Encryptie: Vier valkuilen van encryptie

Eerder deze week zijn we al ingegaan op de haken en ogen rond het sleutelbeheer, en hierbij zijn nog vier problemen die de technologie met zich mee brengt.

Eigen netwerk moeilijker te beheren

Het grootste praktische probleem waar encryptie (netwerk)beheerders voor stelt is dat versleuteld verkeer een stuk ingewikkelder is om te beheren, zo zegt consulent Maarten Vanraes van de Belgische netwerkbeveiliger BA. Gebruikers kunen bijvoorbeeld dingen gaan uitvoeren waar de beheerder geen weet van heeft. "Ze kunnen bijvoorbeeld gebruik maken van een ssl VPN-verbinding om een proxy op afstand op te zetten." Het blokkeren van dergelijk verkeer is volgens Vanraes geen goede optie, omdat het dan al snel te ver gaat. "Als je alle https-verkeer gaat blokkeren bijvoorbeeld, dan kunnen gebruikers niet bij websites waar ze voor hun werk wel bij moeten kunnen."

Maar niet alleen de gebruikers maken dat beheer moeilijker. "Wij hebben bijvoorbeeld een klant gehad die zijn eigen site bij doorgifte wilden filteren op een aparte machine, eigenlijk een application firewall", zegt hij. "Maar dat kon niet, omdat het encrypted verkeer was. Ze moesten eerst de encryptie afzetten op de webserver, en vervolgens opzetten op de web-applicatiefirewall, of op de load balancer daarvoor. Daar zijn dingen waar heel veel mensen niet aan denken." Verkeer is eventueel wel ter plekke, on the fly, te decrypten als je de sleutels hebt, "maar dat is niet eenvoudig om op te zetten." Kortom: encryptie maakt het netwerk ingewikkelder.

Twee van de problemen rond encryptie hebben te maken met cybercriminaliteit en malware, zo zegt IT security evangelist Eddy Willems van Kaspersky. Meest opvallend is daarbij de losgeld-malware die van tijd tot tijd de kop opsteekt. "Recent stuitten wij op een stuk malware dat bestanden op de harde schijf van een slachtoffer versleutelde met een 1024-bits RSA-sleutel", zegt Willems, die het voorbeeld van een GPcode.ak trojan aanhaalt. Het slachtoffer kon de sleutel vervolgens van de criminelen 'kopen' voor een paar honderd dollar.

Een sleutel van 1024 bits is nagenoeg niet te kraken met brute force, maar in het geval van GPcode.ak hebben de makers een fout gemaakt, waardoor de bestanden toch terug te halen waren, vertelt Willems. "De malware versleutelde de bestanden niet direct, maar kopieerde het bestand eerst om dat kopie te versleutelen. De oorspronkelijke bestanden werden gedeletet", zegt Willems. "In die procedure zit, gelukkig voor ons, een zwakke plek. De oorspronkelijke bestanden waren namelijk terug te halen met datarecovery. Maar de mate waarin bestanden versleuteld worden, baart zeker zorgen." Bovendien is het volgens Willems niet ondenkbaar dat een trojan reeds aanwezige software op het systeem misbruikt om de encryptie uit te voeren. Bitlocker, standaard meegeleverd met Windows Vista en ook met toekomstige Windowsversies, kan dan bijvoorbeeld door de malware worden ingezet om de sleutel te verbergen.

Een tweede manier waarop encryptie door criminelen kan worden misbruikt, is een methode die Willems 'obfuscatie' noemt. "Door versleuteling te gebruiken, kunnen de malwaremakers een effectief rookscherm opwerpen waardoor antivirusproducten de malware niet opmerken", zegt Willems. "Dikwijls wordt het virus in een zogenaamde packer geplaatst, een schil die detectie voorkomt. En die packers maken gebruik van allerlei versleutelmethodes." Het is dusdanig effectief dat de laboratoria van Kaspersky dezelfde manier gebruiken om samples rond te sturen. "Anders zouden ze er door onze eigen antivirus uit worden gefilterd, terwijl ze zo'n sample echt nodig hebben", zegt Willems. Niet alles is verloren, want naast dat een packer meer 'bulk' met zich mee brengt (een virus wil immers ook klein en licht blijven), zijn er ook technieken voorhanden die juist detectie uitvoeren op de packers zelf; de antivirus-bellen gaan dan rinkelen omdat er een packer is gedetecteerd, niet omdat er per se malware in zit.

En dan komen we bij het meest overduidelijke probleem rond versleuteling. Dat zit daar waar de meeste beveiligingsproblemen vandaan komen: de eindgebruiker. Immers, jij als beheerder kunt nog zoveel policies instellen, en nog zoveel dingen doen om gegevens binnendeurs te houden, als de gebruiker besluit om een kopie voor zichzelf te maken, dan kun jij daar weinig tegen doen.

Bron: Techworld