 |
| Etusivu |  |
Varoitukset | |
Tietoturva nyt! | |
Haavoittuvuudet | |
Ohjeet | |
Katsaukset | |
Palvelut | |
Esitykset | |
CERT-FIPL 313 ViestintävirastoItämerenkatu 3 A |
TammikuuTästä aiheesta löytyy myös RSS-syöte 06.02.2009 Nimipalvelinten ylläpitäjien on syytä tarkistaa palvelinten asetukset
FI-verkkotunnuksilla on vielä paljon nimipalvelimia, jotka sallivat rekursiiviset nimipalvelukyselyt ja mahdollistavat DNS cache poisoning -tyyppiset hyökkäykset. Osa palvelimista on muuten suojattu, mutta vastaa sellaisiin kyselyihin, jotka koskevat nimipalvelimen omasta välimuistista löytyviä tietoja, jolloin niitä voi käyttää palvelunestohyökkäyksen vahvistamiseen. Noin viidennes FI-verkkotunnukseen liittyvistä nimipalvelimista on yhä asetuksiltaan turhan avoimia niin, että ne vastaavat kaikkiin niille tehtyihin rekursiivisiin kyselyihin. Määrä on jonkin verran laskenut viime kesästä, jolloin rekursiolle avoimia nimipalvelimia oli suoritetun testin perusteella noin joka neljäs. Puolet rekursion hyväksikäytöltä suojatuista nimipalvelimista vastaa kuitenkin kysymyksiin välimuististaan löytyvillä tiedoilla (esimerkiksi kysyttäessä juurinimipalvelinten osoitteita). Puolet suojaamattomista nimipalvelimista näyttää edelleen olevan ohjelmistoltaan sellaisia, että puutteellinen satunnaisuus helpottaa dns cache poisoning -tyyppisiä hyökkäyksiä. Osa suojatuistakin nimipalvelimista ohjaa kyselyt toiselle, rekursion hyväksikäytöltä suojaamattomalle palvelimelle. Tällä tavoin toimii joka kymmenes kaikista nimipalvelimista. Rekursiolta suojaamattomat nimipalvelimet ja arvio niiden vastausten satunnaisuudesta
22.01.2009 Haittaohjelmat ja Windowsin Autorun-toiminnallisuus
Autorun-toiminnallisuuta hyödynnetään myös haittaohjelmien levittämisessä Windows-käyttöjärjestelmien yleisimmin käytössä olevat versiot sisältävät niin sanotun Autorun-toiminnallisuuden. Autorun- ja siihen läheisesti liittyvä AutoPlay-toiminto on tarkoitettu muun muassa siirrettävillä tallennusvälineillä (CD-levyt, USB-massamuistilaitteet, verkkoasemat ym.) jaeltavien sovellusten automaattiseen käynnistämiseen ja asentamiseen, kun tallennusväline tai massamuistilaite liitetään Windows-järjestelmään. Tätä toimintoa voidaan käyttää kuitenkin myös haittaohjelmien levittämiseen. Esimerkiksi Conficker (tunnetaan myös nimellä Downadup) -mato käyttää leviämisessään hyväksi muun muassa Autorun-toiminnallisuutta. Kun madon saastuttama muistilaite liitetään järjestelmään, jossa Autorun-toiminnallisuus on kytkettynä päälle kyseiselle muistilaitetyypille, mato saattaa saastuttaa työaseman, jos sisään kirjautunut käyttäjä omaa riittävän korkean käyttöoikeustason. Autorun-toiminnallisuuden poistamista käytöstä kaikilta asemilta ja muistilaitetyypeiltä pidetään usein hyvänä tietoturvakäytäntönä. On kuitenkin tärkeää huomioida, että kyseisen toiminnallisuuden sammuttamisella saattaa kuitenkin olla myös ei-toivottuja vaikutuksia tapauksissa, joissa tallennusvälineeltä halutaan asentaa ohjelmistoja tai käyttäjä ei tiedä miten liitetyn muistilaitteen sisältöön pääsee käsiksi. Autorun-toiminnallisuus voidaan poistaa käytöstä kaikilta muistilaitetyypeiltä muokkaamalla Windowsin rekisteriä tai ryhmäkäytäntöasetuksia Microsoftin artikkelissa (Microsoftin tukiartikkeli KB953252) kuvatulla tavalla. Artikkelissa kuvattujen asetuksien vaikutuksia on muutettu taannoin. Artikkelissa kuvattu asetusmuutos ei poista AutoPlay-osatoiminnallisuutta käytöstä järjestelmissä, joissa ei ole asennettuna artikkelissa mainittua päivitystä KB950582. Tämä päivitys kuuluu Windows 2008 ja Vista -järjestelmissä päivityspakettiin MS08-038 (CERT-FI haavoittuvuustiedote 087/2008). Windows 2000, XP ja 2003 -järjestelmiin päivitys on asennettava manuaalisesti, jotta artikkelissa kuvattu Autorun-toiminnallisuuden poistaminen kytkisi myös AutoPlay-toiminnon pois päältä. Jos Autorun-toiminto on kytketty pois päältä, mutta kyseistä päivitystä ei ole asennettu työasemaan käyttäjä saattaa:
tulla tahtomattaan suorittaneeksi Windows-järjestelmän liitetyllä muistilaitteella olevan sovelluksen tai haittaohjelman. Tämä ei välttämättä ole selvää käyttäjälle. Käyttäjä saattaa olettaa kaikkien sovelluksia automaattisesti muistilaitteilta käynnistävien ominaisuuksien olevan pois päältä ja tyypillisesti aseman tai kansion kuvakkeen klikkaamisen oletetaan asemalla olevan sovelluksen suorittamisen sijaan näyttävän aseman sisällön. Pitämällä huoli, että edellä mainittu päivitys KB950582 on asennettuna, saa kaikki muistilaitteilta automaattisesti sovelluksia käynnistävät toiminnot kytkeyttyä pois päältä muokkaamalla Windowsin rekisteriä tai ryhmäkäytäntöasetuksia Microsoftin artikkelissa KB953252 kuvatulla tavalla. Lisätietoja aiheesta löytyy US-CERT:n artikkelista TA09-020A. 19.01.2009 DNS-kyselyitä nimipalvelun juuren NS-tietueelle
Poikkeuksellisia nimipalvelukyselyitä havaittu myös Suomessa. CERT-FI:n tietoon on tullut tapauksia, joissa internetin suuntaan avoimiin nimipalvelimiin on kohdistunut runsaasti kyselyitä nimipalvelun juuren (".") NS-tietueelle. Samoja kyselyitä on havaittu myös suomalaisissa verkoissa sijaitseviin nimipalvelimiin. Kyselyiden määrä yksittäistä nimipalvelinta kohti ei ole merkillepantavan korkea, joten tarkoituksena ei ilmeisesti ole hyökätä kyseltäviä nimipalvelimia vastaan. Kyseessä vaikuttaisi pikemminkin olevan rekursiivisia nimipalvelimia hyödyntävän palvelunestohyökkäyksen (CERT-FI Varoitus 3/2007) uudempi muoto. Väärentämällä nimipalvelukyselyiden lähde-IP-osoite, saadaan yllämainitulla tavalla aikaan vahvistusvaikutus, jos nimipalvelimien tuottamat vastaussanomat ovat kyselyviestiä suurempia. Esimerkiksi kysymällä nimipalvelun juuren NS-tietueita, vastauksena tähän lyhyeen kyselyyn saadaan pitkä lista juurinimipalvelimista. Näin saadaan aikaan väärennettyyn osoitteeseen huomattava määrä ei-toivottua vastaussanomaliikennettä. Tyypillisesti tämäntyyppisiä hyökkäyksiä on toteutettu CERT-FI Varoituksessa 3/2007 esitetyllä tavalla käyttämällä hyväksi nimipalvelimia, jotka sallivat rekursiiviset kyselyt kaikkialta internetistä. Tällä hyökkäysmenetelmällä ei kuitenkaan kyetä hyödyntämään sellaisia nimipalvelimia, joissa rekursiiviset kyselyt tuntemattomista verkoista on kielletty. Eräät nimipalvelintoteutukset vastaavat kuitenkin tuntemattomista verkoista peräisin oleviin, nimipalvelimen välimuistista löytyviä tai muuten ilman iteratiivisia kyselyitä saatavilla olevia tietueita koskeviin kyselyihin, vaikka rekursiiviset kyselyt näistä tuntemattomista verkoista olisi estetty. Tämä mahdollistaa tällä tavalla toimivan nimipalvelimen hyväksikäyttämisen palvelunestohyökkäyksessä myös silloin, kun rekursiiviset kyselyt ulkoverkosta on kielletty. Tällöin myös DNS-palvelimen välimuistissa olevien tietojen selvittäminen voi olla mahdollista tutkimalla mitä tietueita koskeviin kyselyihin saadaan vastaus. Edellä mainitulla tavalla käyttäytyvissä nimipalvelintoteuksissa vastaaminen välimuistista löytyviä tietueita koskeviin kyselyihin on tyypillisesti poistettava käytöstä erikseen, jolloin nimipalvelimen hyväksikäyttö aiemmin mainituissa tarkoituksissa estyy. Nimipalvelimen hyväksikäyttöyrityksiä voi pyrkiä havaitsemaan esimerkiksi etsimällä nimipalvelimen lokeista merkkejä suurista määristä tietyllä lähde-IP-osoitteella tehdyistä kyselyistä, jotka ovat peräisin omien luotettujen verkkojen ulkopuolelta. 16.01.2009 MS08-067-haavoittuvuuden ja sitä hyödyntävien suomalaisten matohavaintojen aikajana
Yhteenveto CERT-FI tietoon tulleista suomalaisista Downadup-tapauksista Alle on kerätty CERT-FI:n käsittelemien suomalaisten Downadup (tunnetaan myös nimellä Conficker) -matotapausten ajankohdat ja suuntaa-antavaa tietoa tapauksen laajuudesta. Mukana on myös aikajana haittaohjelman hyödyntämän MS08-067-haavoittuvuuden osalta.
16.01.2009 Verkkomadon torjunta ja leviämisen rajoittaminen
Microsoftin Malicious Software Removal Tool -ohjelmistoon on lisätty tunnisteet Downadup-madolle.
Microsoft on myös julkaissut seuraavat madon leviämisen rajoittamista ja torjuntaa käsittelevät artikkelit:
Kun haittaohjelmatartunta on poistettu työasemasta, joko asentamalla se uudestaan puhtaalta medialta tai muilla keinoilla, on hyvin tärkeää estää tartunnan uusiutuminen muun muassa päivittämällä työasema ajan tasalle ja asettamalla verkkojakoihin riittävän vahvat salasanat. Lisäksi on tärkeää huomioida, että Downadup-madon saastuttamaan työasemaan ei ole syytä kirjautua toimialueen pääkäyttäjätunnuksilla (Domain Admins), jos työasemaa ei ole eristetty verkosta. Vaarana voi olla tartunnan leviäminen koko verkkoon. 16.01.2009 CERT-FI:n tietoturvallisuuden vuosikatsaus 2008
CERT-FI:n katsaus tietoturvavuodelta 2008 on julkaistu. Vuosikatsaus 2008 sekä aiemmin päivittämämme yhteydenottotilastomme on luettavissa sivustomme osiossa Katsaukset. Nyt julkaistua katsausta avaava lehdistötiedote löytyy Viestintäviraston sivuilta. Autoreporter-palvelumme käsittelemien tietoturvaloukkaustapausten päivitetyt tilastot julkaistaan myöhemmin tänä vuonna. 13.01.2009 Useita satoja Conficker/Downadup-matotartuntoja löytynyt suomalaisista verkoista
Tartunnat saatiin selville rekisteröimällä joitakin madon käyttämistä verkkotunnuksista. Verkkomadon toimintaa tutkittaessa on saatu selville tapa, jolla mato muodostaa päivämäärän perusteella verkkotunnuksia, joihin se yrittää ottaa yhteyttä päivittääkseen itsensä tartunnan jälkeen. Tartunnan saaneiden koneiden selvittämiseksi on rekisteröity joitakin madon käyttämiä verkkotunnuksia ja seurattu niihin suuntautuvaa verkkoliikennettä. CERT-FI on saanut tietoonsa useita satoja matotartuntaepäilyjä suomalaisista verkoista. Tiedot tartunnan saaneiden koneiden osoitteista on toimitettu verkkojen ylläpitäjille. Maailmalla matotartunnan saaneita koneita arvioidaan olevan useita miljoonia. 08.01.2009 Microsoft ja Oracle julkaisevat vuoden ensimmäiset päivityksensä ensi tiistaina
Yhteensä 42 päivitystä tiedossa Microsoft julkaisee tiistaina 13. tammikuuta yhden kriittiseksi luokitellun päivityksen, joka koskee Windowsin kaikkia tuettuja käyttöjärjestelmäversioita. Alustavan tiedotteen mukaan haavoittuvuus mahdollistaa komentojen mielivaltaisen suorittamisen etäältä kohdejärjestelmässä. Päivitys vaatii järjestelmän uudelleenkäynnistyksen. Myös Oracle julkaisee tiistaina neljännesvuosittaisen päivityspakettinsa. Alustavien tietojen mukaan päivityspaketti sisältää 41 tietoturvapäivitystä. Valmistajan mukaan päivitykset koskevat yli sataa eri Oraclen tuotetta. Osa päivityksistä on pisteytetty korkeimmalla mahdollisella CVSS-pisteytyksellä (10,0). CERT-FI tulee julkaisemaan päivityksistä myös haavoittuvuustiedotteet. CERT-FI suosittelee päivittämään haavoittuvat ohjelmistot heti päivitysten tultua saataville. 05.01.2009 Suomessa havaitusta verkkomadosta olemassa eri variantteja
Yksi havaittu variantti kulkee nimellä Worm:Win32/Conficker.B Saamiemme analyysitulosten perusteella voimme vahvistaa, että Suomessakin esiintyneestä verkkomadosta on olemassa useita eri variantteja. Yksi varianteista kulkee nimellä Worm:Win32/Conficker.B (tunnettu myös nimellä Worm:W32/Downadup.AL). Tämä osaltaan vahvistaa epäillyn siitä, että mato käyttää lähiverkossa leviämiseen hyväksi Microsoftin MS08-067 haavoittuvuutta. Kerroimme haavoittuvuudesta haavoittuvuustiedotteessa 130/2008. Madon teknisistä kuvauksista käy ilmi, että mato myös levittää itseään arvaamalla pääkäyttäjän tunnussanoja lähiverkkojen levyjaoille. Tämä selittää osaltaan Windows-toimialueen hallintapalvelimelle kasvaneen liikenteen sekä sen, että toimialueen tunnuksia voi mennä lukkoon. Teknisistä kuvauksista käy lisäksi ilmi, että verkkomato käyttää hyväkseen esimerkiksi tiedostoattribuutteihin liittyviä keinoja itsensä piilottamiseen. Näiden keinojen takia verkkomadon poistaminen voi olla työlästä ja matojen saastuttamien tietokoneiden siivoamiseen käsin tulee suhtautua suurella varauksella. CERT-FI on julkaissut erilliseen ohjeen haittaohjelman saastuttamaksi epäillyn Windows-järjestelmän tutkimista varten. 03.01.2009 Verkkomato havaittu Suomessa
Windows-käyttöjärjestelmissä leviävästä verkkomadosta useita havaintoja Viikon aikana CERT-FI:lle on raportoitu useista tapauksista, joissa yrityksen tai yhteisön sisäverkossa on havaittu verkkomato. Oireet ovat kaikissa tapauksissa olleet samoja; Windows-työasemat hidastuvat, domain-tunnuksia menee yllättäen lukkoon ja verkkoliikenne käyttäjätunnuksia hallinnoivalle Domain Controller:lle kasvaa huomattavasti. 02.01.2009 Tietoturvariski MD5 -algoritmia käyttävissä varmenteissa
MD5-algoritmia käyttävissä varmenteissa on löytynyt tietoturvaongelma, jonka avulla voidaan muodostaa väärennetty varmenne. Varmenteita käytetään internetin sivustoilla ikäänkuin henkilöllisyystodistuksena. Varmenne kertoo, että verkkosivusto oikeasti on sen niminen, joka väittää olevansa. Maailmassa on joukko Certificate Authority -toimijoita, joiden allekirjoittamiin varmenteisiin selaimet luottavat oletuksena. Näiden myöntäjien varmenteet tulevat joko selaimen tai käyttöjärjestelmän mukana automaattisesti. Tästä syystä sähköisissä asiointipalveluissa, kuten verkkopankeissa ja muissa kirjautumista vaativissa palveluissa, pieni lukon kuva ilmestyy useimmiten selaimen osoitekentän viereen, eikä selain välttämättä mitenkään muuten ilmoita siirtyneensä käyttämään salattua yhteyttä. Koska varmenteet ovat maksullisia ostettuina kaupallisilta toimijoilta, jotkut tuottavat varmenteensa itse, esimerkiksi yrityksen intranetin tarpeisiin. Tällöin selain kuitenkin varoittaa, että jotain saattaa olla tekeillä eikä varmenteeseen luoteta automaattisesti. Saksassa järjestetyssä Chaos Communication Congressissa julkaistiin MD5 -algoritmiin perustuvissa varmenteissa oleva heikkous. Tietoturvariskin aiheuttaja on MD5 -algoritmin tiivisteenmuodostuksessa ja se on ollut tiedossa vuodesta 1996 lähtien. Haavoittuvuus perustuu siihen, että on mahdollista luoda ns. villi varmenne, jonka MD5 -tiiviste on sama kuin luotettavan päämyöntäjän (Certificate Authority, CA) myöntämän varmenteen tiiviste. Tällöin hyökkääjän luoma varmenne tunnistuu luotetuksi. Allekirjoittamisen perusajatuksena on, että allekirjoitus on yksilöllinen, eikä samaa allekirjoitusta voi tuottaa kuin yksi myöntäjä. Tekaistun varmenteen avulla voidaan tällä tavoin näyttää esimerkiksi verkkourkinnassa eli tietojenkalastelussa käytettävä verkkosivusto turvallisena sivustona. Yhdistettynä esimerkiksi DNS-kaappaukseen käyttäjä voitaisiin huijata luulemaan olevansa verkkopankin tai muun rahan tai luottamuksellisen tiedon kanssa tekemisissä olevan toimijan aidoilla sivuilla. Koska MD5 -algoritmin kryptografiset heikkoudet ovat olleet tiedossa hyvin pitkään, useimmat Certificate Authority -toimijat käyttävät tiivisteen laskemiseen esimerkiksi SHA-1 -algoritmia. Verkkosivustot, jotka käyttävät Extended Validation -varmenteita, voi tunnistaa nykyisissä selaimissa ylhäällä näkyvän osoitekentän viereen ilmestyvästä vihreästä palkista, jossa kerrotaan kenelle varmenne on myönnetty. Extended Validation -menetelmä ei salli MD5 -algoritmin käyttöä. Esimerkki Extended Validation SSL-varmennetta käyttävästä sivustosta: Verisign -päämyöntäjän SSL-informaatiosivu (englanniksi) Esimerkki normaalia SSL-varmennetta käyttävästä sivustosta: Kansallinen tietoturvaviranomainen Haavoittuvuuden, tai oikeammin sanottuna ongelman, löytäneet tutkijat eivät ole antaneet julkisuuteen tietoja algoritmista, jota käytettiin MD5-tiivisteen luomiseen. Tiedossa kuitenkin on, että tutkijat käyttivät hyväkseen Verisignin RapidSSL -palvelun tapaa muodostaa varmenteita. RapidSSL muodosti varmenteensa automaattisesti ja tähän käytettiin ennustettavissa olevaa sarjanumeroa sekä ajastinta. Ilman tietoa sarjanumerosta, ajastimesta sekä ilman MD5:n käyttöä varmennetta ei olisi voinut luoda. Varmenteen tekemiseen käytettiin artikkelin mukaan kahdensadan Playstation 3 -pelikonsolin muodostamaa klusteria. Ohjeet varmenteen tietojen tarkistamiseen:Internet Explorer 7
Mozilla Firefox 3
|
