Бэкдор (вычисления)

Эта статья имеет нечеткий стиль цитирования . Используемые ссылки можно сделать более ясными с помощью другого или последовательного стиля цитирования и сносок . ( Июнь 2017 г. ) ( Узнайте, как и когда удалить этот шаблон сообщения )

Бэкдор является обычно скрытыми методами обхода аутентификации или шифрования в компьютерном , продукте, встроенное устройство (например, домашний маршрутизатора ), или его вариант осуществление (например , часть криптосистемы , алгоритм , набор микросхем , или даже «Homunculus компьютера» - крошечный компьютер внутри компьютера, такой как тот, что используется в технологии Intel AMT ). ^{[1] [2]} Бэкдоры чаще всего используются для защиты удаленного доступа к компьютеру или получения доступа к незашифрованному тексту в криптографических системах.. Оттуда его можно использовать для получения доступа к конфиденциальной информации, такой как пароли, повреждение или удаление данных на жестких дисках, а также для передачи информации в автоматических сетях.

Черный ход может иметь форму скрытой части программы, ^[3] отдельная программа (например , Back Orifice может разрушить систему через руткит ), код в прошивке аппаратного обеспечения , ^[4] или его части в операционной системе например Windows . ^{[5] [6] [7]} Троянские кони могут использоваться для создания уязвимостей в устройстве. Троянский конь может показаться вполне законной программой, но при запуске он запускает действие, которое может установить бэкдор. ^[8]Хотя некоторые из них устанавливаются тайно, другие бэкдоры являются преднамеренными и широко известны. Подобные бэкдоры используются «законно», например, для предоставления производителю возможности восстановить пароли пользователей.

Многие системы, хранящие информацию в облаке, не могут обеспечить точные меры безопасности. Если в облаке подключено много систем, хакеры могут получить доступ ко всем другим платформам через наиболее уязвимую систему. ^[9]

Пароли по умолчанию (или другие учетные данные по умолчанию) могут работать как бэкдоры, если они не изменяются пользователем. Некоторые функции отладки также могут действовать как бэкдоры, если они не удалены в окончательной версии. ^[10]

В 1993 году правительство США предприняло попытку развернуть систему шифрования , чип Clipper , с явным бэкдором для доступа правоохранительных органов и национальной безопасности. Чип оказался неудачным. ^[11]

Обзор [ править ]

Угроза бэкдоров возникла, когда широкое распространение получили многопользовательские и сетевые операционные системы . Петерсен и Терн обсуждали компьютерную подрывную деятельность в статье, опубликованной в трудах конференции AFIPS 1967 года. ^[12] Они отметили класс активных атак проникновения, которые используют точки входа в систему «лазейки» для обхода средств безопасности и предоставления прямого доступа к данным. Использование слова " лазейка" здесь явно совпадает с более поздними определениями бэкдора. Однако, с появления криптографии с открытым ключом термин люк приобрел другое значение (см секрет функции), и поэтому термин «бэкдор» теперь предпочтителен только после того, как термин «лазейка» перестал использоваться. В более общем плане такие нарушения безопасности подробно обсуждались в отчете рабочей группы корпорации RAND, опубликованном при спонсорской поддержке ARPA JP Anderson и DJ Edwards в 1970 году ^[13].

Бэкдор в системе входа в систему может принимать форму жестко запрограммированной комбинации пользователя и пароля, которая дает доступ к системе. Пример такого рода бэкдора был использован в качестве сюжета в фильме 1983 года WarGames , в котором архитектор компьютерной системы " WOPR " вставил жестко запрограммированный пароль, который давал пользователю доступ к системе и недокументированным частям система (в частности, режим симуляции, подобный видеоиграм, и прямое взаимодействие с искусственным интеллектом ).

Хотя количество бэкдоров в системах, использующих проприетарное программное обеспечение (программное обеспечение, исходный код которого не является общедоступным), широко не упоминается, тем не менее, они часто обнаруживаются. Программистам даже удалось тайно установить большие объемы безвредного кода в качестве « пасхальных яиц» в программах, хотя в таких случаях может потребоваться официальная снисходительность, если не фактическое разрешение.

Мера противодействия бэкдорам - бесплатное программное обеспечение , в котором исходный код может быть исследован на предмет потенциальных бэкдоров, и поэтому обычно труднее «спрятать» бэкдор внутри него. В сочетании с воспроизводимыми сборками можно также быть уверенным, что предоставленный двоичный файл соответствует общедоступному исходному коду.

Политика и атрибуция [ править ]

Этот раздел, возможно, содержит оригинальные исследования . Пожалуйста, улучшите его , проверив сделанные утверждения и добавив встроенные цитаты . Заявления, содержащие только оригинальные исследования, следует удалить. ( Июнь 2019 г. ) ( Узнайте, как и когда удалить этот шаблон сообщения )

При распределении ответственности необходимо учитывать ряд важных факторов.

Скрытые бэкдоры иногда маскируются под непреднамеренные дефекты (ошибки) по причинам правдоподобного отрицания . В некоторых случаях они могут начинаться как настоящая ошибка (непреднамеренная ошибка), которая, будучи обнаруженной, затем намеренно остается нефиксированной и не раскрываемой, будь то мошенник из соображений личной выгоды или с учетом осведомленности и надзора руководителей высшего звена.

Также возможно, что технологическая база полностью открытой корпорации может быть тайно и без возможности отслеживания испорчена внешними агентами (хакерами), хотя считается, что такой уровень сложности существует в основном на уровне национальных государственных субъектов. Например, если фотомаска, полученная от поставщика фотомаски, отличается на несколько пунктов от ее спецификации фотомаски, производителю микросхемы будет сложно обнаружить это, если в противном случае функционально молчание; скрытый руткит, работающий в оборудовании для травления фотомаски, также может вызвать это несоответствие без ведома производителя фотомаски, и таким образом один бэкдор потенциально ведет к другому. (Этот гипотетический сценарий, по сути, представляет собой силиконовую версию необнаруживаемого бэкдора компилятора, обсуждаемого ниже.)

В общем, длинные цепочки зависимостей в современной высокоспециализированной технологической экономике и бесчисленное количество точек управления процессами, состоящими из человеческих элементов, затрудняют окончательное определение ответственности в то время, когда открывается скрытый бэкдор.

Даже прямое признание ответственности должно подвергаться тщательной проверке, если признавшаяся сторона обязана другим влиятельным интересам.

Примеры [ править ]

Черви [ править ]

Многие компьютерные черви , такие как Sobig и Mydoom , устанавливают бэкдор на зараженный компьютер (как правило, на ПК с широкополосным доступом с Microsoft Windows и Microsoft Outlook ). Похоже, что такие бэкдоры устанавливаются для того, чтобы спамеры могли отправлять нежелательную электронную почту с зараженных машин. Другие, такие как руткит Sony / BMG , тайно размещенный на миллионах музыкальных компакт-дисков до конца 2005 г., предназначены для использования в качестве мер DRM - и, в этом случае, в качестве агентов для сбора данных , поскольку обе установленные ими тайно устанавливаемые программы обычно связываются с центральными серверами.

Изощренная попытка внедрить бэкдор в ядро Linux , представленная в ноябре 2003 года, привела к небольшому и незаметному изменению кода, подорвав систему контроля версий . ^[14] В этом случае изменение из двух строк, по-видимому, проверяло права root-доступа вызывающего к sys_wait4функции, но поскольку оно использовало присваивание =вместо проверки равенства ==, оно фактически предоставляло разрешения системе. Эту разницу легко упустить из виду, и ее можно даже интерпретировать как случайную типографскую ошибку, а не как преднамеренную атаку. ^{[15] [16]}

В январе 2014 года в некоторых продуктах Samsung для Android , таких как устройства Galaxy, был обнаружен бэкдор . Проприетарные версии Android от Samsung оснащены бэкдором, который обеспечивает удаленный доступ к данным, хранящимся на устройстве. В частности, программное обеспечение Samsung Android, отвечающее за обмен данными с модемом с использованием протокола Samsung IPC, реализует класс запросов, известный как команды удаленного файлового сервера (RFS), что позволяет оператору бэкдора выполнять удаленные операции через модем. Операции ввода-вывода на жестком диске устройства или другом хранилище. Поскольку модем работает под управлением проприетарного программного обеспечения Android от Samsung, вполне вероятно, что он предлагает удаленное управление по воздуху, которое затем можно использовать для выдачи команд RFS и, таким образом, для доступа к файловой системе на устройстве. ^[17]

Бэкдоры объектного кода [ править ]

Сложнее обнаружить бэкдоры, связанные с изменением объектного кода , а не исходного кода - объектный код намного сложнее проверить, поскольку он предназначен для машиночитаемости, а не для чтения человеком. Эти бэкдоры могут быть вставлены либо непосредственно в объектный код на диске, либо вставлены в какой-то момент во время компиляции, компоновки сборки или загрузки - в последнем случае бэкдор никогда не появляется на диске, а только в памяти. Бэкдоры объектного кода трудно обнаружить путем проверки объектного кода, но их легко обнаружить, просто проверив наличие изменений (различий), особенно в длине или в контрольной сумме, а в некоторых случаях их можно обнаружить или проанализировать путем дизассемблирования объектного кода. Кроме того, бэкдоры объектного кода можно удалить (при условии, что исходный код доступен) путем простой перекомпиляции из источника в надежной системе.

Таким образом, чтобы такие бэкдоры избежали обнаружения, все существующие копии двоичного файла должны быть взломаны, и любые контрольные суммы проверки также должны быть скомпрометированы, а источник должен быть недоступен, чтобы предотвратить повторную компиляцию. В качестве альтернативы, эти другие инструменты (проверка длины, сравнение, контрольная сумма, дизассемблеры) могут быть скомпрометированы, чтобы скрыть бэкдор, например, обнаружив, что испорченный двоичный файл подвергается контрольной сумме, и возвращая ожидаемое значение, а не фактическое значение. Чтобы скрыть эти дальнейшие подрывные действия, инструменты также должны скрывать изменения в себе - например, испорченное контрольное лето также должно определять, подсчитывает ли оно себя (или другие подрывные инструменты), и возвращать ложные значения. Это приводит к обширным изменениям в системе и инструментам, необходимым для скрытия одного изменения.

Поскольку объектный код можно регенерировать путем перекомпиляции (повторной сборки, повторного связывания) исходного исходного кода, создание постоянного бэкдора объектного кода (без изменения исходного кода) требует подрыва компилятора.сам - так что, когда он обнаруживает, что он компилирует атакованную программу, он вставляет бэкдор - или, альтернативно, ассемблер, компоновщик или загрузчик. Поскольку это требует подрыва компилятора, это, в свою очередь, можно исправить, перекомпилировав компилятор, удалив код вставки бэкдора. Эту защиту, в свою очередь, можно подорвать, поместив исходный мета-бэкдор в компилятор, чтобы, когда он обнаруживает, что он компилируется, он затем вставляет этот генератор мета-бэкдора вместе с исходным генератором бэкдора для исходной программы, подвергающейся атаке. После этого исходный мета-бэкдор может быть удален, а компилятор перекомпилирован из исходного источника с скомпрометированным исполняемым файлом компилятора: бэкдор был загружен. Это нападение относится к Karger & Schell (1974)., и был популяризирован в статье Томпсона 1984 г., озаглавленной «Размышления о доверии»; ^[18] поэтому в просторечии она известна как атака «Доверие». См. Подробности о бэкдорах компилятора ниже. Аналогичные атаки могут быть нацелены на более низкие уровни системы, такие как операционная система, и могут быть вставлены во время процесса загрузки системы ; они также упоминаются у Karger & Schell (1974) и теперь существуют в форме вирусов загрузочного сектора . ^[19]

Асимметричные бэкдоры [ править ]

Традиционный бэкдор - это симметричный бэкдор: любой, кто обнаружит бэкдор, в свою очередь может его использовать. Понятие асимметричного бэкдора было введено Адамом Янгом и Моти Юнгом в Proceedings of Advances in Cryptology: Crypto '96 . Асимметричный бэкдор может использоваться только злоумышленником, который его внедряет, даже если полная реализация бэкдора становится общедоступной (например, посредством публикации, обнаружения и раскрытия посредством обратного проектирования и т. Д.). Кроме того, сложно с вычислительной точки зрения обнаружить наличие асимметричного бэкдора в запросах черного ящика. Этот класс атак получил название клептографии ; они могут выполняться программно, аппаратно (например, смарт-карты) или их комбинацию. Теория асимметричных бэкдоров является частью более широкой области, которая теперь называется криптовирологией . Примечательно, что NSA вставило клептографический бэкдор в стандарт Dual EC DRBG . ^{[4] [20] [21]}

Существует экспериментальный асимметричный бэкдор в генерации ключей RSA. Этот бэкдор OpenSSL RSA, разработанный Янгом и Юнгом, использует витую пару эллиптических кривых и стал доступным. ^[22]

Бэкдоры компилятора [ править ]

Изощренная форма бэкдора черного ящика - бэкдор компилятора , где не только компилятор подрывается (чтобы вставить бэкдор в какую-то другую программу, например, программу входа в систему), но и дополнительно модифицируется, чтобы определять, когда он компилируется, а затем вставляет как код вставки бэкдора (нацеленный на другую программу), так и самокомпиляцию, изменяющую код, подобно механизму, посредством которого ретровирусы заражают свой хост. Это можно сделать, изменив исходный код, и получившийся скомпрометированный компилятор (объектный код) может скомпилировать исходный (немодифицированный) исходный код и вставить себя: эксплойт был заблокирован при загрузке.

Эта атака была первоначально представлена ​​в Karger & Schell (1974 , стр. 52, раздел 3.4.5: «Вставка люка»), который представлял собой анализ безопасности Multics ВВС США , где описывалась такая атака на PL / Я составляю компилятор и называю это «ловушкой для компилятора»; они также упоминают вариант, в котором код инициализации системы модифицируется для вставки бэкдора во время загрузки , поскольку это сложно и плохо понимается, и называют его «лазейкой инициализации»; Теперь это известно как вирус загрузочного сектора . ^[19]

Затем эта атака была фактически реализована и популяризирована Кеном Томпсоном в его речи на церемонии вручения премии Тьюринга в 1983 г. (опубликовано в 1984 г.) «Размышления о доверии» ^{[18], в} которой указывается, что доверие является относительным, и единственное программное обеспечение, которое действительно может trust - это код, в котором проверяется каждый шаг начальной загрузки. Этот механизм бэкдора основан на том факте, что люди просматривают только исходный (написанный человеком) код, а не скомпилированный машинный код ( объектный код ). Программа называется компилятор используется для создания второго из первых, и компилятора обычно доверял делать честную работу.

В статье Томпсона описана модифицированная версия компилятора Unix C , которая:

• Поместите невидимый бэкдор в команду входа в систему Unix, когда она заметит, что программа входа в систему компилируется, и как поворот
• Также незаметно добавьте эту функцию в будущие версии компилятора после их компиляции.

Поскольку сам компилятор был скомпилированной программой, пользователи вряд ли заметят инструкции машинного кода, которые выполняли эти задачи. (Из-за второй задачи исходный код компилятора будет казаться «чистым».) Что еще хуже, в доказательстве реализации концепции Томпсона , испорченный компилятор также подорвал программу анализа ( дизассемблер ), так что любой, кто исследовал двоичные файлы в обычный способ на самом деле не будет видеть реальный код, а вместо этого что-то другое.

Обновленный анализ исходного эксплойта дан в Karger & Schell (2002 , Раздел 3.2.4: Люки для компилятора), а исторический обзор и обзор литературы дан в Wheeler (2009 , Раздел 2: Предпосылки и связанные работы ) .

События [ править ]

Версия Томпсона официально никогда не выпускалась в свет. Однако считается, что версия была распространена на BBN и было зарегистрировано как минимум одно использование бэкдора. ^[23] Имеются разрозненные анекдотические сообщения о таких бэкдорах в последующие годы.

В августе 2009 года подобная атака была обнаружена лабораториями Sophos. Вирус W32 / Induc-A заразил компилятор программ для Delphi , языка программирования Windows. Вирус представил свой собственный код при компиляции новых программ на Delphi, что позволило ему заражать и распространяться на многие системы без ведома программиста. Особенно сложно обнаружить атаку, которая распространяется путем создания собственного троянского коня . Считается, что вирус Induc-A размножался по крайней мере год, прежде чем был обнаружен. ^[24]

Контрмеры [ править ]

После того, как система была взломана с помощью бэкдора или троянского коня, такого как компилятор Trusting Trust , "законному" пользователю очень трудно восстановить контроль над системой - обычно нужно перестроить чистую систему и передать данные (но не исполняемые файлы) над. Тем не менее, было предложено несколько практических недостатков схемы Trusting Trust . Например, достаточно мотивированный пользователь может тщательно просмотреть машинный код ненадежного компилятора перед его использованием. Как упоминалось выше, есть способы скрыть троянского коня, такие как подрыв дизассемблера; но есть способы противостоять и этой защите, например, написание собственного дизассемблера с нуля.

Общий метод противодействия атакам на доверительные отношения называется Diverse Double-Compiling (DDC). Для этого метода требуется другой компилятор и исходный код тестируемого компилятора. Этот источник, скомпилированный обоими компиляторами, дает два разных компилятора стадии 1, которые, однако, должны иметь одинаковое поведение. Таким образом, один и тот же исходный код, скомпилированный обоими компиляторами стадии 1, должен затем привести к двум идентичным компиляторам стадии 2. Приводится формальное доказательство того, что последнее сравнение гарантирует соответствие предполагаемого исходного кода и исполняемого файла тестируемого компилятора при некоторых предположениях. Этот метод был применен его автором для проверки того, что компилятор C пакета GCC (v. 3.0.4) не содержит трояна, используя icc (v. 11.0) в качестве другого компилятора. ^[25]

На практике такие проверки не выполняются конечными пользователями, за исключением крайних случаев обнаружения и анализа вторжений из-за редкости таких сложных атак и из-за того, что программы обычно распространяются в двоичной форме. Удаление бэкдоров (включая бэкдоры компилятора) обычно выполняется путем простого восстановления чистой системы. Однако сложные проверки представляют интерес для поставщиков операционных систем, чтобы гарантировать, что они не распространяют скомпрометированную систему, а также в настройках с высоким уровнем безопасности, где такие атаки являются реальной проблемой.

Список известных бэкдоров [ править ]

• Back Orifice был создан в 1998 году хакерами из группы Cult of the Dead Cow как инструмент удаленного администрирования. Он позволял удаленно управлять компьютерами Windows по сети и пародировал название BackOffice от Microsoft .
• В 2013 году было обнаружено, что криптографически безопасный генератор псевдослучайных чисел Dual EC DRBG, возможно, имел клептографический бэкдор, намеренно вставленный АНБ, у которого также был закрытый ключ к бэкдору. ^{[4] [21]}
• В марте 2014 года было обнаружено несколько бэкдоров в нелицензионных копиях надстроек WordPress . ^[26] Они были вставлены как обфусцированный код JavaScript и незаметно созданы, например, учетной записью администратора в базе данных веб-сайта. Подобная схема была позже представлена ​​в плагине Joomla . ^[27]
• Borland Interbase версий с 4.0 по 6.0 содержит жестко запрограммированный бэкдор, заложенный разработчиками. Код сервера содержит встроенную учетную запись бэкдора (имя пользователя: политически , пароль: правильный ), к которой можно получить доступ через сетевое соединение; пользователь, входящий в систему с этой учетной записью бэкдора, может получить полный контроль над всеми базами данных Interbase. Бэкдор был обнаружен в 2001 году, и был выпущен патч . ^{[28] [29]}
• Бэкдор Juniper Networks был вставлен в 2008 году в версии прошивки ScreenOS от 6.2.0r15 до 6.2.0r18 и от 6.3.0r12 до 6.3.0r20 ^[30], который дает любому пользователю административный доступ при использовании специального мастер-пароля. ^[31]
• В устройствах оконечной нагрузки оптической линии (OLT) C-DATA было обнаружено несколько бэкдоров. ^[32] Исследователи опубликовали результаты без уведомления C-DATA, поскольку считают, что бэкдоры были намеренно размещены поставщиком. ^[33]

См. Также [ править ]

• Бэкдор: Win32.Hupigon
• Backdoor.Win32.Seed
• Аппаратный бэкдор
• Titanium (вредоносное ПО)
• Мичиганская университетская сеть киберзащиты 2020, бэкдор оставлен в системах синей команды

Ссылки [ править ]

Дальнейшее чтение [ править ]

Внешние ссылки [ править ]

• Поиск и удаление бэкдоров
• Три архаичных троянских программы-бэкдора, которые все еще служат для розыгрышей
• Удаление бэкдоров - Список бэкдоров и инструкции по их удалению.
• FAQ FAQ по бэкдорам Farm : вики-форум вопросов и ответов
• Список бэкдоров и удаления -