Уязвимость реализаций E2EE провоцирует утечки из облачных хранилищ

Уязвимость реализаций E2EE провоцирует утечки из облачных хранилищ

Уязвимость реализаций E2EE провоцирует утечки из облачных хранилищ

Университетские исследователи обнаружили серьезные уязвимости в системах сквозного шифрования (E2EE) пяти популярных провайдеров облачного хранения данных. Некоторые недочеты одинаковы для всех случаев реализации такой криптозащиты.

В целях проведения анализа угроза была смоделирована (PDF) как вредоносный сервер, способный считывать, изменять и внедрять данные по воле автора атаки. Подобный сценарий вполне реален для APT-групп и других хорошо обеспеченных взломщиков.

В качестве объектов PoC-атак были выбраны облачных хранилища Sync, pCloud, Icedrive, Seafile и Tresorit. Тестирование показало следующие результаты:

  1. В реализации E2EE для Sync отсутствует аутентификация по открытому ключу при расшаривании файлов, из-за этого их можно расшифровать. Автор атаки также может скрытно переименовать или переместить файлы и даже внедрять собственные папки в хранилище.
  2. В pCloud можно перезаписать закрытые ключи с целью получения доступа к содержимому файлов, а также проводить вредоносные инъекции, манипулировать метаданными (размер файла, дата изменения и т. п.), переставлять и стирать блоки данных.
  3. В Seafile с помощью вредоносного сервера можно откатить протокол, что облегчит брутфорс пользовательских паролей, а также внедрять файлы и изменять содержимое существующих.
  4. Реализованное в Icedrive шифрование в режиме CBC позволяет подменять содержимое загруженных файлов. Также обнаружена возможность сокращения и замены их имен.
  5. Аутентификация по открытому ключу в Tresorit полагается на сертификаты, контролируемые на стороне сервера. Злоумышленник может подменить их для получения доступа к файлам общего пользования. Проверка также выявила возможность изменения метаданных.

Все опробованные атаки были условно разделены на 10 классов. Степень сложности некоторых невысока, проведение не требует значительных ресурсов.

 

Отчеты об опасных находках были разосланы пяти облачным провайдерам еще в апреле. На запрос BleepingComputer о комментарии владелец платформы pCloud не отреагировал, а оператор Icedrive посчитал, что такие угрозы ему не страшны.

Провайдер Tresorit уверен, что легко исправит почти все поставленные на вид недостатки за счет существующих наработок. Идентификация по цифровым отпечаткам при расшаривании папок будет введена в будущем году.

ИБ-команда Sync закрыла возможность утечки по ссылкам и работает над устранением остальных найденных уязвимостей. Оператор платформы Seafile пообещал в скором времени решить проблему с откатом протокола.

Где проходит ватерлиния кибербезопасности: ИБ-эксперты встретятся 17 июня

До конференции «ВАТЕРЛИНИЯ» остаётся всего неделя. Уже 17 июня в Московском Императорском яхт-клубе соберутся специалисты по информационной безопасности, чтобы обсудить не только громкие угрозы и тренды, но и те проблемы, которые обычно остаются под водой.

Название мероприятия выбрано не случайно. В морской терминологии ватерлиния — это граница между видимой и скрытой частью судна.

Организаторы «ВАТЕРЛИНИИ» предлагают посмотреть на кибербезопасность через ту же призму: за внедрёнными решениями, регламентами и красивыми отчётами нередко скрываются накопленные риски, новые сценарии атак и уязвимости, которые напрямую влияют на устойчивость бизнеса.

В центре внимания конференции окажутся практические вопросы, с которыми сегодня сталкиваются ИБ-команды. Участники обсудят развитие SOC и MDR, изменения в регулировании, подходы к построению защиты без избыточного формализма, а также реальные угрозы, способные повлиять на работу компаний.

Генеральным партнёром мероприятия выступает «Лаборатория Касперского», стратегическим партнёром — «Код Безопасности», официальным партнёром — UserGate.

Среди специальных гостей заявлены Алексей Лукацкий и Михаил Кадер.

Организаторы подчёркивают, что конференция задумана не как очередная серия презентаций с дежурными слайдами. Основная идея — дать специалистам возможность сверить подходы, обменяться опытом и обсудить реальные кейсы, которые возникают в условиях постоянно меняющегося ландшафта угроз.

Информационную поддержку мероприятию оказывают КИБЕРМЕДИА, CISO CLUB, Медиа Группа «Авангард», Global Digital Space, «Культ Безопасности», «Пакет Безопасности», Sachok, AM Live и издательский дом «Коннект».

До старта осталось совсем немного. И если в мире кибербезопасности вы предпочитаете смотреть не только на то, что находится над ватерлинией, конференция обещает немало интересных поводов для обсуждения.

RSS: Новости на портале Anti-Malware.ru