Атака SWEET32: Взлом 3DES и Blowfish — Методы специалистов
Атака SWEET32 – это одна из самых серьезных атак на протоколы безопасности, используемые для шифрования исходящего и открытого текста. Все серверы, которые поддерживают 64-битные шифры, могут быть безопасно атакованы с помощью этой атаки. Атака SWEET32 в основном применима к серверам, которые используются для обмена шифротекста, таким как OpenSSH или OpenVPN.
Основная проблема заключается в том, что при использовании протокола SSH или OpenVPN в цепочке шифров 3DES или Blowfish используется слабое звено связи. Обычно серверы Linux настроены таким образом, чтобы только шифрование AES, которое является безопасным, было разрешено. Однако, если вы используете старые версии программного обеспечения или серверы, которые не поддерживают AES, либо если вы специально отключили AES в файле sshconfig, то вы подвергаете свою безопасность опасности.
В результате атаки SWEET32 злоумышленник может подключиться к серверу и восстановить содержимое шифрованного трафика. Это происходит потому, что 3DES и Blowfish используют 64-битные блоки данных, и при передаче большого количества данных злоумышленник может использовать простое, но эффективное понятие «зацикливания» (chaining), чтобы провести проверки и восстановить оригинальные данные.
Подобные атаки могут быть использованы и для получения доступа к аутентификации пользователей. Когда пользователь подключается к серверу OpenSSH или OpenVPN, его данные отправляются на проверку аутентификации. Если данные были зашифрованы с использованием протокола 3DES или Blowfish и сервер был сконфигурирован с использованием этих шифров, то злоумышленник может получить доступ к отправленным данным и использовать их для подключения к серверу вместо аутентифицированного пользователя.
Обнаружить использование уязвимых шифров и защитить свой сервер от атак SWEET32 можно путем подключения к серверу через localhost и проверки настроек системы. Если в списке поддерживаемых шифров встречаются 3DES или Blowfish, то необходимо отключить их в файле sshconfig. Кроме того, следует убедиться, что все пароли и другие учетные данные правильно хранятся и шифруются. При использовании Apache, необходимо отключить поддержку 3DES и Blowfish в .htaccess файле. В OpenVPN можно отключить эти шифры в файле конфигурации сервера или клиента.
Итак, атака SWEET32 представляет серьезную угрозу для безопасности серверов, которые используют 3DES и Blowfish для шифрования данных. Воздействие этой атаки может быть катастрофическим, если не принять соответствующих мер безопасности. Однако, соблюдая рекомендации по устранению уязвимостей, можно существенно повысить безопасность своего сервера и предотвратить возможные атаки SWEET32.
Насколько все серьезно
После принятия атаки SWEET32 весьма серьезно стоит задуматься о безопасности своих серверов и клиентских приложений. Дело в том, что многие конфигурации безопасности используют 3DES и Blowfish в качестве шифров для защиты данных, и эти шифры оказались уязвимыми к данной атаке.
Существует ряд параметров и конфигураций, которые вы должны проверить, прежде чем полагаться на безопасность своих систем и устройств. В списке поддерживаемых шифров на вашем сервере либо у клиента должны быть исключены 3DES и Blowfish. Некоторые операционные системы, такие как Linux, хранятся список поддерживаемых шифров в параметрах конфигурации, например в файле/etc/ssh/ssh_config. Вы можете отключить эти шифры, просто закомментировав их символом #.
Важно также проверить, какие шифры используются в вашей среде. Для этого можете воспользоваться следующим мануалом:
- С помощью команды
ssh -vvv user@serverвыведите больше информации о параметрах шифрования SSH с сервера. - Если вы обнаружили 3DES или Blowfish среди используемых шифров, вам следует отключить их в файле конфигурации SSH сервера.
Кроме этого, стоит установить специальное программное обеспечение, которое будет мониторить и блокировать подозрительную активность, связанную с атакой SWEET32. Таким образом, вы сможете предотвратить возможность хищения информации и предоставить безопасное соединение для ваших пользователей.
Также стоит помнить, что можно использовать протоколы, не c3des. Для этого можете отключить этот протокол с помощью параметров Cipher и Macs в файле конфигурации OpenVPN сервера или клиента. Также можете использовать только безопасные протоколы. Данные параметры можно найти в файле /etc/openvpn/server.conf (для сервера) или /etc/openvpn/client.conf (для клиента).
Если вы используете SSH в своем приложении или сервисе, очень важно отключить 3DES и Blowfish для защиты от атаки SWEET32. Для этого найдите файл /etc/ssh/sshd_config и обновите параметр Ciphers на значение, исключающее эти уязвимые шифры. Затем перезапустите SSH сервер.
Все пользователи и администраторы систем должны быть в курсе существующих уязвимостей и принять меры для защиты своих систем и данных. Регулярно обновляйте программное обеспечение, проводите аудит безопасности и следите за новостями в области информационной безопасности. Всегда лучше быть готовыми, чем столкнуться с проблемами из-за невнимательности и недостаточной защиты.
Ограничение исходящего трафика с помощью списка разрешенных хостов
Чтобы настроить эту функцию на сервере Ubuntu, мы можем использовать различные инструменты и механизмы, доступные в системе. Один из таких инструментов — это iptables, который является фреймворком для управления IP-фильтрами в ядре Linux. Другим методом является использование файрвола UFW, который предоставляет более простой интерфейс для управления правилами файрвола iptables.
Первым шагом необходимо установить и настроить iptables или UFW на вашем сервере Ubuntu. Это можно сделать с помощью следующих команд:
sudo apt-get update
sudo apt-get install -y iptables
После установки iptables или UFW необходимо создать список разрешенных хостов, которые будут иметь доступ к вашему серверу. Вы можете указать IP-адреса или имена хостов в этом списке. Например:
sudo iptables -A OUTPUT -d 192.168.0.1 -j ACCEPT
sudo iptables -A OUTPUT -d example.com -j ACCEPT
Таким образом, все исходящие соединения на IP-адрес 192.168.0.1 и домен example.com будут разрешены, в то время как все остальные соединения будут заблокированы.
Дополнительно можно настроить блокировку исходящего трафика на уровне HTTP-протокола. Настроить списки разрешенных хостов для данного случая можно с использованием файлов cookie или с помощью методов проверки сертификатов, например, проверка подписи или проверка цепочки сертификатов.
Уровень безопасности и требования для вашей системы могут варьироваться в зависимости от конкретных потребностей. Однако, важно помнить, что блокировка исходящего трафика с помощью списка разрешенных хостов может быть дополнительной мерой безопасности при использовании слабых алгоритмов шифрования, таких как 3DES и Blowfish.
Известно, что в некоторых случаях эти алгоритмы шифрования, использующие режим цепочки блоков (CBC mode) и 64-битные ключи, уязвимы к атаке SWEET32, основанной на коллизиях. В этой атаке злоумышленник может заставить ваш сервер обмениваться большим количеством данных с определенным клиентским хостом, который является контролируемым злоумышленником. Злоумышленник может затем использовать эти данные для взлома шифра.
Важно понимать, что не все системы подвержены этой атаке. SWEET32 атака возможна только в тех случаях, когда клиент и сервер обмениваются большим объемом данных, используя triple-DES или Blowfish в режиме цепочки блоков.
Для защиты от этой атаки необходимо использовать более сильные алгоритмы шифрования, такие как AES, которые не подвержены этому типу атаки. Также рекомендуется обновить ваше программное обеспечение, чтобы иметь поддержку AES и отключить поддержку слабых алгоритмов, таких как 3DES и Blowfish.
В целом, настройка ограничения исходящего трафика с помощью списка разрешенных хостов может быть одной из мер безопасности, которую следует принять на вашем сервере. Однако, всегда рекомендуется провести полный аудит безопасности вашей системы и следить за последними обновлениями и рекомендациями в области безопасности.
Видео:
😱 Как ХАКЕРЫ взламывают ZIP-файлы? | Hashcat, JohnTheRipper, Python
😱 Как ХАКЕРЫ взламывают ZIP-файлы? | Hashcat, JohnTheRipper, Python by Фсоки 1,139 views 2 months ago 10 minutes, 1 second