Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт выяснил, насколько уязвимым является DKIM (метод E-mail аутентификации, разработанный для обнаружения подделывания сообщений, пересылаемых по email). Оказалось, что в некоторых случаях содержимое почты может быть изменено без аннулирования ЭЦП DKIM, что серьезно подрывает доверие, которое должно быть у подписи.

Также специалистам удалось выяснить, что DKIM легко сломать, заставив получателя думать, что письмо подделано, хотя это на самом деле не так. Таким образом, появляются некоторые бреши, которые можно использовать в массовых спам-кампаниях.

Например, спамеры часто любят придавать своим письмам вид легитимных, отправленных известными компаниями, такими, например, как Amazon, Apple, DHL, банками и другими финансовыми организациями. Целью такой маскировки всегда является попытка украсть учетные данные пользователя. Проще говоря, фишинг.

Именно поэтому в последние годы были разработаны несколько технологий, призванных обнаруживать так называемые спуфинг-атаки. Основными такими технологиями, используемыми на практике, являются SPF, DKIM и DMARC.

Изучив подробнее механизм работы DKIM, исследователи пришли к выводу, что отсутствие защищенных дефолтных настроек в сочетании со сложностью и уязвимостью стандарта MIME позволяют изменять важную информацию в электронных письмах, включая тему. С помощью этой уязвимости можно добавлять в письмо вредоносные вложения.

Эксперт приводит в пример реализацию веб-почты GMail и AOL, где подпись DKIM охватывает только последнюю строку темы, если она содержит несколько строк. Таким образом, злоумышленник может легко изменить этот объект, не влияя на действительность ЭЦП DKIM.

Пример реализации

Возьмем простое письмо:

DKIM-Signature: v=1; h=from:to:cc:subject:content-type; ...
    From: <dkim-test@chksum.de>
    To: knurrt.hase@gmail.com
    Subject: 20170920:1755 - good
    Content-type: multipart/mixed; boundary=foo
    Date: Wed, 20 Sep 2017 17:55:18 +0200
    --foo
    Content-type: text/plain
    some text
    --foo—

Почтовый клиент Thunderbird с установленным плагином DKIM получает визуализацию следующим образом:

Но если добавить в поля Subject и Content-Type дополнительные данные:

Subject: Urgent Update at http://foo
    Content-type: multipart/mixed; boundary=bar
    DKIM-Signature: v=1; h=from:to:cc:subject:content-type; ...
    From: <dkim-test@chksum.de>
    To: knurrt.hase@gmail.com
    Subject: 20170920:1755 - good
    Content-type: multipart/mixed; boundary=foo
    Date: Wed, 20 Sep 2017 17:55:18 +0200
    --foo
    Content-type: text/plain
    some text
    --foo—

Тема изменится, тело письма пропадет, однако оригинальная подпись DKIM все еще успешно подтверждена.

Эксперт советует трезво оценивать риски, связанные с использованием DKIM, так как в реальных случаях реализации он не обеспечивает ожидаемого уровня защищенности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

98% безопасников уверены: уровень защищённости их компаний нужно усиливать

«Лаборатория Касперского» провела опрос среди 850 специалистов по кибербезопасности по всему миру — в том числе в России — и выяснила: почти все довольны тем, как сейчас выстроена защита в их компаниях, но считают, что всегда есть, куда расти. 94% респондентов заявили, что в целом довольны уровнем ИБ, но 76% хотят внести небольшие улучшения, а 22% считают, что нужны серьёзные перемены.

Самыми слабыми местами в ИБ-архитектуре участники опроса назвали ручные процессы и «заплаточный» подход к безопасности. 30% тратят слишком много времени на рутину, 29% жалуются, что приходится закрывать уже известные дыры, вместо того чтобы работать на упреждение.

У четверти компаний не хватает специалистов, а 23% сталкиваются с проблемой «зоопарка» защитных решений — много разных инструментов, которыми сложно управлять.

Из-за этого возрастает нагрузка, замедляется реагирование на инциденты и возрастает риск конфигурационных ошибок. Другие слабые места, по мнению опрошенных: потенциальные уязвимости в периметре (22%), сложные ИТ-системы (21%), нехватка актуальной информации о киберугрозах (20%), избыточные уведомления от систем безопасности (18%) и нехватка нужных функций в уже имеющихся решениях (17%).

Все это говорит о потребности в более «умных» и комплексных инструментах защиты. И всё больше компаний понимают: одного антивируса и файрвола давно недостаточно.

Нужен подход, при котором безопасность вшивается в архитектуру изначально — ещё на этапе разработки. Такой подход помогает защитить ключевые активы даже в случае взлома и без гигантских затрат.

Как отмечают в «Лаборатории Касперского», сейчас всё чаще речь идёт не просто о технологиях, а о стратегии. Нужно заранее знать, откуда ждать удар, правильно настраивать процессы, применять лучшие практики и интегрировать решения, которые работают вместе, а не мешают друг другу. Такой подход помогает и защиту усилить, и доверие клиентов сохранить.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru