DigiNotar-hacker lekte per ongeluk IP-adres
De aanvaller die vorig jaar bij de Nederlandse SSL-uitgever DigiNotar wist in te breken, heeft mogelijk per ongeluk zijn IP-adres gelekt, dat naar een Iraanse DSL-aansluiting leidde. Dat staat in het eindrapport over de digitale inbraak bij DigiNotar dat Fox-IT onlangs aan het ministerie van Binnenlandse Zaken en Koninkrijksrelaties opleverde. Volgens het ministerie bevat het eindrapport geen andere inzichten of conclusies ten opzichte van het interim rapport, dat vorig jaar verscheen.
Wel geeft het veel gedetailleerdere informatie over de inbraak bij DigiNotar, gebaseerd op het forensisch onderzoek dat Fox-IT op de logbestanden van DigiNotar heeft gedaan. Zo wordt duidelijk dat de aanvaller op 17 juni 2011 voor het eerst toegang tot het netwerk kreeg. Via verschillende machines in het netwerk kreeg de aanvaller uiteindelijk toegang tot het Office-net.
Internet Explorer
De aanvaller gebruikte verschillende manieren om zijn sporen te verbergen. Zo gebruikte hij ongeautoriseerde 'custom' tools om het verkeer voor poort 3389 (Remote desktop) via poort 443 (HTTPS) te laten lopen. Via de tunnels maakte de aanvaller verbinding met de machines in de Office-net en Secure-net netwerksegmenten.
Voor de Remote Desktop-sessies gebruikte de aanvaller een grafische user-interface, namelijk Internet Explorer. Dat blijkt uit gecachte versies van settings.aspx in de tijdelijke internetbestanden map op de harde schijf. "Deze sporen bewijze dat Internet Explorer is gebruikt in een grafische omgeving door de aanvaller."
IP-adres
De meeste IP-adressen die de onderzoekers aantroffen zijn waarschijnlijk als proxy gebruikt. "Het ware IP-adres van de aanvaller is mogelijk per ongeluk onthuld, toen hij verbinding met de hoofd-webserver zonder het gebruik van een proxy maakte", zo staat in het rapport. Het IP-adres leidde uiteindelijk naar een DSL-gebruiker in Iran.
http://msdn.microsoft.com/en-us/library/windows/desktop/aa383019%28v=vs.85%29.aspx
Niet heel erg bijzondere info lijkt me. Behalve als er meer info over de browser is gecached, dan valt er wellicht nog wat te fingerprinten.
J. Otterspoor
Al eerder genoemd op deze site is de CertificatePatrol plugin voor Firefox die, als je je er even in verdiept (kan verwarrend zijn voor beginners), al een hoop extra veiligheid kan bieden.
Nog een Firefox-plugin die ik een tijdje naar tevredenheid heb gebruikt heb is Perspectives. Ook wellicht de moeite waard om eens te checken.
Zolang browsers standaard bakken (er bestaan rond de 650 volgens een analyse van het EFF SSL Observatory!) met CA's haast blind vertrouwen is mijns inziens het browser trust model kapot, vertrouw ik op losse tools/plugins en is het maar gewoon wachten tot dit probleem (enigzins) is aangepakt; kwestie van tijd.
Waarom er een certificaat is achtergebleven weet ik niet, maar ik kan me voorstellen dat het idee is dat als je er een certificaart-foutmelding krijgt bij een website je zo kan zien dat het wel met een origineel diginotar-certificaat ondertekend is, al is dat gecompromitteerd, en dat je dan vervolgens zelf kan besluiten of je dat voor die site wel of niet vertrouwt.
Ik heb geen idee waarom jij zes Diginotar-certificaten ziet en ik maar een. Heb je jouw Firefox al bijgewerkt naar 6.0.2?
* Regularly have the security of your infrastructure and systems therein tested by penetration
testers. Do not always use the same team to perform penetration tests.
Een aardig lijstje voor iedereen met een bedrijf op internet:
Additional measures, point by point:
* Air gap vital systems as much as possible, to make sure that they are physically separated on a
network level from untrusted networks such as the Internet.
* Update all software products on all systems with the latest patches as often as possible.
Subscribe to relevant mailing lists or use dedicated patch management software to support this
process.
* Harden all systems. Do not rely on default settings. Make sure that the most critical systems are
only being used for the critical processes that they are intended for. By limiting the amount of
services on any given system, the attack surface for an attacker is limited.
* Regularly have the security of your infrastructure and systems therein tested by penetration
testers. Do not always use the same team to perform penetration tests.
* Monitor your systems and network and make sure that anomalies trigger notifications to the
appropriate employee(s).
* Use data that can be accumulated by the OCSP responder to check if unknown serials are being
validated.
* Separate vital logging services from the systems that perform other vital functions. In an
infrastructure where secure logging is vital, a logging server can be placed behind a unidirectional
security gateway.
* Ensure forensic readiness so that, for example, all events that are relevant for an incident
response team are logged, that events from multiple systems can be correlated, that a balance is
found in advance between business continuity and potential evidence gathering, that roles and
reporting structures are defined for and communicated to all employees and external parties that
take part in incident response before an incident takes place and that a feedback loop is created
to learn from incidents in the past.
* Regularly have the security of your infrastructure and systems therein tested by penetration
testers. Do not always use the same team to perform penetration tests.
Een aardig lijstje voor iedereen met een bedrijf op internet:
Additional measures, point by point:
* Air gap vital systems as much as possible, to make sure that they are physically separated on a
network level from untrusted networks such as the Internet.
* Update all software products on all systems with the latest patches as often as possible.
Subscribe to relevant mailing lists or use dedicated patch management software to support this
process.
* Harden all systems. Do not rely on default settings. Make sure that the most critical systems are
only being used for the critical processes that they are intended for. By limiting the amount of
services on any given system, the attack surface for an attacker is limited.
* Regularly have the security of your infrastructure and systems therein tested by penetration
testers. Do not always use the same team to perform penetration tests.
* Monitor your systems and network and make sure that anomalies trigger notifications to the
appropriate employee(s).
* Use data that can be accumulated by the OCSP responder to check if unknown serials are being
validated.
* Separate vital logging services from the systems that perform other vital functions. In an
infrastructure where secure logging is vital, a logging server can be placed behind a unidirectional
security gateway.
* Ensure forensic readiness so that, for example, all events that are relevant for an incident
response team are logged, that events from multiple systems can be correlated, that a balance is
found in advance between business continuity and potential evidence gathering, that roles and
reporting structures are defined for and communicated to all employees and external parties that
take part in incident response before an incident takes place and that a feedback loop is created
to learn from incidents in the past.
+1 and repeat:
Volgens mij is dat een hogere normering die nodig is om uitvoerende CA-certificering te verkrijgen ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
