ICT NN IOT NN |B2B NN | CB NN | DC NN | RC NN |  CW NN | EW NN |SM NN | ITSEC NN | NETGURU NN KANKRY 256x256 facebook cube 256x256 linkedin cube 256x256 twitter cube 256x256 youtube cube

Bezpečnost pro každého (4 díl)

Občas se člověk může dostat do situace, kdy mu standardní forma komunikace pomocí chytrých mobilů nestačí, nebo jede do zemí, kde je standardním postupem sběr a vytěžování jakýchkoliv, třeba i jen trochu použitelných informací. Z tohoto důvodu bývá zaměstnanec společnosti, která přichází do styku s citlivými nebo utajovanými informacemi je lákavý cíl. Dalšími cílem pak mohou být pracovníci vrcholového managementu, kteří ve svých mobilech mohou mít zajímavé informace ohledně budoucích aktivit svých společností. Jak se vlastně proti podobnému sběru informací bránit? A kdy má smysl použít něco bezpečnějšího, než obyčejný chytrý telefon?

Začneme od toho jednoduššího. Zkusíme si rozebrat, proč vlastně využívat hardwarově orientovaný šifrovací telefon. Jaké jsou jeho výhody a případně nevýhody? Příkladem důvodů pro jeho použití mohou být kauzy s FinFisherem, aktivitami skupin jako HackingTeam a dalšími, které se věnují nabourávání do mobilů a následnému odposlouchávání komunikace například pro účely průmyslové špionáže.

Jak je to vlastně se šifrováním hovorů? V některých zemích je možné použít šifrování bez problémů, v jiných jste omezení jednoduchým pravidlem, které zakazuje modifikaci přenášeného hlasu (tedy můžete šifrovat komunikaci pouze přes zakoupené datové přenosy). V dalších zemích lze zase použít pouze státem schválená řešení (často se zpětnými vrátky), případně musíte dát k dispozici klíče pro dešifrování, jinak jste trestně stíhatelní. Situace je tedy docela nepřehledná, a proto při cestách do zahraničí se vyplatí si předem zjistit, jaká konkrétní omezení v daném státě platí.

Dále je potřeba se zamyslet a vzít na vědomí i základní omezení telefonických hovorů. Tato komunikace sice šetří čas, ale nemáte možnost si ověřit totožnost volaného a co se děje s hovorem na druhé straně. Každý z nás je vybaven jistou rozlišovací schopností, takže tón, zabarvení hlasu nebo obsah hovoru mu může pomáhat takové ověřování provádět, ale vše, včetně uvedených schopností, má své limity. Navíc, nikdy nevíte, co druhá strana s přijatým hovorem dělá. Pouští ho do reproduktorů a spolu s dalšími se nad ním baví? Nebo si nahrává obsah pro případnou další analýzu (vytěžení vašich firemních znalosti) nebo jej uschovat a případně použít jako důkaz proti Vám v rámci konkurenčního boje? S tím souvisí i poznámka k zamyšlení. Mohou být telefony využity pro sdělování utajovaných skutečností? Ne, protože nevíte, co dělá komunikační partner. Co když sedí v restauraci, či se prochází po nákupním centru nebo je v městské dopravě? Telefon pro utajované skutečnosti je možný, pouze tehdy pokud obě strany striktně dodržují poměrně přísná pravidla komunikace a obecně je jeho použití pro uvedené utajované skutečnosti zvýšením riziko.

Šifrovací telefon může omezeně pomoci šetřit čas při domluvě i citlivých obchodů, kdy se partneři nemusí sjíždět ze všech koutů republiky. Může pomoci rychle předat i utajované skutečnosti, ale jak je zmíněno výše, je nutné dodržovat striktně pravidla použití takové komunikace (zajistit ověření obou stran – zde nám zpravidla pomáhá klíčové hospodářství, použít domluvené časové relace, což zase umožní zajistit, že se účastnicí nacházejí na bezpečném místě bez přítomnosti neoprávněných osob ).

Klasický chytrý telefon, který podporuje šifrování hovorů je z hlediska bezpečnosti na tom mnohem hůře než dedikovaný šifrovací telefon. Chytrý telefon využívající k šifrování konkrétní aplikace, může být útočníkem napaden některým ze způsobů, popsaných v minulých dílech. Klasické metody šifrování, používající vlastní programové vybavení pro šifrování, případně využívající metody v rámci operačního systému, tak mohou být s jistými omezeními změněny. Lze se dostat ke klíčům nebo dokonce hovory v otevřené podobě nahrávat, přenášet současně na jiné číslo apod. A co může být horší než představa falešného soukromí, kdy však ve skutečnosti okolí nebo útočník bez problémů naslouchá. A tím je míněno i použití některých bezpečných komunikátorů, zmíněných v druhém díle.

Je potřeba vzít do úvahy snahy konkurence nebo skupin hledající nějaký prospěch, případně plnící cílený úkol směřující k danému subjektu. Zařízení pro odposlech telefonů není nákladné, je možné jej snadno získat, není rozměrné a v rámci buňky je velice účinné. Kolik takových zařízení se nachází mimo kontrolu?

Podívejme se, jak je to v případě, kdy se používá systém s hardware šifrováním. Zpravidla se jedná o podstatně bezpečnější záležitost. Šifrování neřeší programové vybavení, ale speciální čip. Čip je uložen buď přímo v takovém speciálním mobilu, nebo například ve formě SD karty (méně bezpečné). Operační systémy jsou těchto telefonů jsou navíc speciálně upraveny, standardní formy upgrade zde nefungují, instalace aplikací třetích stran je omezena nebo není možná. Tím se zajišťuje vyšší bezpečnost, na druhou stranu se snižuje uživatelský komfort. Na takových telefonech si třeba nezahrajete tak oblíbené „Pokémony“ (ale proč vlastně?). Zároveň se zde snižuje požadavek na znalosti a kulturu uživatelů, ti se nemusí starat o běžné bezpečnostní problémy.

Jenže ani tyto telefony nemusejí být úplně to pravé. Ani hardware šifrování na mobilním telefonu ještě nemusí zabezpečit systém úplně dle představ absolutní bezpečnosti. Stále tu je mikrofon, kamera a další interface (tedy pokud není použit speciální hardware pro šifrovací telefon, který tyto funkcionality jednoduše nemá). Aby nebyl takový telefon napaden útočníkem (zpravidla tím, že se k němu fyzicky dostane), musí zde tedy být možnost nějakým relativně jednoduchým způsobem omezit přístup k rozhraním, musí být zajištěna možnost odříznout jednotlivé aplikace a dovolit jim přístup pouze do určitých oblastí paměti a k určitým rozhraním. K tomu je potřeba bezpečnostní systém zabudovaný přímo v hardware, umožňující řízení zabezpečení požadované operačním systémem. Je nutné mít možnost vynutit určitou bezpečnostní politiku, ale třeba i odříznout uživatele od spuštění některých aplikací, které budou vyhodnoceny jako nebezpečné, zabránit neautorizovaném přístupu.

Dále je zde nutnost zajistit klíčové hospodářství. Zjednodušeně řečeno, je to způsob, jak pracovat se všemi hesly, certifikáty a ověřeními. Protože uvedené údaje jsou první a poslední ochrannou uživatele. Heslo nebo certifikát je potřeba nejenom vytvořit, ale také bezpečně uložit, poslat, stejně bezpečně ověřit a po určité době smazat. Záležitosti okolo správy uvedených ověřovacích informaci jsou tou nejsložitější a nejcitlivější částí systému zabezpečení. Jejich špatná funkce spolehlivě změní vážně míněnou ochranu na pouhou iluzi.

Situace tedy není jednoduchá. Kdy tedy použít jakou metodu ochrany? Na tuto otázku je možné odpovědět osvědčeným postupem, kterému se říká analýza rizik. Zjednodušeně, je nutné si odpovědět na otázku, co chceme chránit, v jakém prostředí bude komunikace probíhat, jakou to má pro nás a pro potenciálního útočníka hodnotu. K takové analýze je potřeba si uvědomit, jakým způsobem může být veden útok, tedy jaké lze očekávat hrozby a jakým způsobem se chránit. V tu chvíli jsme schopni se rozhodnout, zda a jaké prostředky věnujeme na ochranu. Přes všechny chvályhodné snahy o ochranu a bezpečnost narazí v praxi přijatá a plánovaná opatření a záměry na pohodlí uživatelů, takže bez vynucení bezpečnostní politiky se zpravidla použití zabezpečených telefonů míjí výsledkem.

Máme tedy základní informace a rozdíly. Ale podle čeho vybrat? Na trhu je pouze několik firem, které nabízejí mobily s podporou hardware šifrování a vynucením bezpečnostní politiky. Jedná se o společnosti (v abecedním pořadí) BlackBerry, Boeing, Bull, Cryptophone GSMK, ERCOM, Freedom Pop, General Dynamics, KoolSpan, Motorola, The Boss Phone, Turing Robotics Industries, Sikur, Silent Circle, Thales Group a Tripleton. Společnosti Boeing a Motorola nabízí svoje produkty pouze pro státní úřady, společnost Freedom Pop ukončila výrobu pro nedostatek zájmu (přestože produkty je ještě možné občas sehnat) a společnost General Dynamic ukončila prodej smartphonu s podporou šifrování. Produkty společnosti The Boss Phone a Turing Robotics Industries by měly být do prodeje uvedeny v současné době. Výběr je tedy relativně omezen. K uvedenému tématu připravujeme přehled vlastností, které umožní tyto přístroje porovnat. Jedná se patrně o nejspolehlivější řešení, které je možné pro zabezpečení komunikace použít.

Jednodušší cestou jsou zabezpečené telefony, které omezují funkčnost daných částí systému, případně používají vlastní aplikace pro zabezpečenou komunikaci. Bohužel, bez kvalitního návrhu, veřejného hodnocení a auditu je diskutabilní, nakolik je možné těmto aplikacím věřit. Většina těchto společností si samozřejmě nedovolí žádný nepoctivý postup, ale problémem může být nedostatečně ověřený systém zabezpečení, v takovém případě může dojít k různě složitému napadení komunikace třetí stranou. Bez návrhu, dokumentace a analýzy zabezpečení to nejsou aplikace, které by bylo možné nasadit s čistým svědomím. Ale pokud tyto informace jsou dostupné a ověřené, je to řešení schopné pomoci, pravda na nižší úrovni než specializovaná řešení.

Jako poslední a nejlépe dostupné pro běžného uživatele jsou aplikace, které podporují zabezpečenou komunikaci (chat, hlasový hovor či videohovor). Některé z těchto aplikací jsou uvedeny v díle, věnujícím se přehledu bezpečných komunikačních aplikací. Toto řešení je tedy nejjednodušším možným řešením, které může postačovat pro běžnou činnost.

Stále je však třeba si uvědomovat, že v současnosti je základním problémem především nedodržování pravidel. K porušení bezpečnosti dochází používáním „cool“ módních prvků, příkladem může být módní používání bezdrátových telefonů. Panu řediteli přece nedáme ten ošklivý (starý) telefon, co má ještě dráty?

Obecná doporučení:

- Provést (byť jednoduchou) analýzu rizik a podle možných dopadů zvolit vhodnou volbu zabezpečené komunikace. Rozhodnout zda hardwarově šifrovaný a zabezpečený telefon, případně alespoň šifrovaný komunikátor.

- V případě nutnosti využívat šifrované komunikace, ověřovat, zda si je partner vědom pravidel takové komunikace (může partner mluvit, je na bezpečném místě, má předepsanou konfiguraci) atd. To se týká situace, kdy není nutné skrývat svoji identitu.

- Komunikovat pouze v šifrovém režimu a pouze mezi uživateli nastavené šifrové sítě, jinak nelze zaručit skrytí identity vlastníka uvedeného telefonu a následně by mohlo jít získat informace o pohybu uživatele (tracking).

- Zakázat na telefonu přístup k internetu, který může být způsobem k napadení tohoto telefonu

- Domluvit si buď čas, kdy jste v bezpečných prostorách, nebo kódová slova, kterými dáte partnerovi najevo omezené soukromí.

- Zamykat telefon, pokud není používán.

- Pravidelně kontrolovat aktualizace firmware dané společnosti, ale update konzultovat se servisní – organizací.

- Pravidelně telefon dobíjet a ponechat stále v pohotovostním režimu.

- Zakázat instalaci aplikací třetích stran.

- Pravidelné testovací hovory mezi účastníky šifrového spojení (dle četnosti běžné komunikace).

Autor: Jan Dušátko

Telefony, které odkrývají vaše data

Společnost Kryptowire nalezla zajímavou vlastnost software od společnosti Shanghai AdUps Technology Co. Ltd. Tento software je určen pro operační systém Android a byl nalezen jako součást předinstalované sady aplikací v mobilních telefonech americké společnostech Blu Products Inc. Uvedené telefony byl distribuovány například pomocí prodejců jako je Amazon a BestBuy.

Uvedený software bez vědomí uživatele umožňuje zasílal jednou za 72 hodin informace o psaní SMS, zaslaných SMS (včetně obsahu), záznamy o volání a volaných kontaktech. Dále každých 24 hodin záznamy o lokaci a pohybu, instalovaných aplikací, zjištění IP adresy, jména, IMSI (jedinečná identifikace účastníka v telefonní síti) a IMEI (jedinečná identifikace mobilního přístroje). Tyto údaje byly zasílány na servery společnosti do Šanghaje, konkrétně bigdata.adups.com, bigdata.adsunflower.com, bigdata.adfuture.cn a bigdata.advmob.cn ve formátu JSON. Uvedený spyware umožňoval mimo jiné spuštění zaslaného kódu, vynucení update aplikace nebo instalace dalších, upgrade firmware, vzdálené rootnutí telefonu (eskalace práv aplikace). Více o nalezených skutečnostech na stránkách společnosti KryptoWire.

Dle informací patří tento smartphone mezi levná zařízení. Společnost dementovala možnost poskytování uvedených informací ČLA (kybernetická jednotka ČLA 61398 má dle některých zpráv sídlo právě poblíž Šanghaje). Přesto uvedená aktivita vzbuzuje spoustu otázek nejenom v USA, ale i v dalších zemích, kam byly tyto telefony nebo telefony se software společnosti AdUps prodávány. Dle oficiálně dostupných informací od společnosti BLU bylo postiženo přibližně 120 000 zařízení. Jedná se o modely R1 HD, Energy X Plus 2, Studio Touch, Advance 4.0 L2, Neo XL, Energy Diamond.

Ale společnost BLU není jediným odběratelem služeb společnosti AdUps. Software této společnosti je instalován v dalších zhruba 700 milionech zařízeních, od smartphonů, přes auta a další „chytrá“ zařízení.

Tak trochu je to další kostička v přešlapech společností, které mají nemají úctu k cizímu soukromí. Historie nejznámějších problémů v kostce:

  • Společnost Huawei byla obviněna ze špionážních aktivit pro Čínskou vládu Generálem Michaelem Haydenem (působil ve vedení NSA a CIA). Na druhou stranu je nutné poznamenat, že v době, kdy toto obvinění pronesl už pracoval pro společnost Motorola Solution. Dodnes není zřejmé, zda skutečně společnost Huawei špionážní aktivity vyvíjela.
  • Společnost MVPower a jejich DVR záznamník pro průmyslové kamery. Backdoor ve firmware zajistil odeslání snapshotů (zde není jisté, zda se jedná o fotografii nebo krátký záznam) z kamer na nastavenou e-mail adresu.
  • Společnost Lenovo, která je na černém seznamu pro některé státní organizace. V minulosti byly produkty ThinkPad společnosti IBM dodávány do státních organizací zvláště v USA, ale po málo popsaných problémech (mělo se jednat o dodávku přibližně 16 000 notebooků) je zákaz je používat v jistých organizacích států sdružených do "pěti očí" (ASIO, ASIS, CIA, GCHQ, MI5, MI6, NSA, ... ). Kompletní seznam patrně neexistuje. Do nedávné doby se pak datuje problém s distribucí instalovaného spyware SuperFish. Ten umožňoval podvrhnout jakoukoliv stránku a vkládat zde informace (patrně jenom vkládat). To je rizikem při přístupu na citlivé stránky a ve výsledku není možné věřit žádnému spojení. Posledním problémem z nedávné doby je pak LSE rootkit. Ve zkratce je to spyware v BIOS/UEFI a zároveň přidaný bloatware do předinstalovaných Windows 7. Postižené byly notebooky Flex 2 Pro 15 (Broadwell, Haswell), Flex 3 1120/1470/1570, G40-80/G50-80/G50-80 Touch, S41-70/U41-70, S435/M40-35, V3000, Y40-80, Yoga 3 11/14, Z41-70/Z51-70, Z70-80/G70-80 a dále desktopy A540/A740, B750/4030/5035, H3000/3050 H5000/5050/5055, Horizon 2 27/2S/2e (Yoga Home 500), C260/2005/2030, H4005/4030/5030, X310(A78)/X315(B85).
  • Společnost ZTE nabízela cenově dostupný telefon ZTE Score M, který obsahoval zadní vrátka se statickým heslem a následně bylo možné ho využít k elevaci práv a spuštění libovolného kódu. Společnost následně vydala 31.května 2012 bezpečnostní opravu.

Na druhou stranu není problém s možnou špionáží jenom na straně Číny. Z nedávné doby lze poukázat na dlouhodobé sledování aktivit organizací NSA (tyto informace byly s omezeními sdíleny s ostatními státy skupiny pěti očí jinak skupiny UKUSA, tj. USA, Kanada, Velká Británie, Austrálie a Nový Zéland). Uvedená organizace po několik let intenzivně pracovala na tvorbě zadních vrátek do všech možných systémů (více kauza ShadowBroker a Equation group). Jednalo se o modifikace operačních systémů, firewallů (již zmíněná společnost Huawei byla jednou z mnoha postižených), mobilních telefonů, routerů a dalších "aplikací".

Obdobnou, ale nepotvrzenou aktivitou se mohou pochlubit ruské tajné služby. Mimo některých software aplikací pro sběr dat (rozuměj spyware) je zde obtížné najít jakékoliv další zmínky o jejich aktivitách. Takže se více diskutuje jejich zapojení v době voleb v USA, konkrétně úniky informací z demokratické strany a dezinformační kampaně v průběhu konfliktů na Ukrajině, v Sýrii a dalších regionech.

Dále do seznamu organizací, které intenzivně sbírají data snad už pro sběr dat sám o sobě se mohou mimo státních agentur nebo (možná) spolupracujících společností dostat i soukromé firmy, jako je Hacking Team nebo Gamma International, které se cíleně zaměřují na nástroje, které je možné nasadit pro sběr dat o počítačích či telefonech. Tyto organizace poskytují služby pro státní instituce, ale rozkrytí všech společností zabývajících se těmito aktivitami je obtížné. Jako by nestačily chyby, které vzniknou při vývoji.

Studie o postupu hledání naprogramovaných zadních vrátek pro třetí stranu ve vojenských čipech:

Breakthrough silicon scanning discovers backdoor in military chip

Autor: Jan Dušátko

Recenze NAS QNAP TS-653A/4G

qnap logoSpolečnost QNAP uvedla před nedávnou dobou na trh řadu NAS serverů, ze kterých jsme měli možnost otestovat model s označením TS-653A/4G. Jedná se o velice příjemné a tiché zařízení, což bude vyhovovat především při nasazení v kancelářských prostorech.

Celá nová řada NAS serverů QNAP obsahuje následující produkty:

  • TS-253A: 2x 3,5" pozice pro pevné disky,
  • TS-453A: 4x 3,5" pozice pro pevné disky,
  • TS-653A: 6x 3,5" pozice pro pevné disky,
  • TS-853A: 8x 3,5" pozice pro pevné disky.

Všechny uvedené NAS servery obsahují systém QTS 4.2, čtyřjádrový procesor Intel Celeron N3150 (14 nm) a dle konfigurace 4 GB nebo 8 GB RAM. Kolik paměti systém obsahuje, je možné identifikovat dle označení, například model TS-653A/4G obsahuje 4 GB RAM, model TS-653A/8G pak 8 GB RAM. U pamětí (DDR3L/1600) je samozřejmě vhodné používat dva stejné moduly, aby bylo možné využít dvoukanálového přístupu do paměti.

Mimo klasických služeb pro práci se souborovým systémem, tedy podpora sdílení pro Apple a Windows (Samba), Unixu (NFS) je tu podpora pro protokol iSCSI. Pomocí něho je možné nabízet diskový prostor QNAP ostatním serverům jako logický disk. Dále je tu podpora FTP a Web serveru, centrální synchronizace času (NTP), vzdáleného přístupu do sítě (VPN serveru) a spoustu dalších funkcionalit, včetně podpory SNMP.

Po stránce uživatelských služeb tu je k dispozici možnost překódování záznamů a jejich přehrávání, a to přímo pomocí uvedeného zařízení. Dalším bonusem je podpora hardwarového šifrování, které zvyšuje míru zabezpečení a podporu virtualizace.

Hardwarové šifrování používá akceleraci na CPU(AES-NI), která dosahuje propustnosti přibližně 400 MB/s. V případě transkodingu (převodu filmu z jednoho formátu do druhého), přehrávání filmů nebo jiných, náročnějších činností, se výkonnost snižuje podle momentální zátěže. Dle dostupných informací tyto NAS systémy nepodporují disky s vestavěným šifrováním (FDE/SED).

V praxi

První věc, která nás zaujala, bylo porovnání s výsledky testů prováděných výrobcem. Testy byly prováděny sériovým zápisem souborů, které se zvětšovaly vždy zdvojnásobením velikosti a dle výsledku je tak možné odhadnout i režii zařízení. Ty samé testy se prováděly s jedním klientem a čtyřmi klienty, komunikace probíhala po 1Gbps LAN. Rozdíl proti výrobcem udávaným hodnotám byl minimální, výrobce udává hodnoty až 416 MB/s pro čtení a 383 MB/s pro zápis (více viz originální testy QNAP (https://www.qnap.com/en/product_x_performance/product.php?II=150). Při testech zápisu jsme přibližně o 15 MB tyto výsledky překročili, testy čtení byly omezeny možnostmi sítě. Strop propustnosti jsme nalezli pro zápis při 398 MB/s, pro testy jsme použili výchozí konfiguraci QNAP (SMB). Rozdíl jde na vrub skutečnosti, že byl použit jiný RAID, jiné testy (oddělení čtení a zápisu). Navíc, v tuto chvíli je již k dispozici operační systém verze 4.2.2, který námi nebyl testován (námi použitá byla původní verze 4.2).

1000 cyklů

Graf 1

10 000 cyklů

Graf 2

Druhá sada testů:

Šest disků v RAID10, 4 klienti, práce se soubory přes CIFS.

Průměrná latence přístupu k souborům 0,006 s.

1000 cyklů

Graf 3

10 000 cyklů

Graf 4

Těchto výsledků jsme dosáhli bez další zátěže i při použití zmíněné podpory šifrování. Testy a byly prováděny nad RAID10, pro tvorbu sítě byl použit gigabitový switch s podporou spřažení síťových karet (trunk ze 4 1Gbps karet). Tedy konfigurace, jaká se může za přijatelných podmínek vyskytovat v malých a středních firmách.

V tuto chvíli provádíme testy virtualizace, kde nás zajímá zátěž generovaná instalací operačních systémů do uvedené platformy, přesněji vytížení během takového systému. Dále nás zajímá dopad tohoto typu zátěže na propustnost na šifrovaných svazcích a samozřejmě transcoding (překódování videa za běhu). Protože se u všeho jedná o operace náročné na strojový čas, dalším testem bude současné přehrávání videa ve formátech PAL, HD a 4K, při tomto přehrávání se bude měřit dopad na výkon šifrovaného svazku. Další test bude obdobný, ale bude využívat procesorově intenzivní operace ve virtualizovaném operačním systému.

Jan Dušátko, redaktor Averia