06.11.2015 | 11:54

Adam Haertle

Poważne problemy Protonmail, czyli wyzwania szwajcarskiego hostingu

Usługa bezpiecznej poczty Protonmail ma od kilku dni bardzo poważne problemy. Jest obiektem silnych ataków DDoS, z którymi nie potrafi sobie poradzić szwajcarska serwerownia ani dostawca łącza. Nie pomogło nawet zapłacenie okupu.

Tego, jak bolesny może być skuteczny atak DDoS, doświadcza jedna z firm które należy szanować za wkład w bezpieczeństwo naszej komunikacji. Trwające już trzeci dzień ataki na serwis Protonmail pokazują, jak pewne założenia bezpiecznej architektury mogą się mścić w przyszłości.

Poczta jest bezpieczna

Protonmail to usługa bezpiecznej poczty założona dwa lata temu przez trzech pracowników CERN. Model funkcjonowania zakłada, że szyfrowanie komunikacji odbywa się po stronie klienta i sam dostawca usługi nie widzi treści korespondencji. Serwery zlokalizowano w Szwajcarii, poza jurysdykcją USA lub Unii Europejskiej. Niestety okazuje się, że taka ich lokalizacja choć przynosi korzyści w obszarze ochrony prywatności, to powoduje także problemy po stronie bezpieczeństwa.

Tuz przed północą 3 listopada Protonmail otrzymał propozycję nie do odrzucenia od grupy przedstawiającej się jako Armada Collective. Oferta była prosta – albo zapłacicie 15 BTC, albo zostaniecie zaatakowani. Komunikacji towarzyszył pierwszy atak pokazowy, trwający 15 minut. Atak były na tyle skuteczny, że serwer przestał być dostępny. Komunikaty o sytuacji pojawiały się jedynie na Twitterze.

Firma nie zapłaciła okupu i około godziny 11 następnego dnia zaczął się atak wolumetryczny na adres IP serwera poczty. Ten scenariusz wydarzeń był już poprzednio znany w Szwajcarii – Protonmail nie był pierwszą ofiarą tej grupy. Dostawca zaczął filtrowanie ruchu, jednak po kilku godzinach atak przybrał inną formę.

Niecodzienne ataki

W drugiej fazie obiektem ataków stała się serwerownia oraz infrastruktura operatora dostarczającego łącze. Rutery w Zurychu, Frankfurcie i innych lokalizacjach były atakowane z użyciem przepustowości osiągającej 100Gbps. Ataki doprowadziły do niedostępności całej infrastruktury serwerowni oraz operatora. Skala i poziom zaawansowania technicznego ataków znacznie wybiegł poza obserwowane wcześniej zdarzenia. Pod presją operatora Protonmail zdecydował się zapłacić okup, jednak ataki nie ustały.

Grupa, która stała za szantażem, przekazała w osobnej wiadomości, że nie jest odpowiedzialna za nową falę ataków. Operator sieci, nie mogąc pozwolić na przedłużenie niedostępności usług, przestał rozgłaszać prefiksy adresów IP używanych przez Protonmail. Istnieje podejrzenie, że za drugą falą ataków stała grupa o dużo wyższym poziomie technicznego zaawansowania.

Mimo wysiłków administratorów serwis pozostawał w dużej mierze niedostępny. Wczoraj na krótko pojawił się ponownie w sieci, jednak ataki są kontynuowane i użytkownicy już trzeci dzień z rzędu nie mogą dostać się do swojej poczty. Dane są bezpieczne – lecz nie bez powodu jednym z trzech podstawowych elementów bezpieczeństwa jest, oprócz poufności i integralności, także dostępność, której tu zabrakło.

Zrzutka na rozwiązania anty-DDoS

Po zbadaniu sytuacji i licznych konsultacjach Protonmail musiał pogodzić się z tym, że zapewnienie dostępności serwisu z jednoczesnym zachowaniem jego poziomu prywatności może kosztować około 100 tysięcy dolarów rocznie. Nie dysponując takim budżetem założyciele serwisu ogłosili zbiórkę na pokrycie kosztów instalacji i obsługi odpowiedniego sprzętu.

Promocja zbiórki

Promocja zbiórki

Na razie celem jest 50 tysięcy dolarów – w ciągu pierwszych 16 godzin zebrano już 14 tysięcy.

Inne problemy Protonmail

Niestety szyfrowanie poczty to bardzo skomplikowane zadanie. By je uprościć dla użytkownika Protonmail musiał zdecydować się na kilka rozwiązań prostych, ale przez to także mniej bezpiecznych. Wykorzystanie JavaScriptu do szyfrowania poczty zostało już wykorzystane do przeprowadzenia skutecznego ataku na użytkowników tego serwisu (błędy zostały oczywiście naprawione). Z kolei składowanie klucza prywatnego PGP na serwerze dostawcy narusza model bezpieczeństwa PGP – jednak bez tego elementu usługa nie byłaby taka wygodna w obsłudze.

Protonmail, używany przez ponad pół miliona internautów, planował w najbliższych tygodniach otworzyć rejestrację nowych kont (do tej pory obowiązywały zapisy i kolejka była spora) a także sprzedawać wyższe pakiety. Pytanie, czy trwające ataki nie spowodują opóźnień. Trzymamy kicuki za powodzenie operacji walki z DDoSem.

Powrót

Komentarze

  • 2015.11.06 12:25 marti

    Wystarczy zapytać komu zależy, aby poczta nie była zabezpieczona.

    Odpowiedz
    • 2015.11.06 14:16 ToJa

      Mi bo jestę hakerę i chce czytać cudzą pocztę.

      Odpowiedz
  • 2015.11.06 12:58 A6RV2ow

    Niech zrobią domenę onion i sprawdzą wyniki.

    Odpowiedz
  • 2015.11.06 13:13 janisik

    W przypadku Protona bardziej cenię sobie poufność niż dostępność..mogę poczekać dzień dwa na „tego” maila.

    Odpowiedz
    • 2015.11.07 14:26 Mich@L

      Dokładnie, co więcej nie planowałem płacenia za to konto, ale w obecnej sytuacji jestem gotów zapłacić aby im pomóc.

      Odpowiedz
  • 2015.11.06 14:00 Mateusz

    Mam pytanie, panie Adamie a jaka jest skuteczna walka z atakami typu DDOS.

    Odpowiedz
    • 2015.11.06 21:11 Jacek

      To zależy od różnych czynników, typu i wielkości ataku, typu i wielkości chronionego serwisu, po zasobność Twojego portfela. A bronić się możesz zaczynając od dobrego skonfigurowania swoich serwerów, zakupu różnych magicznych skrzynek czy ukrywaniu serwisu za różnymi chmurami lub scrubbing centrami. Różne rozwiązania sprawdzają się lepiej lub gorzej w różnych sytuacjach i w różnym stopniu obciążają kieszeń. Do tego w trakcie ataku dochodzi współpraca ze swoim operatorem i pewnie jeszcze kilka innych rzeczy, które można zrobić.

      Odpowiedz
    • 2015.11.07 19:25 Kamil

      Odbijanie ich jak najdalej od celu, najpopularniejsza metoda polega na bazującym na netflow dynamicznym przekierowywaniu przy pomocy BGP całego ruchu na rozproszone, wysokowydajne firewalle, które mają za zadanie „czyścić” ruch z DDoS. Scrubbing Centers to nośny temat w ostatnich latach. Oczywiście jest to usługa, którą można wykupić u operatora, ale są też inne, np. strony internetowe (ostatnio zwane webaplikacjami) wykorzystują tzw. Content Delivery Networks (CDN, inna nazwa to ADN), chociaż fakt faktem użycie CDNa nie jest najlepszym sposobem dla Protona, ze względu na sposób jego działania i koncentrację na bezpieczeństwie.

      Odpowiedz
  • 2015.11.06 15:00 JohnnyElevenFingers

    NSA? GCHQ? Nieprawdopodobne wahania BTC i zaburzenie przepływu informacji szyfrowanej jest tym organizacją (w moim mniemaniu przestępczym) jak najbardziej na rękę.

    Odpowiedz
  • 2015.11.06 15:51 imie

    > Nie pomogło nawet zapłacenie okupu

    idioci

    Odpowiedz
  • 2015.11.06 18:45 iktor

    prosze dodac zrodlo securweb.wordpress.com

    Odpowiedz
    • 2015.11.06 19:16 Adam

      Naprawdę sądzisz, że artykuł został napisany na podstawie tego bloga? Po czym wnosisz?

      Odpowiedz
      • 2015.11.07 00:31 iktorn

        Po 928 znajomych na linkedinie no chyba nie myślałeś że w gre wchodzi jakaś inna kwestia, być może jesteś zdolny ale ja mam większe znajomości więc Adamie umieść to źródło zanim zniszczymy cię całkowicie i doszczętnie !!!
        Masz czas do jutra do 24:01

        Odpowiedz
      • 2015.11.07 12:26 iktor

        po schodach

        Odpowiedz
    • 2015.11.06 21:44 qrwik

      reklama dzwiniom chandlu :]

      Odpowiedz
    • 2015.11.06 22:51 MassAttack

      Całkiem niezła reklama Iktorze.

      Odpowiedz
    • 2015.11.07 11:08 hoek

      HAHAHAHAHAHAHA, dawno nikt mnie tak z rana nie rozbawił w tematyce co, skąd i gdzie :)

      Odpowiedz
  • 2015.11.06 20:28 olo

    Witam czy wiadomo jakie numery IP DDoSują ten serwer.

    Odpowiedz
    • 2015.11.09 07:52 Mikelos

      Tak wiadomo, 127.0.0.1/16

      Odpowiedz
  • 2015.11.07 12:48 tak

    Jedyna wada, która powodowała, że nie korzystam często z tego maila to zbyt mały rozmiar załącznika, gdyby był do 100MB to nie byłoby żadnych problemów z tą pocztą w moim przypadku. A propos tematu to dziwi mnie, że aż tyle kosztuje filtrowanie ruchu, nawet ich IP nie było na cloudflare jak kiedyś sprawdzałem.

    Odpowiedz
  • 2015.11.07 14:58 ToJa

    CloudFlare nie poradzi na tego typu atak? Chociaż z drugiej strony nie wiadomo, czy wtedy bezpieczeństwo samej usługi by nie spadło.

    Odpowiedz
  • 2015.11.07 17:11 Seweryn

    W dalszym ciągu walczą z atakiem. Jestem ciekaw jak sprawy się potoczą. Adamie jak będziesz wiedział coś więcej to zaktualizuj wpis :)

    Odpowiedz
  • 2015.11.07 17:33 kez87

    A dlaczego nie wysyłać zaszyfrowanych wiadomości przez zwykłego maila i czym się to właściwie różni od tych maili „bezpiecznych” ?

    Odpowiedz
    • 2015.11.07 19:32 Duży Pies

      W zwykłej poczcie możesz użyć PGP/GPG: http://sekurak.pl/szyfrowanie-poczty-w-thunderbird/ Tylko że nie każdy to ogarnie, geeki – tak, lamy – nie, no i lam jest niestety więcej…
      .
      W Protonie szyfrowanie jest „z automatu”. Do tego dochodzi fajna funkcja jak kasowanie/zamazywanie emaila po pewnym określonym interwale.
      .
      Mam nadzieję że Proton wyjdzie z tego zahartowany, bo co nas nie zabije, to nas wzmacnia. Zapewne w Protonie jest już dawno po burzy mózgów i chłopaki myślą jak się na przyszłość zabezpieczyć. Trzymam za nich kciuki, w końcu mam tam pocztę:)

      Odpowiedz
    • 2015.11.07 21:35 Qba

      Tu masz wiadomość zaszyfrowaną od momentu wysłania, poprzez transmisje i składowanie na serwerach pocztowych. Informacje są bezpieczne tak jak kiedyś pieniądze w Szwajcarskich bankach;)

      Odpowiedz
      • 2015.11.10 17:18 kez87

        ” Informacje są bezpieczne tak jak kiedyś pieniądze w Szwajcarskich bankach;” – czyli słabiej niż trzymanie w domu.Odpowiedź @Dużego_Psa raczej wyjaśniła wszystko. A „bezpieczny od momentu wysłania” znaczyć może „nie jest bezpieczny PRZED wysłaniem” :P
        Przy ręcznym szyfrowaniu – też przez jakiś czas tak jest.Ale z natury większe zaufanie można mieć do siebie i swojego oprogramowania (no chyba,że jest się totalną lamą) a nie do usługodawców.

        Odpowiedz
  • 2015.11.07 18:51 Piotr

    A może to po prostu atak ze strony kogoś, kto oferuje usługi zabezpieczające przed atakami ddos? Business is business.

    Odpowiedz
    • 2015.11.07 19:40 Duży Pies

      Można wycinać ruch na sieci WAN, ale to walka z Hydrą.
      .
      W Polsce NASK/CERT/ABW zrobiło ARAKISa: http://www.arakis.pl/pl/ – rozproszony IDS/IPS który monitoruje i wycina agresywny/złośliwy ruch.
      .
      W Protonie jest o wiele trudniej, bo to projekt nierządowy, żadna 3-literowa agencja nie pomoże – niektórym z nich jest to nawet na rękę.

      Odpowiedz
  • 2015.11.08 10:00 dg

    No jakto komu zależy aby poczta nie była bezpieczna ? NSA, GCHQ, ABW, CBA, US, ZUS, PIP, prokuratura oraz inne urzędy

    Odpowiedz
  • 2015.11.08 16:29 Mich@L

    Działa

    Odpowiedz
  • 2015.11.09 07:57 Bastek

    Nie tylko Protonmail ma problem z atakiem DDOS:
    https://help.hushmail.com/entries/107539976

    Chyba ktoś postanowił zarobić parę groszy na „bezpiecznych” mailach.

    Odpowiedz
  • 2015.11.09 08:36 zoho

    TAKIE SAME PROBLEMY Z ATAKAMI DDoS ma zoho.com . W ubiegłym tygodniu też były przerwy w dostępie do poczty. Dziś zoho opublikowała komunikat na ten temat. Zoho to nie tylko poczta, ale i aplikacje webowe takie jak dokumenty, CRM i mnóstwo innych fajnych apek. Większość usług nie była dostępna. Ich polityka prywatności jest również na bardzo wysokim poziomie i to nie jest drugie google, dlatego korzystam z ich usług.

    Odpowiedz
  • 2015.11.09 10:49 e

    A Anonymous wielbiciele prywatności w sieci gdzie są? W tej sytuacji mogli by być przydatni, a zamiast tego polują na niedobitki KKK.

    Odpowiedz
    • 2015.11.09 23:11 RzecznikAnonymous

      Tu są i kkk jest ważniejszy bo gra nie idzie o bezpieczeństwo tylko o prywatność, korposzczury nie wiedzą albo w najlepszym wypadku zapomniały, że wszystkie wysiłki powinny iść w ochronę prywatności, nie „bezpieczeństwa” a wtym wypadku zniszczenie KKK jest kluczowe bo na miejsce pmaila powstanie milion innych a na miejsce KKK nic – ponieważ są nie wystarczająco rozgarnięci

      Odpowiedz
    • 2015.11.09 23:12 RzecznikAnonymous

      To była odpowiedź specjalnie dla ciebie, czuj się wyróżniony
      bo użyłem twojego ojczystego języka co nie było proste jako że jestem z pochodzenia Kalifornijczykiem

      Odpowiedz
  • 2015.11.10 08:53 WTF

    Serwis tak bardzo security focused a nie slyszeli o XSS i output escaping!? Ja podziekuje…

    Odpowiedz
  • 2015.11.12 09:56 japko

    a co jeśli proton sam zddosował swoje serwery, by zachęcić użytkowników do wpłat :D

    Odpowiedz

Zostaw odpowiedź do Mikelos

Jeśli chcesz zwrócić uwagę na literówkę lub inny błąd techniczny, zapraszamy do formularza kontaktowego. Reagujemy równie szybko.

Poważne problemy Protonmail, czyli wyzwania szwajcarskiego hostingu

Komentarze