Włamanie na serwery Fedory – czas na podsumowanie
- Dodano: 31 August 2008
- Wprowadził: Adrianot
- Komentarze: 29
Ostatnimi dniami, jak doskonale wiemy, dokonano włamania na serwery Fedory i RedHat. Przed oficjalnym oświadczeniem, wiele osób spekulowało co do szczegółów, co tak na prawdę było przyczyną, zniknięcia z sieci serwerów. Dyskusja nabierała co raz to większego tempa. Aż do oświadczenia Paula Fierldsa:
Zostało dokonane włamanie na systemach Fedory. Jednym z tych systemów był system używany do podpisywania pakietów Fedory. Atak został szybko wykryty, a serwery odłączone od sieci. Nie ma żadnych dowodów na złamanie kluczy Fedory, co stwierdzili z całą pewnością administratorzy i specjaliści od zabezpieczeń.
Jednocześnie Fedora postanowiła wymienić wszystkie używane do tej pory klucze, do czego będzie potrzebna interakcja ze strony każdego właściciela/administratora systemu. Żaden z pakietów dystrybuowanych przez Fedorę nie został podmieniony ani zarażony backdoorami, wirusami itp. W tej chwili trwa faza projektowania i wkrótce implementacji dodatkowych systemów zabezpieczeń na serwerach Fedory. Zaatakowane zostały również serwery Red Hata, ale dzięki systemom zabezpieczeń nie zostało w żadnym wypadku naruszone bezpieczeństwo RHN. Skutki ataku na Fedorę są zupełnie inne niż na Red Hata, jako że system podpisywania kluczy w Fedorze nie ma żadnego związku z pakietami RHEL.
Niedługo po tym administratorzy systemów przywrócili krok po kroku każdy system do pracy. Lecz to nie koniec, musieli oni przeskanować każdą paczkę pod kątem złośliwego kodu. Potem przyszło im zrobić coś niezwykle trudnego i nużącego, aby zapewnić swoim użytkownikom bezpieczeństwo — dla każdej paczki projektu Fedora i RedHat stworzyli nowe cyfrowe podpisy paczek.
Niedługo potem RedHat na swojej liście mailingowej opisał zaistniały fakt informując iż “włamywaczom” udało się podpisać kluczem tylko paczki OpenSSH dla RHEL 4 (architektury i386 i x86_64) i RHEL 5 (x86_64).
Programiści projektu Fedora napisali skrypt, który poinformuje nas czy dane paczki zostały zainfekowane, czy też nie.
Podsumowując — nie zostały zarażone żadne paczki projektu Fedora. RedHat obiecał ujawnić obszerny komunikat, o włamaniu. Jako że podpisy cyfrowe zostały wygenerowane od zera, każdy użytkownik będzie musiał je zaakceptować, teraz pozostaje nam tylko oczekiwać na aktualizacje.
Więcej informacji: http://fedoratweak.blogspot.com/2008/08/...as-na.html
Znalazłeś literówkę? Zgłoś ją używając formularza!
Jeśli uważasz, że ten nius jest nieobiektywny, przedstawia nieprawdziwe wydarzenie, jest spamem lub nie spełnia standardów serwisu, napisz raport.
Niusy na podobny temat:
Komentarze są prywatnymi opiniami dodających je osób. Prosimy o zachowanie kultury wypowiedzi. Komentarze obraźliwe oraz obniżające poziom serwisu będą usuwane. Więcej w regulaminie komentowania.
29 komentarzy
Wszystkie autorskie niusy w serwisie publikowane są na licencji Creative Commons Uznanie autorstwa 2.5 Polska.
"Jak możemy wyczytać, od razu po wykryciu, ataku serwery pracowały w trybie offline"
Da się coś zrobić z tym zdaniem? Zacząłbym od usunięcia przecinka, a skończył na… wywaleniu całego zdania, bo w świetle powyższego cytatu jest to dosyć naciągane twierdzenie
bledow gramatycznych tyle, ze az nie potrafie tego wszystkiego poprawic…
nawet takich glupot jak braku stawiania spacji po kropce bylo tyle – ze moze poradze sobie dopiero jak rankiem zmieni mi sie stezenie krwi w alkoholu…
w jakim celu stezasz krew w alkoholu ?
by żyło się lepiej najlepiej mieszać alkohol z krwią wlewając alkohol doustnie
"Potem przyszło im zrobić coś niezwykle trudnego i nużącego, aby zapewnić swoim użytkownikom bezpieczeństwo — dla każdej paczki projektu Fedora i RedHat stworzyli nowe cyfrowe podpisy paczek."
Większość programistów świata słyszało z pewnością o czymś takim jak pisanie skryptów oraz o pętlach warunkowych.
Nie w Albanii
Zart fajny, ale informacja naprawde idiotyczna. Czy Autor (newsa) wierzy, ze admini robili cos nuzacego? Puscili jeden skrypt generujacy klucze i poszli na kawe.
Nie tylko nużącego – oni zrobili COŚ NIEZWYKLE TRUDNEGO
Ale dlaczego mieliby generowac klucze?
Wiele kluczy?
Ile tych kluczy bylo zeby az potrzebny byl skrypt?
Czy moze jednak chodzi o przepakowanie kazdej paczki z nowym podpisem wygenerowanym przy uzyciu nowego klucza prywatnego.
A potem rozeslaniem nowych paczek do wszystkich mirrorow (lub pobudzenie mirrorow do zassania nowych paczek)?
Zreszta pewnie mirrory tez weryfikuja poprawnosc paczek wiec musialy miec zaktualizowane certyfikaty ich zrodla.
Samo wygenerowanie kluczy to pikus. Wygenerowanie nowych podpisow takoz.
Ale redystrybucja nowych certyfikatow to juz inna bajka – tego automatycznie sie nie robi.
A jesli trzeba bylo zmienic jakiekolwiek certyfikaty CA a tym samym przeleciec sie po calym drzewie PKI to ja szczerze wspolczuje. Mrowcza robota :/
Do tego dojdzie jeszcze aktualizacja list odwolan certyfikatow (CRL) i mamy naprawde sporo mrowczej roboty dla administratorow.
A moze wlasnie o to chodzilo, zeby sprowokowac administratorow do wygenerowania nowych kluczy i ich certyfikatow oraz ich redystrubucji co zawsze jest delikatna, pod zwgledem bezpieczenstwa, akcja?
Niewielu uzytkownikow zweryfikuje czy nowe certyfikaty (a zarazem klucze publiczne) faktycznie pochodza od prawidowego zrodla wiec teraz wystarczylby atak na DNS i podeslanie uzytkownikom falszywych certyfikatow i zaraz po tym sfalszowanych paczek.
Nie trzeba lamac kluczy, wystarczy sprowokowac uzytkownika zeby uznal inne klucze za prawdziwe a teraz kazdy uzytkownik wie, ze klucze sie zminiaja i trzeba zaakceptowac ich zmiane. Wymazony moment na atak
Nie to diabli. Sorry za błędy i literówki:
względem, wymarzony, zmieniają, prawidłowego itp…
Hahaha "“włamywaczom” udało się podpisać kluczem tylko paczki OpenSSH"
TYLKO – hahaha…
"Potem przyszło im zrobić coś niezwykle trudnego i nużącego, aby zapewnić swoim użytkownikom bezpieczeństwo — dla każdej paczki projektu Fedora i RedHat stworzyli nowe cyfrowe podpisy paczek."
To zdanie to sobie chyba oprawię w ramkę i zawieszę na ścianie
))
Swoją drogą byłoby miło wiedzieć jakie ziele pali autor. Chętnie bym spróbował, bo efekty jak widać są zdumiewające.
Ciąg logiczny również wskazuje na użycie różnorakich środków wspomagających:
"Skutki ataku na Fedorę są zupełnie inne niż na Red Hata, jako że system podpisywania kluczy w Fedorze nie ma żadnego związku z pakietami RHEL."
i dalej:
"Niedługo potem RedHat na swojej liście mailingowej opisał zaistniały fakt informując iż “włamywaczom” udało się podpisać kluczem tylko paczki OpenSSH dla RHEL 4 (architektury i386 i x86_64) i RHEL 5 (x86_64)."
Pozdrawiam i życzę szybkiego powrotu do zdrowia
Wiadomo juz, przez co sie wlamano?
Ja rozumiem że minusy są tu dla "nie zgadzam się", rozumiem też że trasz często trolluje, ale kurde. Minusować pytanie?!
A ja napisałem to już raz i napiszę ponownie:
Pozostawienie podpiętego do sieci komputera na którym podpisuje się paczki jest kardynalnym błędem. Za to w każdej innej firmie ktoś by wyleciał. Pozwala to przypuszczać że w tej organizacji więcej rzeczy jest nie tak.
A stwierdzenie "udało się podpisać kluczem tylko paczki OpenSSH" pozostawię bez komentarza.
A jak inaczej chcesz podpisywac paczki w rozproszonym modelu rozwoju aplikacji?
Kazdy deweloper ma generowac binarki na rozne platformy i je samodzielnie podpisywac?
A kto zweryfikuje deweloperow? Albo dopilnuje, zeby deweloperzy odpowiednio dbali o bezpieczenstwo wlasnych kluczy prywatnych?
Czy moze wyobrazasz sobie jakiegos lebka za kratami i zbrojonym betonem, ktory dniami i nocami pracowicie te paczuszki podpisuje swym magicznym elektronicznym piorem?
I proszę następny się znalazł. Ostatnio tez o tym pisałem i muszę znowu – takie serwery chroni się szczeliną powietrzną (google air gap).
Jeśli admin tego nie zrobił to był na tym samym poziomie co ty – nie miał najmniejszego pojęcia o bezpieczeństwie i standardach które się stosuje. Bo odłączenie fizyczne od sieci takiego systemu jest dla każdego dobrego admina oczywiste bo każda książka o dobrych praktykach związanych z bezpieczeństwem o tym uczy i pokazuje dlaczego – a tu masz najlepszy przykład. Brak wiedzy na ten temat to oznaka amatorszczyzny.
A tak zapomniałem o obowiązkowym "DO KSIĄŻEK!" dla Squida. Nie wypowiadaj się o czymś o czym pojęcia nie masz.
I nadal nie widzę wyjaśnienia przez jaką lukę doszło do włamania? Czyżby kolejna kompromitacja i nie chcą się przyznać?
PS. Czemu linki nie działają? Autor wystraszył się swojej okropnej gramatyki? Tak to jest jak dzieciaki się zabierają za poważne sprawy.
A potrafisz sklecic choc jedno zdanie nie przesaczone agresja?
Albo uzupelnione choc odrobina analizy?
Jenym z problemow zapewnienia bezpieczenstwa poprzez oddzielenie sie od sieci jest koniecznosc wykozystania ludzi do recznego transferowania i weryfikowania danych przesylach do i z tak zabezpieczonego systemu.
W przypadku systemu podpisywania paczek mowimy o tysiacach (jesli nie dziesiatkach, ale nie wiem ile dokladnie) paczek, czesto roznych na rozne wspierane platformy.
Kazda taka paczka musialaby zostac przeslana do "systemu podpisujacego" a nastepnie z niego odebrana i przekazana do serwerow plikow. Wszystko recznie.
I za kazdym razem medium wykorzystane do przekazania danych musialoby byc dokladnie zweryfikowane.
I tak przy kazdej aktualizacji lub poprawce.
Ile ludzi musialoby byc w taki proces zaangazownych?
Mozliwe, ze firma komercyjna mialaby odpowiednie srodki do poswiecenia na taki poziom zabezpieczenia, ale projekt open source???
@fragger: Bardzo mozliwe, ze po prostu nie wiedza, jak doszlo do wlamania.
"W przypadku systemu podpisywania paczek mowimy o tysiacach (jesli nie dziesiatkach, ale nie wiem ile dokladnie) paczek, czesto roznych na rozne wspierane platformy."
fedora Fedora 9 – i386 enabled : 9897
koji Fedora 9 – i386 enabled : 10565
updates Fedora 9 – i386 enabled : 3365
(na końcu ilość paczek w repozytorium)
To tylko dla fedory 9 repozytoria koji, fedora-stable i fedora-updates, i tylko dla architektury i386. A przypominam że są jeszcze x86_64 i PPC, oraz oczwiście to samo dla F8 i Rawhide'a. Czyli krótko mówiąc dziesiątki tysięcy paczekw sumie do podpisania.
Pomine sam fakt, iż każda paczka (zarówno binarki jak i źródła) były weryfikowane pod względem integralności kodu, aby mieć pewność że w żadnej paczce nie znalazł się nieporządany w systemie kod.
Więc jeśli ktoś mówi że nie wykonali żmudnej i na prawdę trudnej roboty, jest dla mnie po prostu śmieszny.
"Jenym z problemow zapewnienia bezpieczenstwa poprzez oddzielenie sie od sieci jest koniecznosc wykozystania ludzi do recznego transferowania i weryfikowania danych przesylach do i z tak zabezpieczonego systemu."
Dokładnie. W skrócie mówiąc skopiować dane na dysk, podpiąć do zabezpieczonej maszyny odłączonej od sieci , zapuścić skrypt, wypiąć… albo odłączyć komputer od sieci zapuścić live cd, zrobić swoje i zrestartować. Wszystko można zrobić nie ruszając tyłka z jednego krzesła. Widzisz na czym polega magia? Komputer z kluczem nie jest podpięty do żadnej sieci i tym jakże wyrafinowanym sposobem nikt nie może wykraść klucza chyba że potrafi to zrobić po sieci energetycznej.
Myślę że do tego trzeba minimum 100 ludzi i kilka miesięcy planowania bo jeden człowiek nie jest w stanie obsłużyć 2 komputerów.
Brawo Squid za próbę bezsensownej obrony swojego stanowiska.
I rób sobie tak teraz z każdą paczką, które są budowane średnio co kilka minut, 24 h/dobę. Życzę powodzenia. Normalnie dostaniesz nobla za poświęcenie jak to zrobisz. Nie ruszając tyłka z jednego krzesła jak to sam napisałeś.
@fragger
Przenosisz teorie zabezpieczen systemow kontrolnych (np. system kontroli elektrowni) gdzie ilosc danych przetwarzanych z czujnikow (zrodel danych) wewnetrznych dla systemu jest znacznie wieksza niz ilosc danych zewnetrznych (zazwyczaj kontrolnych) do systemow przetwarzania masowego gdzie ilosc danych zewnetrznych jest znacznie wieksza od wewnetrznych.
Co ciekawe w tym drugim przypadku dane wewnetrzne to dane kontrolne (w omawianym przypadku klucze np. klucze kryptograficzne)
Pol biedy gdyby jeszcze dane do przetwarzania "naplywaly" grupami, ale w modelu rozproszonego tworzenia oprogramowania paczki tworzone są automatycznie, bez bezpośredniej kontroli człowieka.
W kazdym przypadku poziom zabezpieczen dobiera sie do szacowanego poziomu zagrozenia oraz do charakterystyki zabezpieczanych procesow.
Jakkolwiek oddzielenie od sieci jest silnym srodkiem zabezpieczenia (ale i tak czynnik ludzki pozostaje najwiekszym zagrozeniem) to nie zawsze jego stosowanie jest uzasadnione lub mozliwe.
W koncu mozna powiedziec, ze takiego samego poziomu zabezpieczen moglyby wymagac repozytoria kodu (po co zdobywac klucze jesli mozna podmienic kod?) albo systemy automatycznie kompilujace kod na rozne platformy?
A moze w ten sposob pozabezpieczac satelity komunikacyjne???
W przypadku maszyny "podpisujacej" wystarczajacym zabezpieczeniem kluczy byloby zastosowanie sprzetowych urzadzen kryptograficznych, przechowujacych klucze prywatne i oferujacych uslugi kryptograficzne bez ujawniania klucza prywatnego (chocby kryptograficzne smart cards).
Wtedy nawet jesliby udalo sie przechwycic passphrase wpisywane z klawiatury i wysylane do urzadzenia to mozna by bylo je wykorzystac tylko tak dlugo jak dlugo mialoby sie dostep do systemu z podlaczonym urzadzeniem.
Formalnie rzecz biorac nadal mozna by mowic o kompromitacji kluczy, ale z praktycznego punktu widzenia tylko w stosunku do "nielegalnie" podpisanych paczek, ktore mozna by po prostu usunac z sieci mirrorow. I tak uwazam to za bezpieczniejsze niz przebudowa calego PKI i redystrybucja certyfikatow.
PS. agresja jest oznaka niepewnosci, wiec skoro jestes tak pewien swojej wiedzy i doswiadczenia to dlaczego tak czesto to agresywnie podkreslasz?
Widzicie jaki to Linux bezpieczny? Włamiesz się na jeden serwer i możesz zarazić wszystkie programy a użytkownicy nic o tym nie będą wiedzieć bo nie mają programów antywirusowych na Linuksa.
Znasz się tyle co muzyk na sporcie… Na Linuksa jest wiele programów antywirusowych, zapór sieciowych ale o tym nie wiesz nawet bo Cię to nie interesuje. Trollujesz tylko tutaj na tematy o których nie masz bladego pojęcia.
Pozatym… Źle podpisane paczki wykryto od razu i naprawiono je, zmieniono klucz podpisujący w Fedorze i RedHacie, więc aktualnie nie ma żadnego zagrożenia ze strony włamywaczy.
No jasne… już ponad tryliard komputerów z RH padło z powodu tych wirusów
Ludzie, nauczcie się, że "naprawdę" pisze się łącznie