Um hacker mal-intencionado pode compartilhar distribuições Linux que confiam em certificados errados de raiz? [fechadas]

Question

Suponha que um hacker lance uma nova distribuição do Linux com o firefox fornecido. Agora, um navegador contém os certificados das autoridades de certificação raiz do PKI. Como o firefox é um navegador gratuito, qualquer um pode empacotá-lo com certificados raiz falsos. Assim, um certificado raiz falso conteria uma autoridade de certificação que não é realmente certificada. Isso pode ser usado para autenticar alguns sites. Como?

Muitas distribuições linux existentes são espelhadas por pessoas. Eles podem facilmente empacotar software contendo certificados que podem levar a tais ataques. O acima é possível? Esse ataque já ocorreu antes?

    

Answer 1

A maioria dos aplicativos de software de código aberto será publicada junto com uma chave de hash de algum tipo. Há muitas ferramentas disponíveis que permitem verificar se o que você baixou tem o mesmo hash que o publicado no site do projeto. Portanto, mesmo se você baixar os arquivos de um espelho, você pode verificar o hash para verificar se o download tem exatamente o mesmo conteúdo. Isso significa que, para fazer o que você está sugerindo, o invasor também deve subverter o site do projeto e publicar uma chave de hash falsa, mas mesmo assim alguém notaria rapidamente que o hash publicado não correspondia a todos os downloads de software válidos. >

Suponho que não há motivo para um invasor não criar sua própria distribuição Linux, mas lembre-se de que esse material é todo de código aberto, portanto as pessoas podem verificar se ele não estava fazendo nada malicioso. Quando uma nova distro é pequena, é provável que ninguém a confirme, mas se alguma vez conseguir uma adoção em larga escala como o Ubuntu, o Suse, o Fedora, etc., alguém poderá verificar isso.

    

Answer 2

Existe sempre uma cadeia de confiança. Para a maioria das pessoas, ela começa (para eles) na loja de tijolos e argamassa, onde compra seu computador pré-construído ou um software embalado. Você confia em marcas conhecidas e no fato de a loja estar lá por um tempo e não ter sido invadida pela polícia.

O Linux e o software de código-fonte aberto que você baixa da rede também têm uma cadeia de confiança. Você confia em um fornecedor de distro (porque outras pessoas fazem, ou você leu sobre isso em uma revista). Você assume que o Google envia você para o URL correto. Você supõe que as pessoas lá assinam corretamente o software (isto é, elas criptografam um hash ou assinatura exclusiva de definição de seu software) que você pode testar. Mas se qualquer um desses elos da cadeia estiver quebrado, a confiança pode ser comprometida.

    

Answer 3

Como Simon Stevens disse, eles geralmente vêm com um hash, embora eu tenha notado que muitos vêm com um hash MD5 que provou ser fraco. Então, seria bem possível, mesmo mudando a chave hask, dependendo do que o hash foi gerado. É melhor verificar se eles têm um hash SHA-2, eles são muito mais seguros que o MD5, e se algo como o MD4 é usado, apenas não confie em nada.

    

Answer 4

Para responder à sua pergunta inicial, sim, um invasor pode gerar sua própria autoridade de certificação e adicioná-la como uma autoridade confiável ao navegador. Este é um recurso, porém, a lista de CAs confiáveis é apenas a lista amplamente aceita. Não há motivos para você não poder adicionar sua própria CA. Isso nos traz de volta ao ponto em que você só precisa confiar nas fontes onde obtém seu software. Se um usuário faz o download de uma instalação corrompida do Linux com código malicioso, o ataque mais provável seria um rootkit de algum tipo.

Se você está preocupado, pode sempre verificar a lista de CAs permitidas pelo Firefox e compará-lo para a sua instalação atual.