Si è parlato molto dell'impatto globale di Heartbleed. Prima ci sono state tutte le descrizioni di Heartbleed, la mia preferita era quella di xkcd. Poi abbiamo visto avvertire che avremmo dovuto cambiare la nostra password sui siti web pubblici. A questo è seguito un avviso secondo cui, poiché le chiavi private dei certificati potrebbero essere recuperate sfruttando Heartbleed, dovremmo cambiare le nostre password ora, aspettare che i siti web cambino i loro certificati e poi cambiare di nuovo le nostre password.
Ciò che ha ricevuto molta meno attenzione è il fatto che molti dei prodotti aziendali comuni (ad esempio, router, firewall, proxy web) all'interno della nostra infrastruttura sono anch'essi suscettibili di Heartbleed. I bollettini di Cisco, Juniper Networks e Blue Coat indicano un uso diffuso di OpenSSL, il software in cui è presente il bug Heartbleed, in questi prodotti. Anche i sistemi di controllo industriale di aziende come Siemens presentano questa vulnerabilità, di cui ha scritto recentemente Arik Hesseldahl su Re/code.net. Inoltre, a differenza dei siti web pubblici, molti dei quali sono già stati sottoposti ad aggiornamenti per risolvere il bug, la disponibilità e la distribuzione delle patch per tutti i sistemi infrastrutturali vi colpirà in modi inaspettati, tra cui la necessità di aggiornare il software a versioni più recenti di quelle che probabilmente state utilizzando, richiedendo cicli di test prima di poterlo distribuire.
Valutazione della vulnerabilità Heartbleed nelle reti interne
Per cominciare, se gli indirizzi IP utilizzati per la gestione di router, firewall e altri sistemi di infrastruttura sono raggiungibili da Internet senza un accesso VPN (considerato una cattiva pratica di sicurezza), dovreste essere molto preoccupati e dovreste già aver rimosso l'accesso diretto o patchato il vostro sistema. Supponendo che gli indirizzi IP di gestione siano accessibili solo dall'interno della rete, lo scenario peggiore è il seguente:
- Un aggressore si introduce nella rete tramite un malware o un'altra forma di attacco;
- L'aggressore effettua una ricognizione e trova le interfacce di gestione dei sistemi dell'infrastruttura;
- L'attaccante sfrutta la presenza di Heartbleed in questi sistemi infrastrutturali per leggere la memoria dei sistemi, recuperando le credenziali amministrative utilizzate di recente per accedere al sistema e, eventualmente, anche la chiave privata del certificato che protegge la connessione; \
- L'attaccante utilizza le credenziali rubate per accedere e riconfigurare il sistema o, nel caso in cui non si tratti solo di credenziali dell'account locale, per accedere ad altre risorse non correlate.
Valutazione del rischio di vulnerabilità Heartbleed passo dopo passo
Fase 1: Assumere un compromesso
Accettateil fatto che può succedere a voi; le organizzazioni subiscono continuamente violazioni malware , quindi dobbiamo presumere che sia già successo o che possa succedere.
Fase 2: implementare una soluzione di rilevamento delle minacce
Si spera che abbiate una soluzione di sicurezza in grado di rilevare le scansioni eseguite nella fase di ricognizione di un attacco mirato. Se non ce l'avete, ve ne proponiamo una da valutare e implementare.
Fase 3: Protezione dagli exploit interni di Heartbleed
Un aggressore che si trovi all'interno della vostra rete e utilizzi Heartbleed per accedere al vostro sistema infrastrutturale è ovviamente molto preoccupante. Sarebbe fantastico se aveste una soluzione di sicurezza in grado di individuare tali attacchi all'interno della vostra rete. Se non ce l'avete, saremo lieti di fornirvene una da valutare e implementare ;-) Sebbene la maggior parte dei recenti articoli di stampa si sia concentrata sul furto di chiavi private, la perdita della chiave privata risulta essere meno minacciosa in una rete aziendale.
Per utilizzare la chiave privata, l'aggressore deve ascoltare le altre connessioni allo stesso sistema o deve essere in grado di impersonare il sistema. Ai tempi degli hub, quando l'Ethernet era davvero un mezzo condiviso, ascoltare il traffico di un'altra macchina era semplice come mettere la scheda di interfaccia di rete in modalità "promiscua". Con gli switch, invece, si vede solo il traffico trasmesso, multi-cast o destinato alla propria macchina.
Il metodo classico di impersonificazione è quello dei trucchi ARP e funziona solo sulla subnet in cui si trova l'host dell'attaccante. Se le interfacce di gestione dei sistemi si trovano su una subnet separata, spesso addirittura su una VLAN separata, l'impersonificazione ARP non funziona. Quindi, anche se l'attaccante può accedere alla chiave privata del sistema, sfruttare la disponibilità della chiave privata non è così semplice come sembrerebbe. Questo è in netto contrasto con il problema che i siti web pubblici hanno con Heartbleed: non possono presumere che il traffico non possa essere snobbato a monte e con tutti i trucchi DNS in circolazione, non possono nemmeno presumere che qualcuno non sia in grado di impersonarli con successo.
Passo 4: Gestire le credenziali e la sicurezza dell'identità
È qui che si scatena la vera ansia. Se avete seguito le migliori pratiche di sicurezza e avete integrato l'autenticazione amministrativa sui vostri sistemi di infrastruttura con un'infrastruttura standard di gestione delle identità (ad esempio, Active Directory), le credenziali rubate saranno probabilmente le chiavi del regno. Possono essere utilizzate per accedere al sistema stesso o a praticamente tutto ciò a cui possono accedere gli amministratori di sistema.
Identificazione della superficie di attacco Heartbleed nelle reti interne
Potreste applicare le patch a tutti i router, gli switch e i firewall, ma dimenticarvi di applicare le patch a una stampante in un luogo oscuro che ha la stessa integrazione di autenticazione della vostra infrastruttura più importante.
È solo questione di tempo - anzi, probabilmente sta già accadendo - prima di vedere attacchi mirati che utilizzano Heartbleed come una delle armi dell'arsenale degli aggressori per acquisire le credenziali degli account chiave e usarle per arrivare ai gioielli della corona.
In altre parole, Heartbleed è un problema tanto all'interno quanto all'esterno.