Банковские приложения уязвимы к MitM-атакам

Брешь присутствовала в Android- и iOS-приложениях крупнейших банков, а также в популярном TunnelBear VPN.

Ведущие американские и британские банки устранили в Android- и iOS-приложениях уязвимость, открывавшую возможность для кражи данных клиентов банка, а также просмотра и модификации сетевого трафика из положения «человек посередине».

Данную брешь обнаружили исследователи из Бирмингемского университета; по их словам, уязвимости подвержены девять из 400 протестированных программ, в частности, VPN-приложение TunnelBear и клиент банка HSBC.

Свои находки исследователи представили на очередной конференции по проблемам защищенных приложений (Annual Computer Security Applications Conference, ACSAC), проходящей на этой неделе в г. Сан-Хуан, Пуэрто-Рико. «Исследование показало, что закрепление сертификатов может скрыть (и зачастую делает это) отсутствие адекватной верификации имени хоста и, таким образом, облегчить проведение MitM-атаки», — пишут соавторы доклада Крис Стоун (Chris Stone), Том Чотиа (Tom Chothia) и Флавио Гарсия (Flavio Garcia).

Использование закрепления сертификатов позволяет приложению определить для конкретного сервера сертификат, которому оно будет доверять. Эта защитная мера помогает предотвращать некоторые атаки, в том числе MitM, полагающиеся на подмену сертификата для доверенного приложения или сайта.

Университетские исследователи обнаружили, что в ряде банковских приложений присутствует уязвимость, привнесенная с реализацией закрепления сертификатов и проверки сертификата при установке TLS-соединения. «Добиться правильной реализации протокола TLS далеко не всегда удается, — признали исследователи. — Ошибки в конфигурации и атаки на этот протокол — обычное явление».

Так, например, в прошлом году в механизме обновления аддонов Firefox была пропатчена уязвимость, вызванная ошибкой при установке срока действия списка доверенных сертификатов. Наличие данной бреши открывало возможность для перехвата шифрованного трафика, внедрения вредоносных апдейтов для расширения NoScript и удаленного выполнения кода.

В случае с найденной университетскими исследователями уязвимостью типовая MitM-атака предполагает присутствие атакующего в той же WiFi-сети, которую использует жертва. «Трафик жертвы перенаправляется на ресурс автора атаки посредством спуфинга ARP или DNS, — поясняют исследователи. — Если жертва использует уязвимое приложение, атакующий может перехватить данные, которыми стороны обмениваются в ходе TLS-квитирования, и передать в приложение сертификат, подписанный тем сертификатом, для которого у приложения есть привязка».

«Инструменты для проверки TLS на наличие ошибок существуют, — сказано в докладе, представленном на ACSAC. — Однако ни один из них не способен обнаружить ситуацию, когда приложение закрепляет корневой или промежуточный сертификат, но при этом не проверяет подлинность имени хоста. Сомнительно, чтобы проведение масштабного тестирования в этом случае требовало больших трудозатрат и расходов».

В подтверждение этого тезиса в рамках исследования с минимальными затратами был создан инструмент автоматизированного тестирования — Spinner. Он обеспечивает тщательную проверку мобильных приложений, в том числе их способности адекватно верифицировать имена хостов. «Spinner — это инструмент для масштабной проверки на наличие данной уязвимости по принципу черного ящика, — пишут авторы статьи. — При этом никакие сертификаты покупать не нужно. Мы перенаправляли трафик на сайты, использующие соответствующие сертификаты, а затем проводили анализ шифрованного трафика. Это позволило определить правильность проверки имен хостов — даже в условиях закрепления сертификатов».

С помощью Spinner исследователи обнаружили с десяток банковских программ, некорректно выполняющих проверку имени хоста. В группу риска попали клиентские приложения Bank of America, HSBC, банков Meezan и Smile, а также TunnelBear VPN.

Отчеты о плачевных результатах проверки были направлены всем заинтересованным лицам. «Идентифицированная уязвимость была устранена в приложении Health Банка Америки почти два года назад, в январе 2016 года, — заявил журналистам Threatpost представитель Bank of America. — По состоянию на июнь 2017 года это приложение на рынке отсутствует. Данные клиентов банка ни разу не пострадали».

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 1

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля