Nowa metoda obchodzenia zabezpieczeń Windows
Berend-Jan Wever, specjalista ds. bezpieczeństwa z koncernu Google, zaprezentował nową technikę obchodzenia jednego z najważniejszych zabezpieczeń zastosowanych w nowych wersjach Windows - technologii DEP (Data Execution Prevention).
DEP zabezpiecza system m.in. przed niezwykle popularnym atakami typu buffer overflow - Microsoft wprowadził tą technologię w 2004 r., w Service Packu 2 dla Windows XP (ASLR zadebiutował trzy lata później - w Windows Vista).
"Udostępniłem exploita, ponieważ chcę udowodnić, że nie należy zbytnio ufać w skuteczność kombinacji ASLR+DEP - szczególnie na platformie x86" - napisał Wever w swoim blogu. Warto dodać, że "Skylined" to fachowiec od Windows (dwa lata pracował w Microsofcie jako specjalista ds. bezpieczeństwa) i narzędzi hakerskich - to on spopularyzował technikę o nazwie "heap spraying" , która zdecydowanie ułatwia tworzenie skutecznych exploitów (szczególnie tych wykorzystujących luki w przeglądarkach internetowych).
"To faktycznie ważne odkrycie - technika zaprezentowana przez Wevera może zostać bez problemu wykorzystana przez twórców exploitów. Spodziewam się, że wkrótce zaczną z niej korzystać autorzy takich programów" - komentuje David Sancho, specjalista z firmy Trend Micro. Sancho podkreśla, że już wcześniej znane były pewne techniki obchodzenia DEP - ale metoda Wevera ma nad nimi tę przewagę, że może być bez problemu zaimplementowana do praktycznie każdego exploita.
Ria Rivera, inny specjalista z Trend Micro, dodaje, że hakerzy prawdopodobnie szybko podchwycą tę technikę - bo historia pokazuje, że Wever bywa niezwykle inspirujący dla "kolegów po fachu". "Gdy tylko udostępnił w 2005 r. pierwszego exploita wykorzystującego heap spraying, krótko później pojawiło się mnóstwo podobnych programów. Moim zdaniem tak samo będzie teraz - hakerzy zaczną masowo korzystać z jego metody omijania DEP" - mówi Rivera.
Warto dodać, że aby exploit Wevera zadziałał poprawnie, dezaktywowane musi zostać również zabezpieczenie ASLR - ale to akurat jest dużo łatwiejsze, ponieważ już wcześniej istniały metody obchodzenia tego systemu. Ów prototypowy kod na szczęście nie jest groźny - zbudowano go bowiem w oparciu o exploita na załataną przed dwoma laty dziurę w IE. "Mój kod to typowa prezentacja pewnego problemu - skonstruowałem go tak, by domorośli "hakerzy" nie mogli wykorzystać go do atakowania komputerów swoich babć" - ironizuje Berend-Jan Wever.
Specjaliści są zgodnie co do tego, że Microsoft jest w stanie udoskonalić DEP tak, by atak opisany przez pracownika Google nie był skuteczny. Niestety, na razie nie wiadomo, czy i kiedy koncern podejmie takie działania (firma aktualnie analizuje problem).
Komentarze (7)
OMG... żadna nowość, technika znana co najmniej kilka lat, była nawet prezentowana na jakiejś polskiej stronie (tylko tam było odnośnie grsecurity - ale zasada jest identyczna). Żeby było śmieszniej, pokazano tam jak obejść losowość adresów (czego autor tego bloga nie zrobił, bo jak napisał: "This exploit does not defeat ASLR, it only shows how to defeat DEP if ASLR is disabled or if you can bypass it.") Niewiem co ma do tego ochrona z pełnym wsparciem sprzętowym - przy jump-to-libc nie ma to żadnego znaczenia - skaczemy do funkcji która jest już w kodzie. Podobnie z heap sprayingiem - technika stosowana od lat w niektórych crackach (cała masa nop-ów lub innych 0x40, 0x41...) - gdzie "wstrzelenie" się w dokładny adres jest nieraz niemożliwe.
@paweł Specjaliści są (zgodnie z przypuszczeniami) zgodni ale bynajmniej nie zgłodli z tego powodu.
"Specjaliści są -> zgodnie <- co do tego[...]" ;)
@rusineck a kogo obchodza luki w Linuksie, w ostatnim KDE zalatano 13 luk bezpieczenstwa i nikt sie tym nie przejal, to tylko swiadczy w jakim powazaniu ludzie maja Linuksy
Już w latach siedemdziesiątych AT&T sprzedawał centrale telefoniczne z chipem antykomunistycznym (podanie odpowiedniego kodu przez telefon powodowało mikro wybuch w kluczowym układzie). czy myślicie, że producenci sprzętu nie wmontowują obecnie o wiele bardziej funkcjonalnych rozwiązań specjalnych do swoich chipów? Nic przed tym nie uchroni (zadel linux), gdy delikwent będzie brany na cel a NSA uzna, że jej któraś z serwerowni z wieloma długimi szeregami nowych Cray''ów są warte użycia (bo przecież linux używa standardów, więc jest w zasięgu NSA as well).
Bardziej ciekawe byłoby jak to by zrobił na platformię x64 (DEP tam działa inaczej bo w pełnym wsparciu sprzętowym i jest piękna protekcja jądra). Serwery są już chyba wyłącznie na x64.
Panie Długosz i masz Pan swój najbezpieczniejszy Windows. Która to informacja o wykryciu jakiejś luki w zabezpieczeniach w tym tygodniu? Trzecia chyba. Dla porównania o ilu lukach w *nixach Pan przeczytał w tym tygodniu?
- Kingston: Nowa linia dysków SSD
- Microsoft zapowiada nowy system plików - ReFS
- Intel: SSD 520 - nowa linia szybkich dysków
- Praktyczne porady dla administratorów na 2012 rok
- Co powinien wiedzieć każdy specjalista IT?
- Narzędzia dla administratorów sieci
- Windows Intune 3.0 - szansa na perfekcyjne narzędzie?
- Kontrowersyjne decyzje Oracle odnośnie Javy
- Testy penetracyjne pomogą w obronie przed cyberatakami
- 2012 - rok przełomowy dla internetu?
Polecane
Przełomowy rok... znowu
Lektura firmowych informacji prasowych i prognoz firm analitycznych nie pozostawia wątpliwości - każdego roku...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...