Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт указывает на незащищенность метода E-mail аутентификации DKIM

Эксперт выяснил, насколько уязвимым является DKIM (метод E-mail аутентификации, разработанный для обнаружения подделывания сообщений, пересылаемых по email). Оказалось, что в некоторых случаях содержимое почты может быть изменено без аннулирования ЭЦП DKIM, что серьезно подрывает доверие, которое должно быть у подписи.

Также специалистам удалось выяснить, что DKIM легко сломать, заставив получателя думать, что письмо подделано, хотя это на самом деле не так. Таким образом, появляются некоторые бреши, которые можно использовать в массовых спам-кампаниях.

Например, спамеры часто любят придавать своим письмам вид легитимных, отправленных известными компаниями, такими, например, как Amazon, Apple, DHL, банками и другими финансовыми организациями. Целью такой маскировки всегда является попытка украсть учетные данные пользователя. Проще говоря, фишинг.

Именно поэтому в последние годы были разработаны несколько технологий, призванных обнаруживать так называемые спуфинг-атаки. Основными такими технологиями, используемыми на практике, являются SPF, DKIM и DMARC.

Изучив подробнее механизм работы DKIM, исследователи пришли к выводу, что отсутствие защищенных дефолтных настроек в сочетании со сложностью и уязвимостью стандарта MIME позволяют изменять важную информацию в электронных письмах, включая тему. С помощью этой уязвимости можно добавлять в письмо вредоносные вложения.

Эксперт приводит в пример реализацию веб-почты GMail и AOL, где подпись DKIM охватывает только последнюю строку темы, если она содержит несколько строк. Таким образом, злоумышленник может легко изменить этот объект, не влияя на действительность ЭЦП DKIM.

Пример реализации

Возьмем простое письмо:

DKIM-Signature: v=1; h=from:to:cc:subject:content-type; ...
    From: <dkim-test@chksum.de>
    To: knurrt.hase@gmail.com
    Subject: 20170920:1755 - good
    Content-type: multipart/mixed; boundary=foo
    Date: Wed, 20 Sep 2017 17:55:18 +0200
    --foo
    Content-type: text/plain
    some text
    --foo—

Почтовый клиент Thunderbird с установленным плагином DKIM получает визуализацию следующим образом:

Но если добавить в поля Subject и Content-Type дополнительные данные:

Subject: Urgent Update at http://foo
    Content-type: multipart/mixed; boundary=bar
    DKIM-Signature: v=1; h=from:to:cc:subject:content-type; ...
    From: <dkim-test@chksum.de>
    To: knurrt.hase@gmail.com
    Subject: 20170920:1755 - good
    Content-type: multipart/mixed; boundary=foo
    Date: Wed, 20 Sep 2017 17:55:18 +0200
    --foo
    Content-type: text/plain
    some text
    --foo—

Тема изменится, тело письма пропадет, однако оригинальная подпись DKIM все еще успешно подтверждена.

Эксперт советует трезво оценивать риски, связанные с использованием DKIM, так как в реальных случаях реализации он не обеспечивает ожидаемого уровня защищенности.

SOC, NGFW и приказ ФСТЭК №117: главные темы конференции «ВАТЕРЛИНИЯ»

В Москве прошла ежегодная конференция «ВАТЕРЛИНИЯ», организованная компанией «Информзащита». В центре внимания оказались вопросы киберустойчивости, защиты критически важных процессов и подходы, которые помогают компаниям сохранять работоспособность даже в условиях растущего числа киберугроз.

В деловой программе обсуждали не столько отдельные средства защиты, сколько их совместную работу.

Эксперты говорили о безопасной разработке, мониторинге инцидентов, автоматизации процессов SOC и MSSP, а также о том, как анализ сетевого трафика помогает выявлять угрозы ещё до того, как они перерастут в серьёзный инцидент.

 

Отдельное внимание уделили требованиям приказа ФСТЭК № 117, вопросам сетевой безопасности и практическому опыту импортозамещения межсетевых экранов нового поколения (NGFW). Участники также обсуждали, как переводить регуляторные требования в реальные технические меры и обосновывать инвестиции в информационную безопасность с точки зрения бизнес-рисков.

 

Во время конференции «Информзащита» и Security Vision подписали соглашение о технологическом партнёрстве. Компании планируют совместно развивать проекты, связанные с автоматизацией процессов информационной безопасности и сервисными моделями SOC.

По словам генерального директора «Информзащиты» Михаила Визгина, сегодня проблемы компаний чаще связаны не с отсутствием средств защиты, а с тем, что они работают разрозненно. Поэтому всё больше внимания уделяется интеграции ИБ-контролей в процессы разработки, автоматизации обработки инцидентов и более глубокому анализу сетевой активности.

Конференция собрала около 200 участников — руководителей, специалистов по ИБ и ИТ, технических экспертов и представителей бизнеса. Помимо докладов, гости смогли обсудить практические вопросы с экспертами и познакомиться с решениями партнёров мероприятия.

RSS: Новости на портале Anti-Malware.ru