Исследователи обнаружили, что даже очень высокотехнологичные системы видеоконференций (не Skype, а платные программы) могут быть подвержены атакам посредника. Это означает, что сигнал направляется через кого-то другого, прежде чем достигнет вас. То же самое можно сказать и об аудиоконференциях. Если модератор не имеет списка номеров подключившихся и не прояснил непонятные номера, например, коды городов, находящихся за пределами Соединенных Штатов, то нет никакого способа убедиться в том, что к конференции не присоединился посторонний. В данной ситуации модератор должен связаться со всеми вновь подключившимися и в случае, если они не смогут идентифицировать себя, прервать соединение, и использовать резервный номер для конференц-связи.
Допустим, ваша фирма потратила большие деньги на покупку настоящей дорогостоящей системы конференц-связи. Вы можете подумать, что она более безопасна по сравнению с системой потребительского класса. Но вы ошибаетесь.
Рассмотрев эти высококлассные системы, исследователь Х. Д. Мур обнаружил, что почти все они по умолчанию автоматически «снимают трубку» в ответ на входящие видеовызовы. В этом есть смысл. Например, вы назначили конференцию на 10:00 утра и хотите, чтобы участники набрали номер в это время. Однако это также означает, что в другое время суток любой, у кого есть этот номер, также может набрать его и буквально подглядеть, что происходит в вашем офисе.
«Популярность систем для организации видеоконференций в сфере венчурного капитала и в финансовой отрасли означает существование ограниченного числа особо важных целей для того, кто намерен заниматься промышленным шпионажем или обеспечить себе в бизнесе несправедливое преимущество», — пишет Мур259.
Насколько трудно обнаружить эти системы? Системы конференц-связи используют уникальный протокол H.323. В небольшом сегменте Интернета Муру удалось выявить 250 000 систем, использующих данный протокол. Исходя из этого числа, он предположил, что менее пяти тысяч таких систем настроены на автоматический ответ — небольшой процент от общего количества, но довольно большое количество само по себе. И это, если не учитывать остальную часть Интернета.
Какую информацию может получить злоумышленник в результате взлома такой системы? Системная камера находится под контролем пользователя, поэтому человек, осуществляющий удаленную атаку, может направлять ее вверх, вниз, влево или вправо. В большинстве случаев камера не оснащена индикатором рабочего состояния, поэтому, если вы не смотрите на камеру, вы можете и не знать, что кто-то ею управляет. Кроме того, камера может масштабировать изображение. Мур сказал, что его исследовательская группа сумела прочитать шестизначный пароль, написанный на стене в шести метрах от камеры. Они также смогли прочитать электронное письмо с экрана пользователя, находившегося в другом конце комнаты.
В следующий раз, когда вы будете в офисе, подумайте о том, что можно увидеть через камеру системы видеоконференцсвязи. На стене может висеть схема организационной структуры отдела. Возможно, в обзор камеры попадает экран вашего компьютера, личные фотографии ваших детей и супруга или супруги. Это то, что может увидеть злоумышленник и, возможно, использовать против вашей компании или даже против вас самого.
Некоторые производители таких систем знают об этой проблеме. Например, компания Polycom предоставляет многостраничное руководство по усилению безопасности, включающее инструкции по ограничению движения камеры260. Тем не менее сотрудники IT-отдела, как правило, не следуют подобным рекомендациям, а иногда даже не усматривают в этом проблем для безопасности. Тысячи систем конференц-связи в Интернете используют настройки по умолчанию.
Исследователи также обнаружили, что корпоративные брандмауэры не умеют обрабатывать протокол H.323. Исследователи предлагают предоставить устройству общедоступный интернет-адрес и настроить для него правило в корпоративном брандмауэре.
Самый большой риск заключается в том, что многие консоли администратора для систем конференц-связи практически не оснащены встроенными средствами обеспечения безопасности. В одном из примеров Муру и его сотрудникам удалось получить доступ к системе юридической фирмы, в которой содержался адрес зала заседаний совета директоров известного инвестиционного банка. Исследователи купили на аукционе eBay подержанное устройство для проведения видеоконференций и обнаружили на его жестком диске старые данные, включая адресную книгу с десятками личных номеров, многие из которых были настроены автоматически отвечать на входящие вызовы из Интернета в целом261. Как и в случае со старыми принтерами и копировальными машинами, оснащенными жестким диском, прежде чем их продавать или дарить, необходимо тщательно стереть с них данные.
Иногда нам приходится работать над проектом совместно с коллегой, который может находиться в другой части света. Файлами можно обмениваться по корпоративной электронной почте, однако иногда они настолько объемны, что системы электронной почты просто не позволяют переслать их в качестве вложений. Все чаще люди используют сервисы обмена файлами для пересылки объемных документов.
Уровень безопасности таких облачных систем бывает разным.
Четыре крупнейших игрока: Apple iCloud, Google Drive, Microsoft OneDrive (ранее SkyDrive) и Dropbox — предусматривают двухэтапный процесс аутентификации. Это означает, что на ваше мобильное устройство отправляется код доступа для подтверждения вашей личности. И несмотря на то что все эти системы шифруют данные во время их пересылки, вам следует самостоятельно зашифровать их перед отправкой, если вы не хотите, чтобы сама компания или государственные службы получили к ним доступ262.
На этом сходства заканчиваются.
Двухфакторная аутентификация (2FA) важна, но ее можно обойти путем захвата неиспользуемых учетных записей. Например, недавно я проверял систему клиента, который с помощью общедоступных инструментов добавил двухфакторную аутентификацию Google на свой веб-сайт, подключенный к VPN-сервису. Я сумел обойти ее, завладев учетными данными для доступа к службе Active Directory, принадлежащими пользователю, который не подписался на использование VPN-сервиса. Поскольку я был первым, кто подключился к VPN-сервису, мне было предложено настроить 2FA с помощью Google Authenticator. Если сам сотрудник так никогда и не получит доступ к сервису, то злоумышленник сможет и дальше его использовать.
Для хранимых данных сервис Dropbox использует 256-битное AES-шифрование (которое довольно надежно). Тем не менее оно предполагает сохранение ключей, которые могут предоставить Dropbox или правоохранительным органам несанкционированный доступ к данным. Сервисы Google Drive и iCloud используют для данных в состоянии покоя значительно более слабое 128-битное шифрование. В данном случае существует опасность того, что данные могут быть дешифрованы с помощью больших вычислительных мощностей. Сервис Microsoft OneDrive не утруждает себя шифрованием, что заставляет думать о том, что это сделано специально, вероятно, по настоянию некоторых правительств.
Сервис Google Drive представил новую функцию управления правами на доступ к данным (Information Rights Management, IRM). В дополнение к документам, электронным таблицам и презентациям, созданным в Google Docs, система Google Drive теперь принимает файлы с расширением PDF и других форматов. К полезным функциям относится возможность запретить рецензентам и зрителям загрузку, печать и копирование. Вы также можете запретить предоставление другим пользователям доступа к общему файлу. Разумеется, эти функции управления правами на доступ к данным доступны только владельцам файлов. Это означает, что тот, кто поделился с вами файлом, должен устанавливать ограничения на доступ к нему.
