美黑客事件新细节:后门导致信息泄露

  • 编译:wenwu

2015 年圣诞节前几天, Juniper 网络公司提醒用户,它已被入侵。在一份简短的声明中表示,该公司在其一种网络安全产品中发现了“未经授权的代码”,这使得黑客能够破译加密通信并获得对客户计算机系统的高级访问权限。进一步的细节不多,但 Juniper 网络明确表示后果很严重:它敦促用户“下载具有最高优先级”的软件更新。

五年多以后, Juniper 网络的漏洞仍然是计算机安全领域的一个不解之谜,这是对美国软件供应链的一次攻击,包括电信公司和美国军事机构在内的高度敏感的客户,将在该公司发布补丁之前遭受多年的间谍活动。

这些入侵者的身份尚未公开,如果除了 Juniper 之外还有其他受害者,他们至今还没有浮出水面。但是,该事件的一个关键细节早已为人所知——在 Juniper 网络于 2015 年发出警报的几天后,被独立研究人员发现——并继续引发人们质疑是,美国情报机构用来监视外国对手的方式。被攻击的 Juniper 网络产品是一种名为 NetScreen 的流行防火墙设备,其中包含由美国国家安全局(NSA)编写的算法。安全研究人员表示,该算法包含一个故意的缺陷——也称为后门——美国间谍可以用来窃听 Juniper 网络海外客户的通信。NSA 拒绝回应有关该算法的指控。

Juniper 网络的漏洞仍然很重要——也是美国国会不断质疑的主题——因为它强调了政府在技术产品中插入后门的危险。

俄勒冈州民主党参议员罗恩·怀登 (Ron Wyden) 在给彭博社的一份声明中说:“随着政府机构和被误导的政客继续推动后门进入我们的个人设备,政策制定者和美国人民需要充分了解我们的对手将如何利用后门。”他在去年要求 Juniper 网络和国家安全局就这一事件作出答复,并在10名或更多国会议员的签名信中要求他们作出答复。

在此背景下,彭博社的一项调查补充了重要的新细节,包括总部位于加利福尼亚州桑尼维尔的Juniper 网络(一家顶级计算机网络设备制造商)为何首先使用 NSA 的算法,以及谁是这次攻击的幕后黑手。

►据一位前美国高级官员和三名参与该决定或知情有关该决定简报的 Juniper 网络员工表示,Juniper 网络从 2008 年开始在 NetScreen 设备中安装了 NSA 代码——一种名为 Dual Elliptic Curve Deterministic Random Bit Generator 的算法——尽管该公司的工程师知道存在一些被专家认为是后门的漏洞。

据这位官员和三名员工表示,原因是国防部作为主要客户以及也是 NSA 的上级机构。所有尽管有其他更值得信赖的替代方案,但 NSA 仍坚持使用有后门的算法。三位员工表示,该算法刚刚在 NSA 的要求下成为联邦标准,以及三个类似的没有陷入争议的标准,而且五角大楼将 Juniper 网络的一些未来合同专门与Dual Elliptic Curve的使用挂钩。员工们表示,这一标准要求引起了一些 Juniper 网络工程师的担忧,但最终还是为了安抚一位大客户而添加了该代码。国防部拒绝讨论其与 Juniper 网络的关系。

►据参与 Juniper 网络调查的两名人士表示,一个与中共国政府有关联名为 APT 5 的黑客组织成员,在 2012 年劫持了 NSA 算法。彭博社审查了一份详细说明其调查结果的内部文件。黑客们改变了算法,因此他们可以破译通过NetScreen设备创建的虚拟私人网络连接流动的加密数据。据这些人和文件说,他们在2014年又回来了,并增加了一个单独的后门,使他们能够直接访问NetScreen产品。

虽然之前的报道将攻击归咎于中共国政府,但彭博社首次确定了黑客组织及其策略。据网络安全公司 FireEye Inc. 称,在过去的一年中,APT 5 涉嫌对数十家公司和政府机构进行工程入侵,该公司补充说,黑客长期以来一直试图识别或引入加密产品中的漏洞,以实现对加密产品的破坏。他们的最终目标是:美国、欧洲和亚洲的国防和技术公司。

►据参与 Juniper 网络调查的两名人士和内部文件称,在检测到其网络 2012 年和 2014 年的漏洞后, Juniper 网络未能理解其重要性或认识到它们之间存在关联。据知情人士和文件称,当时该公司发现黑客访问了其电子邮件系统并从受感染的计算机中窃取了数据,但调查人员错误地认为这些入侵是独立的,仅限于窃取公司知识产权。Juniper 网络拒绝回答彭博社的具体问题。该公司提供了一份声明,重申了其 2015 年对其 Netscreen 产品操作系统(称为 ScreenOS)的评论。

美国国家安全局拒绝对彭博置评。中共国外交部在一份声明中表示,“中方坚决反对和打击一切形式的网络攻击,反对在没有确凿证据的情况下对中共国进行任意贴上标签和恶意攻击。”“美国政府和相关机构对外国政府、公司和个人进行了大规模、有组织和不分青红皂白的网络盗窃、监视和攻击,”该部表示。“美国不应该再贼喊捉贼。”

美国政府围绕这种做法的机密政策而且如此保密,以至于批评者担心潜在的滥用行为。美国公民自由联盟的监视和网络安全顾问詹妮弗·斯蒂萨·格拉尼克 (Jennifer Stisa Granick) 表示, Juniper 网络的案件是“政府后门危险的完美例证”。“不存在只有美国政府可以利用的后门。”

NetScreen 是一家创新公司,Juniper 网络于 2004 年以 40 亿美元收购了它。其产品结合了防火墙(控制谁可以访问网络上的计算机)和 VPN(在用户数据通过 Internet 传输时对其进行加密)。据 Juniper 网络投资者介绍,客户包括主要银行和全球 10 家顶级电信公司中的 9 家。美国国防部也是一个主要客户,可以直接接触 Juniper 网络的高级员工。

据这位前美国高级情报官员和 Juniper 网络的三名员工称,五角大楼官员每年至少有一次前往 Juniper 网络总部会见一小群 NetScreen 的高级工程经理,以审查计划中的产品升级并确保它们符合联邦安全标准。这4人到 2008 年,代表美国国防部向 Juniper 网络提出了一个棘手的建议:如果该公司希望 NetScreen 有资格获得未来与军事和情报机构签订的某些合同,则需要将Dual Elliptic Curve算法添加到 NetScreen 的 ScreenOS 软件中。

NSA 算法旨在提高加密通信的安全性,尽管存在危险信号,但已被批准为政府系统的标准。2007 年,微软公司的研究人员发表了一篇技术论文,警告说它包含一个可能的后门。研究人员专注于称为“Q值”的东西,这是用于帮助创建加密密钥的算法中的一个大数字。当时,NSA 有它推荐的特定值。据研究人员称,无论谁选择了该值,都可以计算出这些密钥的秘密内容并最终解密通信。

尽管如此,美国国家标准与技术研究所——一个为联邦计算机系统制定安全要求的商务部机构——于 2008 年在 NSA 的指导下将该算法作为联邦密码标准的一部分,这是可以选择的四个标准之一。联邦机构和政府承包商必须遵循 NIST 指南,而私营部门也通常遵循这些标准。

Juniper 网络并不是唯一使用该算法的组织。

数百万网站使用其开源加密软件的 OpenSSL 也包含了这种后门。项目经理史蒂夫·马奎斯(Steve Marquess)在2013年写道,该项目的一个赞助商要求将其纳入,以满足NIST标准。他写道:“我们没有把[Dual Elliptic Curve]作为任何地方的默认值,我不认为有人会愚蠢到在现实世界中真正使用它。”

根据 NIST 维护的一个数据库,微软公司、思科系统公司和其他公司也将其包含在他们的产品中。Dual Elliptic Curve 通常包含在一个加密软件包中,其中包含所有四种联邦批准的算法,这些算法属于同一标准的一部分,公司可以决定是否或如何将它们提供给客户。据路透社2013年报道,行业先驱RSA安全公司在一项交易中从美国国家安全局获得了1000万美元,该公司将Dual Elliptic Curve作为一揽子加密软件的默认算法,并授权给其他技术公司。RSA及其所有者Symphony Technology Group没有对彭博社的消息,作出回应。

Juniper 网络错过了一条重要线索

在 2012 年的调查中,Juniper 网络了解到黑客从工程师的计算机中窃取了一个包含 NetScreen 的 ScreenOS 源代码的文件。据参与 2015 年调查的两名人士和该文件称,该公司没有意识到黑客很快就回来了,访问了一台在向客户提供新版本 ScreenOS 之前准备好的服务器并更改了代码。黑客的调整涉及更改 NSA 算法使用的 Q 值——这与微软研究人员多年前发现的漏洞完全相同。黑客使他们有可能绕过客户的加密并窃听他们的通信。

Juniper 网络在 2015 年 12 月的声明中表示,它在内部代码审查期间发现了篡改行为。据知情人士和文件称,该公司聘请了 FireEye 的 Mandiant 部门(数字取证领域的领导者)来帮助调查。知情人士说,调查得出的结论是 APT 5 是袭击的幕后黑手。

多年后,俄罗斯黑客被发现使用类似的方法,在总部位于德克萨斯州奥斯汀的 SolarWinds Corp. 的软件更新中插入后门,微软高管将这次攻击描述为“世界上最大、最复杂的攻击”。攻击者最终使用后门和其他方法渗透了 9 个美国机构和至少 100 家公司。

据 FireEye 称,去年,一个被怀疑是 APT 5 的组织以总部位于加利福尼亚州圣何塞的 Pulse Secure LLC 制造的VPN设备为目标,攻击了数十家公司和政府机构。Pulse Secure 的母公司 Ivanti Inc. 的首席安全官 Daniel Spicer 在一份声明中表示,攻击的幕后黑手是“高度复杂的威胁行为者”,但拒绝讨论“归因或动机”。该公司没有发现任何证据表明其源代码已被修改。“严格的代码审查只是我们为进一步加强我们的安全和保护我们的客户而采取的步骤之一,”他说。

根据斯诺登 2011 年泄露的一份文件,由于它们在电信系统中的核心作用,Juniper 网络一直是情报机构的长期目标。据透露,英国信号情报机构 GCHQ 在 NSA 知情的情况下,开发了针对至少 13 种不同型号的 NetScreen 防火墙的秘密攻击。其他机密的 NSA 备忘录支持网络安全专家对Dual Elliptic Curve的怀疑,表明 NSA 创建了一个后门并将算法推向 NIST 和其他标准机构。在基于这些文件的新闻文章中引用的一份 NSA 备忘录称这项努力是“技巧上的挑战”。

根据斯诺登的披露,NIST 在 2014 年撤销了对该算法的支持。 NIST 在一份声明中表示,其决定是“由于斯诺登披露所暗示的影响”。该机构表示,“加密技术的使用和实施植根于信任,NIST 不再完全信任为安全性所做的基本假设”。

Juniper 网络在 2015 年 12 月的技术公告中警告说,客户无法知道他们的 NetScreen VPN 流量是否被拦截和解密。虽然任何非法主密码的使用都会留下一个小记录,但Juniper 网络警告说,熟练的黑客可以删除它并有效地消除“该设备已被泄露的任何可靠签名”。

对于所有曲折和挥之不去的问题,网络安全专家和公民自由捍卫者表示,Juniper 网络事件显示了插入后门的危险——对间谍机构、相关公司及其客户而言。

“我们一次又一次地看到政府失去了对漏洞的控制,”加州大学伯克利分校法学院网络安全讲师吉姆·登普西说。“从整个Juniper 网络的磨难中得到的更大教训是,政府无法控制其脆弱性。” ——Michael Riley和Christopher Cannon合作

简评:

我们的互联网互动在政府军事力量的渗透下早已没有任何秘密可言,监听无处不在。比尔·格茨先生评论了该文章,并侧面认可了公众被监听是一种潜规则:这也发生在 Cisco Systems 路由器上,正如我所报道的,华为从 Cisco 那里窃取了专有的路由器技术,并将其与后门合并到了华为路由器中。斯诺登吹嘘美国国家安全局在华为内部并攻破了后门。

没有人可以为你保证这些政府工具不会被坏人所利用。华为就是一个很好的例子,它不仅仅应用于监听,更被利用到战争上!

本篇报道表示,中共国和俄罗斯之所以可以进入后门,那也是美国自己送上门的,位置刚刚好!

(文章仅代表作者观点,与GNEWS无关)

新闻来源:《雅虎财经》|作者:乔丹·罗伯森|发布时间:201年9月2日


审核:文乐
校对:信心满满
发布:信心的选择

0 评论
Inline Feedbacks
View all comments