リバースHeartbleed(Reverse Heartbleed)を検証してみた。
セキュリティ界隈でOpenSSLのHeartbleed(CVE-2014-0160)が話題になっている。
サーバからの情報漏洩がクローズアップされており、対策が進んでいるようだけど、一方でクライアントを攻撃できる「リバースHeartbleed」脆弱性がある。
Android 4.1.1のリバースHeartbleed脆弱性
クライアントから情報が漏れるので、かなり危険なんじゃないかと思うけど、あまり注意喚起もされていないようなので知らない人もいるのでは？と思って、その検証と、対策などをまとめてみた。
該当する端末やアプリを使っている人はぜひ参考にして自衛してほしい。
Heartbleedとは
改めて説明するまでもないと思うけど、OpenSSLの脆弱性である。
OpenSSLはHeartbeat機能に実装不備があり、これを悪用することで最大64KBのメモリ上のデータを不正に取得できる。(しかも何回でも取得できる)
秘密鍵や、ユーザの入力したIDやパスワードなどの漏洩のおそれがある。
リバースHeartbleed(Reverse Heartbleed)とは
通常は、クラッカー(クライアント側)が世の中のサーバを標的として攻撃するが、リバースHeartbleedでは「リバース」の名の通り、サーバがクライアントを攻撃するHeartbleedである。*1
影響を受けるクライアント
冒頭の記事によるとAndroid 4.1.1と一部の4.2.2が影響を受けるとのこと。(厳密にはAndroidに組み込まれたOpenSSLが影響を受ける。4.2.2は詳細不明)
Androidのシェア的には4.1.xは最も多い35.3%みたい(4.1.1は不明)。ただWikipediaによると、日本ではAndroid 4.1.1の製品の種類は少ない。日本では一部の人が使っているだけなので話題になっていないのかな？
他に影響を受けるソフトウェアについてはセキュインコさんのまとめが詳しい。
検証
実際にリバースHeartbleed攻撃ができるか、以下の環境で検証してみた。
- 端末A：Android 4.1.1(リバースHeartbleed影響有り/HTC J butterfly)
- 端末B：Android 4.0.3(影響無し/HTC EVO 3D)
- サーバ：攻撃用サーバ。OSはKali linux、サーバスクリプトはpacemaker.pyを使用。
Heartbleed Detectorで端末のHeartbleed状況を確認する。
左：端末A：Android 4.1.1(HTC J butterfly。リバースHeartbleed影響有り)
右：端末B：Android 4.0.3(HTC EVO 3D。影響無し)
手順と結果
1. 攻撃用サーバの準備
攻撃用サーバからスクリプトを実行する。
サーバのURLは、例えばhttps://192.168.1.1:4433/のようになる。
2. 端末Aで攻撃用サーバにアクセス
端末AのAndroid標準ブラウザから攻撃用サーバにアクセスする。
サーバのコンソール上では以下のように端末のメモリ内の情報が表示された。（バイナリ部分はマスク）
取得したメモリ内容によっては、暗号化鍵や個人の情報が漏洩するおそれがある。
今回は、過去アクセスしたURL、サイトへのログインID、Googleアカウントなどが取得できた。
例：過去アクセスしたURL
また、OSが影響受けても、アプリが影響を受けない場合*2、（そのアプリの通信からは）メモリ内容は漏洩しない。
例：Android 4.1.1(影響有り)でGoogle chrome(影響無し)を使ってアクセスした場合
3. 端末Bで攻撃用サーバにアクセス
端末Bで同様にアクセスする。脆弱性がないので漏洩しない。
以上の結果から、脆弱な端末のユーザを、攻撃用サーバのURLにアクセスさせることができれば、端末のメモリ内容を盗み取ることができると考えられる。
対策
まずは影響を受けるかチェックする。
Androidの場合はHeartbleed DetectorやBluebox Heartbleed Scannerで、OSとアプリをチェックする。
不運にも該当するAndroid端末を使っている人は、以下のどちらかを検討する。
アップデートが提供されていないとか、機種変更がすぐにできない場合は、いったん以下の自衛策を取りつつ、どこかのタイミングで機種を変える。
- 不審なサイト(アングラ色の強いサイトなど)には行かない。
- ブラウザにはGoogle chromeを使う。標準ブラウザを使わない。
- オンラインバンキングなどにはログインしない。
あと、オススメできない方法だけど、思いついたのを一応載せておく。
- rootを取ってカスタムROMでアップデートする→root化に伴うリスクがある
- 以前使っていた携帯に戻す→(通常は)OSが古くなってしまうので別のリスクがあるかも。キャリアを変えていたり3GからLTEに機種変更していると戻せない。
まとめ的な
というわけでAndroid端末を例にリバースHeartbleedの検証結果と対策のまとめでした。
悪い人のサイトにユーザを誘導できれば、情報が抜き取れるというお話です。
ツッコミや考慮漏れなどがあったら教えていただけるとありがたいです。
情報源
URLを載せておきます。(本文と重複あり)
http://googleonlinesecurity.blogspot.jp/2014/04/google-services-updated-to-address.html
http://www.infoq.com/jp/news/2014/04/android_heartbleed
http://d.hatena.ne.jp/Kango/20140414/1397498442
http://blog.meldium.com/home/2014/4/10/testing-for-reverse-heartbleed
https://reverseheartbleed.com/
（追記）
国内のスマホは6機種該当するようですな。お使いの方はぜひアップデートを。
＜ＯｐｅｎＳＳＬ欠陥＞国内のスマホ６機種 ＯＳに問題 （毎日新聞） - Yahoo!ニュース
