Алексей Комаров

Возникшие с появлением фишинга угрозы потребовали внедрения адекватных мер защиты. В рамках данной статьи будут рассмотрены как уже широко распространенные способы противодействия фишингу, так и новые эффективные методы. Разделение это весьма условно: к традиционным отнесем хорошо известные (в том числе и самим злоумышленникам) способы противодействия фишингу и проанализируем их эффективность в первой части данной статьи. Согласно отчету APWG, за первую половину 2008 г. было выявлено 47 324 фишинговых сайтов. В этом же отчете приведены и средние потери пользователей и компаний в результате работы фишерского сайта – они составляют не менее $300 в час. Несложные умножения позволяют сделать вывод о высокой доходности этого вида черного бизнеса.

Современный фишинг

Слово "фишинг" (phishing) образовано от английских слов password – пароль и ёshing – рыбная ловля, выуживание. Цель этого вида Интернет-мошенничества – обманный увод пользователя на поддельный сайт, чтобы в дальнейшем украсть его личную информацию или, например, заразить компьютер пользователя, перенаправленного на подложный сайт, трояном. Зараженный компьютер может активно использоваться в ботнет-сетях для рассылки спама, организации DDOS-атак, а также для сбора данных о пользователе и отправки их злоумышленнику. Спектр применения "выуженной" у пользователя информации достаточно широк.

Механизмы фишинга

Главный вектор атаки фишинга направлен на самое слабое звено любой современной системы безопасности – на человека. Далеко не всегда клиент банка точно знает, какой адрес является правильным: mybank.account. com или account.mybank. com? Злоумышленники могут использовать и тот факт, что в некоторых шрифтах строчная i и прописная L выглядят одинаково (I = l). Такие способы позволяют обмануть человека с помощью похожей на настоящую ссылку в электронном письме, при этом даже наведение курсора мыши на такую ссылку (с целью увидеть настоящий адрес) не помогает. В арсенале злоумышленников есть и другие средства: от банальной подмены в локальной базе IP-адресов реального адреса на поддельный (в ОС Windows XP, например, для этого достаточно отредактировать файл hosts) до фарминга. Еще один вид мошенничества – подмена Web-страницы локально, "на лету". Специальный троян, заразивший компьютер пользователя, может добавлять в отображаемый браузером сайт дополнительные поля, отсутствующие на оригинальной странице. Например, номер кредитной карты. Конечно, для успешного проведения такой атаки надо знать банк или платежную систему, которыми пользуется жертва. Именно поэтому тематические базы электронных адресов пользуются большой популярностью и являются на черном рынке ликвидным товаром. Нежелающие нести дополнительные расходы фишеры просто направляют свои атаки на наиболее популярные сервисы – аукционы, платежные системы, крупные банки – в надежде на то, что случайный получатель спам-письма имеет там учетную запись. К сожалению, надежды злоумышленников зачастую оправдываются.

Традиционные методы противодействия фишинговым атакам

Уникальный дизайн сайта Суть этого метода такова: клиент, например, банка при заключении договора выбирает одно из предложенных изображений. В дальнейшем при входе на сайт банка ему будет показываться именно это изображение. В случае если пользователь его не видит или видит другое, он должен покинуть поддельный сайт и немедленно сообщить об этом службе безопасности. Предполагается, что злоумышленники, не присутствовавшие при подписании договора, априори не смогут угадать правильное изображение и обмануть клиента. Однако на практике этот способ не выдерживает критики. Во-первых, для того чтобы показать пользователю его картинку, его сначала надо идентифицировать, например, по логину, который он ввел на первой странице сайта банка. Злоумышленнику не составляет труда подготовить поддельный сайт, чтобы узнать эту информацию, а для самого пользователя – эмулировать ошибку связи. Теперь достаточно обратиться на реальный сервер, ввести украденный логин и подсмотреть правильное изображение.

Другой вариант – выдать клиенту фальшивое предупреждение об истечении срока действия его изображения и предложить выбрать новое...

Одноразовые пароли

Классические пароли являются многоразовыми: пользователь вводит один и тот же пароль каждый раз при прохождении процедуры аутентификации, не меняя его порой годами. Перехваченный злоумышленником, этот пароль может неоднократно использоваться без ведома хозяина.

В отличие от классического, одноразовый пароль используется только один раз, то есть при каждом запросе на предоставление доступа пользователь вводит новый пароль. Для этого используются, в частности, специальные пластиковые карточки с нанесенным защитным слоем. Клиент банка каждый раз стирает очередную полоску и вводит нужный одноразовый пароль. Всего на карточку стандартного размера помещается около 100 паролей, что при интенсивном использовании услуг телебанкинга требует регулярной замены носителя. Более удобными, но, правда, и дорогими представляются специальные устройства – генераторы одноразовых паролей. В основном различают два типа генерации: по времени, когда текущий одноразовый пароль отображается на экране и периодически меняется (например, раз в две минуты); по событию, когда новое значение генерируется каждый раз при нажатии пользователем на кнопку устройства.

Являясь более безопасным, чем классическая парольная аутентификация, такой метод, тем не менее, оставляет злоумышленнику определенные шансы на успех. Например, аутентификация с использованием одноразовых паролей не защищена от атаки "человек посередине". Суть ее состоит во "вклинивании" в информационный обмен между пользователем и сервером, когда злоумышленник "представляется" пользователю сервером, и наоборот. Серверу передается вся информация от пользователя, в том числе и введенный им одноразовый пароль, но уже от имени злоумышленника. Сервер, получив правильный пароль, разрешает доступ к закрытой информации. Не вызывая подозрений, злоумышленник может позволить пользователю поработать, например, со своим счетом, пересылая ему всю информацию от сервера и обратно, но при завершении пользователем своего сеанса работы не разрывать связь с сервером, а совершить нужные транзакции якобы от имени пользователя.

Чтобы не терять время в ожидании завершения пользовательского сеанса, злоумышленник может попросту имитировать ошибку связи и не позволять легальному пользователю работать со своим счетом. В зависимости от используемого метода генерации перехваченный одноразовый пароль будет действовать либо в течение короткого времени, либо только для первого сеанса связи, но в любом случае это дает злоумышленнику возможность успешно провести кражу данных или денег пользователя.

На практике аутентификация с помощью одноразовых паролей сама по себе используется редко, для повышения безопасности применяется установление защищенного соединения еще до аутентификации, например, с использованием протокола SSL.

Односторонняя аутентификация

Использование протокола безопасных соединений SSL (Secure Sockets Layer) обеспечивает защищенный обмен данными между Web-сервером и пользователями. Несмотря на тот факт, что протокол позволяет аутентифицировать не только сервер, но и пользователя, на практике чаще всего применяется только односторонняя аутентификация. Для установления SSL-соединения необходимо, чтобы сервер имел цифровой сертификат, используемый для аутентификации. Сертификат обычно выдается и заверяется третьей доверенной стороной, в роли которой выступают удостоверяющие центры (УЦ) или центры сертификации (в западной терминологии). Роль УЦ заключается в том, чтобы подтверждать подлинность Web-сайтов различных компаний, позволяя пользователям, "поверив" одному единственному удостоверяющему центру, автоматически иметь возможность проверять подлинность тех сайтов, владельцы которых обращались к этому же УЦ.

Список доверенных удостоверяющих центров обычно хранится в реестре операционной системы или в настройках браузера. Именно эти списки и подвергаются атакам со стороны злоумышленника. Действительно, выдав фишинговому сайту сертификат от поддельного удостоверяющего центра и добавив этот УЦ в доверенные, можно, не вызывая никаких подозрений у пользователя, успешно осуществить атаку.

Конечно, такой способ потребует от фишера больше действий и соответственно затрат, но пользователи, к сожалению, зачастую сами помогают в краже своих данных, не желая разбираться в тонкостях и особенностях использования цифровых сертификатов. В силу привычки или некомпетентности нередко мы нажимаем кнопку "Да", не особо вчитываясь в сообщения браузера об отсутствии доверия к организации, выдавшей сертификат.

Кстати, очень похожий способ используют некоторые средства по контролю SSL-трафика. Дело в том, что в последнее время участились случаи, когда сайты, зараженные троянскими программами, и сами трояны используют протокол SSL с тем, чтобы миновать шлюзовые системы фильтрации трафика – ведь шифрованную информацию ни антивирусное ядро, ни система защиты от утечки данных проверить не в состоянии. Вклинивание в обмен между Web-сервером и пользовательским компьютером позволяет таким решениям заменить сертификат Web-сервера на выданный, например, корпоративным УЦ и без видимых изменений в работе пользователя сканировать трафик пользователя при использовании протокола SSL.

URL-фильтрация

В корпоративной среде фильтрация сайтов применяется для ограничения нецелевого использования сети Интернет сотрудниками и как защита от фишерских атак. Во многих антивирусных средствах защиты данный способ борьбы с поддельными сайтами вообще является единственным.

Часть 2

Алексей Комаров
эксперт по информационной безопасности

Новые методы противодействия

Описанные в 1-й части статьи (журнал "Информационная безопасность" № 1-2009, с. 4) методы противодействия фишинговым атакам (уникальный дизайн сайта, одноразовые пароли, односторонняя аутентификация, URL-фильтрация), особенно применяемые совместно, позволяют повысить безопасность, однако остаются подверженными тем или иным видам атак и при известной настойчивости злоумышленника не смогут защитить деньги и данные пользователя.

Рассмотренные способы обладают одним общим недостатком: применяемые меры легко сводятся на нет небрежностью или невнимательностью пользователя. Согласие принять подписанный недоверенным УЦ сертификат или переход по ссылке из спамового письма на поддельный сайт вообще без установления защищенного SSL-соединения, несвоевременно обновленный антивирус, неправильно настроенный локальный МСЭ, введение трех идущих подряд одноразовых паролей на фишерском сайте, согласие выбрать новую картинку для сайта или игнорирование сообщения о невозможности загрузить ее - все это и многое другое в конечном итоге может привести и, к сожалению, приводит к финансовым потерям.

Как правило, в договорах, заключаемых с пользователями платежных систем или клиентами банков, вся ответственность за халатность в действиях возлагается на самих пользователей. Попытка таким образом обезопасить себя юридически уже приводит к ответным действиям клиентов. Не редкостью становятся судебные процессы, в которых адвокаты доказывают, что при имеющейся системе аутентификации обеспечить сохранность данных клиент был не в состоянии, о чем в момент заключения договора сотрудники банка не могли не знать, а значит, и возложение ответственности было неправомочным. С другой стороны, потеря денег пользователями, пусть даже по своей вине, в любом случае негативно сказывается на репутации банка в их глазах, а при массовых потерях и в глазах еще не пострадавших клиентов.

Рассмотрим методы борьбы с фишинговыми атаками, представляющиеся наиболее эффективными на сегодняшний день.

Пропаганда культуры поведения

Как мы уже выяснили, самое слабое звено в современных системах защиты вообще и от фишинговых атак в частности - человек. Именно поэтому основное внимание компании, обеспокоенной потенциальными финансовыми потерями, стоит обратить на пропаганду основ информационной безопасности среди своих сотрудников и клиентов.

Приведем некоторые правила, рассказам о которых стоит уделить чуть больше внимания, чем принято (обычно они просто упоминаются на предпоследней странице многостраничного договора на обслуживание):

• не доверяйте ссылкам в электронных письмах;
• не отправляйте личную информацию в ответ на просьбу по электронной почте;
• проверяйте правильность URL-адреса;
• вводите адрес в строку браузера самостоятельно;
• используйте только телефонные номера, указанные на кредитной карте или в договоре;
• не открывайте неизвестные вложения в письмах.

Возможно, кому-то этот список покажется элементарным, но если говорить о пользователях в целом, то общепринятое выполнение даже таких простых правил способно существенно уменьшить доходы фишеров, потенциально сделав данный бизнес менее рентабельным, а значит, менее привлекательным. Правила дорожного движения тоже нельзя назвать сверхсложными, но их знание и выполнение ежегодно спасает немало жизней.

Понятно, что в масштабах государства пропаганда правил компьютерной безопасности не является столь высокоприоритетной задачей, и поэтому основная надежда здесь на руководителей организаций. Ведь именно их бизнесу и их деньгам напрямую через сотрудников или опосредованно через клиентов угрожают фишеры.

Противодействие фишингу в корпоративной среде

Основным приоритетом при построении защиты от фишинга в рамках компании стоит сделать минимизацию зависимости от человеческого фактора. Поэтому наиболее перспективными представляются шлюзовые решения, которые в отличие от персональных продуктов не только снижают нагрузку на рабочие станции и упрощают администрирование, но и позволяют закрыть всю компьютерную сеть организации единым надежным "зонтиком".

Современные эффективные шлюзовые решения борются с фишерскими атаками на четырех уровнях:

• Уровень доступа. Основа антифишинговой безопасности -это уже рассмотренная URL-фильтрация (запрет доступа к сайтам из категории фишинговых), которая, несмотря на свою низкую эффективность "в бою один на один", дополненная рядом технологий, позволяющих отличить ссылку на фишерский сайт от легитимной, способна оказать сопротивление фишерам.
• Уровень активного контента. Лучшие в этом классе решения реализуют фильтрацию HTML-кода и внедренных объектов на наличие вредоносного кода, в том числе скрытых каскадных переадресаций, когда тело трояна собирается из небольших безвредных по отдельности и потому трудно детектируемых фрагментов на нескольких сайтах, по которым пользователя прозрачно для него "пробрасывают". Благодаря эффективной очистке трафика реализуется защита пользователя от потенциальных нежелательных последствий в случае состоявшегося все же перехода на фишерский сайт.
• Уровень коммуникаций. В том случае, когда целью привлечения пользователя на поддельный сайт является заражение его компьютера каким-либо вредоносным кодом, еще одним уровнем блокировки защиты может быть предотвращение передачи приватных данных, собранных ботами. Несмотря на большое количество и огромное разнообразие видов самих троянов и ботов, существует всего лишь несколько десятков коммуникационных протоколов, по которым они взаимодействуют со своим управляющим центром. Таким образом, блокировка таких коммуникаций наиболее эффективно осуществляется по сигнатурам протоколов, а не самого вредоносного кода.
• Уровень передачи данных. Получившие широкое распространение в последние годы DLP-решения (Data Leak Prevention) позволяют в рамках компании построить еще один рубеж обороны в виде контроля потенциальных каналов утечки данных. Такие решения могут помочь в выявлении и предотвращении отправки вредоносным кодом, например, номера кредитных карт или другой конфиденциальной информации.

Пожалуй, единственным слабым местом таких систем может оказаться невозможность защиты мобильных сотрудников, работающих удаленно по открытым каналам связи. Для решения данной проблемы в качестве одного из вариантов можно предложить проксирова-ние, то есть выход в Интернет с ноутбуков компании только через головной офис. Такое же решение для упрощения администрирования и снижения финансовых затрат можно предложить и для филиалов. Стоит отметить, что ведущие игроки этого сегмента рынка готовы помочь своим клиентам самим почувствовать себя в роли таких филиалов, предлагая не приобретать и сопровождать их продукты, а арендовать для фильтрации почтового и веб-трафика вычислительные мощности самого производителя.

Противодействие фишингу как конкурентное преимущество

Помимо заботы о собственной конфиденциальной информации и защите сотрудников в филиалах и офисах многие компании заботятся и о своих клиентах. Деловая репутация порой стоит дороже, чем затраты на построение действительно безопасной системы по аутентификации пользователей.

Уже рассмотренный ранее протокол SSL имеет возможность проводить двустороннюю аутентификацию, когда проверяется валидность не только сервера, но и самого пользователя. Для этого клиентам, например, банка необходимо получить цифровой сертификат. Сделать это можно, как правило, при заключении договора на обслуживание или позже в любое время.

Отказ от паролей при доступе пользователей к счетам серьезно осложняет жизнь фишерам. Использование цифровых сертификатов на стороне сервера и клиента снимает проблему атаки "человек посередине" и делает прослушивание и перехват трафика бесполезными.

Основой безопасности при использовании цифровых сертификатов является сохранность закрытого ключа. Организация имеет гораздо больше, чем рядовой пользователь, финансовых и технических возможностей по надежной защите закрытого ключа, используемого для аутентификации ее веб-сайта. Хранение клиентом своего закрытого ключа в реестре операционной системы или на жестком диске не является безопасным. В случае заражения компьютера пользователя эти данные легко могут быть похищены вредоносным программным обеспечением, и защита закрытого ключа паролем не будет являться надежной гарантией сохранности денежных средств пользователя. Применяемые на практике пароли редко превышают 8 символов и зачастую, если и не являются осмысленным словом, то состоят только из прописных букв латинского алфавита.

Надежным способом хранения закрытых ключей пользователя на сегодняшний день является использование криптографических токенов. В отличие от других внешних носителей (например, тех же USB-флэш) при использовании токенов нет необходимости в копировании секретной информации в оперативную память компьютера при проведении операции аутентификации, так как подобные устройства не только надежно хранят закрытые ключи, но и аппаратно выполняют необходимые криптографические вычисления. При этом важно, что воспользоваться токеном может только его владелец, знающий пароль от него (PIN-код).

Многие банки уже сегодня предлагают своим клиентам возможность аутентификации не только по одноразовым паролям, но и с использованием цифровых сертификатов. Пока использование аппаратных криптографических токенов для повышения безопасности хранения закрытых ключей не получило широкого распространения. Тем не менее банков, прибегающих к этому методу, становится с каждым годом все больше, ведь данный механизм на сегодня является одним из самых надежных для аутентификации при осуществлении онлайн-транзакций.

Всего статей: 2