Mellékleteink: HUP | Gamekapocs
Keres
Július 19-én SYSADMINDAY: egy teljes security meetup, számos szórakoztató program, és Felméri Péter standupja várja az érdeklődőket!

50 dollárért készíthető "mesterkulcs" Windowshoz és macOS-hez

Hlács Ferenc, 2016. szeptember 09. 11:30
Ez a cikk több évvel ezelőtt születetett, ezért előfordulhat, hogy a tartalma már elavult.
Frissebb anyagokat találhatsz a keresőnk segítségével:

"Ha megszerezted a hardvert, tied az adat" - tartja a régi dakota közmondás. Ugyan fontos eredményeket értünk el idővel abban, hogy ez ne így legyen (háttértár-titkosítás), egy triviális támadás újra bizonyítja.

hirdetés

Másodpercek alatt feltörhetők a magukra hagyott, lezárt számítógépek, egy 50 dolláros hardver birtokában, legyen szó windowosos vagy macOS-t futtató eszközről - a támadó ráadásul az akció során a belépési adatokat is begyűjtheti. A módszert Rob Fuller, az R5 Industries mubix néven is ismert biztonsági szakértője fedezte fel, a kutató saját bevallása szerint maga is meglepődött rajta, hogy a rendszerek ilyen egyszerűen törhetők, ahogy kapcsolódó blogposztját kezdi: "ennek nem szabadna működnie, de működik".

Abban persze a legtöbb biztonsági szakember egyetért, hogy rég rossz, ha egy támadó fizikailag is hozzáfér a célba vett számítógéphez, ugyanakkor a Fuller által bemutatott módszer annyira gyors és egyszerű, hogy semmiképp nem szabad figyelmen kívül hagyni, főként, hogy a támadás semmilyen olyan külső nyomot nem hagy az adott gépen, amely arra utalna, hogy azzal ismeretlenek babráltak. A megoldás olyan rendszereken működik, amelyeken egy-egy felhasználó korábban bejelentkezett, majd lezárta azokat.

A szakértő a PC-s "mesterkulcs" létrehozásához először egy 155 dolláros USB Armory eszközt használt, később azonban a módszert már egy 50 dolláros Hak5 Turtle-lel is demonstrálni tudta - ugyanakkor egy hozzászóló Fuller blogposztja alatt azt állítja, egy Raspberry Pi Zeróval is megvalósítható a koncepció, ez a költségeket 5 dollárra szoríthatja le.

,A módszer alapköve, ahogy azt Fuller az Ars Technicának küldött emailjében magyarázza, hogy a kiszemelt PC-hez USB-n csatlakoztatható apró, linuxos számítógépet (legyen az a Hak5 Turtle vagy egy Raspberry Pi) a támadó egy megfelelő szoftverrel USB-s Ethernet adapternek mutatja a rendszer felé, és képes a hálózati forgalmat maga felé terelni.

Miután az eszköz bebootolt (ez tart a videón sokáig), elindít egy DHCP szervert, illetve a Responder névre hallgató, az autentikációs tokenek begyűjtésére használt alkalmazást. Utóbbit az érdeklődők GitHubon közelebbről is szemügyre vehetik. Mindeközben a gép Ethernet adapterként ismeri fel a csatlakoztatott eszközt, majd ennek megfelelően elkezdi rajta keresztül routolni hálózati forgalmát, az eredeti hálózati kapcsolat helyett. A Responder ezalatt nevéhez hűen válaszolgatni kezd a különböző szolgáltatásoktól beérkező azonosítási kérelmekre - amit egyszerűen megtehet, hiszen az operációs rendszerek zöme a helyi hálózatot biztonságosként kezeli, így automatikusan eleget is tesz a kérelemnek.

A folyamat során az eszköz az autentikációs hash-eket szerzi meg, amelyet aztán feltör, vagy épp egy "lebutított" hash-sé konvertál. A szakértő az új Windows verziók által használt NTLMv2 hash-t, illetve a legújabb frissítésekkel ellátott El Capitan rendszerek hash-ét is vissza tudta alakítani a gyengébb, NTLMv1 verzióra. Korábbi Windowsok esetében az NTLMv1 gond nélkül NTLM formátumra konvertálható.

Ahogy azt Fuller videója is demonstrálja, a módszer kiválóan működik, a lezárt gépbe a szakértő csupán az USB-s eszköz csatlakoztatásával bő 20 másodperc alatt be tudott jelentkezni. Ahogy azt a kutató is kiemeli, minden valószínűség szerint nem ő az első, aki felfedezte ezt a módszert, az érzékeny vállalati vagy egyéb adatokkal dolgozóknak így érdemes kiemelt figyelmet fordítani rá, hogy mikor és hol hagyják őrizetlenül számítógépeiket, még lezárt profil mellett is. Fuller ígérete szerint hamarosan a hasonló támadások kivédésére is mutat majd megoldást - azt ugyanakkor még nem tudni, hogy a Microsoft vagy az Apple mikor orvosolja majd a sebezhetőséget.

Facebook

Mit gondolsz? Mondd el!

Adatvédelmi okokból az adott hír megosztása előtt mindig aktiválnod kell a gombot! Ezzel a megoldással harmadik fél nem tudja nyomon követni a tevékenységedet a HWSW-n, ez pedig közös érdekünk.
A IT-üzemeltetők világnapján egy teljes security meetup, számos szórakoztató program, és Felméri Péter standupja várja az érdeklődőket az Ankertbe.