Cyberoam frissítés már egyedi kulcsokat rendelnek minden eszközhöz
4 perc olvasás
A Tor Project szakértői a Cyberoam egyes DPI (Deep Scan Inspection) eszközeivel kapcsolatban észrevételezték, hogy a gyártó minden eszközre azonos CA tanúsítványt, vagyis azonos privát kulcsot telepít, melyet az átmenő SSL/TLS forgalom analizálásához használ. Úgy ítélték meg, hogy ez biztonsági kockázatot jelent, amire a Cyberoam szakértői azonnal reagáltak, kiadtak egy OTA (over-the-air) hotfixet, ami lefuttat egy parancsot, s ennek eredménye egy egyedi CA tanusítvány minden eszközre.
A Tor Project szakértői a Cyberoam egyes DPI (Deep Scan Inspection) eszközeivel kapcsolatban észrevételezték, hogy a gyártó minden eszközre azonos CA tanúsítványt, vagyis azonos privát kulcsot telepít, melyet az átmenő SSL/TLS forgalom analizálásához használ. Úgy ítélték meg, hogy ez biztonsági kockázatot jelent, amire a Cyberoam szakértői azonnal reagáltak, kiadtak egy OTA (over-the-air) hotfixet, ami lefuttat egy parancsot, s ennek eredménye egy egyedi CA tanusítvány minden eszközre.
A korábbi megoldást a Cyberoam az alábbi megfontolások alapján választotta:
HTTPS Deep Scan Inspection az SSL Bridging Technology szerint működik. Az SSL Bridging-ben a Cyberoam készüléke saját tanúsítványt biztosít a felhasználónak, amíg a kliens és a szerver között létrehozza a kapcsolatot. Ennélfogva a Cyberoam az SSL forgalmat is át tudja kutatni vírusok után. Ez az egyetlen törvényesen elfogadható megközelítés, amellyel a hálózat biztonsági forgalmazói nyomon követhetik a felhasználókat. A TOR szintén hasonlóan működik. Az alapbeállítás alapján egy tanúsítványt küld el a rendszer, amely ugyanaz marad minden készülék esetén.
A publikus és privát kulcsok zár és kulcs mechanizmus alapján működnek, ahol a zár (publikus kulcs) állandó, míg a kulcsok (privát kulcs) különbözőek. Ez alapján elméletben lehetséges dekódolni SSL adatot egy privát tolvajkulccsal. A Cyberoam UTM nem engedélyezi a korábban említett privát kulcs importálását vagy exportálását az SSL Bridging technológiába.
A Cyberoam UTM elfogadja vagy elutasítja. de nem tárolja a HTTPS Deep Scan Inspection adatokat, mivel a feldolgozás valós időben történik. Ennélfogva két Cyberoam készülék közötti adat-lehallgatásnak a valószínűsége egyenlő a nullával.
Mindezen technológiai megfontolások mellett – mivel a Cyberoam elsődlegesnek tekinti ügyfelei biztonságát – ha a legkisebb jel mutat arra, hogy valamilyen megoldás biztonsági rést rejt magában, akkor azt megfontolják, s ha van rá mód, más megoldás mellett döntenek. Ennek jegyében 24 órán belül a Cyberoam kiadott egy OTA (over-the-air) hotfixet, ami lefuttat egy parancsot, s ez az eszközein egy egyedi CA tanúsítványt generál. A Cyberoam UTM eszközökkel rendelkező ügyfelek értesítést kapnak a parancs végrehajtásáról az eszköz kezelőfelületén. Ha az ügyfél nem lát ilyen típusú jelzést a kezelőfelületen, akkor kézzel kell lecserélni a CA tanúsítványt a CLI-n (Command Line Interface) keresztül.
Figyelembe véve az ügyfelek tájékozatlanságát a helyzettel kapcsolatban, a Cyberoam egy update segítségével kényszerítette az egyedi kulcsok generálását. Ezáltal már minden egyes Cyberoam UTM egyedi CA-t használ, biztosítva ezzel ügyfelei maximális védelmét, még akkor is ha a privát kulcs szándékosan vagy véletlenül nyilvánosságra került.
A Cyberoam továbbra is tájékoztatja az ügyfeleit arról, hogy milyen biztonsági kockázatokra kell odafigyelniük azért, hogy a számítógépeiket folyamatos biztonságban tartsák.
Minden ügyfél – ahol ez a csere már megtörtént – egyedi kulccsal rendelkezik, ami az eszközre nézve egyedi és amiről sehol máshol nem létezik másolat, még a Cyberoamnál sem. Miután az ügyfél lecserélte az alap CA tanúsítványát, az UTM eszköz többé nem fogja használni azt az SSL-en keresztül küldött csomagok átvizsgálásra.
„Az azonnal változtatás (a frissítéssel kiküldött egyedi CA tanúsítvány generálása) rögtön egy sokkal biztonságosabb besorolásba helyezte a Cyberoam eszközeit, mint a piacon fellelhető több hasonló UTM eszköz, hiszen azok az eszközök is egy alap CA tanúsítvánnyal kerülnek ki az ügyfelekhez, ezáltal hasonló veszélynek vannak kitéve, miközben a HTTPS-en keresztül érkező csomagokat vizsgálják." – kommentálta az esetet Béres Péter, a Cyberoam magyarországi képviseletét ellátó Sicontact szakértője. „Szerintem az iparágnak szüksége van az azonnali reagálásra az ilyen esetekben, hogy a nagyobb válság elkerülhető legyen, így úgy vélem, hogy a TOR kutatóinak köszönet jár azért, hogy felhívták a figyelmet erre a veszélyre."
