Segurança do novo Sistema Operacional do Google: "Chromium OS"

O Google entrou definitivamente para o mercado de Sistemas Operacionais com o o lançamento do Chromium OS. Trata-se de um S.O. open-source (baseado em linux) e com os principios de velocidade (que tal boot em 7 seg?), simplicidade (afinal é um browser vitaminado) e segurança (veja abaixo) em mente.

Todas as aplicações do S.O. rodam dentro do browser e por isto mesmo inicialmente o mercado alvo deve ser os usuarios iniciantes (no estilo "so uso internet + office") que utilizem netbooks, por exemplo.

O Chrome OS é baseado em Debian e usa uma série de outros software open-source: Host AP Linux drivers, PAM, Syslinux, IBus, ConnMan , XScreenSaver e outros.

Do ponto de vista da segurança, o time do Chromius OS publicou um vídeo no Youtube super interessante com as principais features de segurança do novo sistema operacional:

1) foi projetado do zero com segurança em mente;
2) se o sistema ou usuario detectarem que o sistema tenha sido comprometido, um reboot e o Chrome OS voltará ao estado conhecido (e seguro) anterior;
3) fortalecimento do sistema de isolamento do processo (ou SandBox),
4) melhoria contínua de segurança na web,
5) autoupdate seguro,
6) verificação de hashes da partição de sistema durante o boot,
7) criptografia da partição de dados do usuário 8) gerenciamento de contas e intuitiva.

Como em tudo que é novo (neste caso, nem beta ainda), esperem falhas e correções em breve.. mas o modelo open-source já provou ser mais seguro pelo próprio envolvimento e revisão da comunidade de segurança mundial.

Mais informações sobre o lançamento do sistema operacional:

http://googleblog.blogspot.com/2009/11/releasing-chromium-os-open-source.html


Site Oficial: http://www.chromium.org/chromium-os

Vulnerabilidade SSLv3 e TLS

[ Update - 2010/01/13 ]

A Internet Engineering Task Force (IETF) publicou uma extensão de segurança para o protocolo SSL que corrige a falha desctrita no post original (que afeta implementações em servidores, navegadores, smartcards, produtos VPN, etc.).


Mais informações em:



http://www.darkreading.com/vulnerability_management/security/vulnerabilities/showArticle.jhtml?articleID=222300635

ftp://ftp.rfc-editor.org/in-notes/internet-drafts/draft-ietf-tls-renegotiation-03.txt


[ Post Original - 2009/11/18 ]

Na última semana veio a público um trabalho de Steve Dispensa, Marsh Ray e Martin Rex que descreve uma séria vulnerabilidade na fase de renegociação dos protocolos SSLv3 e TLS.

Em linhas gerais, o ataque permite que um atacante faça um "Man in The Middle", injetando informações de sua escolha no começo do stream que será passado de volta para aplicação sendo "protegida" por SSL/TLS, permitindo desta forma algumas possibilidades de exploração bastante preocupantes, como o a escolha pelo atacante de que requisições / transações serão feitas a um internet banking - depois da autenticação do usuário, por exemplo.

O problema está na falta de associação a uma conexão existente durante a renegociação do handshake no SSL/TLS.

Uma descrição detalhada da vulnerabilidade e suas possíveis contra-medidas do lado do cliente e servidor, além de algumas aplicações práticas de exploração delas (SMTP, HTTPS) foi publicada hoje por Thierry Zoller, da G-SEC.

Entrada no CVE (Common Vulnerabilities and Exposures)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555

The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in the Apache HTTP Server 2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5 and earlier, Mozilla Network Security Services (NSS) 3.12.4 and earlier, multiple Cisco products, and other products, does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a post-renegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.

Mais detalhes: http://securosis.com/blog/what-the-renegotiation-bug-means-to-you/

Apagao e Hackers, Aconteceu ou é Possivel?

[ Update: 17/11/2009]

Reportagem da Globo News sobre o assunto - vale a pena conferir

[ Update: 15/11/2009 ]

Folha de SP: Operador do sistema elétrico é vulnerável a ataque de hackers

[ Post Original: 12/11/2009 ]

A comprovação da ocorrência é bem diferente da avaliação da possibilidade, mas o post http://blog.hacknroll.com/2009/11/12/a-verdade-sobre-o-apagao/ mostra algumas fragilidades básicas no site do Sistema de Administração de Contratos de Transmissão (SACT) como SQL injection e pára por aí..

Serve para jogar mais na fogueira dos que defendem que um ataque hacker poderia ter realmente ocasionado o apagão recente (assim como os de 2005 e 2007, segundo a rede americana CBS noticiou). O governo negou oficialmente a história.

Para quem não acompanhou ainda, vale a pena ver a reportagem da CBS onde "meia dúzia de fontes da inteligência" são citadas para afirmar que os apagões ocorridos em 2005 E 2007 no RJ e ES foram resultado de ataques aos sistemas computacionais que controlam a distribuição de energia..

Reportagem e Video na CBS: http://www.cbsnews.com/stories/2009/11/06/60minutes/main5555565.shtml

Novas vulnerabilidades Windows - A volta do WinNuke e remote shell (Vista, 2008 e 7)

[ Update 14/11/2009 ]

A Microsoft acaba de lançar o advisory 977544 - Vulnerability in SMB Could Allow Denial of Service. Ele trata da vulnerabilidade SMB divulgada por Laurent Gaffié ante-ontem. Fiquemos de olho para possíveis evoluções da exploração de Negação de Serviço para acesso remoto...

Nos testes que conduzi o efeito é diferente da tela azul do exploit que explora a vulnerabilidade 975497 - descrita no post original. No caso do Windows 7 a máquina simplesmente TRAVA - sem nenhum indício (tela azul, crash dump ou evento do windows) de que o ataque ocorreu - mesmo depois de um reboot.

Os workarounds são similares aos descritos no post original relacionado ao advisory 975497.

Mais informações: http://praetorianprefect.com/archives/2009/11/how-to-crash-windows-7-and-server-2008/

[ Update 11/11/2009 ]

Nova falha e novo exploit para Denial of Service Remoto em Windows 7 e 2008, 32 e 64bit ( rede Local e via internet com IE ) publicados por Laurent Gaffié: Windows 7 / Server 2008R2 Remote Kernel Crash

[ Update 29/09/2009 ]

Já existe código público de exploração remota desta vulnerabilidade no projeto MetaSploit. O exploit funciona em Windows Vista Service Pack 1 e 2 e também em Windows 2008 SP1 e SP2. Será que um novo worm Microsoft a la Conficker está vindo aí?

[ Update 20/09/2009 ]

A Microsoft ainda não divulgou uma correção, mas no site de descrição da vulnerabilidade foi incluída uma opção "Microsoft Fix-It" que automatiza o processo de workaround para desabilitar o SMB2 e assim deixar o seu Vista/2008/7 mais seguro.

[ Update 17/09/2009 ]

A vulnerabilidade SMB2 acaba de ficar mais preocupante: A empresa Immunity publicou em seus updates do produto CANVAS código capaz de invadir uma máquina Windows (Vista, Windows 2008 e versões Release Candidate do Windows 7) remotamente utilizando a vulnerabilidade descoberta por Laurent Gaffié (detalhes abaixo).

Certamente os black hats já desenvolveram códigos efetivos similares.

fontes:

• http://www.theregister.co.uk/2009/09/16/windows_vista_exploit_released/
• http://blogs.zdnet.com/security/?p=4350
  

[ Post Original - 10/09/2009 ]

O pesquisador de vulnerabilidades canadense Laurent Gaffié publicou em seu blog nesta segunda-feira, 7 de setembro, dados sobre uma vulnerabilidade do protocolo SMB2 em várias versões modernas do Microsoft Windows:

• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

(as versões Release Candidates do Windows 7 também estão vulneráveis).

Em um movimento arriscado ele divulgou também um código plenamente efetivo na linguagem python que - quando executado em direção à uma máquina Windows produz uma tela-azul-da-morte (Blue Screen of Death) instantânea - como a da foto acima.

Eu achei um tempo hoje para testar o módulo do metasploit e o código python original contra uma máquina Vista 64Bits Home Edition em português e outra Windows 7 RC em Inglês, e ambos os exploits funcionaram: tela azul instantânea. Impressionante o efeito destrutivo de um simples caractere "&" inesperado em um cabeçalho SMB ...

Vale a pena ressaltar que há possibilidade de execução remota de código explorando a mesma falha, mas ainda náo foi divulgado nnehum exploit com este objetivo.

A divulgação prematura do código de exploração (antes que a Microsoft conseguisse gerar um patch de correção para a vulnerabilidade) gerou várias discussões sobre o movimento "Full Disclosure" de vulnerabilidades versus a notificação responsável das mesmas aos fabricantes.

Os defensores da divulgação aberta de falhas - considerada irresponsável pela Microsoft e outros vendors - argumentam que vários grupos hacker podem possuir conhecimento e já explorem as vulnerabilidades "0-day" e por isto divulgando publicamente há uma pressão sobre os fabricantes para que a correção saia antes, protegendo assim o usuário final.

A página sobre este assunto do CERT traz uma entrada nas perguntas frequentes que fala exatamente desta situação:

Q: Wouldn't it be better to keep vulnerabilities quiet if there isn't a fix available?

A: Vulnerabilities are routinely discovered and disclosed, frequently before vendors have had a fair opportunity to provide a fix, and disclosure often includes working exploits. In our experience, if there is not responsible, qualified disclosure of vulnerability information then researchers, programmers, system administrators, and other IT professionals who discover vulnerabilities often feel they have no choice but to make the information public in an attempt to coerce the vendors into addressing the problem.

Outra faceta desta divulgacão é a certeza da utilização do exploit por script kiddies e talvez a reaparição de programas hackers "low-tech" como o WinNuke - da epóca do Windows 95 - onde o atacante somente precisava entrar o nome ou IP da vítima para gerar um BSOD via uma a exploracão de uma vulnerabilidade NetBios.

Como se proteger do ataque:

1. Se certifique que o firewall do Windows está ativo e bloqueando a porta 445/tcp
2. Desabilite o compartilhamento de arquivos (file-sharing)
3. Desabilite a versão 2 do protocolo SMB (veja como)

Mais detalhes sobre a vulnerabilidade / exploit:

• Microsoft Security Advisory (975497): Vulnerabilities in SMB Could Allow Remote Code Execution
  

• Blog de Segurança da Microsoft Brasil
  

• Advisory 975497 da Microsoft

• Blog Technet Microsoft
  

• Detalhes técnicos sobre a vulnerabilidade em ReverseMode

• Módulo para o framework de penetration test metasploit

• Entrada no diário do Sans Institute
  

• Entrada CVE no Mitre

• Vídeo da vulnerabilidade sendo explorada
  

Expressoes Regulares em Resposta a Incidentes

A utilização de expressões regulares para filtragens, criação de regras, alertas, condições, entre outras funcionalidades é uma das ferramentas técnicas que une as diversas tecnologias utilizadas para resposta a incidentes de segurança e forense computacional.

Antes de prosseguir, precisamos ter em mente que a utilização de pattern matching - apesar de extremamente útil - sempre nos trará um número de falsos-positivos e falsos-negativos.

Praticamente todas as linguagens de programação suportam o uso das expressões regulares, por exemplo: .NET, Java, Javascript, Lua, Perl, PHP, Python, Ruby e Tcl nem mesmo precisam de chamada a módulos externos por suportar nativamente regex.

Do ponto de vista das diferentes implementações, a PCRE (Perl Compatible Regular Expressions) é a mais completa, por suportar diretivas, condicionais, referencias nominais, grupos atômicos, comentários, código embutido, matching parcial e unicode.

No caso da Resposta a Incidentes e Forense computacional, as expressões regulares representam um papel fundamental tanto na 1) Correlação de Logs e Eventos de Segurança, quanto na 2) Monitoração e/ou Forense de Rede, quanto na 3) Forense de Mídias (local ou remotamente).

1) Correlação de Logs e Eventos de Segurança

As expressões regulares são fundamentais para o processamento direto de arquivos de log e outras evidências. em ferramentas como grep, awk, sed e o próprio perl (exemplo). Além disto, as ferramentas empresariais de SIEM/SIM durante as fases filtragem de dados, na normalização e categorização de eventos e também na correlação de informações e criação de alertas (exemplo).

2) Monitoração e/ou Forense de Rede

Desde as ferramentas básicas como IDS/IPS (como o suporte a PCRE do Snort ou o uso de regex com o ngrep) até filtros de conteúdo, e as ferramentas de Forense de Rede (exemplo: no NetWitness você pode utilizar expressões regulares para pesquisas avançadas em conteúdos, metadados, ou para identificação de detalhes de protocolos/aplicações com a tecnologia de FlexParser)

3) Forense de Mídias

O uso de expressões regulares está entre as análises mais comuns que são utilizadas em forense computacional (seja em frameworks GPL como o CAINE e o SIFT, seja em ferramentas comerciais como o FTK e ENCASE).

Isto vale tanto na para criação de palavras-chave para pesquisa quanto para a identificação de assinaturas de arquivos / análise de extensão versus header (Exemplo: os primeiros bytes de um JPEG padrão iniciarão com [\xFF\xD8\xFF[\xE0\xEE] - onde \x significa um valor hexadecimal e as chaves significam ou E0 ou EE).

Referências:

Seguem algumas referências para facilitar o treinamento de equipes que precisam utilizar expressões regulares em seu dia-a-dia:

1 - http://gskinner.com/RegExr/ - editor de expressões regulares em versão online e desktop

2 - http://ryanswanson.com/regexp/#start - flex 3 regular expression explorer (obrigado @welias)

3 - Regex Coach - Programa (Win/Linux) gratuito para auxiliar a criação de regexes;

4 - http://www.regular-expressions.info/ - repositório com exemplos, sintaxe, referências, livros, etc;