Confessions Of A Dangerous Mind

למי שלא מכיר - מערכת הCA ( ר"ת Certificate Authority ) , היא אותה מערכת אשר מנהלת ומחוללת סרטיפיקטים עבור הארגון , לכל מטרה שהיא - ובעיקר לשם אימות ועבודה מוצפנת מול מערכות שונות. לדוגמא - אחת הדרכים המקובלות כיום לעבוד בתשתית PKI , או להתחבר בVPN , הם באמצעות סרטיפיקט המופק על ידי מערכות הארגון.

בין המערכות שמרכיבות את הCA , תמיד קיים הCRL ( ר"ת Certificate Revocation List ) אשר מולו בעצם מתבצעת הבדיקה - האם הסרטיפיקט קיים וValid , או האם הוא Revoked או פג תוקף מסיבה כלשהי. כמובן שמערכת זו צריכה להיות זמינה לכל הגורמים הרלוונטיים.

הבעיה מתחוללת כאשר אנו מתכננים את התשתית הארגונית להכיל מערכת CA שכזו. חלק ניכר מהארגונים בהם אני נתקל - בוחרים למקם את מערכת הCA בחוות השרתים תחת סגמנט השרתים , או אולי בDMZ, מרחיקי הלכת מתקינים את הCA ברשת השרתים , ואת הCRL ברשת הDMZ . ובעצם התפיסה הרווחת היא שהמטרה שלנו היא להפריד בין המשתמשים לשרת הCA. תפיסה זו שגויה.

אחד הדברים החשובים ביותר בארגון שלנו מבחינת תשתית PKI , הוא הPrivate Key שלנו. אותו מפתח מנוהל על גבי שרת הCA. מסיבה זו בדיוק - הופך שרת הCA לאחד הגורמים החשובים ביותר ברשת שלנו ודורש הגנה מקסימלית. שכן ברגע שנגנב הPRIVATE KEY שלנו , אפשר ללכת הביתה ...

ישנם המון דיונים לגבי טופולוגיה נכונה בהטמעה של מערכות מסוג זה , ואני אציין את אחת הדרכים המועדפות עליי מנסיוני...

ראשית , יש ליצור Subordinate CA , בעצם שרת CA משני אשר נגיש מבחינת המערכות השונות , ואז יש לבצע העברה של שרת הMaster CA לסגמנט משל עצמו ! לא VLAN ולא שום אמצעי לוגי -אלא רגל בFW. לאחר מכן יש למקם אכן את הCRL באיזור DMZ , אך אם הסרטיפיקטים הם לשימוש פנימי ארגוני - למקם אותו באיזור הSDMZ ( ר"ת Secured DMZ ) שמשמעותו שזהו חיץ שאינו נגיש מהאינטרנט או לספקים חיצוניים - אך נגיש לכל המשאבים בארגון. בשלב האחרון , יש לכבות את שרת הCA. אין שום סיבה שהוא יהיה נגיש , שכן המפתח הפרטי המוחזק על ידו לא צריך להיות זמין , ותפקודו של הSCA יהיה פונקציונלי לחלוטין , תוך סיכון פחות של משאבי הרשת.

ישנן עוד תפיסות רבות לגבי הנושא הזה , חלקן אף מוטמעות במוצרים אשר מבצעים בדיוק את תהליכי ההפרדה הנכונה ( מבחינתם ) ומאפשרים שמירה על כללי אבטחת מידע גבוהים יחסית, אך לא תמיד אותן מערכות מותאמות לארגונים , ולא כל מתודולוגיה מקובלת על כל מהנדס\יועץ.

אחת הבעיות בתפיסות של ארגונים שונים לגבי PKI היא שמבחינתם הכל צריך לעבוד מהקופסא , תכנון על פי הStarting Guide של אותו יצרן , ופעמים רבות - לא מעורב יועץ הנדסה בתהליך , מה שגורם למשאבים להיות חשופים, כי מה זה בעצם משנה אם בניתי תשתית מצויינת , ושמתי מערכות PKI והצפנתי את התווך בין השרתים ואת העבודה מול ציודי התקשורת - אבל את המפתח שמתי על השולחן ואומר "אף אחד לא יראה" ...

Labels: architecture, consulting, encryption, managment, privacy

Posted by barry at 6:03 AM | Link | Comments

משהו מעניין מתרחש בעולם אבטחת המידע לאחרונה ... רבים מנבים ויש מספק יישומים שאפילו מנצלים נכון את יכולות הGRID , שהן בעיקר חלוקת כח עיבוד על פני מחשבים רבים על גבי רשת כלשהי - לצורך ביצוע משימה כזו או אחרת. הניהול למשימות מתבצע כPIVOT על ידי מערכת מרכזית שמחלקת TASKS וכל החברים ברשת הGRID אחראים לבצע חלק קטן מאותה מטלה ולהחזיר תשובה.

ובכן , לאחרונה החלו להשתמש מדענים - גם ביכולות העיבוד של מעבדי הGPU ( מעבדי הגרפיקה ) של מחשבים שונים - על מנת להפיק מקסימום כח מעבד זמין ומבלי להפריע לעבודה הסבירה של משתמש . המשמעות היא שניתן לבצע משימות רבות אשר דורשות כח מעבד , ועדיין לתת בעת צרה לרשת הGRID להשתמש בכח העיבוד המתמטי של מעבד הגרפיקה.

למה אני טורח לכתוב ? בגלל הסיבה הזו ( לינק כאן ) . חברת elcomsoft בנתה מוצר די מעניין בתצורה שלו. המוצר משמש לפריצת ססמאות WINDOWS מורכבות ככל שיהיו , על ידי שימוש בחלק ניכר של מחשבי הארגון לצורך שבירת הסיסמאות אל מול הhash או בכל צורה אחרת המקובלת ( בעיקר Brute Force ) ואם אני לא טועה , הם הראשונים לאפשר רכישה של כלי קנייני אשר מבצע את הפעולה הזו על ידי הקמת GRID ייעודי לפעולה זו.

למעשה העיקרון פשוט , אם יש לי רשת IP - ועל כל מחשב ( לא משנה כוחו ) יש AGENT שמקושר לשרת אשר יודע לחלק לAGENTS המקושרים אליו משימות , ניתן להגיע לעוצמות של מחשבי על בכדי לפצח סיסמאות.

אגב , אני מכיר ניסוי אוניברסיטאי ( ברוסיה ) לניסיון שבירת AES256 באמצעות GRID , אך לא מכיר את תוצאותיו. יש כאן מגמה מעניינת ואיפשהו מובנת מאליו לגבי הכיוון של תחום הCryptoanalysis.

מאמר מעניין בנושא ניתן לקרוא בקישור הבא.

נכון להיום , הטכנולוגיה לפריצת סיסמאות באמצעות רשת GRID הוגשה לאישור כפטנט על ידי חברת elcomsoft אשר ממוקמת במוסקבה.

Labels: bruteforce, encryption, grid, passwords, software, technology

Posted by barry at 8:25 PM | Link | Comments

מזה מספר שנים ( מאז תחילת הBuzz עם ICQ ) אנו חווים עליה משמעותית בשימוש בIM כאשר אני חושב שבארץ - הנפוצים מכולם הם MSN Messanger והSkype. כשאני אומר נפוצים מכולם אני מתכוון בשוק העסקי. זאת מכיוון שכלי הIM כבר מזמן הפכו לכלי עבודה לכל דבר . לקוחות ונותני שירותים עובדים אחד מול השני בדרך זו , עבודה מול גורמים בארצות אחרות וכדומה.

אך יש לנו כאן מספר בעיות אבטחתיות . אתחיל בבעיה ופתרונה , ואקנח בבעיה שנובעת מהפיתרון.

ובכן , כאשר אנו משתמשים בכלי מסרים מיידיים כלשהם , המידע עובר בתעבורה לא מוצפנת ובדרך כל עובר לתירגום בינארי אשר די פשוט לבצע לו פתיחה בכלי HEXA למיניהם ( פרט לסקייפ אשר מוצפן SSL ). ולכן כאשר אנו משוחחים עם אדם על נושא מסויים , ומסיבה מסויימת רוצים להעביר לו סיסמה שלנו דרך הIM, יכול גורם עויין ליירט את ההודעה , ומעתה הסיסמה שלנו בידו. זוהי רק דוגמא קטנה כמובן , כי הרי אנחנו עושים הרבה יותר מזה, אנחנו מספרים על הריבים עם המשפחה , מדברים על חיפוש עבודה במקום אחר ואפילו העתק\הדבק למידע סודי מתוך מסמכים סודיים בחברה.

הפיתרון יכול להיות פשוט - חברת Secway הצרפתית מפתחת מוצר בשם Simp אשר מתלבש על תוכנות הIM שלנו , ומצפין את המידע בהן על גבי פרוטוקול הצפנה RSA. ובכך בעצם יוצר כמו VPCN ( המצאתי עכשיו - Virtual Private Chatting Network ) בין שני הצדדים ( או ריבוי הצדדים ) כמובן שמדובר בהצפנה אסטימטרית , אז אין צורך בהחלפת מפתחות ידנית אלא שימוש באלגוריתם Diffie Helman או דומים לו, לצורך החלפת המפתח. כמובן שבכדי להצפין שיחה כזו יש צורך שלשני הצדדים יהיה מותקן הSimp ( אשר קיים גם בגרסאת חינם ).

הבעיה פה היא יותר של מנהלי אבטחת מידע , שכן ברגע שהם בוחרים לאפשר שירות כמו מסנג'ר מתוך הנחה שהם יכולים לנטר את השיחות עצמן על ידי כלים שונים, יכול משתמש להתקין Simp ובעצם להצפין את כל השיחה ובכך למנוע מצוותי אבטחת המידע בארגון לדעת האם נגנב מידע מהארגון. או האם בוצעה הפרה של מדיניות כזו או אחרת בנוגע להעברת מידע על גבי מדית רשת. מה שמתגלה ברוב הפעמים כבעיה העיקרית להטמעת הפיתרון מסוג זה. שימו לב שארגונים רבים מפחדים להטמיע פתרונות כמו SKYPE מהסיבה הזו ממש.

אחד הפתרונות שאני מיישם לכך הוא בניית חתימה בIPS אשר מזהה החלפת מפתחות בין משתמשים שפתוח ביניהם תווך של IM לעולם, ובכך למנוע הפעלת התוכנה למשתמשים לא מורשים לכך.

Labels: encryption, privacy

Posted by barry at 7:43 PM | Link | Comments

אני יודע שלא כתבתי יחסית זמן רב , אבל יש כל מיני נושאים שאני עובד עליהם לאחרונה אשר מוציאים ממני את מלוא תשומת הלב והזמן שנותר לי במהלך היממה , אחד הנושאים הללו בא לסיומו אתמול בלילה , סיימתי לקרוא את הספר היחיד של ברוס שנייר שלא קראתי עד כה. ובצעד נחמד שכזה החלטתי לקחת קצת זמן ולכתוב ביקורת על הספר - Practical Cryptography.

למי שלא יודע , ברוס שנייר הוא מתמטיקאי ואסטרו-פיזיקאי אשר עשה הסבה לפני שנים רבות לעולם אבטחת המידע ,בדרך כתב מספר אלגוריתמי הצפנה כגון BLOWFISH וכמובן TWOFISH ועזר רבות לחקר בתחום ( היום יו"ר חברת Counterpane שנרכשה לא מזמן על ידי BT ), אחר מספריו המוקדמים של שנייר הוא הספר "Applied Cryptography" אשר יש שמכנים אותו כספר הטוב ביותר והתנך של ההצפנה כיום, ואין מומחה הצפנה בעולם שלא קרא אותו או שהספר מונח לו על המסף כרפרנס. הספר עסק בפירוק של כל אלגוריתמי הצפנה , עולם החתימה הדיגיטלית והPKI וכמובן פירוק לגורמים של אלגוריתמי הצפנה רבים.

ובכל זאת מה החידוש בספר החדש ? ובכן , החדירה לפרטים ודקויות. אם בספר הקודם הייתה ירידה ממש לרמת הקוד , הספר הזה מדבר יותר למומחי מחשוב ולמתמטיקאים ולאו דווקא למומחי הצפנה . נכון יש לנו פה המון המון פרטים על איך כל דבר עובד - אבל יותר בHIGH LEVEL כך שגם מי שעולם ההצפנה אינו טבע שני לו - יוכל לקרוא ולהבין חלקים נרחבים מהספר.

אולי החלק הרלוונטי לרוב אנשי אבטחת המידע הוא אותם פרקים בהם מסביר שנייר מדוע כדאי להשתמש במה ואיפה לפי SCENARIO שונים ומשונים. אישית, אני חולק על חלקים רבים בפרקים הללו אך לא ניתן לפסול ולא ללמוד מאדם שבנה קריירה על הצפנה.

אני ממליץ בחום , תקראו ולא תתאכזבו , אולי אני חנון , אבל הספר הלך לישון איתי כל לילה במהלך השבוע האחרון ( משום מה הוא התעורר גם לפני )

ISBN-10 : 0471223573 את שלי קניתי כמובן באמאזון.

Labels: encryption, review

Posted by barry at 8:28 AM | Link | Comments