Антивирусное ПО и межсетевые экраны перехватывают защищенный трафик, уменьшая безопасность интернет-соединения

Группа исследователей совместно с Mozilla, Cloudflare и Google сделали анализ распространения методов локального перехвата HTTPS-трафика и их влияния на безопасность сетевых соединений.

Представители Мичиганского университета (University of Michigan), Иллинойсского университета в Урбан-Шампейне (University of Illinois Urbana-Champaign), Калифорнийского университета в Беркли (University of California Berkeley), Международного института компьютерных исследований (International Computer Science Institute) совместно с Mozilla, Cloudflare и Google провели анализ распространения методов локального перехвата HTTPS-трафика и влияния такого перехвата на сетевую безопасность. Результаты превзошли опасения исследователей: оказалось, что 4-11% HTTPS-трафика перехватывается и анализируется сторонним ПО на стороне клиента, в т.ч. антивирусным ПО и межсетевыми экранами, при этом в большинстве случаев подобный перехват приводит к уменьшению уровня защиты соединения. 

Под локальным перехватом подразумеваются случаи анализа HTTPS-трафика с использованием программного обеспечения, установленного на системе пользователя (например, антивирусное ПО), или применением корпоративных шлюзов инспектирования трафика, работающих в виде прокси. Подобные системы перехватывают обращение клиента, затем от своего лица и с собственным сертификатом транслируют HTTPS-запрос на сервер, получают ответ и отдают его клиенту в рамках отдельного HTTPS-соединения, установленного с использованием SSL-сертификата перехватывающей системы. Для сохранения индикатора защищённого соединения в браузере на машины клиента устанавливается дополнительный корневой сертификат, позволяющий скрыть работу применяемой системы инспектирования трафика.

Исследователи разработали ряд эвристических методов, позволивших на стороне сервера выявить факты перехвата HTTPS и определить какие именно системы использовались для перехвата. На основании заголовка User Agent определялся браузер, а затем сравнивались специфичные для браузера и фактические особенности устанавливаемого TLS-соединений. Более того, сопоставив такие характеристики TLS-соединения, как параметры по умолчанию, поддерживаемые расширения, заявленный набор шифров, порядок определения шифров и методы сжатия, удалось достаточно точно определить конкретный продукт, применяемый для перехвата трафика.

Серверные компоненты для определения подмены HTTPS-соединения были установлены на серверы распространения обновлений для Firefox, в сеть доставки контента Cloudflare и на некоторые популярные интернет-магазины. В итоге, на серверах обновления Firefox выявлено 4% перехваченных запросов, в интернет-магазинах — 6.2%, а в CDN-сети Cloudflare — 10.9%. В 62% случаев использование корпоративных систем инспектирования снижало безопасность соединения из-за применения менее надёжных алгоритмов шифрования, а в 58% случаев соединения были подвержены известным уязвимостям. В 10-40% случаев системы перехвата анонсировали при установке соединения с сервером поддержку небезопасных шифров, подверженных MITM-атакам.

Из рассмотренных 12 шлюзов инспектирования только 5 предлагали актуальный набор шифров, 2 вообще не осуществляли верификацию сертификатов (Microsoft Threat Mgmt и WebTitan Gateway). 24 из 26 протестированных систем перехвата, работающих на компьютере клиента (как правило антивирусы), снижали общий уровень безопасности HTTPS-соединения. Актуальные наборы шифров предоставлялись в 11 из 26 продуктов. 5 систем не осуществляли верификацию сертификатов (Kaspersky Internet Security 16 Mac, NOD32 AV 9, CYBERsitter, Net Nanny 7 Win, Net Nanny 7 Mac). Продукты Kaspersky Internet Security и Total Security подвержены атаке CRIME. Продукты AVG, Bitdefender и Bullguard подвержены атакам Logjam и POODLE. Продукт Dr.Web Antivirus 11 позволяет откатиться на ненадёжные экспортные шифры (атака FREAK).

Opennet.ru также обращает внимание, что поддерживаемая современными браузерами возможность привязки сертификата к сайту (public key pinning) не работает в случае применения систем локального перехвата трафика. Chrome, Firefox и Safari выполняют данную проверку только если цепочка проверки ключей связана с сертификатом удостоверяющего центра. Проверка не выполняется, если цепочка верификации завершается локальным корневым сертификатом, установленным администратором.

Mozilla и Google, напомним, недавно анонсировали новые методы предупреждения пользователей при использовании ими непроверенных сертификатов. В последних обновлениях веб-браузеров Chrome и Firefox (версии, соответственно, 56 и 51) пользователи будут получать предупреждение, если они решат передать конфиденциальную информацию через незащищённое соединение HTTP вместо HTTPS. Эти предупреждения уже действуют в бета-версиях обоих браузеров, но их переход к основной версии произойдёт только при достижении большого количества пользователей. А в конце января этого года бывший разработчик Firefox Роберт О`Каллахан сделал экстравагантное заявление, что что полезность антивирусных программ практически не доказана. Программист написал в своем блоге, что пользователям антивирусов стоит их удалить и больше не покупать, поскольку их эффективность в защите весьма сомнительна. При этом антивирусники снижают производительность устройств, на которых они установлены, и занимают определенный объем оперативной памяти. Эксперт-программист сообщил, что исключение в данном вопросе составляют пользователи ОС Windows, которые не смогут работать без антивирусного программного сопровождения. По словам О’Каллахана, операционная система от компании Microsoft очень подвержена вредоносному воздействию системных вирусов.

Роберт О’Каллахан пишет, что антивирусное программное обеспечение «отравляет экосистемы разработчиков браузеров и другого софта», что значительно усложняет их создание. Также он считает, что нестабильная и медлительная работа приложений, на которую часто жалуются пользователи ПО, вызвана антивирусами, которые усложняют работу с ПО.

Читайте также:

Сервисы Google всё активнее используют шифрование трафика. Лидер — YouTube, который шифрует уже 97% подключений
?
ProtonMail вступает в борьбу против государственной цензуры с помощью Tor
?
Chrome и Firefox будут предупреждать пользователей при передаче чувствительных данных через незащищённый протокол
?
Бум шифрования: объём защищённого трафика в Сети перевалил за 50%
?
Государственный MITM-перехват: Наталья Касперская подтвердила желание властей дешифровать весь интернет-трафик россиян