Soy ingeniero de formaci贸n, pero me comunico m谩s con empresarios y directores de producci贸n. Hace alg煤n tiempo, el due帽o de una empresa industrial pidi贸 consejo. A pesar de que la empresa es grande y creada en los a帽os 90, la gesti贸n y la contabilidad funcionan a la antigua usanza en la red local.
Esto es una consecuencia de las preocupaciones por sus negocios y un mayor control por parte del estado. Las leyes y reglamentos pueden ser interpretados por los organismos de inspecci贸n de manera muy amplia. Un ejemplo son las enmiendas al C贸digo Fiscal, que
eliminan el estatuto de limitaciones para las infracciones fiscales, la destrucci贸n real de
los secretos bancarios y de auditor铆a .
Como resultado, el propietario de la empresa comenz贸 a buscar soluciones para el almacenamiento confiable de informaci贸n y la transferencia segura de documentos. Virtual "seguro".
Trabajamos en la tarea con un administrador de sistema a tiempo completo: necesitamos un an谩lisis profundo de las plataformas existentes.
- el servicio no debe estar turbio, en el sentido cl谩sico de la palabra, es decir sin ahorrar en las instalaciones de una organizaci贸n de terceros. Solo tu servidor;
- se requiere un cifrado fuerte de los datos transmitidos y almacenados;
- se requiere la capacidad de eliminar urgentemente contenido de cualquier dispositivo con solo tocar un bot贸n;
- La soluci贸n se desarrolla en el extranjero.
Suger铆 eliminar el cuarto punto, porque Las solicitudes rusas tienen certificados oficiales. El director dijo expl铆citamente qu茅 se debe hacer con dichos certificados.
Elige opciones
Seleccion茅 tres soluciones (cuantas m谩s opciones, m谩s dudas):
El propietario de la compa帽铆a tiene poco conocimiento de las sutilezas t茅cnicas, por lo que dise帽茅 el informe en forma de listas de los pros y los contras de cada opci贸n.
Resumen de an谩lisis
Syncthing
Pros :
- C贸digo abierto
- Actividad del desarrollador principal;
- El proyecto existe desde hace mucho tiempo;
- Gratis
Contras:
- No hay cliente para el shell de iOS;
- Servidores de giro lento (son gratuitos, por lo tanto, se ralentizan). Para los que
no en el saber, Turn se usa cuando es imposible conectarse directamente; - Configuraci贸n de interfaz compleja (se necesitan muchos a帽os de experiencia en programaci贸n);
- Falta de soporte comercial r谩pido.
Resilio
Pros: soporte para todos los dispositivos y servidores 谩giles Turn.
Contras: Uno y muy significativo es el completo desconocimiento por parte del servicio de soporte de cualquier llamada. Reacci贸n cero, incluso si escribes desde diferentes direcciones.
Pvtbox
Pros:
- Soporte para todos los dispositivos;
- Servidor de giro r谩pido;
- La capacidad de descargar un archivo sin instalar la aplicaci贸n;
- Servicio de soporte adecuado, incl. por tel茅fono
Contras :
- Proyecto joven (pocas cr铆ticas y buenas cr铆ticas);
- Una interfaz de sitio muy "t茅cnica" no siempre clara;
- No hay documentaci贸n detallada, muchos problemas tienen que obtener soporte.
驴Qu茅 eligi贸 el cliente?
Su primera pregunta es: 驴qu茅 sentido tiene desarrollar algo gratis? Syncthing fue abandonado de inmediato. Los argumentos no funcionaron.
Despu茅s de un par de d铆as, el cliente descart贸 categ贸ricamente Resilio Sync debido a la falta de soporte, ya que No est谩 claro a d贸nde ir en caso de emergencia. Adem谩s de la desconfianza del registro estadounidense de la empresa.
Para un an谩lisis posterior, se mantuvo la caja fuerte electr贸nica Pvtbox. Realizamos una auditor铆a t茅cnica completa de esta plataforma con 茅nfasis en la posibilidad de intercepci贸n, descifrado de datos y entrada no autorizada en el almacenamiento de informaci贸n.
Proceso de auditoria
Hicimos un an谩lisis de los compuestos al comienzo del programa, en el proceso y en un estado tranquilo. El tr谩fico seg煤n los est谩ndares modernos est谩 encriptado originalmente. Intentemos llevar a cabo un ataque MITM y reemplazar el certificado sobre la marcha usando
Linux (Xubuntu Linux 18.04), Wireshark ,
Mitmproxy . Para hacer esto, implementaremos un intermediario entre la aplicaci贸n Pvtbox y el servidor pvtbox.net (hay un intercambio de datos con el servidor pvtbox.net a trav茅s de una conexi贸n https).
Lanzamos la aplicaci贸n para asegurarnos de que el programa y la sincronizaci贸n de archivos funcionen. En Linux, puede observar inmediatamente el registro si ejecuta el programa desde la terminal.
Apagamos la aplicaci贸n y reemplazamos la direcci贸n de host pvtbox.net en el
archivo / etc / hosts con privilegios de superusuario. La direcci贸n se reemplaza con la direcci贸n de nuestro servidor proxy.
Ahora prepararemos nuestro servidor proxy para el ataque MITM en la computadora con la direcci贸n 192.168.1.64 en nuestra red local. Para hacer esto, instale el paquete mitmproxy versi贸n 4.0.4.
Inicie el servidor proxy en el puerto 443:
$ sudo mitmproxy -p 443Iniciamos el programa Pvtbox en la primera computadora, miramos la salida de mitmproxy y los registros de la aplicaci贸n.
Mitmproxy informa que el cliente no conf铆a en el certificado
falso del servidor proxy. En los registros de la aplicaci贸n, tambi茅n observamos que el certificado del servidor proxy no pasa la verificaci贸n y el programa se niega a funcionar.
Instale el certificado de proxy
mitmproxy en la computadora con la aplicaci贸n Pvtbox para hacer que el certificado sea "confiable". En la computadora, instale el paquete ca-certificados. Luego copie el certificado mitmproxy-ca-cert.pem del directorio .mitmproxy del servidor proxy a la computadora con la aplicaci贸n Pvtbox en el directorio / usr / local / share / ca-certificados.
Ejecutamos los comandos:
$ sudo openssl x509 -in mitmproxy-ca-cert.pem -inform PEM -out mitmproxy-ca-cert.crt$ sudo update-ca-certificados
Inicie la aplicaci贸n Pvtbox. El certificado fall贸 nuevamente, el programa se niega a funcionar. La aplicaci贸n probablemente utiliza el mecanismo de seguridad de
fijaci贸n de certificados .
Un ataque similar se llev贸 a cabo en el host
signalerver.pvtbox.net, as铆 como en la conexi贸n peer-2-peer entre nodos. El desarrollador indica que la aplicaci贸n para establecer conexiones peer-2-peer usa el protocolo webrtc abierto, que usa encriptaci贸n de extremo a extremo usando el protocolo
DTLSv1.2.Las claves se generan para cada instalaci贸n de conexiones y se transmiten a trav茅s de un canal encriptado a trav茅s de
signalerver.pvtbox.net.Te贸ricamente, ser铆a posible interceptar los mensajes de oferta y respuesta de webrtc, reemplazar las claves de cifrado all铆 y poder descifrar todos los mensajes que lleguen a trav茅s de webrtc. Pero no fue posible llevar a cabo un ataque mitm en signalerver.pvtbox.net, por lo tanto, no hay posibilidad de interceptar y reemplazar los mensajes enviados a trav茅s de signalerver.pvtbox.net.
En consecuencia, no es posible llevar a cabo este ataque en una conexi贸n peer-2-peer.
Tambi茅n se encontr贸 un archivo con certificados que ven铆a con el programa. El archivo se encuentra en la ruta /opt/pvtbox/certifi/cacert.pem. Este archivo ha sido reemplazado por un archivo que contiene un certificado de confianza de nuestro servidor proxy mitmproxy. El resultado no cambi贸: el programa se neg贸 a conectarse al sistema, se observ贸 el mismo error en el registro,
que el certificado no pasa la verificaci贸n.
Resultados de auditoria
No pude interceptar o reemplazar el tr谩fico. Los nombres de los archivos, y a煤n m谩s sus contenidos se transmiten en forma encriptada, se utiliza la encriptaci贸n de extremo a extremo. La aplicaci贸n implementa una serie de mecanismos de protecci贸n que evitan las escuchas telef贸nicas y la implementaci贸n.
Como resultado, la compa帽铆a compr贸 dos servidores dedicados (f铆sicamente en diferentes lugares) para acceso permanente a la informaci贸n. El primer servidor se utiliza para recibir, procesar y almacenar informaci贸n, el segundo, para realizar copias de seguridad.
La terminal de trabajo del director y un tel茅fono m贸vil con iOS se conectaron a la nube individual recibida. Otros empleados fueron conectados por un administrador regular del sistema y soporte t茅cnico de Pvtbox.
En el pasado, no hubo quejas de un amigo. Espero que mi revisi贸n ayude a los lectores de Habr en una situaci贸n similar.