Кибер-воры не дремлют

До появления первых виртуальных магазинов над вопросами безопасности в Интернете никто серьезно не задумывался. Повсеместно использовались незащищенные протоколы и потенциально уязвимые механизмы аутентификации. Требования к современным системам защиты кардинально изменились, но переход на новые стандарты и усовершенствованные в отношении безопасности протоколы ощутимо затягивается - единовременно изменить программную оснастку всех узлов сети по силам только волшебнику. Поэтому для достижения обратной совместимости современным серверам приходится поддерживать устаревшие решения десяти-двадцатилетней давности.

Настоящая статья рассказывает лишь о типовых опасностях, которым подвергаются абоненты Сети, используя кредитные карты или другие средства электронных платежей. Если злоумышленнику удастся похитить номер кредитной карточки жертвы, он без проблем сможет снять с нее некоторую сумму денег (варьирующуюся в зависимости от его наглости и осторожности).

В простейшем случае для этой цели организуется "подпольный" виртуальный магазин, исправно собирающий номера кредиток, но не высылающий покупателям никаких товаров. И такие "ловушки" в Сети действительно есть: заходя на платный сайт эротического или порнографического характера, практически никогда нельзя быть уверенным в том, что с вашего счета не снимут все денежки подчистую. Это нетехнический прием хищения, использующий обычную человеческую доверчивость. Аналогичные магазины-однодневки возникают не только в Сети, но и в реальной жизни, - соберет некая фирма столько-то заказов, получит предоплату и… исчезнет без следа.

А чем рискует пользователь, не посещающий ресурсы сомнительного происхождения и пользующийся услугами исключительно крупных, проверенных поставщиков? Все возможные технические угрозы можно разделить по крайней мере на три категории:
а) подмена целевого субъекта;
б) навязывание ложного маршрута;
в) внедрение в компьютер жертвы программы-шпиона.

К этому списку можно добавить еще один пункт - "перехват сетевого трафика". Алгоритмы шифровки номеров кредитных карт (специально придуманные для расчетов по незащищенным каналам) хорошо работают только на словах, а в реальной жизни разработчики сплошь и рядом допускают программные ошибки, в той или иной степени ослабляющие стойкость шифра к взлому. К счастью, подавляющее большинство злоумышленников не обладают надлежащей квалификацией и эту угрозу можно смело проигнорировать.

"Подмена целевого субъекта" на нормальном человеческом языке обозначает совокупность технических приемов, вводящих пользователя в заблуждение относительно его местопребывания. Образно это выглядит приблизительно так: покупатель ловит такси и говорит водителю: "Гони на Савеловский". Гнать-то водитель гонит, да только вот приезжает не на "Савеловский", а на его полную копию, отличающуюся лишь тем, что первый же продавец снимает все деньги с кредитной карточки покупателя.

Самая крупная кража по такой схеме была совершена в 1998 году Ильей Гофманом, который, выступая от имени продавца компьютерного магазина "Virtualynx Internet LLC 811-555 West Hastings St. Vancouver, ВС V6B 4N5 604-893-7022", по утверждению следствия, сумел похитить порядка 20 тысяч долларов. Преступник с сообщниками были задержаны, но дыры в системе безопасности остались открытыми и по сегодняшний день.

Вот пользователь нажимает на баннер, попадает на страничку злоумышленника, содержащую хитрый Java-скрипт, который переправляет клиента, скажем, на Amazon.com. Ошибка реализации Java-машины, присущая даже поздним версиям Internet Explorer и Netscape Navigator, приводит к возможности выполнения апплетов злоумышленника в контексте перенаправленного адреса. Покупателя в настоящий магазин могут и не пустить, а вывести в окне браузера его точную копию, отличающуюся от оригинала лишь тем, что содержимое всех заполненных форм попадает не к продавцу, а в карман злоумышленника. Но несмотря на это, адресная строка браузера содержит подлинный адрес магазина, что и вводит покупателя в заблуждение.

Другая разновидность той же атаки - злоумышленник помещает на свою страничку коллекцию ссылок на виртуальные магазины и прочие коммерческие ресурсы. При наведении курсора на любую из ссылок в строке состояния появляется подлинный адрес выбранного ресурса. Пользователь, не замечая подвоха, щелкает мышкой и… Откуда же ему знать, что содержимое строки статуса выводится скриптом злоумышленника и не соответствует действительности! А дальше все происходит по сценарию, описанному выше. Покупателя перенаправляют на требуемый магазин, доменное имя которого немедленно помещают в адресную строку браузера, но дальше порога в магазин не пускают, а подсовывают клиенту динамически сгенерированную руками злоумышленника web-страницу.

Для защиты от такого вида мошенничества достаточно ввести в браузере адрес магазина вручную. Несмотря на свою простоту, этот прием надежно защищает от подавляющего большинства мошенников.

Прежде чем подключиться к серверу, необходимо перевести его доменное имя в IP-адрес, но занимающаяся этим служба DNS не свободна от ошибок и вообще очень слабо защищена. Протокол UDP, на который опирается DNS-сервер, не позволяет идентифицировать отправителя пакета, т. е. программное обеспечение жертвы не способно отличить ответы настоящего DNS-сервера от подложных пакетов злоумышленника. Сценарий атаки в общих чертах выглядит так: злоумышленник огромным количеством разнородных запросов очищает кэш DNS-сервера, а затем посылает ему запрос с просьбой определить IP-адрес такого-то доменного имени. Обнаружив его отсутствие в своем кэше, DNS обращается к серверу более высокого уровня, а тем временем злоумышленник отправляет ему подложный пакет, содержащий IP-адрес двойника магазина. Введенный в заблуждение DNS-сервер (а DNS-серверы общаются между собой на том же протоколе UDP) доверчиво помещает фальсифицированный ответ в свой кэш и впоследствии "раздает" его всем пользователям, пытающимся попасть в этот магазин.

Обсуждение статьи - в форуме "Обсудим "СофтТерру"