Niebezpiecznik

Jakie hasło może mieć pracownik telekomu do ważnego konta administracyjnego? Może takie złożone z nazwy dostawcy konta i słowa “admin”? Niestety pewien pracownik Orange España uznał to za dobry pomysł, a pewien atakujący bezwzględnie to wykorzystał.

Hiszpański Orange (drugi operator co do wielkości w tym kraju) zaliczył poważne problemy ze świadczeniem swoich usług. Moglibyśmy powiedzieć, że powodem tego zamieszania był człowiek, który przejął dostęp do konta RIPE operatora. Lepiej jednak będzie powiedzieć, że powodem problemów było używanie przez Orange ekstremalnie słabego hasła przy jednoczesnym braku 2FA.

Hasło, o którym mowa to… ripeadmin.

Wyjaśnijmy jak ważnym zasobem było konto chronione tym hasłem. RIPE Network Coordination Center to jedna z pięciu organizacji odpowiedzialnych za przydzielanie adresów IPv4, IPv6 oraz tzw. numerów AS. Organizacja odpowiada za to w kilkudziesięciu krajach Europy, Bliskiego Wschodu i środkowej Azji. Osoba przejmująca konto Orange w RIPE mogła m.in. dokonać zmian w globalnych tablicach routingu, które służą do organizowania komunikacji pomiędzy operatorami takimi jak Orange, a dostawcami sieci szkieletowych. Zarządzanie tym procesem odbywa się za pomocą Border Gateway Protocol (BGP), o którym w Niebezpieczniku pisaliśmy nie raz. Pozwala on organizacjom powiązać ich adresy IP z numerami autonomicznymi (AS) i rozgłaszać je do routerów, co z kolei pozwala sieciom na ustalenie najlepszej drogi do danego adresu IP.

Hej Orange! Zgłoś się po nowe hasło!

3. stycznia osobnik znany na Twitterze jako Snow (@Ms_Snow_OwO) opublikował Tweet z informacją o przejęciu konta RIPE Orange España. Snow stwierdził, że “naprawił to konto” i poprosił przedstawicieli Orange, aby Ci zgłosili się do niego w celu uzyskania nowych danych uwierzytelniających.

W tym samym dniu organizacja RIPE poinformowała o przejęciu jednego z kont, co miało spowodować “wstrzymanie pewnych usług”. RIPE nie powiedziała o co chodziło, ale wydała rekomendację by podmioty korzystające z jej usług zaktualizowały swoje hasła i najlepiej włączyły dwuskładnikowe uwierzytelnianie (2FA).

Pobuszował po koncie i wyłączył usługi

Snow po wejściu na konto Orange dokonał zmian dotyczących tzw. ROA (Route Origin Authorizations), to z kolei spowodowało uruchomienie zabezpieczenia znanego jako RPKI (Resource Public Key Infrastructure). Początkowo zmiany dokonane przez Snowa nie były znaczące, ale po kilku próbach udało mu się wprowadzić takie wpisy, które spowodowały masowe odrzucanie przez innych operatorów połączeń z Orange. Największe problemy wystąpiły w godzinach 14:20-18:00 UTC. We wpisie Douga Madory’ego z Kentik możecie poczytać o tym co dokładnie zrobił Snow i jakie były tego techniczne skutki. Jednak patrząc na całość incydentu można odnieść wrażenie, że Snow nie do końca wiedział co robi. Tak jakby przejął konto i potem sprawdzał co można zepsuć.

Źródło wykresu: Kentik

Można powiedzieć, że Snow użył w charakterze broni mechanizmu RPKI. Jest on używany aby sprawdzać, czy trasy IP są autentyczne i pochodzą od właściwego podmiotu, co z kolei ma zabezpieczać przed atakami typu BGP hijacking. Właściwym źródłem problemu nie był RPKI ale fakt, że byle kto mógł się dostać do ważnego konta administracyjnego i zmienić wpisy. I teraz pora na kolejną odsłonę opowieści. Jak Snow poznał hasło?

Hasło było w publicznych wyciekach

Hasła mogą wyciekać i krążyć po internecie. Mogą też być wykradane z komputerów przez złośliwe oprogramowanie (tzw. stealery), po czym są kompilowane w duże pliki i sprzedawane na czarnym rynku. Bywa, że te pliki są udostępniane za darmo. Pisaliśmy o tym niedawno w tekście o przestępczej gwiazdce. Dużą publikację danych ze stealerów dotyczących Polaków widzieliśmy w maju ubiegłego roku.

Wygląda na to, że hasło do konta Orange España krążyło po takich bazach i nie zostało zmienione. Jeden ze zrzutów ujawnionych przez Snowa pokazywał adres e-mail pracownika Orange.

To, czy nasze dane wyciekły możemy sprawdzić m.in. w serwisie HaveIBeenPwend, ale uwaga – ten serwis bazuje głównie na wyciekach z baz danych różnych firm. Warto sprawdzić jeszcze inny, Hudson Rock, który jest nastawiony właśnie na bazy wykradzionych haseł stworzonych przez stealery.

Firma Hudson Rock przyjrzała się incydentowi z Orange i na podstawie e-maila ustaliła, że, odpowiedzialny za konto pracownik był zainfekowany infostealerem Raccoon. Wśród danych, które udało się wydobyć z jego komputera znajdowały się login i hasło do strony access.ripe.net. Używanym przez niego hasłem była fraza ripeadmin. Powiedzieć, że to hasło jest absurdalnie słabe to jak nic nie powiedzieć.

Czy Snow wykorzystał tę słabość?

Do tej pory ustaliliśmy, że:

• konto RIPE Orange zostało przejęte oraz,
• że dane pracownika Orange zostały wykradzione przez stealer i krążyły po bazach wyciekowych.

Skąd pewność, że Snow zhackował konto wykorzystując te problemy?

Częściowo naprowadza nas na to komunikat RIPE (“zaktualizujcie sobie hasła”), częściowo też ustalenia Hudson Rock. Ostatecznie wątpliwości rozwiał Snow dodając we wpisie na Twitterze, że “bezpieczeństwo hasła było wątpliwe”, a na koncie nie było uwierzytelniania dwuskładnikowego i owszem, hasło występowało w “publicznych wyciekach”.

Ważna lekcja

Porady dotyczące higieny haseł i zarządzania nimi nie zawsze trafiają na podatny grunt. Często w ramach swojej pracy spotykamy osoby, które patrząc nam prosto w oczy mówią “owszem, mam takie dyżurne hasło i nie stosuje menedżera, ale ja wiem jak to robić żeby było bezpiecznie”.

Takie podejście nie jest spotykane wyłącznie w małych firmach i u osób “nietechnicznych”. Nierzadko w dużych organizacjach, na ściśle technicznych stanowiskach spotykamy osoby popełniające tak kluczowe błędy i historia z Orange tego dowodzi. Jednocześnie zdarzało nam się spotykać np. pracowników administracyjnych instytucji kulturalnych czy bardzo małych urzędów w gminach wiejskich, dla których menedżery haseł i klucze U2F były dobrze znanymi narzędziami. Wielkość organizacji czy stanowisko nie determinują tego, czy ktoś zachowuje się ryzykownie czy nie.

Co robić? Jak żyć?

Powtórzymy stare dobre rady.

1. Miej mocne hasła do różnych serwisów. Mocne tzn. długie, złożone z losowych znaków i jeszcze raz długie. Dobrze też, by były długie.
2. Miej unikalne hasła, czyli każde hasło tylko do jednego konta.
3. Używaj menedżerów haseł, bo nie dasz rady zapamiętać dziesiątek unikalnych i mocnych haseł.
4.  Tak, wiemy że czasem są problemy z menedżerami, ale i tak ich używaj.
5. Włącz dwuskładnikowe uwierzytelnianie gdzie się da, a najlepiej używaj kluczy U2F.
6. Rozważ monitorowanie czy Twoje dane mogły wyciec, a w razie namierzenia wycieku zmieniaj hasła.

Możesz oczywiście sądzić, że to wszystko nie jest konieczne, że te zasady są głupie i że tylko przeszkadzają. Wyobraź sobie zatem jedną rzecz. Gdzieś w Orange España jest osoba, która używała tego loginu i hasła do RIPE. Ta osoba odpowiada za poważną wpadkę, o której pisze się na całym świecie. Wiedzą o tym jej koledzy, przełożeni, rodzina itd. Ta osoba do pewnego momentu myślała, że “to się nie stanie”.

Ty też tak myślisz?