r   e   k   l   a   m   a
r   e   k   l   a   m   a

Błąd w Windows pozwalał na łatwy dostęp do dysku zaszyfrowanego BitLockerem

Strona główna AktualnościBEZPIECZEŃSTWO

Osoby, które powierzyły poufność swoich danych BitLockerowi mogły czuć się nieciekawie po wydaniu ostatnich biuletynów bezpieczeństwa Microsoftu – luka oznaczona jako MS15-122 pozwalała na odszyfrowanie chronionych tym mechanizmem dysków. Firma z Redmond zbyt wiele na ten temat nie powiedziała. W Sieci jednak pojawił się artykuł odkrywcy tej luki, przygotowany na konferencję Black Hat Europe 2015, w którym ujawniona została metoda ataku. Okazuje się, że stosując czysto software'owe narzędzia, wystarczyło kilka sekund, by dostać się do zabezpieczonych BitLockerem dysków.

Za ujawnieniem luki stoi Ian Haken z firmy Synopsys. Pokazał on, jak oszukać BitLockera w standardowej konfiguracji, w której wykorzystywany jest czip Trusted Platform Module, a więc gdzie nie trzeba wpisywać hasła na starcie. Zaatakować w ten sposób można wszystkie komputery, które były podłączone do domen sieciowych – sytuacja to bardzo częsta w środowiskach korporacyjnych.

Kiedy na laptopie z Windows korzystamy z uwierzytelnienia przez domenę, hasło użytkownika sprawdzane jest poprzez komputer działający jako kontroler domeny. Jeśli laptop znajdzie się poza siecią, wówczas uwierzytelnienie zależy od danych w lokalnym buforze. Microsoft spostrzegł groźbę podłączenia przejętego fizycznie komputera do innej sieci, ze sfałszowanym kontrolerem sieci, który zaakceptowałby niepoprawne hasło i odblokował system, więc w protokole uwierzytelniania wprowadzono kontrolę rejestracji klienta w kontrolerze domeny za pomocą oddzielnego hasła. Test ten jednak nie zachodzi, gdy nie można nawiązać łączności z kontrolerem domeny, założono bowiem, że napastnik nie może zmienić lokalnie przechowywanego hasła.

r   e   k   l   a   m   a

Założenie okazało się błędne. Ian Haken pokazał, że wystarczy zestawić fałszywy kontroler domeny o takiej samej nazwie, z jakiej korzysta komputer ofiary. Następnie na kontrolerze należy założyć konto użytkownika o takiej samej nazwie jak nazwa użytkownika laptopa, z dowolnym hasłem – ale datą utworzenia daleko w przeszłości. Uzyskanie tych danych nie było trudne, ponieważ zarówno domena jak i nazwy użytkowników pojawiają się w jawnej formie w komunikacji po protokołach DNS i Kerberos, można wydobyć je z ruchu sieciowego.

W momencie próby uwierzytelnienia przez hasło napastnika na laptopie ofiary, kontroler domeny poinformuje Windows, że hasło wygasło – i użytkownik zostanie poproszony o jego zmianę. Dzieje się to przed sprawdzeniem, czy dany komputer jest zarejestrowany w danym kontrolerze. W tym momencie napastnik może więc założyć nowe hasło na laptopie, które zastąpi hasło oryginalne w lokalnym buforze

Teraz pozostaje jedynie odłączyć fałszywy kontroler, zmuszając system do lokalnego uwierzytelniania, za pomocą hasła ustalonego przez napastnika – i otrzymujemy pełen dostęp do danych na komputerze, nawet jeśli zostały zabezpieczone BitLockerem.

Atak taki można było przeprowadzić od dawien dawna, luka występuje od czasów Windows 2000. Przed wydaniem Windows Visty nie miało to takiego znaczenia, gdyż i tak napastnik mógł uzyskać dostęp do danych na komputerze, korzystając np. z systemu operacyjnego uruchamianego z pendrive'a. Gdy jednak zaczęto korzystać z BitLockera, który przechowuje swój klucz w bezpiecznym komponencie sprzętowym (czipie TPM), fizyczny dostęp przestał wystarczyć. Napastnik musiał znaleźć sposób na odszyfrowanie dysku i obejście uwierzytelnienia, na co właśnie pozwala przedstawiony przez Hakena atak.

Badacz zauważa, że BitLocker pozwalał na wzmocnienie zabezpieczeń, wykorzystując oprócz TPM także kod PIN lub klucz na nośniku USB, ale korzystano z tego rzadko – utrudniało to pracę zarówno użytkownikom, jak i administratorom.

W szczegółach z tą metodą ataku możecie zapoznać się z artykułu pt. Bypassing local Windows Authentication to defeat full disk encryption. Pozostaje pytanie, w ilu firmach nie zastosowano łatki MS15-122, i ile służb specjalnych na świecie metodę tę znało wcześniej.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.