רשימות שחורות זה לא מספיק

10:35 | 28.2.2007 רפאל פוגל

אתם בוודאי מכירים את האי-מיילים שמצטברים בתיבת הדואר שלכם ומודיעים לכם שעליכם להיכנס בדחיפות לאתר המכירות הפומביות eBay או לשירות התשלומים פיי-פאל ולפתור בעיה דחופה בחשבון שלכם. אתם לא צריכים להתפלא אם אתם מקבלים את האי-מיילים האלה, גם אם מעולם לא השתמשתם בשירותי האינטרנט של אותם אתרים מסחריים. במרבית המקרים מדובר בתרמיות פישינג (Phishing) ומי ששולח את האי-מיילים האלה אינו מכיר אתכם ואין לו צל של מושג אם יש לכם חשבון באותו אתר.

תרמית פישינג אופיינית כוללת שליחה של קישורי אינטרנט מזויפים למיליוני נמענים. כדי שהתרמית תצליח, מספיק ששבריר אחוז של הנמענים שהינם באמת לקוחות של אותו אתר, ברגע אחד של חוסר עירנות, ילחצו על הקישור לאתר המזויף ויקלידו שם את הסיסמה הסודית שלו. אז יוכל התוקף, שזייף את אתר המלכודת להיכנס אל האתר האמיתי עם הפרטים שהזין הקורבן ולבצע שם מעשה נוכלות כלשהו באמצעות שימוש בזהותו הגנובה של הקורבן.
תרמיות פישינג הן אחד האיומים הגדולים האורבים לגולשי האינטרנט. עד לפני כשנה ניסו חברות קטנות רבות לייצר כלים למלחמה באתרי הפישינג, ללא הצלחה. היה ברור שהתשובה לפישינג חייבת להיות מוטמעת בתוך הדפדפן עצמו - שמוביל את הגולש אל האתר המזויף ויכול להזהיר אותו בזמן אמת. ואמנם, ב-2006 הבינו גם יצרניות דפדפני האינטרנט שהן חייבות לשדרג את הדפדפנים שלהן ומנגנוני אנטי-פישינג הוכנסו אל הדפדפנים אופרה, פיירפוקס 2 והאקספלורר 7 מתוצרת מיקרוסופט.

הדפדפנים החדשים תוכננו להתחבר אל שרתים שמכילים את "הרשימות השחורות" של האתרים המזויפים שהתגלו עד לאותו הרגע ולהתריע כאשר הגולש מגיע בטעות אל אחד מהם. הדפדפנים החדשים מסייעים לגולשים להימנע מליפול למלכודות פישינג רבות, אך כדרכן של "רשימות שחורות" אינם יכולים לפתור את הבעיה לגמרי. הם יכולים לגלות רק אתרים מזויפים שהתגלו כבר, אבל לא כאלה שאינם מופיעים עדיין ברשימות. הרי ייתכן שהנוכל בדיוק סיים את בניית המלכודת שלו, ואני אהיה הקורבן הראשון שילחץ בטעות על הלינק המזויף שישלח לי במסמך וורד תמים.

ייתכן שסטארט אפ האבטחה הישראלי CallingID יוכל לקחת את המלחמה בפישינג צעד אחד קדימה. לדברי יורם ניסבוים, מנכ"ל החברה, ההגנה מפני איומי פישינג טריים חייבת לשלב גם "רשימות לבנות". לפיכך, עמלו אנשי החברה במשך שנתיים על בניית מסד נתונים שמכיל ארבעה מיליון אתרים חוקיים ואמינים שאין בגישה אליהם כל סיכון.

תוכנת ה-Link Advisor של החברה ניתנת להורדה בחינם ויודעת לנתח בזמן אמת את הקישורים שנשלחים אליכם ואז להודיע לכם למי בדיוק שייך האתר שאליו מפנה הקישור והאם הוא בטוח. גם כאן לא מדובר בפתרון מוחלט וייתכן מאוד שאותו אתר לא יימצא לא ברשימה הלבנה ולא בשחורה, אך אין ספק שתוספת של ארבעה מיליון אתרים "מאושרים" לא יכולה להזיק, והתקנת התוכנה חינמית עשויה לעודד את הגולשים לחשוב רגע לפני שילחצו בהיסח הדעת על לינק שקיבלנו בדואר האלקטרוני.

מקור

רעיון מעניין, כמובן לא חסר בעיות משלו. האם הרכיב קופץ הרבה? האם הוא מגיב במהירות/בקלות לשינויים באתרים? איך הוא מגיב למול פריצה לאתר? מה עם חלון Popup או Frame או IFrame?
מה השוני הגדול למול SiteAdvisor בעצם?

Shameless Plug וגילוי נאות: החברה בה אני עובד עוסקת גם היא בתחום האנטי פישינג - www.trusteer.com. רפאל פוגל עצמו כתב עלינו...

וחוץ מזה רפאל פוגל הוא טיפוס מאוד מוזר. יש לי ספר הזוי שהוא כתב בשם "צלילי הגיהנום" כעבודה מחתרתית עם אנגלמאייר. הזוי לחלוטין!

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

מי שיודע מה זה פישינג יודע לרוב גם להזהר
אבל רוב הגולשים בכלל לא מודעים לנושא ולכן חשוב מאוד שיצרני הדפדפנים החלו לשלב אנטי פישינג בדפדפן עצמו
ולכן רצוי מאוד שגם הם יתנו את הפיתרון של שימוש ברשימוש שחורות ולבנות במקביל ולא כתוכנת צד שלישי

It's Never Lupus

מה עם DNS poisoning?
וכשקל לזייף RSA Signature?

וחוץ מזה, מי ניכנס ללינקים שקיבל מדואר אנונימי? כמו שאילן הציג את זה- זו כבר בעיה של מודעות.

לגיטימי להתמודד רק עם הרובד הנמוך של הבעיה, בסה"כ. אבל רשימה כזאת כבר קיימת - SiteAdvisor. הוא גם יחסית מוצלח. יש בעיה מסויימת של פרטיות... מאוד תלוי במנגנון ה fingerprinting שלהם - כיצד הוא מתאים אתר 'תקין' לרשימה שלו. אם לפי DNS אז לא קשה במיוחד לשבש את זה. אם לפי תוכן - אז הם בבעיה כאשר התוכן משתנה וגם קל לשבש את זה... בקיצור, צריך לראות אם זה תופס ומה זה שווה.

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

יאללה, ספק לכולם סקירה מהחיים ונתן לך איזה צל"ש על ההשקעה

לא הבנתי?

ד.א. SiteAdvisor זה לא שלנו. זה פרוייקט אוניברסיטאי שנרכש ע"י McAfee. העיקרון הוא די פשוט - פותחים מכונה וירטואלית, גולשים לאתר, רושמים כתובת אי-מייל מזוייפת, מתקינים באופן אוטומטי הורדות, מודדים את הנזק ומוחקים את המכונה. ככה יוצרים דטה-בייס מאוד גדול של 'נזקים'. וכתוצר לוואי - אתרי הבנקים כבר נבדקו ונתגלו כתקינים. אם אתה גולש לאתר שאתה חושב שהוא הבנק שלך, אבל SiteAdvisor מציג סימן שאלה (או סימן אדום), זה סימן אזהרה בשביל אותו גולש.

שלנו = Trusteer או Imperva (החברה הקודמת שעבדתי בה, מפתחת Web Application Firewall).

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

"הרשימה" של SiteAdvisor היא לפי המלצות של הקהילה.
אם גלשת לאתר מסויים והוא לא "מריח" טוב, אתה ממליץ עליו כאתר בעייתי, הוא נבדק ואז נוסף לרשימה.
מאוד דומה למנגנון האנטי-פישינג של FF (ע"י גוגל) ו-IE7 (ע"י Cyota הישראלית ואחרות).
הבעייתיות הכי גדולה בסוג כזה של רשימות היא שהן לא רשימות "חיות". כלומר, לא ניתן לדעת האם הדף אליו אתה גולש הוא בעייתי עכשיו.

הרשימה לא צריכה להיות "חיה" כשמדובר ב whitelist ואתה גולש לאתר שהוא ידוע. אתר עויין צריך להיכנס ל whitelist, וזה משהו שלא קורה.

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

בדיוק. כל הקונספט של רשימות לבנות/שחורות הוא לא נכון מלכתחילה.
כבר היו מקרים של אתרים "לבנים" שנפרצו והושתל בהם קוד זדוני. כמו כן, גם מקרים של אתרים "שחורים" שהפילו אותם אחרי שעתיים, ולא היה צורך בהם יותר ברשימה השחורה.
הבדיקה צריכה להיות "חיה". כלומר, כל אתר שאתה רוצה לראות צריך להיבדק מיד לפני שאתה נכנס אליו.

זה שיש לרשימות לבנות/שחורות חסרונות, לא אומר שהיעילות שלהן אפסית. הן לא רעות בתור כלי משלים מחד ובתור "ממלא מקום" עד שבאה טכנולוגיה יותר יסודית (ע"ע IDS עבור Web Exploits. די חלש, אבל היה לו עדנה לפני שבאו טכנולוגיות יותר מתקדמות).

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

לרגע לא טענתי שהיעילות שלהן אפסית, רק שהקונספט של שימוש בהן לבד הוא לא נכון. אני מסכים שהשימוש בהן ככלי משלים נוסף הוא נכון.
IDS עבור browser exploits הוא אכן חלש וניתן לעקוף אותו בקלות. כנ"ל חתימות של אנטי-וירוסים.
פרוייקט שאני עובד עליו עכשיו, העונה לשם VoMM, אמור להציף בדיוק את הבעיה הזאת.

התכוונתי דווקא מהצד השני - הגנה על אפליקציות מפני XSS ו SQL Injection. חתימה המחפשת 'union' או 'x=x' היא ממש לא מספיק טובה, אבל עד שפותחו טכנולוגיות יותר טובות, זה מה היה.

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

בלבלת אותי. חשבתי שאנחנו מדברים על הגנת בצד הלקוח (SiteAdvisor ודומיו) ולא על הגנה בצד השרת (IDS למניעת ניצול בעיות אבטחה באפליקציות Web).

נכון, נתתי דוגמה מתחום שונה בו טכנולוגיה לא יעילה נתנה מענה זמני עד שהוחלפה בטכנולוגיה יעילה יותר שלקח קצת זמן לפתח אותה כראוי.

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

עכשיו נפל האסימון...

צר לי, אבל אנחנו במה שנקרא בעגה "Stealth mode". לא מספרים שום דבר מעבר למה שמפורסם באתר. ברגע שאני אוכל, אני אכתוב יותר...

אני יכול לתת סקירה לא רעה על אבטחת Web Applications, בהנתן קצת זמן...

"אם זה נע - הצדע לו
אם זה לא נע - זרוק אותו לפח
אם אינך יכול לזרוק - סייד אותו!"
(Military Incompetence, הוצאת מערכות)

סאשה הסוס, סוכן אוסינט.‏

אני מתקשה להאמין באפקטיביות של רשימות לבנות/שחורות בכל הנוגע לבעיית הPHISHING.

הסיבה לכך היא פשוטה - ניתן ליצור בקלות מיליון עמודים שיראו בדיוק כמו עמוד הבית של הבנק
שלך. ועד שיחסמו את כולם כבר ניתן ליצור מיליון חדשים.

הדרך הנכונה להילחם בתופעה היא ע"י חינוך של המשתמשים. משתמש שאין לו ידע לא תעזור
לו שום תוכנת "קסם". משתמש עם ידע לא יכנס לאתר הבנק שלו דרך קישור שקיבל בדואר.
הוא גם לא יחשוב בטעות שאתר שכתובתו BANKHAPOALIM.XXXXXX.TR זה אתר של בנק
הפועלים.

שימוש של רשיונות SSL מיוחדים בIE7 - כדי לסמן אתרים "בטוחים" לדעתי זה פשוט נסיון להוציא
מכל אחד מהאנשים/חברות שמפעילים אתרי מסחר אלקטרוני אלפי דולרים לשנה על כלום. אם הנסיון
הזה יצליח אז מי שישלם בסוף יהיה הלקוח הפשוט שיממן מכיסו עלות הלא מוצדקת של הרישיונות
"הפלא" שיגרמו לIE7 להידלק באור ירוק, אך בפועל ההבדל בין החנות של אחד עם רישיון כזה לבין
אחד בלי לא יהיה האמינות או רמת האבטחה של החנות הוירטואלית אלא רק עומק הכיסים.