搜索

[16898] 2021-06-12_供应链攻击，从源头上摧毁信任的故事在40年前就已上演

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2021-06-12_供应链攻击，从源头上摧毁信任的故事在40年前就已上演 供 应 链 攻 击 ， 从 源 头 上 摧 毁 信 任 的 故 事 在 4 0 年 前 就 已 上 演 k i r a z h o u   F r e e B u f   2 0 2 1 - 0 6 - 1 2 从 从 N o t P e t y a 到 到 S o l a r W i n d s ， 这 是 一 个 不 会 很 快 消 失 的 问 题 。 ， 这 是 一 个 不 会 很 快 消 失 的 问 题 。 长 期 以 来 ， 网 络 安 全 问 题 一 直 被 老 生 常 谈 地 用 一 些 简 单 的 信 任 术 语 来 描 述 ： 要 提 防 陌 生 来 源 的 电 子 邮 件 附 件 ， 不 要 将 凭 据 交 给 欺 诈 性 网 站 。 但 是 ， 越 来 越 多 老 练 的 黑 客 正 在 破 坏 这 种 基 本 的 信 任 感 ， 并 提 出 一 个 关 键 性 问 题 ： 如 果 构 成 网 如 果 构 成 网 络 的 合 法 硬 件 和 软 件 从 源 头 上 受 到 损 害 怎 么 办 ？ 络 的 合 法 硬 件 和 软 件 从 源 头 上 受 到 损 害 怎 么 办 ？ 这 就 是 供 应 链 攻 击 ， 一 种 攻 击 者 将 恶 意 代 码 甚 至 恶 意 组 件 插 入 受 信 任 的 软 件 或 硬 件 中 的 攻 击 方 式 。 通 过 攻 击 单 个 供 应 商 ， 攻 击 者 可 以 劫 持 其 分 发 系 统 ， 将 供 应 商 销 售 的 任 何 应 用 程 序 、 推 出 的 任 何 软 件 更 新 ， 甚 至 是 他 们 运 送 给 客 户 的 物 理 设 备 ， 都 变 成 特 洛 伊 木 马 。 通 过 一 次 “ 适 当 ” 的 入 侵 ， 攻 击 者 就 能 以 供 应 商 的 客 户 网 络 为 跳 板 ， 斩 获 成 百 上 千 的 受 害 者 。 这 是 因 为 攻 击 者 清 楚 攻 击 者 清 楚 — — 客 户 是 信 任 其 整 个 生 态 的 ， 包 括 信 任 自 己 的 供 应 商 的 。 他 们 客 户 是 信 任 其 整 个 生 态 的 ， 包 括 信 任 自 己 的 供 应 商 的 。 他 们 “ 巧 妙 地 巧 妙 地 ” 利 用 了 这 些 信 任 。 利 用 了 这 些 信 任 。 从 编 译 器 开 始 的 信 任 摧 毁 从 编 译 器 开 始 的 信 任 摧 毁 供 应 链 威 胁 的 严 重 性 在 去 年   1 2   月 得 到 了 大 规 模 证 明 。 俄 罗 斯 黑 客 （ 后 来 被 美 国 指 认 为 俄 罗 斯 情 报 机 构   S V R ） 入 侵 了 软 件 公 司   S o l a r W i n d s   并 在 其   I T   管 理 工 具   O r i o n   中 植 入 了 恶 意 代 码 ， 从 而 允 许 访 问 全 球 使 用 该 应 用 程 序 的 多 达   1 8 0 0 0 个 网 络 。 攻 击 者 甚 至 利 用 这 个 立 足 点 深 入 挖 掘 了 至 少 9 个 美 国 联 邦 机 构 的 网 络 ， 包 括   N A S A 、 美 国 国 务 院 、 国 防 部 和 司 法 部 。 无 独 有 偶 。 就 在 上 个 月 ， 有 消 息 称 黑 客 入 侵 了 C o d e C o v 公 司 出 售 的 软 件 开 发 工 具 ， 该 工 具 使 黑 客 能 够 访 问 数 百 个 受 害 者 的 网 络 。 2 0 1 7 年 名 为 S a n d w o r m 的 俄 罗 斯 黑 客 组 织 （ 隶 属 于 俄 罗 斯 G R U 军 事 情 报 部 门 ） 则 劫 持 了 乌 克 兰 会 计 软 件 M E D o c 的 软 件 更 新 ， 并 利 用 软 件 更 新 来 分 发   N o t P e t y a 代 码 ， 最 终 在 全 球 造 成   1 0 0   亿 美 元 的 损 失 。 事 实 上 ， 最 早 的 供 应 链 攻 击 大 约 在 4 0 年 前 就 首 次 出 现 。 当 时 U n i x 操 作 系 统 的 创 造 者 之 一 K e n   T h o m p s o n 想 看 看 他 是 否 可 以 在 U n i x 的 登 录 功 能 中 隐 藏 一 个 后 门 。 因 此 ， K e n   T h o m p s o n 自 己 植 入 了 一 段 恶 意 代 码 ， 这 使 他 能 够 登 录 任 何 系 统 ， 并 且 他 还 构 建 了 一 个 编 译 器 ， 一 个 将 可 读 源 代 码 转 换 为 机 器 可 读 的 可 执 行 程 序 的 工 具 。 该 工 具 会 在 编 译 时 秘 密 地 将 后 门 放 置 在 函 数 中 ， 接 着 ， K e n   T h o m p s o n 进 一 步 地 破 坏 了 编 译 编 译 器 的 工 具 。 简 单 来 说 ， 这 是 一 种 简 单 来 说 ， 这 是 一 种 编 译 器 编 译 器 “ 学 会 学 会 ” 编 译 后 门 ， 并 在 将 来 的 编 译 器 代 码 中 移 除 它 从 而 无 法 在 源 码 中 发 现 篡 改 痕 编 译 后 门 ， 并 在 将 来 的 编 译 器 代 码 中 移 除 它 从 而 无 法 在 源 码 中 发 现 篡 改 痕 迹 迹 ， 最 终 利 用 人 们 对 编 译 器 的 信 任 来 激 活 后 门 的 攻 击 方 式 。 1 9 8 4   年 ， K e n   T h o m p s o n 在 的 一 次 演 讲 中 分 享 了 这 件 事 ， 他 说 “ 你 不 能 相 信 不 是 完 全 由 你 自 己 创 造 的 代 码 （ 尤 其 是 那 些 雇 用 像 我 这 样 的 人 的 公 司 的 代 码 ） 。 ” 此 后 ， 2 0 1 5 年 的 P o C | | G T F O 电 子 杂 志 上 也 刊 登 了 一 篇 名 为 D e n i a b l e   B a c k d o o r s   U s i n g   C o m p i l e r   B u g s 的 文 章 ， 讲 述 如 何 通 过 一 个 可 利 用 的 编 译 器   m i s c o m p i l a t i o n   b u g ， 并 且 向 目 标 的 开 源 社 区 提 交 看 起 来 不 怎 么 像 后 门 的 p a t c h ， 从 而 实 现 提 权 。 这 种 针 对 特 定 版 本 的 编 译 器 的 利 用 方 式 更 为 隐 蔽 更 难 察 觉 。 有 兴 趣 的 可 以 自 己 看 一 下 原 文 ： h t t p s : / / w w w . a l c h e m i s t o w l . o r g / p o c o r g t f o / p o c o r g t f o 0 8 . p d f D e n i a b l e   B a c k d o o r s   U s i n g   C o m p i l e r   B u g s 的 作 者 当 时 也 对 开 源 社 区 防 御 后 门 植 入 提 出 了 相 应 建 议 ， 虽 然 文 章 距 今 数 年 ， 但 仍 然 具 备 参 考 价 值 。 编 译 器 开 发 人 员 编 译 器 开 发 人 员 尽 快 修 复 已 知 的 错 误 编 译 b u g
考 虑 将 错 误 编 译 b u g 的 修 复 程 序 向 后 移 植 （ b a c k p o r t ） 到 维 护 版 本 中 使 用 f u z z 工 具 寻 找 问 题 开 源 包 的 维 护 开 源 包 的 维 护 人 员 人 员 对 提 交 过 来 的 奇 怪 的 p a t c h 持 怀 疑 态 度 考 虑 重 写 p a t c h 操 作 系 统 打 包 操 作 系 统 打 包 人 员 人 员 在 选 择 系 统 编 译 器 之 前 评 估 编 译 器 的 可 靠 性 在 所 有 平 台 上 测 试 编 译 代 码 后 再 开 始 部 署 在 系 统 编 译 器 上 运 行 t r u s t i n g   t r u s t   t e s t 测 试 终 端 终 端 用 户 用 户 使 用 不 同 的 编 译 器 或 编 译 器 版 本 从 源 代 码 重 新 编 译 系 统 在 预 编 译 的 应 用 程 序 上 运 行 验 收 测 试 研 究 人 员 研 究 人 员 创 建 可 以 被 证 明 不 会 被 此 种 方 式 利 用 的 编 译 器 创 建 可 检 测 到   m i s c o m p i l a t i o n 的 编 译 验 证 功 能 创 建 可 在 后 门 执 行 中 检 测 到 的 多 版 本 编 程 系 统 用 用 “ 不 完 全 信 任 不 完 全 信 任 ” 瓦 解 供 应 链 攻 击 瓦 解 供 应 链 攻 击 研 究 认 为 ， 供 应 链 攻 击 的 增 长 是 因 为 基 本 攻 击 防 御 已 经 得 到 改 善 ， 因 此 黑 客 不 得 不 寻 求 更 为 脆 弱 的 入 口 。 而 且 供 应 链 攻 击 的 规 模 效 应 — — 破 坏 一 个 供 应 商 即 可 访 问 上 百 个 网 络 ， 也 让 黑 客 觉 得 “ 物 超 所 值 ” 。 预 防 未 来 的 供 应 链 攻 击 并 非 易 事 ， 公 司 也 没 有 简 单 的 方 法 来 确 保 他 们 购 买 的 软 件 和 硬 件 没 有 被 损 坏 。 注 ： 硬 件 供 应 链 攻 击 ， 攻 击 者 在 设 备 中 植 入 恶 意 代 码 或 组 件 ， 一 般 特 别 难 以 检 测 。 因 此 ， 美 国 网 络 安 全 和 基 础 设 施 安 全 局 的 高 级 顾 问   B e a u   W o o d s   认 为 ， 供 应 链 攻 击 的 解 决 方 案 与 其 说 是 技 术 上 的 ， 不 如 说 是 组 织 上 的 。 公 司 和 政 府 机 构 需 要 知 道 他 们 的 软 件 和 硬 件 供 应 商 是 谁 ， 对 他 们 进 行 审 查 ， 并 确 保 他 们 符 合 某 些 标 准 。 简 单 来 说 ， 最 好 可 以 简 化 供 应 链 ， 让 更 少 的 供 应 商 提 供 更 高 质 量 的 组 件 ， 而 软 件 开 发 和   I T   运 营 在 某 些 方 面 也 需 要 重 新 学 习 这 些 供 应 链 原 则 。 值 得 注 意 的 是 ， 白 宫 在 早 些 时 候 发 布 了 网 络 安 全 行 政 命 令 ， 为 任 何 想 要 向 联 邦 机 构 出 售 软 件 的 公 司 设 定 了 新 的 最 低 安 全 标 准 ， 可 以 作 为 一 定 的 参 考 。
最 后 ， R e f l e c t   o n   T r u s t i n g   T r u s t ， 反 思 你 所 信 任 的 。 只 有 不 能 完 全 相 信 任 何 不 是 自 己 编 写 的 代 码 ， 但 是 相 信 你 所 信 任 且 经 过 审 查 的 供 应 商 代 码 ， 或 许 这 是 应 对 供 应 链 攻 击 的 理 念 前 提 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理