Computer Emergency Response Team, mer kjent som CERT, er en viktig aktør i det globale sikkerhetsarbeidet med sine advarsler mot nye farer. Flere eksperter har imidlertid stilt seg kritisk til organisasjonens praksis med å selge tidlige advarsler til et femtitalls spesielt utvalgte bedrifter og institusjoner, lenge før allmennheten får tilgang til de samme advarslene.
15. mars sendte psevdonymet Hack4Life tre meldinger til e-postlisten Full Disclosure som er opprettet nettopp for å publisere alle sårbarheter straks de oppdages, selv om leverandøren som er ansvarlig for produktet ennå ikke har rukket å få ut en fiks. De tre meldingene gjelder tre advarsler som CERT har sendt ut nylig, bare til sine privilegerte kontakter, under merkelappen "Not for Public Disclosure". Full Disclosure-listen er tilgjengelig fra flere nettsteder, blant annet det tyske Der Keiler.
I går publiserte CERT en av disse advarslene, Integer overflow in Sun RPC XDR library routines. Den handler om usikrede bufre i dette biblioteket, med ringvirkninger til avledede bibliotek fra blant andre BSD og GNU. Bufrene åpner for ondsinnet kjøring av vilkårlig kode. Full Disclosure-meldingen samsvarer med den utgaven CERT publiserte i etterkant.
CERT har ennå ikke publisert de to andre advarslene som Hack4Life sendte til Full Disclosure-listen, henholdsvis Vulnerabilities in the Kerberos version 4 protocol og Timing attack against RSA private keys.
Kerberos er en fritt tilgjengelig autentiseringsprotokoll i utstrakt bruk. Advarselen forteller at det finnes flere kryptografiske sårbarheter i versjon 4 av protokollen. Ved å utnytte dem vil en uvedkommende kunne gi seg ut for å være en autentisk bruker av en gitt tjeneste. Versjon 5 av protokollen er fri for denne sårbarheten, vil kunne rammes i implementasjoner som bruker begge utgaver.
Hvorfor CERT skulle finne på å hemmeligholde advarselen om tidtakerangrep mot RSA private nøkler er en gåte. Meldingen er et referat av forskningsrapporten Remote Timing Attacks are Practical fra Stanford University, som ble publisert søndag og som digi.no omtalte på mandag.
Les også:
- [18.03.2003] Kryptoforskere knekker Microsoft Palladium
Advarselen inneholder en rekke nyttige tips om hvordan man kan verne seg mot angrep av den typen rapporten gjør rede for, blant annet en presisering om at angrepene er praktisk gjennomførbare bare dersom krypteringsnøkkelen er 1024 biter eller kortere. Det anbefales følgelig å bruke sterkere nøkler, og sørge for sterk autentisering av brukere – ikke for å avverge angrep, men for å gjøre det mulig å begrense omfanget og oppspore kilden.
I skrivende stund er den opprinnelige rapporten like tilgjengelig som da digi.no-artikkelen ble skrevet.
Hack4Life refereres i amerikansk presse å ha snoket til seg meldingene fra en av samarbeidspartnerne. Han sier han selv ikke har noen forbindelse, verken til CERT eller til noen av institusjonens partnere.
Len Rose er ansvarlig for Full Disclosure-listen. Han sier til Cnet at han for noen dager siden fikk en henstilling fra CERT om å trekke de tre meldingene. Det nektet han å gjøre, både på prinsipielt grunnlag – alle internettbrukere må så langt mulig kunde holdes orientert om sikkerhetsspørsmål – og av praktiske årsaker – meldingene var allerede kjent for et bredt publikum.
