Si è parlato molto dell'impatto globale di Heartbleed. Innanzitutto, abbiamo avuto tutte le descrizioni di Heartbleed: la mia preferita era quella su xkcd. Poi abbiamo visto gli avvisi che ci invitavano a cambiare la nostra password sui siti web pubblici. A questi è seguito un avviso che, poiché le chiavi private dei certificati potevano essere recuperate sfruttando Heartbleed, avremmo dovuto cambiare le nostre password immediatamente, attendere che i siti web cambiassero i loro certificati e poi cambiare nuovamente le nostre password.
Ciò che ha ricevuto molta meno attenzione è il fatto che molti dei nostri comuni prodotti aziendali (ad esempio router, firewall, proxy web) all'interno della nostra infrastruttura sono anch'essi vulnerabili a Heartbleed. I bollettini di Cisco, Juniper Networks e Blue Coat indicano un uso diffuso di OpenSSL, il software in cui è presente il bug Heartbleed, in questi prodotti. Anche i sistemi di controllo industriale di aziende come Siemens presentano questa vulnerabilità, come ha recentemente scritto Arik Hesseldahl su Re/code.net. E, a differenza dei siti web pubblici, molti dei quali sono già stati aggiornati per correggere il bug, la disponibilità e l'implementazione di patch per tutti i sistemi infrastrutturali comporta conseguenze inaspettate, tra cui la necessità di aggiornare il software a versioni più recenti di quelle attualmente in uso, con conseguenti cicli di test prima di poterlo implementare.
Valutazione della vulnerabilità Heartbleed nelle reti interne
Per cominciare, se gli indirizzi IP utilizzati per gestire router, firewall e altri sistemi infrastrutturali sono raggiungibili da Internet senza accesso VPN (considerata una cattiva pratica di sicurezza), dovresti essere molto preoccupato e dovresti aver già rimosso l'accesso diretto o applicato una patch al tuo sistema. Supponendo che gli indirizzi IP di gestione siano accessibili solo dall'interno della tua rete, lo scenario peggiore è il seguente:
- Un hacker entra nella tua rete tramite malware un altro tipo di attacco;
- L'autore dell'attacco esegue una ricognizione e individua le interfacce di gestione dei sistemi infrastrutturali;
- L'autore dell'attacco sfrutta la presenza di Heartbleed in tali sistemi infrastrutturali per leggere la memoria dei sistemi, recuperando le credenziali amministrative utilizzate di recente per accedere al sistema e, possibilmente, anche la chiave privata del certificato che protegge la connessione; \
- L'autore dell'attacco utilizza le credenziali rubate per accedere e riconfigurare il sistema o, nel caso in cui non si tratti solo di credenziali di account locali, per accedere ad altre risorse non correlate.
Valutazione graduale del rischio di vulnerabilità Heartbleed
Fase 1: Presumere il compromesso
Accettache questo possa succedere anche a te; le organizzazioni subiscono continuamente malware , quindi dovremmo presumere che sia già successo o che possa succedere.
Fase 2: Implementare una soluzione per il rilevamento delle minacce
Si spera che abbiate una soluzione di sicurezza in grado di rilevare le scansioni eseguite nella fase di ricognizione di un attacco mirato. Se non l'avete, ne abbiamo una che potete valutare e implementare.
Passaggio 3: Protezione dagli exploit interni di Heartbleed
Un hacker che è entrato nella tua rete e usa Heartbleed per accedere al tuo sistema infrastrutturale è ovviamente molto preoccupante. Sarebbe fantastico se avessi una soluzione di sicurezza in grado di individuare tali attacchi all'interno della tua rete. Se non ne avete una, saremo lieti di fornirvene una da valutare e implementare ;-) Sebbene gran parte dei recenti articoli di stampa si siano concentrati sul furto delle chiavi private, la perdita della chiave privata risulta essere meno pericolosa in una rete aziendale.
Per utilizzare la chiave privata, l'autore dell'attacco deve intercettare altre connessioni allo stesso sistema oppure deve essere in grado di impersonare il sistema. Ai tempi degli hub, quando Ethernet era davvero un mezzo condiviso, intercettare il traffico di un altro computer era semplice come impostare la scheda di rete in modalità "promiscuous". Ma con gli switch, è possibile vedere solo il traffico broadcast, multicast o destinato al proprio computer.
Il metodo classico di impersonificazione avviene tramite trucchi ARP e funziona solo sulla sottorete su cui si trova l'host dell'autore dell'attacco. Se le interfacce di gestione dei sistemi si trovano su una sottorete separata, spesso anche su una VLAN separata, l'impersonificazione ARP non funzionerà. Quindi, anche se l'aggressore può ottenere l'accesso alla chiave privata del sistema, sfruttare la disponibilità della chiave privata non è così semplice come potrebbe sembrare. Ciò è in netto contrasto con il problema che i siti web pubblici hanno con Heartbleed: non possono dare per scontato che il traffico non possa essere intercettato a monte e, con tutti i trucchi DNS disponibili, non possono nemmeno dare per scontato che qualcuno non sia in grado di impersonarli con successo.
Passaggio 4: Gestire le credenziali e la sicurezza dell'identità
È qui che nasce la vera preoccupazione. Se avete seguito le migliori pratiche di sicurezza e integrato l'autenticazione amministrativa nei vostri sistemi infrastrutturali con un'infrastruttura di gestione delle identità standard (ad esempio Active Directory), le credenziali rubate potrebbero diventare le chiavi del regno. Possono essere utilizzate per accedere al sistema stesso o praticamente a tutto ciò a cui possono accedere i vostri amministratori di sistema.
Identificazione della superficie di attacco Heartbleed nelle reti interne
È possibile aggiornare tutti i router, gli switch e i firewall, ma dimenticare di aggiornare una stampante in una posizione poco visibile che ha la stessa integrazione di autenticazione della vostra infrastruttura più importante.
È solo questione di tempo, anzi, probabilmente sta già accadendo, prima che assistiamo ad attacchi mirati che utilizzano Heartbleed come una delle armi nell'arsenale degli aggressori per acquisire credenziali di account chiave e utilizzarle per arrivare ai gioielli della corona.
In altre parole, Heartbleed è disordinato tanto all'interno quanto all'esterno.