Un utente malintenzionato può sostituire l'hash di un download, un download e la chiave pubblica?

2

Ho una domanda su DSA e GPG. Supponiamo che tu stia cercando di verificare che un file scaricato sia "legittimo" (cioè, nessun codice malevolo ed è il file previsto). Userò solo l'immagine ISO 16.04 LTS di Ubuntu come esempio. Seguendo le istruzioni, ho un'idea generale (correggi se ho torto):

  1. Scarica ISO, il file SHA256 e la firma del file SHA256
  2. Ottieni la chiave pubblica di Ubuntu dal server delle chiavi
  3. Verifica che il file SHA256 sia stato firmato utilizzando la chiave privata di Ubuntu con la chiave pubblica utilizzando DSA.
  4. Calcola l'hash dell'ISO e confronta l'hash con l'hash nel file SHA256.

Ora, forse una domanda stupida, ma non è possibile che un utente malintenzionato ti chieda di scaricare la propria chiave invece di Ubuntu, una ISO dannosa, l'hash dell'IS dannoso e una firma valida dell'hash dell'IS dannoso? Immagino che un modo semplice per difendersi da questo sia semplicemente confrontare le chiavi pubbliche con un gruppo di siti diversi (dato che questa chiave esiste da sempre), ma cosa succede se la chiave pubblica non è così conosciuta. Se il sito è completamente compromesso, mi sento come se l'aggressore potesse indurti a scaricare la chiave sbagliata!

    
posta coolboyjules 21.10.2017 - 06:26
fonte

1 risposta

3

Se il sito con le istruzioni è compromesso, l'attaccante può sostituire tutte le istruzioni. Ciò significa che può specificare una chiave diversa da utilizzare per la verifica o omettere completamente le informazioni di verifica, che può specificare un URL diverso per il download, ecc. Che tale compromesso può accadere mostra hack del sito Linux Mint nel 2016 che è stato modificato in modo da puntare al download compromesso in questo momento.

Un compromesso sul sito può essere rilevato rapidamente se un sito viene monitorato per le modifiche, il che si spera sia il caso per siti importanti. Ma un utente malintenzionato non ha nemmeno bisogno di compromettere il sito originale. L'attaccante potrebbe invece acquistare annunci per motori di ricerca che indirizzano a siti di download "alternativi" se stai cercando i download. Questi siti di download hanno il pieno controllo dell'attaccante in modo che possa pubblicare qualsiasi cosa lì. Tali siti alternativi non vengono rilevati anche durante il monitoraggio del sito originale. Questo tipo di attacco sociale è molto comune con download di openoffice o simili in cui una semplice download openoffice potrebbe portare a una pagina dei risultati piena di pubblicità che puntano ai siti di download. Questi di solito forniscono installazioni "potenziate" che aggiungono software aggiuntivo ma potrebbero anche fornire una versione compromessa.

Non c'è molto che si possa fare a riguardo. La domanda di fondo a tutto ciò è di chi ti puoi fidare. Anche se il tuo nuovo computer è preinstallato con Windows, devi ancora credere al venditore che la versione che hai è quella originale e che non sia stato installato nessun software dannoso. La storia dimostra che questo non è sempre il caso e che anche i venditori apparentemente affidabili aggiungi software dannoso .

    
risposta data 21.10.2017 - 08:16
fonte

Leggi altre domande sui tag