Cosa impedisce a un hacker di installare il proprio certificato CA?

Question

Cosa impedisce a un hacker di installare il proprio certificato CA?

#1 da (5 voti)
#2 da (5 voti)
#3 da (2 voti)

5

Dai un'occhiata a questo (ora piuttosto vecchio) articolo sul ha generato certificati Rogue DigiNotar, afferma quanto segue:

...Such is the case with that small company in the Netherlands, DigiNotar. Reports from various sites indicate that hackers compromised the firm’s servers and generated rogue certificates. With a rogue certificate in place, a hacker can make your system think it’s using a legitimate, trusted certificate from well-known companies such as Google and Yahoo. The hacker can then intercept your Internet connection with the site you intended to use and redirect you to a fake site, where you are tricked into entering personal information such as your user name and password. Your computer still thinks it’s connected to a trusted site...

Questo è ciò che non ottengo: invece di hackerare i server di CA, non sarebbe più facile per un hacker implementare un trojan che installa il proprio certificato nell'archivio delle "autorità di certificazione radice attendibili" sul computer degli utenti ( e quindi utilizzare un qualche tipo di hack DNS per reindirizzare il browser degli utenti a un server dall'hacker) e in questo modo raggiungere lo stesso obiettivo?

Voglio dire, è piuttosto facile distribuire un certificato nella radice "autorità di certificazione radice attendibili" tramite uno script batch, e con questo in posizione, il browser non solleverà alcun flag perché il certificato rogue degli hacker è "attendibile" .

Perché passare attraverso tutti i problemi di hacking dell'autorità di certificazione? Cosa mi manca qui?

http virus public-key-infrastructure exploit certificate-authority

posta Jete 27.10.2013 - 18:42

fonte

3 risposte

5

L'installazione di una "trusted root" sul computer di una vittima richiede diritti amministrativi locali. Se l'attaccante può farlo, allora ha già vinto.

L'hacking nel server della CA per ottenere un certificato falso è un modo per l'aggressore di essere in grado di mascherarsi come vari server "fidati" ed emittenti (ad esempio per fare falsi "firmati" aggiornamenti del SO), per violare l'utente computer che non sono facilmente raggiungibili altrimenti (i Trojan funzionano per alcuni utenti, non per tutti). È tutta una questione di escalation . Un server CA è molto sensibile perché l'hacking fornisce (più o meno) l'accesso automatico a milioni di altri computer.

risposta data 28.10.2013 - 16:31

fonte

2

Utilizzando i certificati falsi non è necessario entrare in nessun computer a parte quelli della CA. I tuoi certificati verranno automaticamente considerati legittimi da tutti i browser. Se la CA non è adeguatamente protetta, questo approccio è sicuramente più facile che penetrare in molti computer e installare trojan su tutti loro.

Per riassumere: raggiungerai molte più persone irrompendo in una CA. E anche se stai prendendo di mira determinate persone (che potrebbero essere molto attente alla sicurezza), non hanno modo di dire che hanno a che fare con certificati falsi.

risposta data 27.10.2013 - 19:22

fonte

Leggi altre domande sui tag http virus public-key-infrastructure exploit certificate-authority

Come stanno Tor, Privoxy, Vidalia e Polipo? Nel caso della violazione dei dati di Gawker, le password forti andrebbero bene?

score 5 · Accepted Answer

Si presume che la distribuzione di trojan sia sempre possibile. Supponiamo che non lo sia, ma che ci siano altri metodi a disposizione per eseguire un uomo nel mezzo dell'attacco. Ad esempio un hacker ha accesso al router vittima e può reindirizzare il traffico DNS sul proprio computer. Oppure un hacker ha ottenuto l'accesso a uno specifico server DNS dell'ISP e può anche spoofare le risposte per query come www.gmail.com e quindi fornire un sito https valido firmato con un certificato apparentemente valido.

Anche se un hacker può implementare un trojan, perché dovrebbe provare a implementare lo spoofing del sito sul computer delle vittime quando può ottenere, ad esempio, le credenziali per qualcosa semplicemente facendo il key logging.