Mega bezpieczniejsze; Kim Dotcom dosłownie płaci za błędy

Premiera nowego cyberschowka Mega, reklamowanego przez KimaDotcoma jako rozwiązanie naprawdę chroniące prywatnośćużytkowników, zachęciła wielu ekspertów w dziedziniebezpieczeństwa do przyjrzenia się bliżej tej usłudze –przynajmniej od strony tego, co działa w przeglądarce. Na efektynie przyszło długo czekać: w Mega znalezionoliczne słabości, niektóre wręcz „podręcznikowe”.Pojawiły się wątpliwości – czy zespół Dotcoma zna się wogóle na kryptografii, mającej gwarantować prywatnośćużytkowników Mega?Twórca usługi odpowiedział na większość zarzutów. Część zbagatelizował (jak np.zarzuty dotyczące sposobu wykorzystania SSL), niektóre uznał izapowiedział poprawki. Co jednak najważniejsze, przyjął proaktywnąpostawę w kwestii bezpieczeństwa Mega: ogłosił oficjalnyprogram zgłaszania luk w Mega, dzięki któremu ich odkrywcymogliby zarobić niezłe pieniądze – do 10 tys. euro za odkrytąpodatność (wypłacana kwota uzależniona miała być od wagiodkrycia).Zgłoszone odkrycia miały być przypisane do jednej z sześciukategorii, z których „najlżejszą” były zgłoszenia podatnościczysto teoretycznych, lub mających niewielki wpływ nabezpieczeństwo serwisu, zaś „najcięższą” – zdalnewykonanie kodu na serwerach Mega oraz fundamentalne błędy warchitekturze kryptograficznej.Dodatkowo, w ramach programu Dotcom zaproponował hakerom wzięcieudziału w trzech „konkurencjach”: Przejęty statyczny węzeł CDN – przy założeniu, że jeden z serwerów statycznej treści został przejęty i napastnik może zmieniać zawartość wszystkich znajdujących się na nim plików, należy spróbować naruszyć zabezpieczenia całego serwisu. Przejęty węzeł danych użytkownika – przy założeniu, że jeden z węzłów storage zawierających dane użytkownika został przejęty, a użytkownik ma pobrać konkretny plik, należy zmodyfikować zawartość tego pliku (nie posiadając klucza). Przejęty serwer kluczowej infrastruktury – przy założeniu, że przejęty został jeden z serwerów API, należy nakłonić klienty do wydania kluczy do plików na kontach, które nie mają ustawionych żadnych aktywnych form współdzielenia.Miłośnicy siłowych rozwiązań też dostali coś dlasiebie: każdy, kto prześle klucz deszyfrujący wskazany plik wraz zhasłem zakodowanym w linku potwierdzającym rejestrację, możeotrzymać maksymalną kwotę nagrody.[img=fixing]Po niespełna 10 dniach od uruchomienia programu zgłaszaniapodatności, Dotcom przedstawił pierwszerezultaty starań hakerów. Uznano siedem zgłoszeń, z czegożadne nie należało do kategorii najcięższych – klasy V i VI: Kategoria IV: niewłaściwe zastosowanie funkcji skrótu CBC-MAC do sprawdzania poprawności treści pobieranych z zewnętrznych serwerów – klastra statycznych treści. Problem usunięto w kilka godzin, wzmacniając szyfrowanie i eliminując ryzyko ataków man-in-the-middle. Warto podkreślić, że żaden z serwerów statycznych treści nie znajdował się w niezaufanych centrach danych. Kategoria III: a) atak XSS za pomocą nazw plików i folderów (naprawiono), b) atak XSS na stronie pobierania plików (naprawiono), c) atak XSS w komponencie flashowym (naprawiono), Kategoria II: XSS za pomocą łańcuchów przekazywanych z serwera API na stronę pobierań, stronę konta i moduł eksportowania linków (naprawiono). Kategoria I (najlżejsza): a) brak nagłówka HTTP Strict Transport Security (naprawiono), b) brak nagłówka X-Frame-Options, co otwierało drogę do ataku typu clickjacking i przekierowań.Kim Dotcom nie ujawnił, ile do tej pory wypłacił odkrywcom,wiadomo jedynie, że za jeden z błędów kategorii III odkrywcaotrzymał tysiąc euro. Czy to dużo, czy mało? W porównaniu docen, jakie otrzymać można za skuteczne exploity dla mobilnychsystemów operacyjnych, to oczywiście grosze. Z drugiej strony, niemieliśmy chyba do tej pory sytuacji, w której autorzy serwisówinternetowych outsource'owaliby testowanie zastosowanych mechanizmówzabezpieczeń – i byliby gotowi za to płacić. Z tego choćbypowodu, należą się twórcom serwisu Mega wyrazy uznania.