Cái quái gì đang thực sự xảy ra trong các báo cáo lỗ hổng Lion LDAP này?

Chỉ cần đọc một luồng Slashdot về sự cố LDAP trên OSX. Bất cứ ai cũng có thể giải thích chính xác những gì đang được bảo mật bởi OpenLDAP và tại sao mọi thứ ngoài dữ liệu được lưu trữ trên máy Lion có thể gặp rủi ro?

Một trích dẫn từ bài báo:

Là một người thử nghiệm bút, một trong những điều đầu tiên chúng tôi làm là tấn công máy chủ LDAP, ông Rob Rob Graham, CEO của công ty kiểm toán Errata Security, cho biết. Một khi chúng tôi sở hữu một máy chủ LDAP, chúng tôi sở hữu mọi thứ. Tôi có thể đi đến bất kỳ máy tính xách tay nào (trong một tổ chức) và đăng nhập vào nó.

Làm thế nào để đi từ việc hack một máy chủ LDAP mac ngẫu nhiên để sở hữu toàn bộ doanh nghiệp?

Đừng lo lắng. Đây không phải là một mối đe dọa lớn đối với các mạng doanh nghiệp được đề xuất bởi bài viết này trong Đăng ký .

Apple Lion là một tính năng mới và do đó, lỗi này đang nhận được sự chú ý không tương xứng khi so sánh với các lỗ hổng tương tự trên các hệ điều hành khác. Dưới đây là một số mô tả bình tĩnh hơn cho cùng một vấn đề:

• " Mac OS X Lion không kiểm tra mật khẩu khi xác thực qua LDAP ".
• Paul Ducklin từ nudesecurity.sophos.com đã viết một bài viết hợp lý hơn về vấn đề này và sự cường điệu đằng sau nó.

Đây là một khai thác cục bộ trên hệ thống Apple Lion chỉ ảnh hưởng đến hệ thống đó. Apple vẫn chưa cung cấp bất kỳ chi tiết nào. Đây là cách tôi hiểu vấn đề: nếu ai đó đăng nhập vào hệ thống Apple Lion một lần thành công, thì bất kỳ ai khác cũng có thể đăng nhập vào cùng hệ thống với bất kỳ mật khẩu nào. Đây là một vấn đề nghiêm trọng đối với hệ thống đó, nhưng thiệt hại chủ yếu chỉ giới hạn ở hệ thống cụ thể đó. Thật không may, hệ thống đó bây giờ ít tin cậy hơn và có thể được bật trên mạng của bạn.

Vấn đề này KHÔNG cho phép tin tặc sở hữu máy chủ AD / LDAP của bạn. Các máy chủ AD / LDAP của bạn vẫn sẽ từ chối mọi yêu cầu cấp phép LDAP không chính xác từ bất kỳ máy khách LDAP nào. Để bỏ qua điều này sẽ yêu cầu một lỗ hổng lớn trên máy chủ LDAP hoặc giao thức LDAP hoặc máy chủ bị định cấu hình sai, đây là một vấn đề hoàn toàn khác sau đó là vấn đề được mô tả ở trên.

Hãy nhớ rằng vấn đề này chỉ ảnh hưởng đến các hệ thống Apple Lion sử dụng LDAP để xác thực. Trong hầu hết các tổ chức, đây sẽ là một số lượng rất nhỏ khách hàng. Một máy chủ Apple Lion có thể dễ bị tổn thương hơn, nhưng Apple cần phải giải quyết vấn đề này và họ vẫn chưa được đưa ra về vấn đề này. Bạn có thể tưởng tượng RedHat giữ lại thông tin về một lỗ hổng được biết đến công khai trong một thời gian dài như vậy không?

Vấn đề với lỗ hổng được giải thích khá rõ trong bài viết được liên kết bởi slashdot.

Vấn đề thực sự là một khi ai đó truy cập vào bất kỳ máy Lion nào trên mạng đang sử dụng LDAP làm phương thức Ủy quyền thì bạn có thể đọc nội dung của thư mục LDAP. Điều này sẽ cung cấp cho bạn quyền truy cập vào tất cả các tài khoản trên mạng sử dụng xác thực trung tâm. Ngoài ra, nó cho phép bạn truy cập vào bất cứ thứ gì được bảo mật bởi hệ thống ủy quyền LDAP. Về cơ bản, bây giờ bạn sở hữu mọi thứ trên mạng đó.

Là một lưu ý phụ, tôi tò mò liệu đó có phải là lỗi trong ủy quyền LDAP hoặc hệ thống xác thực cơ bản (có thể là kerboros) hay không.

Ngoài ra, nếu bạn không sử dụng LDAP làm nguồn ủy quyền của mình (OpenLDAP, Active Directory, NDS, v.v.) thì bạn không bị ảnh hưởng bởi điều này.

Để trả lời bạn câu hỏi cụ thể:

Bất cứ ai cũng có thể giải thích chính xác những gì đang được bảo mật bởi OpenLDAP

Câu trả lời là "Nó phụ thuộc ..." vào cơ sở hạ tầng CNTT của bạn đã thiết lập để sử dụng LDAP để ủy quyền.