинів, аптек та аукціонів. Тобто тих, хто заробляє великі суми коштів при торгівлі в Інтернеті.

З даних інцидентів цілком очевидно, що не тільки СБУ і МВС можуть закривати сайти через порушення законодавства (про такі випадки я писав неодноразово), а також і ДПС. Щоб унеможливити подібні закриття сайтів у майбутньому обидва магазини перевели хостінги своїх сайтів закордон.

Головною особливістю цих інцидентів було те, що самі правоохоронці сайти спеціально не закривали (як вони заявляють), а лише проводили перевірки. Зокрема в тих приміщеннях цих компаній, де знаходилися сервери, на яких розміщувалися сайти. І відповідно під час обшуків всі комп’ютери вимикалися, як це завжди у нас буває, в тому числі й сервери. Але це стосується Sokol.ua, а сайт Rozetka.ua знаходився у хостер провайдера Mirohost і незважаючи на заяви податкової, що вони не закривали даний сайт, але саме вони вилучили сервер з сайтом у хостінг провайдера.

Подібна ситуація була торік з сайтом Фокстрота, про що я писав в статті Закриття сайтів по політичним мотивам. Вони також тримали сервер з сайтом в своєму офісі й під час обшуків МВС він перестав працювати. Але тоді сайт не працював довший час, вірогідно тому, що сервер було вилучено. Тому варто тримати сайти на серверах хостінг провайдерів, щоб уникнути подібних ситуацій. А щоб повністю їх унеможливити - у закордонних хостінг провайдерів.

Стосовно різних причин закриття сайтів правоохоронними органами, то можна сказати, що закриття сайтів через обшук податкової можна зініціювати й через взлом сайта. Наприклад, взломати сайт і вказати дані про доходи в декілька разів вищі, а потім скинути інформацію про це у податкову. Коли вони ознайомляться з “офіційними даними” на сайті, які будуть відрізнятися від задекларованих доходів і сплачених податків, ДПС проведе перевірку в офісі, яка можна призвести до переривання роботи сайта. Або просто можуть дати “наводку” податківцям. Наприклад, на Sokol.ua подав жалобу колишній клієнт магазину.

І навіть якщо буде доведено, що це був лише взлом сайта і вказана інформація не відповідає дійсності, але все рівно будуть знайдені факти ухиляння від сплати податків, то власники такого е-комерс сайта можуть потрапити під кримінальний кодекс. Так що всім адмінам і власникам е-комерс сайтів варто слідкувати за безпекою власних сайтів, щоб не потрапити у таку ситуацію - щоб не було ні закриття сайтів, ні інших проблем (як у цих трьох онлайн магазинів).