Blog

Tor soll eigentlich dazu dienen, Journalisten und Aktivisten mehr Anonymität im Internet zu garantieren. Dass das Benutzen des Tor-Netzwerks mehr Anonymität, aber nicht unbedingt mehr Sicherheit beim Download von binären Dateien (ausführbare Dateien: u.a. EXE,etc.) bietet, wenn man keine Verschlüsselung und Validierung für die heruntergeladenen Dateien verwendet, wurde wie folgt von Leviathansecurity demonstriert: http://www.youtube.com/watch?v=LjUN9MACaTs

Der Angreifer verwendet z.b. ein binary patching framework wie BDF, um mithilfe eines Proxy(z.B. BDFPoxy) Servers(z.b. ein Tor Netzwerk Knoten) die darüber unverschlüsselt übertragenen Binärdateien onthefly zu patchen. Diese Praktik ist bereits weiter verbreitet als bisher angenommen, daher sollte man vorsichtig sein beim Verwenden von Proxyserver Diensten.

Die einzige Möglichkeit sich vor solchen Angriffen beim Nutzen eines anonymisierenden Proxy Netzwerks wie Tor, ist das Verwenden einer SSL-Verschlüsselung beim Download der Datei und das anschließende Abgleichen auf Korrektheit des Transfers per Prüfsummen Datei/Daten, falls vorhanden.

Wintendo User haben nochmal Glück gehabt: Leviathansecurity berichtet, dass beispielsweise Windows PE Update-Dateien  vom Verifizierungs-Prozess als modifiziert erkannt werden. Dies gilt allerdings nicht für andere Binär-Dateien die manuell vom User oder automatisch von benutzerdefinierten Update Managern heruntergeladen wurden. Man sollte, wenn möglich, die heruntergeladenen Daten mit einer MD5 Checksum validieren.

Ein Linux User sollte es im Grunde nie nötig haben Binaries, die auf einem anderen System compiliert wurden (Ausnahmen: crosscompiler, etc. wg Geschwindigkeit) zu downloaden. Das Prozedere sollte normalerweise so aussehen: Source herunterladen, Patchen, Konfiguration, Compilieren. Archive sollte man mit einer MD5 Prüfsumme validieren. Als Nutzer einer Distribution, die rekompilierte Binärdateien nutzt, muss man sich in der Regel keine Sorgen machen, da alle Downloads validiert werden sollten(yum, apt, etc.)

Mac User sollten generell Vorsicht walten lassen, da die meisten Apps, dank Closed Source nur als Binär-Datei Download zur Verfügung stehen; Vor allem, wenn inoffizielle Pakete genutzt werden. Der Update-Prozess eines OSX sollte nicht betroffen sein, da es im Unix Universum Gang und Gebe ist Downloads zu validieren.

Quelle: http://www.leviathansecurity.com/blog/the-case-of-the-modified-binaries/

Wie man sich schützen kann:

Windows: 

- eine Firewall mit Unterstützung für execution/mem System Hooks. Das bedeutet, man kann mit solchen Firewalls bestimmen, ob ein Prozess verschiedene Operationen durchführen darf. Comodo z.B.

- ein regelmäßig aktualisierter und prüfender Antivirus.

- Verwalte die Rechte für User und Prozesse.

- Validiere Downloads.

Linux:

- Benutze PaX/Grsec Kernel + UBAC + SELinux. Du solltest Dich an den Leitfäden des jeweiligen Distributors orientieren. Ich empfehle mit Fedora/Debian/Ubuntu zu beginnen und später auf Gentoo oder Vanilla umzusteigen, wenn man genügend Wissen gesammelt hat ein Linux System sicher zu administrieren.

- Compiliere keine Source Codes und führe die Binaries nicht aus, wenn Du nicht weißt, wie das Programm funktioniert.

- Validiere Downloads.

OSX:

- Konfiguriere Dein System : OSX hat bereits ein vorkonfiguriertes SELinux(MLS) und weitere Sicherheits-Fixes implementiert. Das bedeutet nicht, dass man sein System nicht individuell konfigurieren muss/sollte ;). Dank der grafischen Oberfläche ist die Einrichtung relativ leicht verglichen mit Linux.

- Verwalte Prozesse, Benutzer, Filesystem,etc. Rechte und Direktiven für jeden Prozess, der kritisch für die Systemsicherheit werden könnte.

- Validiere Downloads