Kiedy twórcy programu który podmienia jedne reklamy w przeglądarce na drugie mówią, że robią to by chronić naszą prywatność, trzeba uważać. Po analizie okazuje się, że program, który miał nas chronić, wystawia nas na duże ryzyko.
Na fali zainteresowania tematem programów podmieniających reklamy w trakcie korzystania z internetu specjaliści przyglądają się różnym rozwiązaniom. Jednym z nich jest PrivDog, element pakietu Comodo Internet Security, który w katastrofalny sposób wystawia użytkowników na ryzyko podsłuchania ich bezpiecznych połączeń.
Dla bezpieczeństwa podmienimy Ci reklamy
PrivDog reklamuje się jako aplikacja, która zapewnia „bezpieczniejsze, szybsze i bardziej prywatne przeglądanie sieci”. Stosuje w tym celu kontrowersyjne rozwiązanie – podmienia cudze reklamy na „zaufane”. Jej autorzy uzasadniają potrzebę użycia programu licznymi atakami na systemy reklamowe, których efektem była infekcja komputerów użytkowników odwiedzających popularne witryny internetowe. Co prawda najprostszym rozwiązaniem tego problemu jest AdBlock, ale załóżmy na chwilę, że PrivDog też wart jest uwagi – przy okazji także blokuje cudze ciasteczka, systemy statystyk oraz inne metody śledzenia użytkownika.
Aplikacja, by móc podmienić reklamy, musi mieć możliwość modyfikacji zawartości wyświetlanych przez nas stron WWW. W tym celu musi w szczególności przechwytywać i modyfikować połączenia SSL. By móc ten cel realizować, instaluje w systemie swój własny certyfikat. Działa jako serwer proxy, który najpierw odbiera stronę od serwera WWW (to połączenie jest szyfrowane certyfikatem serwera), a następnie pokazuje ją użytkownikowi z podmienionymi reklamami (ta część połączenia jest szyfrowana certyfikatem PrivDoga).
Certyfikatom ufamy w ciemno
Twórcy PrivDoga nie popełnili tego samego błędu, co autorzy Superfisha. PrivDog dla każdego komputera generuje osobny certyfikat, zatem jeden użytkownik nie może podsłuchiwać połączeń drugiego. Popełnili za to błąd znacznie poważniejszy. Okazuje się, że PrivDog łącząc się z zewnętrznym serwerem nie weryfikuje poprawności przedstawionego przez niego certyfikatu!
Jeśli zatem użytkownik PrivDoga połączy się z internetem np. w kawiarence internetowej, a jego połączenie zostanie przechwycone przez atakującego (chociażby przez złośliwy access point), to atakujący będzie mógł podszyć się pod stronę banku, poczty elektronicznej czy Facebooka, a PrivDog tak „zabezpieczy” to połączenie, że fałszywy certyfikat zaakceptuje, podmieni na swój i powiadomi użytkownika, że wszystko jest w najlepszym porządku.
Przykład działania aplikacji
Brak bezpieczeństwa jest zły – ale jego świadomość ma także swoją wartość. W tej sytuacji mamy do czynienia z najgorszym możliwym scenariuszem fałszywego złudzenia bezpieczeństwa. Przykre, że pod szyldem firmy Comodo, odpowiedzialnej za sporą część wystawionych certyfikatów SSL, odbywa się praktyka, która burzy cały ekosystem bezpieczeństwa szyfrowanej transmisji stron WWW. Wszystkim użytkownikom PrivDoga radzimy szybkie odinstalowanie tej aplikacji.
Źródła: blog Hanno, serwis Comodo
Komentarze
Dobre podsumowanie na końcu. Czasem lepiej z czegoś zrezygnować i mieć świadomość niższego poziomu bezpieczeństwa niż oszukiwać się pozorami. Szkoda tylko, że w mobilnych przeglądarkach nie ma odpowiednika Adblocka :(
/etc/hosts? :)
Chyba się tam nie dostanę :)
https://f-droid.org/repository/browse/?fdid=org.adaway
Tylko android z rootem :(
Innego nie uznaję.
OK, a jesteś pewny, że ten dodany do roota loader nie jest z jakąś niespodzianką? Pytam z ciekawości lub czystej zawodowej paranoi ;)
@steppe: Ma Androidzie mozna uruchomic Firefoxa, zainstalowac AdBlocka i Ghostery…
Mam,
Mam, ale działa tak powoli, że mnie trafia :)
Z drugiej strony: ile trzeba się naklikać, żeby odblokować reklamy na Zaufanej. /etc/hosts utrudniłby sprawę jeszcze bardziej ;)
Proszę bardzo. ABP na andro. https://adblockplus.org/en/android-install
disconnect, ewentualnie ghostery i po klopocie. przynajmniej one dzialaja jako rozszerzenia a nie w stylu mitm
To samo jest z Avastem. Domyślnie „osłania” WWW w tym połączenia HTTPS. Że wcześniej nie zwróciłem na to uwagi. Sprawdzam certyfikat takiego Facebooka u mnie: wystawione przez Avast!, sprawdzam SSL Checkerem: wystawione przez DigiCert…
Wiele antywirusów tak wykonuje skanowanie ruchu https, inaczej ochrona online stron na tym protokole nie istnieje. Można co najwyżej skanować cache przeglądarki lub pobrane już pliki.
Spybot search and destroy też puszczał ruch przez proxy, tyle że zostawiał je dostępne z internetu :)
Instalacja softu była równoznaczna z postawieniem publicznego proxy ;p Jak skanowałem w celu badawczym ułamek internetu (IP największych ISP) wychodziło w zależności od pory dnia ~30-60k aktywnych proxy :) Pula zebranych IP przez 3 dni testów 2x dziennie – 160k IP
Ciekawe jak u nich wygląda kwestia HTTPS
Comodo od zawsze był gównosoftem stwarzającym jeszcze większe zagrożenie niż goły system – bo dający fałszywe poczucie bezpieczeństwa.
Comodo nie jest autorem PrivDoga, był on dodawany tylko jako OPCJONALNY dodatek.
Rozumiem, że opcjonalny dodatek, ale wydaje mi się, że Comodo powinno uważać co dodaje do swojego instalatora. W ten sposób niszczy zaufanie części użytkowników, którzy w tego antywirusa wierzyli. Równie dobrze mogliby dać jakiegoś OPCJONALNEGO wirusa do swojego instalatora.
Drobne wyjaśnienia w tej sprawie od zespołu PrivDog: http://privdog.com/advisory.html