网络安全 频道

Adobe攻击分析:解决Adobe安全证书问题

  【IT168 应用】从理论上来看,用于保护计算系统的加密技术和算法是强大的,但是,即使是最强大的加密技术也无法避免部署问题和软磨硬泡(Rubber -hose) 攻击。即使你投入大量时间来保护公钥基础设施(PKI),仅一个漏洞就可以破坏整个基础设施。特别是面对这种情况:攻击者可以使用Adobe的证书对恶意软件签名,从而将恶意代码伪装成合法Adobe软件更新。在本文中,我们将对这种Adobe攻击进行分析以了解Adobe证书带来的安全问题,并探讨企业应该采取哪些措施来保护自己。

  Adobe攻击分析

  对Adobe的攻击是使用恶意签名软件的几种攻击之一。Stuxnet和Flame都是利用偷来的或有效证书来签名恶意软件以逃避潜在的windows防御。基于Adobe的安全证书问题,攻击者能够使用Adobe的数字代码签名来对恶意软件签名,使该恶意软件看起来像是合法的Adobe软件。根据Adobe安全主管Brad Arkin表示,Adobe已经撤销了有问题的证书,但这样做并没有解决这种攻击中所利用的所有安全漏洞。

  Adobe使用硬件安全模块(HSM)来更好地保护用于软件签名的证书。HSM可以提供高水平的安全性来保护私钥,为某些类型的加密提供更高的性能,但HSM部署带来安全挑战,特别是在私钥的访问方式方面。它们通常提供几种不同的方法来控制对私钥的访问,包括密码保护、双因素身份验证(生物特征识别、智能卡等)以及分割密钥身份验证。然而,从部署和安全方面来看,每种方法都有优点和缺点。例如,为了自动化某些加密操作,例如签名,一些HSM允许这些功能在不使用密码的情况下执行,这种设置需要其他补偿性控制来防止对HSM的访问。Adobe很有可能在其软件构建过程使用了这种免密码方式来签名文件,从而使攻击者能使用Adobe证书来签名恶意软件。

  企业应该如何应对恶意Adobe签名软件

  笔者在Flame恶意软件攻击中建议使用的保护措施同样可以用于抵御恶意Adobe签名软件。企业可以使用反恶意软件来阻止这种恶意更新,并将Windows配置为只执行签名软件,或者使用白名单来帮助阻止攻击。此外,维持基本的保护以及保持软件更新将有助于减少全面攻击的可能。企业可以对下载的文件进行恶意软件扫描,同时,企业也可以检查是否存在使用吊销证书签名的软件。对于下载的签名软件也应该执行这种吊销证书检查,但这可能不是所有补丁管理软件的默认配置。企业还可以检查签名软件上从官方渠道接收的哈希值,但狡猾的攻击者可能也会伪造这些值。

  最可能受Adobe问题安全证书影响的是自动安装更新的用户,由于这些恶意更新伪装成合法更新,因此它们可能被自动安装在不知情的系统上。这可能会逃避所有允许Adobe更新的白名单保护。与恶意Adobe签名更新相比,老版本的Adobe Reader存在更大的风险,因为Reader的安全性经常受到破坏,而通过Adobe更新过程部署恶意软件是不可能的。其他软件制造商可能不会像Adobe一样使用HSM来加强保护,因为这样太贵,但他们的基础设施都很容易受到攻击。

  结论

  简而言之,虽然PKI很复杂且难以正确部署,但对最终用户而言,它必须是简单的,并且它对计算生态系统的安全性是至关重要的。鉴于这些竞争要求,企业应该预想到PKI会受到破坏,他们必须准备一个应急预案计划来尽量减小对企业、其客户和用户的影响。Adobe通过其软件安全开发生命周期已经取得了显著的进步,并通过HSM采取了合理的安全预防措施,但是,这一攻击事件表明,如果攻击者获取了对基础设施的特权访问,这种访问可以被用来破坏系统。

0
相关文章