Arka kapı (bilgi işlem) - Backdoor (computing)

Bir serinin parçası
Bilgi Güvenliği
Kategorilere Göre Bilgi Güvenliği Olayları, 2014 Mali Yılı.svg
İlgili güvenlik kategorileri
tehditler
Savunmalar

Bir arka kapı , bir bilgisayardaki , üründeki, gömülü cihazdaki (ör. bir ev yönlendiricisi ) veya onun düzenlemesindeki (ör. bir kriptosistemin , algoritmanın , yonga setinin veya hatta bir "homunculus bilgisayarın" bir parçası) normal kimlik doğrulamasını veya şifrelemeyi atlamanın tipik olarak gizli bir yöntemidir — Intel'in AMT teknolojisinde bulunan gibi küçük bir bilgisayar içinde bilgisayar ). Arkakapılar genellikle bir bilgisayara uzaktan erişim sabitlenmesi veya erişimi elde etmek için kullanılan düz metin olarak şifreleme sistemleri . Buradan parolalar gibi ayrıcalıklı bilgilere erişmek, sabit disklerdeki verileri bozmak veya silmek veya otomatik şema ağları içinde bilgi aktarmak için kullanılabilir.

Bir arka kapı, bir programın gizli bir parçası, ayrı bir program (örn. Back Orifice , sistemi bir rootkit aracılığıyla bozabilir), donanımın bellenimindeki kod veya Windows gibi bir işletim sisteminin parçaları şeklinde olabilir . Truva atları , bir cihazda güvenlik açıkları oluşturmak için kullanılabilir. Truva atı tamamen meşru bir program gibi görünebilir, ancak yürütüldüğünde bir arka kapı yükleyebilecek bir etkinliği tetikler. Bazıları gizlice kurulmuş olsa da, diğer arka kapılar kasıtlıdır ve yaygın olarak bilinir. Bu tür arka kapılar, üreticiye kullanıcı şifrelerini geri yüklemek için bir yol sağlamak gibi "meşru" kullanımlara sahiptir.

Bulut içinde bilgi depolayan birçok sistem, doğru güvenlik önlemleri oluşturamaz. Bulut içinde birçok sistem birbirine bağlıysa, bilgisayar korsanları en savunmasız sistem aracılığıyla diğer tüm platformlara erişebilir.

Varsayılan parolalar (veya diğer varsayılan kimlik bilgileri), kullanıcı tarafından değiştirilmediği takdirde arka kapı işlevi görebilir. Bazı hata ayıklama özellikleri, yayın sürümünde kaldırılmamışlarsa arka kapı işlevi de görebilir.

1993'te Amerika Birleşik Devletleri hükümeti , kolluk kuvvetleri ve ulusal güvenlik erişimi için açık bir arka kapıya sahip bir şifreleme sistemi olan Clipper çipini uygulamaya çalıştı . Çip başarısız oldu.

genel bakış

Arka kapı tehdidi, çok kullanıcılı ve ağ bağlantılı işletim sistemleri yaygın olarak benimsendiğinde ortaya çıktı . Petersen ve Turn, 1967 AFIPS Konferansı tutanaklarında yayınlanan bir makalede bilgisayarın yıkımını tartıştılar. Güvenlik tesislerini atlamak ve verilere doğrudan erişime izin vermek için sisteme "kapalı kapı" giriş noktalarını kullanan bir sınıf aktif sızma saldırısı kaydettiler. Trapdoor kelimesinin burada kullanımı, arka kapının daha yeni tanımlarıyla açıkça örtüşmektedir. Ancak gelişiyle beri açık anahtar şifreleme terimi trapdoor farklı bir anlam (bkz satın aldı trapdoor fonksiyonu ) ve dolayısıyla dönem "arka kapı" şimdi vadeli trapdoor kullanımdan çıktıktan sonra, tercih edilir. Daha genel olarak, bu tür güvenlik ihlalleri, 1970 yılında JP Anderson ve DJ Edwards tarafından ARPA sponsorluğunda yayınlanan bir RAND Corporation görev gücü raporunda uzun uzadıya tartışıldı .

Bir oturum açma sistemindeki bir arka kapı, sisteme erişim sağlayan sabit kodlanmış bir kullanıcı ve şifre kombinasyonu şeklini alabilir . Bu tür bir arka kapı örneği , " WOPR " bilgisayar sisteminin mimarının , kullanıcının sisteme ve sistemin belgelenmemiş bölümlerine erişimini sağlayan sabit kodlanmış bir parola girdiği 1983 yapımı WarGames filminde bir olay örgüsü aygıtı olarak kullanıldı . sistem (özellikle, bir video oyunu benzeri simülasyon modu ve yapay zeka ile doğrudan etkileşim ).

Tescilli yazılım ( kaynak kodu kamuya açık olmayan yazılım) kullanan sistemlerdeki arka kapıların sayısı geniş çapta kabul görmese de, yine de sıklıkla teşhir edilmektedir. Programcılar, programlara Paskalya yumurtaları gibi büyük miktarda iyi niyetli kodu gizlice yerleştirmeyi bile başardılar , ancak bu tür durumlar fiili izin olmasa bile resmi hoşgörü içerebilir.

Politika ve ilişkilendirme

Sorumluluğu paylaştırırken devreye giren bir dizi pelerin ve hançer düşüncesi vardır.

Gizli arka kapılar bazen makul bir inkar edilebilirlik nedenleriyle kasıtsız kusurlar (hatalar) olarak maskelenir . Bazı durumlarda, bunlar gerçek bir hata (istenmeyen hata) olarak hayata başlayabilir ve bir kez keşfedildikten sonra, ister kişisel avantaj için haydut bir çalışan tarafından, isterse C-seviyesi yönetici farkındalığı ve gözetimi ile kasıtlı olarak düzeltilmeden ve ifşa edilmeden bırakılır.

Bu karmaşıklığın esas olarak ulus devlet aktörleri düzeyinde var olduğu düşünülse de, tamamen üst düzey bir şirketin teknoloji tabanının dış ajanlar (hackerlar) tarafından gizlice ve izlenemez bir şekilde lekelenmesi de mümkündür. Bir Örneğin, Işık maskesi de Işık maskesi tarifnamede birkaç kapıları bir foto satıcılar farklılık elde edilen, bir çip imalatçısı bu aksi takdirde fonksiyonel sessiz algılamak başarabilmiştir olacaktır; fotomaske aşındırma ekipmanında çalışan gizli bir rootkit, fotomaske üreticisinin haberi olmadan bu tutarsızlığı ortaya çıkarabilir ve bu şekilde, bir arka kapı potansiyel olarak diğerine yol açar. (Bu varsayımsal senaryo, esasen, aşağıda tartışılan, saptanamayan derleyici arka kapısının silikon versiyonudur.)

Genel anlamda, modern, son derece uzmanlaşmış teknolojik ekonomideki uzun bağımlılık zincirleri ve sayısız insan unsuru süreç kontrol noktası , gizli bir arka kapı ortaya çıktığında sorumluluğun kesin olarak belirlenmesini zorlaştırır.

İtiraf eden taraf diğer güçlü çıkarlara bağlıysa, sorumluluğun doğrudan kabulü bile dikkatle incelenmelidir.

Örnekler

solucanlar

Birçok bilgisayar solucanları gibi Sobig ve Mydoom , etkilenen bilgisayar (genellikle bir arka kapı yüklemek PC üzerinde geniş bant çalışan Microsoft Windows ve Microsoft Outlook ). Bu tür arka kapılar, spam gönderenlerin virüslü makinelerden önemsiz e-posta gönderebilmesi için kurulmuş gibi görünüyor . 2005 yılının sonlarına kadar milyonlarca müzik CD'sine gizlice yerleştirilen Sony/BMG rootkit gibi diğerleri, DRM önlemleri olarak tasarlanmıştır - ve bu durumda, kurdukları her iki gizli program da rutin olarak merkezi sunucularla iletişim kurduğundan veri toplama aracıları olarak tasarlanmıştır.

Kasım 2003'te ortaya çıkan Linux çekirdeğine bir arka kapı yerleştirmeye yönelik karmaşık bir girişim , revizyon kontrol sistemini alt üst ederek küçük ve ince bir kod değişikliği ekledi . Bu durumda, iki satırlık değişikliği ortaya çıktı kontrol kök erişimi için arayanın izinlerini sys_wait4fonksiyonu, ancak atama kullanıldığından =yerine eşitlik denetimi ==, aslında verilen sisteme izinleri. Bu fark kolayca gözden kaçabilir ve hatta kasıtlı bir saldırıdan ziyade tesadüfi bir tipografik hata olarak yorumlanabilir.

Sarı ile işaretlenmiştir: kodda gizli arka kapı yönetici şifresi

Ocak 2014'te, Galaxy cihazları gibi bazı Samsung Android ürünlerinde bir arka kapı keşfedildi . Samsung'un tescilli Android sürümleri, cihazda depolanan verilere uzaktan erişim sağlayan bir arka kapı ile donatılmıştır. Özellikle, Samsung IPC protokolünü kullanarak modemle iletişimi yönetmekten sorumlu olan Samsung Android yazılımı, arka kapı operatörünün modem uzaktan kumandası aracılığıyla gerçekleştirmesine izin veren, uzak dosya sunucusu (RFS) komutları olarak bilinen bir istek sınıfı uygular. Aygıtın sabit diskindeki veya diğer depolama alanındaki G/Ç işlemleri. Modem Samsung'un tescilli Android yazılımını çalıştırdığından, daha sonra RFS komutlarını vermek ve böylece cihazdaki dosya sistemine erişmek için kullanılabilecek kablosuz uzaktan kumanda sunması muhtemeldir.

Nesne kodu arka kapılar

Arka kapıları algılamak daha zor, kaynak kodundan ziyade nesne kodunu değiştirmeyi içerir - nesne kodunun incelenmesi çok daha zordur, çünkü insan tarafından okunamaz, makine tarafından okunabilir olacak şekilde tasarlanmıştır. Bu arka kapılar ya doğrudan disk üzerindeki nesne koduna eklenebilir ya da derleme, derleme bağlama veya yükleme sırasında bir noktada eklenebilir - ikinci durumda arka kapı hiçbir zaman diskte görünmez, yalnızca bellekte görünür. Nesne kodunun arka kapılarının, nesne kodunun incelenmesiyle tespit edilmesi zordur, ancak özellikle uzunluk veya sağlama toplamındaki değişiklikleri (farklılıkları) kontrol ederek kolayca tespit edilebilir ve bazı durumlarda, nesne kodunun sökülmesiyle tespit edilebilir veya analiz edilebilir. Ayrıca, nesne kodu arka kapıları, güvenilir bir sistemdeki kaynaktan yeniden derlenerek (kaynak kodun mevcut olduğu varsayılarak) kaldırılabilir.

Bu nedenle, bu tür arka kapıların algılanmasını önlemek için, bir ikili programın tüm mevcut kopyaları altüst edilmelidir ve yeniden derlemeyi önlemek için herhangi bir doğrulama sağlama toplamından da ödün verilmeli ve kaynak kullanılamaz olmalıdır. Alternatif olarak, bu diğer araçlar (uzunluk kontrolleri, fark, sağlama toplamı, ayrıştırıcılar) arka kapıyı gizlemek için kendilerini tehlikeye atabilir, örneğin, altüst edilmiş ikilinin sağlama toplamının yapıldığını tespit etmek ve gerçek değeri değil, beklenen değeri döndürmek. Bu başka bozulmaları gizlemek için, araçların kendi içlerindeki değişiklikleri de gizlemeleri gerekir - örneğin, altüst edilmiş bir sağlama toplamı, kendisinin (veya altüst edilmiş diğer araçların) sağlama toplamı olup olmadığını algılamalı ve yanlış değerler döndürmelidir. Bu, sistemde kapsamlı değişikliklere ve tek bir değişikliği gizlemek için gerekli araçlara yol açar.

Nesne kodu, orijinal kaynak kodu yeniden derleyerek (yeniden birleştirerek, yeniden bağlayarak) yeniden oluşturulabildiğinden, kalıcı bir nesne kodunu arka kapı yapmak (kaynak kodunu değiştirmeden) derleyicinin kendisini alt üst etmeyi gerektirir - böylece, saldırı altında olan programı derlediğini algıladığında, arka kapıyı veya alternatif olarak birleştirici, bağlayıcı veya yükleyiciyi ekler. Bu, derleyicinin alt üst edilmesini gerektirdiğinden, bu da derleyiciyi yeniden derleyerek ve arka kapı ekleme kodunu kaldırarak düzeltilebilir. Bu savunma, derleyiciye bir kaynak meta-arka kapı koyarak altüst edilebilir, böylece kendisini derlediğini algıladığında, saldırı altındaki orijinal program için orijinal arka kapı üreteciyle birlikte bu meta-arka kapı üretecini ekler. Bu yapıldıktan sonra, kaynak meta-arka kapı kaldırılabilir ve derleyici, güvenliği ihlal edilmiş derleyici yürütülebilir dosyasıyla orijinal kaynaktan yeniden derlenir: arka kapı önyüklenir. Bu saldırı, Karger & Schell'e (1974) dayanmaktadır ve Thompson'ın 1984 tarihli "Güvenme Üzerine Düşünceler" başlıklı makalesinde popüler hale getirilmiştir; bu nedenle halk dilinde "Güvenli Güven" saldırısı olarak bilinir. Ayrıntılar için aşağıdaki derleyici arka kapıları bölümüne bakın . Benzer saldırılar, işletim sistemi gibi sistemin daha düşük seviyelerini hedefleyebilir ve sistem önyükleme işlemi sırasında eklenebilir ; bunlardan ayrıca Karger & Schell (1974)' de bahsedilmiştir ve şimdi önyükleme sektörü virüsleri şeklinde mevcuttur .

Asimetrik arka kapılar

Geleneksel bir arka kapı simetrik bir arka kapıdır: Arka kapıyı bulan herkes sırayla onu kullanabilir. Asimetrik bir arka kapı kavramı, Adam Young ve Moti Yung tarafından Proceedings of Advances in Cryptology: Crypto '96'da tanıtıldı . Asimetrik bir arka kapı, arka kapının tam olarak uygulanması herkese açık hale gelse bile (örneğin, yayınlayarak, tersine mühendislik tarafından keşfedilip ifşa edilerek , vb.) yalnızca onu yerleştiren saldırgan tarafından kullanılabilir . Ayrıca, kara kutu sorguları altında asimetrik bir arka kapının varlığını tespit etmek hesaplama açısından zorlayıcıdır. Bu saldırı sınıfı kleptografi olarak adlandırılmıştır ; yazılımda, donanımda (örneğin akıllı kartlar ) veya ikisinin bir kombinasyonunda gerçekleştirilebilirler. Asimetrik arka kapılar teorisi, şimdi kriptoviroloji olarak adlandırılan daha geniş bir alanın parçasıdır . Özellikle, NSA , Dual EC DRBG standardına bir kleptografik arka kapı yerleştirdi .

RSA anahtar üretiminde deneysel bir asimetrik arka kapı bulunmaktadır. Young ve Yung tarafından tasarlanan bu OpenSSL RSA arka kapısı, bükülmüş bir çift eliptik eğri kullanır ve kullanıma sunulmuştur.

Derleyici arka kapıları

Kara kutu arka kapısının karmaşık bir biçimi, derleyici arka kapısıdır , burada yalnızca bir derleyici altüst edilmez (oturum açma programı gibi başka bir programa bir arka kapı eklemek için), ancak kendisini ne zaman derlediğini algılamak için daha fazla değiştirilir ve sonra hem arka kapı ekleme kodunu (diğer programı hedefleyen) hem de kodu değiştiren kendi kendine derlemeyi ekler, tıpkı retrovirüslerin ana bilgisayarlarına bulaştığı mekanizma gibi . Bu, kaynak kodu değiştirerek yapılabilir ve sonuçta ortaya çıkan güvenliği ihlal edilmiş derleyici (nesne kodu) orijinal (değiştirilmemiş) kaynak kodunu derleyebilir ve kendisini ekleyebilir: istismar önyüklendi.

Bu saldırı başlangıçta sunuldu Karger & Schell (1974 , s 52, bölüm 3.4.5. "Tuzak Kapı Ekleme"), bir oldu ABD Hava Kuvvetleri güvenlik analizi Multics onlar üzerinde böyle bir saldırıyı tarif, PL / Derleyiciyim ve buna "derleyici tuzak kapısı" diyorum ; ayrıca sistem başlatma kodunun önyükleme sırasında bir arka kapı eklemek üzere değiştirildiği bir varyanttan bahsederler , çünkü bu karmaşık ve tam olarak anlaşılmamıştır ve buna "başlatma tuzak kapısı" derler; bu artık bir önyükleme sektörü virüsü olarak bilinir .

Bu saldırı ardından aslında tarafından uygulanan ve popüler oldu Ken Thompson onun içinde, Turing Ödülü (1984 yayınlanmıştır) 1983 yılında kabul konuşmasında, görecelidir bu güvenin dışarı noktaları ve sadece yazılım one "Güvenen Güven Üzerine Düşünceler" can gerçekten güven kodudur önyüklemenin her adımının denetlendiği yer. Bu arka kapı mekanizması, insanların derlenmiş makine kodunu ( nesne kodu ) değil, yalnızca kaynak (insan tarafından yazılmış) kodu incelemesi gerçeğine dayanmaktadır . Bir program, bir adlandırılan derleyici ilk ikinciye oluşturmak için kullanılır ve derleyici genellikle dürüst iş yapmaya güvenilir.

Thompson'ın makalesi, Unix C derleyicisinin aşağıdakileri yapacak değiştirilmiş bir sürümünü açıklar :

  • Oturum açma programının derlenmekte olduğunu fark ettiğinde ve bir bükülme olarak Unix oturum açma komutuna görünmez bir arka kapı koyun.
  • Ayrıca bu özelliği , derleme sırasında gelecekteki derleyici sürümlerine algılanamayacak şekilde ekleyin .

Derleyicinin kendisi derlenmiş bir program olduğundan, kullanıcıların bu görevleri gerçekleştiren makine kodu talimatlarını fark etmesi pek olası değildir. (İkinci görev nedeniyle, derleyicinin kaynak kodu "temiz" görünecektir.) Daha da kötüsü, Thompson'ın kavram uygulama kanıtına göre , altüst edilen derleyici aynı zamanda analiz programını da alt üst etmiştir ( disassembler ), böylece ikili dosyaları inceleyen herkes normal yol, aslında çalışan gerçek kodu değil, bunun yerine başka bir şeyi görürdü.

Orijinal istismarın güncellenmiş bir analizi Karger & Schell'de (2002 , Bölüm 3.2.4: Derleyici tuzak kapıları) verilmiştir ve tarihsel bir genel bakış ve literatür araştırması Wheeler'da (2009 , Bölüm 2: Arkaplan ve ilgili çalışma ) verilmiştir. .

Olaylar

Thompson'ın versiyonu resmi olarak asla vahşi doğada serbest bırakılmadı. Bununla birlikte, bir versiyonun BBN'ye dağıtıldığına ve arka kapının en az bir kullanımının kaydedildiğine inanılıyor . Sonraki yıllarda bu tür arka kapıların dağınık anekdot raporları var.

Ağustos 2009'da, bu tür bir saldırı Sophos laboratuvarları tarafından keşfedildi. W32/Induc-A virüsü , bir Windows programlama dili olan Delphi için program derleyicisine bulaştı . Virüs, yeni Delphi programlarının derlenmesine kendi kodunu ekleyerek, yazılım programcısının bilgisi olmadan birçok sisteme bulaşmasına ve yayılmasına izin verdi. Kendi Truva atını oluşturarak yayılan bir saldırıyı keşfetmek özellikle zor olabilir. Induk-A virüsünün keşfedilmeden önce en az bir yıldır yayıldığına inanılıyor.

karşı önlemler

Bir sistem, Trusting Trust derleyicisi gibi bir arka kapı veya Truva atı ile tehlikeye girdiğinde , "haklı" kullanıcının sistemin kontrolünü yeniden kazanması çok zordur - tipik olarak bir kişi temiz bir sistemi yeniden oluşturmalı ve verileri aktarmalıdır (ancak yürütülebilir dosyalar) bitti. Bununla birlikte, Trusting Trust şemasındaki bazı pratik zayıflıklar öne sürülmüştür. Örneğin, yeterince motive olmuş bir kullanıcı, kullanmadan önce güvenilmeyen derleyicinin makine kodunu özenle gözden geçirebilir. Yukarıda bahsedildiği gibi, Truva atını gizlemenin yolları vardır, örneğin sökücüyü bozmak; ancak bu savunmaya karşı koymanın da yolları vardır, örneğin kendi sökücünüzü sıfırdan yazmak gibi.

Güvenen güven saldırılarına karşı koymak için genel bir yönteme Çeşitli Çift Derleme (DDC) adı verilir. Yöntem, farklı bir derleyici ve test edilen derleyicinin kaynak kodunu gerektirir. Her iki derleyiciyle derlenen bu kaynak, aynı davranışa sahip olması gereken iki farklı aşama-1 derleyiciyle sonuçlanır. Bu nedenle, her iki aşama-1 derleyicisiyle derlenen aynı kaynak, daha sonra iki özdeş aşama-2 derleyicisiyle sonuçlanmalıdır. İkinci karşılaştırmanın, bazı varsayımlar altında, test edilen derleyicinin sözde kaynak kodunun ve yürütülebilir dosyasının karşılık geldiğini garanti ettiğine dair resmi bir kanıt verilmiştir. Bu yöntem, yazarı tarafından , farklı derleyici olarak icc (v. 11.0) kullanılarak GCC paketinin (v. 3.0.4) C derleyicisinin trojan içermediğini doğrulamak için uygulandı .

Uygulamada, bu tür karmaşık saldırıların nadir olması ve programlar tipik olarak ikili biçimde dağıtılması nedeniyle, izinsiz giriş tespiti ve analizi gibi aşırı durumlar dışında, bu tür doğrulamalar son kullanıcılar tarafından yapılmaz. Arka kapıları (derleyici arka kapıları dahil) kaldırmak, genellikle temiz bir sistemin yeniden oluşturulmasıyla yapılır. Bununla birlikte, güvenliği ihlal edilmiş bir sistem dağıtmadıklarından emin olmak için ve bu tür saldırıların gerçekçi bir endişe olduğu yüksek güvenlikli ortamlarda, karmaşık doğrulamalar işletim sistemi satıcılarının ilgisini çekmektedir.

Bilinen arka kapılar listesi

  • Geri Orifice 1998 yılında kuruldu hacker dan Ölü İnek kültü uzak yönetim aracı olarak grubun. Windows bilgisayarlarının bir ağ üzerinden uzaktan kontrol edilmesine izin verdi ve Microsoft'un BackOffice adının parodisini yaptı .
  • Çift AK DRBG kriptografik yalancı rasgele sayı üreteci muhtemelen bir olması 2013 yılında ortaya çıktı kleptographic kasten da arka kapı özel anahtar vardı NSA tarafından eklenen arka kapı.
  • WordPress eklentilerinin lisanssız kopyalarında birkaç arka kapı Mart 2014'te keşfedildi. Bunlar, gizlenmiş JavaScript kodu olarak eklendi ve web sitesi veritabanında bir yönetici hesabı gibi sessizce oluşturuldu . Benzer bir şema daha sonra Joomla eklentisinde ortaya çıktı.
  • Borland Interbase 4.0'dan 6.0'a kadar olan sürümler, geliştiriciler tarafından oraya yerleştirilmiş, sabit kodlanmış bir arka kapıya sahipti. Sunucu kodu, bir ağ bağlantısı üzerinden erişilebilen, derlenmiş bir arka kapı hesabı (kullanıcı adı: politik olarak , parola: doğru ) içerir; bu arka kapı hesabıyla oturum açan bir kullanıcı, tüm Interbase veritabanları üzerinde tam kontrol sahibi olabilir. Arka kapı 2001 yılında tespit edildi ve bir yama yayınlandı.
  • Juniper Networks arka kapısı , 2008 yılında ScreenOS'un 6.2.0r15'ten 6.2.0r18'e ve 6.3.0r12'den 6.3.0r20'ye, özel bir ana parola kullanırken herhangi bir kullanıcıya yönetici erişimi sağlayan bellenim sürümlerine eklendi .
  • C-DATA Optik Hat Sonlandırma (OLT) cihazlarında birkaç arka kapı keşfedildi. Araştırmacılar, arka kapıların satıcı tarafından kasıtlı olarak yerleştirildiğine inandıkları için bulguları C-DATA'ya bildirmeden yayınladılar.

Ayrıca bakınız

Referanslar

daha fazla okuma

Dış bağlantılar