เมื่อไหร่ที่คุณไม่ควรเชื่อถือ Trusted Root Certificate

เป็นที่ทราบดีกันอยู่แล้วว่า Root Certificate เป็นเรื่องสำคัญสำหรับการยืนยันตัวตนและความมั่งคงปลอดภัยของซอฟต์แวร์หรือบนอินเทอร์เน็ต มันถูกออกโดย Certified Authority(CA) เพื่อใช้ในการพิสูจน์ว่าใครคือผู้อ้างความเป็นเจ้าของเว็บไซต์หรือซอฟต์แวร์นั้น เราจึงได้เลือกสรุปบทความมาให้อ่านกันว่าเมื่อใดเราจึงไม่ควรเชื่อถือ Certificate เหล่านั้น
จากบทความโดย RSA FirstWatch เราได้เรียนรู้ว่ามี USB Audio Driver ยอดนิยมตัวหนึ่งได้แอบติดตั้ง Self-signed Root Certificate แบบเงียบๆ ในส่วนของ Trusted Root Certification Authorities บนเครื่องผู้ใช้งานซึ่งปกติแล้ว Window จะให้เราเข้าไปจัดการ Certificate บนเครื่องตัวเองได้แต่จะแสดงข้อความกับผู้ติดตั้งว่า “Always trust software from this publisher” เพื่อให้ผู้ใช้ตัดสินใจก่อน แต่ USB Audio Driver ตัวนี้สามารถทำข้ามขั้นตอนนี้ไปได้ นอกจากนี้ยังสามารถส่งผลกระทบไปตั้งแต่ Windows XP จนถึง Windows 10 ทั้งๆ ที่ซอฟต์แวร์ตัวนี้ไม่ได้ต้องการ Certificate เลยแต่มันก็ถูกติดตั้งลงไปบน XP อย่างเงียบเชียบ

มันแย่ตรงไหนหล่ะ?

Root Certificate ใช้ติดตั้งเพื่อให้ข้อมูลเช่น Timestamping การพิสูจน์ตัวตนของเซิร์ฟเวอร์ หรือการแสดงความเป็นจ้าของๆ โค้ดนั้น และอื่นๆ แต่ USB Audio Driver ตัวนี้ได้ติดตั้ง Certificate สำหรับ ‘All Proposes’ นั่นหมายความว่าระบบใดที่มีการติดตั้ง Driver นี้จากผู้ผลิตเจ้าใดก็ตาม ระบบนั้นจะเชื่อถือ Certificated อื่นๆ ที่ออกโดย CA เจ้าเดียวกันที่ออกให้ Driver ตัวนี้ด้วย ในทางกลับกันปกติแล้วจะมีเพียง Certificated ที่ออกโดย Microsoft เท่านั้นที่จะมีค่าเป็น ‘All Proposes’ โดยหากติดตั้งด้วยค่า ‘All Proposes’ แล้วมันจะทำให้ใครก็ตามที่มี Private Key เชี่อมโยงกับ Certificate เป็นเหมือเจ้าของระบบเหมือนกันกับการติดตั้ง CA ลงบน Windows แต่ก็มีข้อยกเว้นกับบริษัทขนาดใหญ่ที่มีการทำ SSL decryption ที่ฝั่งข้อมูลขาออกที่อาจจะรอดจากผลกระทบนี้

แล้วมันจะถูกนำไปใช้ได้อย่างไร?

ผู้โจมตีที่มี Private Key ของ Root Certificate สามารสร้าง Certificate เพื่อใช้งานในวัตถุประสงค์อื่นได้ มันสามารถนำไแประยุกต์ใช้งานได้กับซอฟต์แวร์แอปพลิเคชัน เว็บไซต์ หรืออีเมล์ รวมถึงการโจมตีแบบ Man-in-the-Middle เพื่อที่จะติดตั้งมัลแวร์ต่อไป ถ้านี่ยังไม่แย่พอลองติดตามงานวิจัยนี้ที่พบว่าการทำสำเนา authenticode จากไฟล์ปกติไปยังตัวอย่างมัลแวร์ที่รู้จักสามารถทำให้ Antivirus หยุดการทำงานได้

ผู้โจมตีมีทางเลือกขั้นตอนการนำไปใช้งานได้มากมาย

  • ถ้าผู้โจมตีมี Private Key จะสามารถใช้งาน Certificate ที่มีให้ดูเหมือนเป็นโปรแกรมถูกลิขสิทธิ์
  • สร้างหรือซื้อ Certificate เพื่อปลอมตัวเป็นโปรแกรมจริงเพื่อหลอกระบบใช้การตรวจจับ Signing
  • นำ Certificate จริงไปใส่ที่ Untrusted Certificate Store ทำให้โปรแกรมหรือเว็บจริงไม่สามารถเข้าถึงได้
วิธีการที่กล่าวมาทั้งหมดเกิดจาก Certificate ที่ถูกขโมยโดยเฉพาะที่มีค่า ‘All proposes’ มีอานุภาพร้ายแรงที่สุด สาเหตุจากแค่คุณต้องการติดตั้ง Driver หรือการติดตั้ง Certificate เพื่อทำให้ช่วยเหลือลูกค้าได้ง่ายขึ้นโดยไม่บอกลูกค้าก็ทำให้เกิดหายนะตามมาได้ ถ้าคุณคิดว่ามันมีโอกาสเกิดได้ไม่เท่าไหร่หรอกลองดูที่นี่เสียก่อน

เราจะลบ Certificate ที่เราไม่เชื่อถือได้อย่างไร

อันดับแรกเราสามารถตรวจสอบ Certificate แปลกปลอมได้ที่นี่ ขั้นตอนการลบทำได้ดังนี้
  1. ใส่คำสั่ง certmgr.msc ที่ช่อง Run หรือ Search หรือ command prompt
  2. เลือก Trusted Root Certification Authorities ภายใต้โฟลเดอร์เลือก Certificate Store
  3. คลิกขวาเพื่อเลือกลบ Certificate ที่ไม่ต้องการ
หรืออีกทางหนึ่งสามารถใช้คำสั่ง Powershell ได้ตามนี้ ‘Get-ChildItem -Path cert:\currentuser\AuthRoot -Recurse | select Thumbprint, FriendlyName, Subject | ConvertTo-Html | Set-Content c:\users\public\desktop\certificates.html’ สนใจเพิ่มเติมสามารถติดตามได้ที่นี่
สุดท้ายนี้เราควรจะใส่ใจกับการติดตั้ง Certificate ให้เหมาะสมกับการใช้งานและให้ลำดับของการเชื่อถือเป็นไปตามที่ควรจะเป็น

Comments

Post a Comment

Popular posts from this blog

นักวิจัยปล่อยโค้ดที่ทำให้เกิดจอฟ้ากับเครื่อง Windows จำนวนมากบน GitHub

Image
ผู้เชี่ยวชาญด้านฮาร์ดแวร์ชาวโรมาเนียได้ปล่อยโค้ด PoC ที่สามารถทำให้คอมพิวเตอร์ส่วนใหญ่ที่ใช้งาน Windows เกิดจอฟ้า แม้ว่าจะล็อกเครื่องอยู่ก็ตาม โดยโค้ดที่เผยแพร่นั้นได้อาศัยช่องโหว่จากการจัดการ image ของ Filesystem แบบ NTFS ซึ่งถูกค้นพบโดย Marius Tivadar นักวิจัยด้านความมั่นคงปลอดภัยจาก Bitdefender การใช้งานโค้ดดังกล่าวทำได้ผ่านการเสียบ Thumb Drive ในช่อง USB เพียงไม่กี่วินาทีเท่านั้นก็จะทำให้ Windows เกิดอาการทำงานผิดพลาดจนแสดงผลจอฟ้า อย่างไรก็ตามแม้ว่าคอมพิวเตอร์จะปิดการเล่นอัตโนมัติหรือ Autoplay ไว้แต่ก็สามารถใช้โค้ดนี้ได้เช่นกันหาก Windows Defender หรือเครื่องมืออื่นๆ เข้ามาสแกนอ่านใน Thumb Drive ในกรณีของเครื่องคอมพิวเตอร์ที่ล็อกเครื่องเอาไว้แล้วยังสามารถใช้โค้ด PoC ได้ผลนั้น นักวิจัยได้ให้ความเห็นว่าพฤติกรรมของ OS ที่ควรเปลี่ยนคือ “ ไม่ควรอนุญาตให้เครื่องที่ล็อกอยู่สามารถโหลด Driver หรือ Execute โค้ดจากอุปกรณ์ภายนอกที่เสียบเข้ามาได้ ” อย่างไรก็ตามทาง Microsoft ไม่ได้แก้ไข Bug นี้แม้ว่านักวิจัยจะได้รายงานเข้าไปแล้วตั้งแต่ กรกฎาคม 2017 และลดระดับความสำคัญของ Bug ลงเนื่องจากคิดว่...
Read more

ผู้เชี่ยวชาญพบมัลแวร์ใช้ Windows BITS เพื่อติดต่อเซิร์ฟเวอร์ควบคุม

Image
ผู้เชี่ยวชาญจาก ESET ได้ออกมาเปิดเผยเรื่องราวของมัลแวร์ใช้ Windows BITS เพื่อลอบติดต่อกับเซิร์ฟเวอร์ควบคุม โดยคาดว่าจะเป็นกลุ่มของแฮ็กเกอร์ที่มีนามแฝงว่า Stealth Falcon Background Intelligence Transfer Service ( BITS ) เป็นส่วนประกอบหนึ่งใน Windows ที่ถูกใช้เพื่อนำส่งการอัปเดตต่างๆ สู่ผู้ใช้งานเมื่อไม่ได้ใช้งานเครือข่าย เช่น Windows Update, Microsoft Update, Server Update และ System Center Configuration Update เป็นต้น รวมถึง Windows Defender ก็ใช้ช่องทางนี้เพื่ออัปเดต Signature ด้วย ทั้งนี้แอปพลิเคชันอื่นก็มีความเป็นไปได้ที่จะเข้ามาใช้ช่องทางนี้ อย่างตอนนี้ที่ Mozilla กำลังพยายามพัฒนาให้ Firefox สามารถใช้ BITS เพื่ออัปเดตได้ อย่างไรก็ตามดูเหมือนว่าเหรียญย่อมมีสองด้านเสมอเพราะหลายปีที่ผ่านมา BITS เคยถูกใช้ในแคมเปญการโจมตีมาแล้วหลายครั้ง ซึ่งมีแนวโน้มว่าจะพบเห็นได้บ่อยขึ้นด้วย โดยล่าสุด ESET ก็ได้เผยถึงกลุ่ม Stealth Falcon ที่ได้ใช้ช่องทางนี้กับ Backdoor ของตนเพื่อลอบติดต่อกับเซิร์ฟเวอร์ ที่คาดว่าหลายองค์กรไม่ค่อยใส่ใจกับทราฟฟิคทางของ BITS เท่าไหร่นัก สำหรับ Stealth Falcon นั้นเป็...
Read more

รู้สาเหตุแล้ว ประเทศในแถบเอเชียตะวันออกเฉียงใต้เน็ตช้าเพราะสายเคเบิลใต้ทะเลขาด

Image
หลายประเทศในเขตเอเชียตะวันออกเฉียงใต้ต้องประสบปัญหาจากการใช้อินเทอร์เน็ตในช่วงไม่กี่วันมานี้ จากการตรวจสอบล่าสุดพบว่ามีสาเหตุมาจากสายเคเบิลใต้ทะเลที่เชื่อมต่อระหว่างเอเชียและประเทศต่างๆ ถูกตัดขาดหลายจุดอันเนื่องมาจากพายุไต้ฝุ่น ส่งผลให้อินเทอร์เน็ตของ ISP หลายรายในเขตเอเชียตะวันออกเฉียงใต้ทำงานได้ช้าลงหรือหยุดทำงาน แหล่งข่าวหลายแห่งออกมาระบุว่า สายเคเบิลใต้ทะเลที่เป็นเกตเวย์ออกอินเทอร์เน็ตที่ได้รับ ความเสียหายในช่วงสัปดาห์ที่ผ่านมาประกอบด้วย 4 สาย ได้แก่ Asia-American Gateway (AAG) – สายเคเบิลที่เชื่อมระหว่างเอเชียตะวันออกเฉียงใต้และสหรัฐฯ ระยะทางกว่า 20,000 กิโลเมตร ได้รับความเสียหาย 2 จุดห่างจากสถานีปลายทางที่ฮ่องกง 66 กิโลเมตร และ 85 กิโลเมตร Intra-Asia (IA) – สายเคเบิลของเครือข่าย Tata Global Network (TGN) ที่เชื่อมสิงคโปร์ เวียดนาม ฟิลิปปินส์ ฮ่องกง ญี่ปุ่น และสหรัฐฯ เข้าด้วยกัน ได้รับความเสียหายห่างจากฮ่องกง 54 กิโลเมตร ASE (Asia Submarine-cable Express) – สายเคเบิลของ NTT, PLDT, Telekom Malaysia และ Starhub ที่เชื่อมญี่ปุ่น ฮ่องกง ฟิลิปปินส์ มาเลเซีย และสิงคโปร์ ได้รับค...
Read more