Meltdown i Spectre podczas korzystania z szyfrowania i VPN

12

Czy luki w zabezpieczeniach Meltdown i Spectre mogą wpływać również na komputery z zaszyfrowanym katalogiem domowym i korzystaniem z usługi VPN? Innymi słowy, czy hakerzy nadal byliby w stanie ukraść hasła po wdrożeniu szyfrowanych transmisji i usług VPN?

security vpn

— ekrisch
źródło

Chociaż odpowiedzi są technicznie poprawne, żadna z nich nie odnosi się do faktu, że Meltdown i Spectre są atakami lokalnymi. VPN byłby użyteczny tylko przeciwko zdalnemu przeciwnikowi, a zaszyfrowane katalogi domowe są użyteczne tylko, gdy maszyna jest wyłączona - żadne z nich nie dotyczy Meltdown i Spectre. Jeśli atakującego nie ma na twoim komputerze, Meltdown i Spectre (do pewnego stopnia) nie mogą być użyte.

— Qwerty01

23

Tak.

Szyfrowanie dysku chroni przed dostępem do dysku, gdy nie jest on używany, na przykład, jeśli ktoś ukradnie twój komputer. VPN chroni przed nikim węszącym drutem.

Meltdown i Spectre mogą zapewnić atakującym dostęp lokalny do danych, zanim zostaną one zaszyfrowane.

Aby system mógł korzystać z jakichkolwiek informacji, muszą one być mniej lub bardziej dostępne w formie nieszyfrowanej. Gdy tylko jest dostępny w postaci niezaszyfrowanej, każdy atakujący z dostępem administratora do komputera może go skopiować.

— vidarlo
źródło

1

„Aby system mógł użyć dowolnego rodzaju informacji, musi on być mniej lub bardziej dostępny w formie niezaszyfrowanej.” - to nieprawda. Dobrze znanym kontrprzykładem są hasła, które nigdy nie powinny być przechowywane, nawet szyfrowane. Weryfikacja hasła opiera się na bezpiecznych hashach. Może to być bezpieczne w przypadku krachu; uzyskanie wartości skrótu nie da hasła, które jest skrótem do tej wartości.

— MSalters

Ale prawdą jest, dla zaszyfrowanego ruchu sieciowego i zawartości dysku w ogóle . Hasła to szczególny przypadek. Nie są też szyfrowane; są one mieszane za pomocą funkcji jednokierunkowej.

— vidarlo

4

Hasła nie mogą być przechowywane na dysku, ale są przesyłane przez sieci i pozostają w pamięci, zanim zostaną zakodowane w celu przechowywania lub porównania z innym hashem.

— JohnSomeone

3

Ponadto menedżer haseł (jeden z ulubionych celów w opowieściach o Meltdown / Spectre) musi przechowywać [zaszyfrowane] hasła i odszyfrować je czasami, aby wykonać swoją pracę.

— TripeHound

@MSalters Jeśli chodzi o VPN, hasło szyfrowania pakietu musi być przechowywane, ponieważ dane są szyfrowane / deszyfrowane za pomocą klucza symetrycznego po wstępnym uzgadnianiu. Niezależnie od tego niezwykle trudno byłoby znaleźć i skopiować hasło z pamięci. Tylko keylog byłoby mniej pracy.

— Qwerty01

9

Tak, w rzeczywistości jest to jedna z hipotetycznych sytuacji, w których można zaatakować te luki: podczas korzystania z szyfrowania i próby uzyskania dostępu do klucza szyfrowania w pamięci zwykle niedostępnego dla innych procesów.

— thomasrutter
źródło

1

Tak. Może to pozwolić osobie atakującej, powiedzmy, odwiedzając jego witrynę, odczytać pamięć aplikacji, które obecnie uruchomiłeś. Zawartość pamięci może być ciasteczkami do strony, na której jesteś aktualnie zalogowany, zapisanymi hasłami w menedżerze haseł, konfiguracją połączenia VPN, a nawet kluczem szyfrującym, którego używasz do katalogu domowego.

Z drugiej strony, jeśli masz 100% pewności, że nie uruchomisz żadnego kodu innej firmy (pobierając niezaufane oprogramowanie lub uruchamiając przeglądarkę / odwiedzając strony internetowe), możesz zaoszczędzić. W rzeczywistości jest to pogląd Microsoftu w tej sprawie: zakładali, że większość instancji Windows Server działa w „izolowanym” środowisku, w którym użytkownicy umieszczają tylko zaufane aplikacje, więc poprawki Meltdown / Spectre nie muszą być tam domyślnie włączone.

— Piotr Dąbrowski
źródło

1

Tak. Szyfrowanie dysków i połączeń sieciowych nadal pozostawia całą pamięć o dostępie swobodnym do odczytu przez złośliwy proces działający na tym samym komputerze. Lokalna pamięć, ruch sieciowy i pamięć RAM to 3 zupełnie różne rzeczy.

Aby wykorzystać krach i awarie widma, złośliwy proces musi być uruchomiony na twoim komputerze. Może się to zdarzyć, na przykład, jeśli uruchomisz program z nieznanego / niezaufanego źródła lub jeśli jakaś strona internetowa zdoła zmultipilować kompilator JIT silnika javascript w przeglądarce do uruchomienia takiego kodu.

— delt
źródło

0

Luki umożliwiają odczyt danych z innych programów, więc jeśli jakikolwiek inny program ma niezaszyfrowane dane, złośliwy program może je odczytać. Jeśli więc wpiszesz hasło w innym programie, możesz je skradzić. Co więcej, jeśli uzyskujesz dostęp do zaszyfrowanych danych, musisz je odszyfrować, aby je zobaczyć, aby można je było ukraść. W zależności od sposobu szyfrowania dysku dane na dysku mogą być niezaszyfrowane, nawet jeśli nie masz do niego bezpośredniego dostępu. Jeśli używasz szyfrowania typu end-to-end, takiego jak VPN, to komputer jest końcem, więc dane są odszyfrowywane, gdy docierają do twojego komputera, więc są podatne na atak.

Jeśli masz zaszyfrowany plik, a hasło nie jest przechowywane na komputerze i nigdy nie masz do niego dostępu, wówczas niezaszyfrowane dane nie są narażone (chyba że szyfrowanie może zostać w inny sposób złamane). Ale gdy tylko zamontujesz zaszyfrowany dysk, jest on podatny na ataki.

— Akumulacja
źródło