جعل گواهی امنیتی SSL گوگل

تمامی مطلب ذکر شده از بلاگ آزادی می باشد:

طبق اخبار منتشر شده طی این چند روز، برخی از کاربران داخل ایران هنگام دسترسی به سرویس گوگل با پیغام خطای امنیتی مواجه شدند. خبرها ابتدا در بخش Help گوگل و سپس در وبلاگ امنیتی موزیلا منتشر شد تا این‌که نهایتا گوگل با تایید این موضوع، مطلبی را در بخش امنیتی وبلاگ خود منتشر کرد. طبق این خبر و سایر اطلاعات موجود، مهاجم یا مهاجمان این حمله از روزهای آغازین هفته جاری (۵ شهریور ۱۳۹۰) با تلاش برای جعل کردن گواهی امنیتی DigiNotar (نسخه Decode شده گواهی‌نامه) قصد سرقت اطلاعات کاربران گوگل از ایران را داشته‌اند. در این حملات که از طرف گوگل با نام SSL man-in-the-middle (MITM) attacks معرفی شد، شخص سومی با قرار گرفتن بین اطلاعات ارسال شده کاربر به سرویس‌های رمزنگاری شده، تلاش می‌کنند تا با جعل کردن گواهی امنیتی، آن‌ها را به سرقت ببرد.

این اقدام غیر قانونی توسط گروهی وابسته به حفاظت اطلاعات س؟؟ه با هماهنگی و همکاری مستقیم شرکت ارتباطات زیر ساخت در حین تست دوباره اینترنت ملی انجام شده و ای اس پی های محلی شما در این مورد مستقیما مقصر نیستند.

در گذشته دو شرکت شاتل و داتک در تهران با همکاری همین تیم روی این نوع جعل گواهی تلاشهایی را انجام دادند و در یک دوره زمانی حدودا ۱۴ روزه موفق هم شدند البته در ان زمان عموم کابران اینترنت به واسطه یک ایمیل جعلی که توسط همین تیم منتشر شد تصور میکردند گواهی اس اس ال توسط یک هکر مستقل جعل شده در حالیکه این یک اقدام دولتی بود که با واکنش بین المللی هم مواجه شد .

چون این گروه از طریق شرکت ارتباطات زیر ساخت ، دسترسی سخت افزاری به تمام مراکز اصلی و سیستمها و رک و ها فایروالهای کنترل اینترنت کشور دارند بهمین دلیل میتوانند در مبادی اصلی ورود و خروج دیتای کشور تنظیماتی را اعمال کنند ( همین گروه هر وقتی مایل هستند اینترنت را قطع و وصل و کند و .. میکنند و یا روی سیستمهای موبایل اختلال ایجاد میکنند و .. ) برای مثال موقعی که شما قصد ورود به جیمیل دارید به جای کلید اصلیش کلیدی تقلبی برای مرورگر شما ارسال شود البته همین کار خود دقت بالایی میطلبد چون باید عملا سرور جیمیل فریب بخورد و دیتایی که برایش فرستاده میشود کپی کامل کلید اصلیش باشد تا تصور کند مسیر امن است و مجوز ورود به ایمیل بدهد البته مشگل سمت کاربر بدلیل تنوع و سیاست مختلف مرورگرها همچنان پا برجاست به همین دلیل مرورگر بسیاری از افراد با ارور نا امن بودن کلید اس اس ال مواجه شد . این اعمال در قوانین کشور ایران و قوانین بین المللی جرم بزرگی محسوب میشود .

نکته : پیشنهاد ما از اخرین نسخه پایدار مرورگرهای فایرفاکس و یا گوگل کروم برای وبگردی استفاده کنید . فایرفاکس ۶ و اخرین نسخه کروم هم اینک از چنین حمله ای مصون میمانند و به شما در چنین مواقعی به خوبی اخطار میدهند . اگر فایرفاکس ۵ دارید بسرعت انرا با نسخه ۶ تعویض کنید .

شرکت امنیتی f-secure هم در این مورد اطلاعیه ای را منتشر کرده است و یاد اوری میکند که اگر مرورگر شما در زمان دسترسی به جیمیل چنین اخطاری میدهد، از ورود به جیمیل خودداری کنید و چند دقیقه بعد مجددا برای ورود به جیمیل تلاش کنید . همچنین توصیه می‌شود پس از آپدیت مرورگر خود اقدام به تغییر کلمه عبور خود در جیمیل کنید . همچنین کاربرانی که برای وبگردی از N‏P‏‏V‏ و دیگر ابزارهای عبور ویژه برای وبگردی استفاده میکنند ، از این حمله در امان هستند.

نکته مهم تر : همچنان که دیدید ممکن است کلید اس اس ال به واسطه هزینه هنگفت و کار تمام عیار و بلند مدت با امکانات دولتی روی یک کلید خاص هک شود .( در گذشته تصور میشد غیر قابل هک است ) کلید های وی پی ان رمز نگاری شده PPTP هم ممکن است با عملکرد کمی مشابه به طریقی هک و شنود شوند این نکته در مورد L2TP/IPSec VPN مشگل تر است و در مورد SSTP VPN بدلیل اینکه میتوان برایش رمزهای اس اس ال بسیار قویتر از HTTPS و پورتهای بی ربطی تعیین کرد عملا نا ممکن است همچنین در حالت اوپن وی پی ان هم چون میتوان بطور عجیبی انرا با کلید های بالای ۲۰۴۸ بیتی رمزنگاری کرد همچنان ناممکن است پس اگر میخواهید جدا از امنیت فوق العاده ای برخوردار شوید بهتر است از SSTP VPN روی ویندوز ۷ و یا Open VPN روی کلاینت لینوکس و مک بهره ببرید . یاد اوری میکنم که اگر قرار است کار خاص و پر خطری انجام ندهید و مثل اکثر کاربران ایرانی صرفا وبگردی عمومی میکنید وی پی انهای معمولی ( حتی رمز نشده ) که عموما در این صفحه و دیگر پستهای سایت معرفی میشوند هم برایتان کاملا کفایت کرده و امنیت مورد نظر را تامین میکند .

حال این خبر را با اخباری که چند ماه پیش در مورد شکسته شدن رمزنگاری SSL در اینترنت توسط یک جوان ایرانی مطرح شده بود مقایسه کنید. بر طبق آخرین اطلاعات وی با عنوان این مشکل به یکی از شرکت های هلندی و ارائه مدارک انها را از آسیب پذیر بودن رمزنگاری SSL مطلع کرده بود وی در ادامه از وجود جدیدن حفره امنیتی دیگر در SSL  خبر داده بود.