Zwakke plekken in Trillian gevonden

De Duitse nieuwssite Heise bericht dat er een tweetal zwakke plekken zijn gevonden in de beveiliging van de populaire Instant Messenger-cliënt Trillian, die meerdere IM-netwerken ondersteunt. De lekken stellen personen met minder goede bedoelingen in staat om code door te sluizen naar het systeem en deze uit te voeren. Ze worden echter niet als zeer gevaarlijk bestempeld, aangezien ze enkel kunnen misbruikt worden door middel van een zogenaande Man-in-the-Middle-aanval, wat betekent dat de aanval wordt uitgevoerd vanaf een computer die zich bevindt op de route die datapakketjes afleggen, door de datapakketjes te manipuleren en vervolgens terug in omloop te brengen.

De bug is zowel aanwezig in Trillian-versies 0.71 tot 0.74f als in Trillian Pro, versies 1.0, 2.0 en 2.01. Cerulean Studios, het bedrijf achter Trillian, heeft al patches ter beschikking gesteld om het probleem op te lossen. Daarmee is echter nog niet alles gezegd; de IM-applicatie voor Linux GAIM bevat exact dezelfde lekken, wat erop duidt dat de broncode in kwestie identiek is aan die van Trillian. Dat doet de vraag oprijzen hoe dit mogelijk is; GAIM is dan wel een open source-programma, maar de broncode wordt beschermd door een GPL. De support manager van GAIM verklaart dit door te zeggen dat de ontwikkelaars van beide programma's onderling delen van hun programma's hebben uitgewisseld.

Reacties (35)

[Snuffel]

Ik snap niet goed wat er nu precies bedoeld wordt met 'Man in the Middle-aanval'.

Kan iemand dat duidelijk uitleggen?

M.a.w.: wanneer ben je wel en wanneer ben je niet kwetsbaar?

[D2k]

simpel:
jij praat met je vriendin via mij

jij fluistert in mijn oor: "ik hou van je"
ik zit er tussen en fluister in haar oor:"hij haat je"


manipulatie van het originele bericht dus

[Verwijderd]

Moet je er even aan toevoegen dat de kracht van deze aanval is dat het moeilijk is om erachter te komen dat er iemand in het midden staat. Je denkt namelijk dat je direct met de server praat, en dat maakt het zo gevaarlijk! De man-in-the-middel kan alles afluisteren en op elk mogelijk moment de connectie kapen of manipuleren...

[bolke]

op http://vegan.bofx.net/wiki.pl?Anoniem_Surfen staat een uitleg (in het nederlands)

[Iblies]

Link werkt niet, even google's cache gebruikt.

[sirdupre]

Normaal vindt communicatie van A naar B op de volgende manier plaats:

A <-----lijn----> B

Als nou een kwaadwillende een man-in-the-middle aanval uitvoert, knipt ie de lijn in tweeën. Vervolgens krijg je dit:

A <----> X <----> B

In dit geval is X de zogeheette man-in-the-middle. Op het internet houdt dit in dat je dus een router moet kapen (of iets dergelijks) waar het verkeer langs komt. Het is niet zo heel waarschijnlijk dat dit lukt, want je kunt nooit voorspellen welke route pakketjes zullen volgen, hoewel over de begin en eindpunten natuurlijk wel het één en ander te zeggen is. Maar X kan dus alle communicatie tussen A en B afluisteren, maar ook manipuleren. Als dit gebeurt is er sprake van een zogenaamd man-in-the-middle aanval.

[Roland684]

Het is veel waarschijnlijker dan jij denkt...

Het principe is simpel:
pak een lijntje waar de data die jij wil manipuleren over heen komt en sluit jezelf er op aan. Op het moment dat een pakketje dat jij wil aanpassen langskomt gooi jij ook data op de lijn, daardoor volgt een collision en zal het dataverkeer worden gestaakt. Als het stil is, gooi jij jouw vervalste pakketje op de lijn.
De uitvoering is lastiger, maar welbekend.

Het is alsof jij probeert iets tegen iemand te zeggen, maar elke keer als jij iets zegt praat ik er doorheen (waardoor jij automatisch stopt om het even later opnieuw te proberen) Als ik zo jou blijf onderbreken en als het even stil is doe alsof ik jou ben een een vervalst bericht uitspreek, is het gelukt.

En laat een mooi voorbeeld van zo'n lijn nou eens de tv-kabel zijn Die ligt al netjes in jouw huis gelegd, je hoeft de deur niet uit om je buren af te luisteren en hun verkeer te manipuleren.

[GeniusDex]

Een 'man in the middle-aanval' kan alleen uitgevoerd worden door iemand die toegang heeft op een server waarlangs jouw verbinding gaat (routers van ISPs bijvoorbeeld), en op die server het pakketje aanpast.

[Verwijderd]

Man in the middel houd in dat een derde partij als het ware tussen jou en de server in staat. Jouw pakketjes mogelijk bewerkt en doorstuurt naar de server als of ze van jou komen.

-- beschouw als niet gepost bitte; anderen waren mij voor --

[Verwijderd]

Er wordt hier volgens mij bedoeld wanneer je op een geswitched netwerk zit en je je op dezelfde route bevindt als het pakket dat doorgestuurd wordt. Bijvoorbeeld computer A stuurt een pakket door naar computer B, en passeert daarbij door dezelfde router als waar jij moet passeren.
De paketten gaan dus over dezelfde lijn, en mits een goede sniffer, kan jij die pakketjes dan onderscheppen, veranderen (TTL) en zo kwaad berokkenen.

Edit: de post met de vriendin is misschien iets gemakkelijker uitgelegd

[FendtVario]

Stel, ik zit achter mijn werkpc op Trillian, pakketje komt langs mijn server en ik manipuleer deze voordat het pakket van het interne net naar het WWW gestuurd wordt. Dan ben ik toch zelf de 'man-in-the-middle' en zou ik code kunnen sturen naar iemand waar ik een berichtje naar stuur. Of zie ik nu iets over het hoofd?

[GeniusDex]

jup heb je helemaal gelijk in, aangezien je server ook een hop in de route is. elke hop kan in principe het pakketje aanpassen en verkeerd doorsturen.

[sid3windr]

Dan kan je evengoed gewoon een klein zelfgeschreven programmaatje runnen die meteen gemanipuleerde (dus niet het juiste woord in dit geval) pakketjes stuurt...

Het probleem zit hem tussen server en client (in de richting van server -> client), wat jij beschrijft zal dus niet echt lukken.

[GeniusDex]

zou volgens mij wel moeten kunnen, dat dat programma de 1e hop is op je lokale pc (of doet alsof). hoe wil een man in the middle het anders doen?

[Verwijderd]

Je kan evengoed "Man-in-the-middle" lokaal namaken op één pc. Dus ik versta niet wat men ermee bedoelt.

[FendtVario]

Ze schrijven: [quote]Ze worden echter niet als zeer gevaarlijk bestempeld, aangezien ze enkel kunnen misbruikt worden door middel van een zogenaande Man-in-the-Middle-aanval[/qoute] Wat ik bedoel te zeggen is dat iedereen Man-in-the-middle kan zijn.

[arnova]

[quote]
Dat doet de vraag oprijzen hoe dit mogelijk is; GAIM is dan wel een open source-programma, maar de broncode wordt beschermd door een GPL. De support manager van GAIM verklaart dit door te zeggen dat de ontwikkelaars van beide programma's onderling delen van hun programma's hebben uitgewisseld.
[/qoute]

Dit lijkt mij in strijd met GPL? Je mag niet doodleuk code van een GPL source in een andere niet GPL product gebruiken. Lijkt mij dat hier nog een aardige rel over kan ontstaan...

[TheOneLLama]

Als ik als ontwikkelaar behalve dat ik mijn broncode, onder de GPL, aan het GAIM project geef en die ook aan een ander bedrijf wil geven dan is er niets wat dat verbied. Ik bezit het copyright op die code, niet Cerulean studios of het GAIM project.

[SWINX]

Je mag je toch door de code laten inspireren, die op je eigen manier verwerken en toch hetzelfde resultaat laten geven?

[Verwijderd]

Als je je laat inspireren is het wel heel toevallig dat je de zelfde bugs progt. Als je normaal gesproken nadenkt over een stuk code kom je meestal tot een iets aangepaste oplossing, plus dat je het nog een keer test. Dus in dit geval zal het eerder copieren zijn.

[El Cid]

Ik gebruikte vroeger ook altijd Trillian. Sinds een tijdje ben ik overgestapt op Miranda. Bijna dezelfde functionaliteit als Trillian, maar dan open source. Mischien een beetje offtopic, maar ik grijp gewoon elke mogelijkheid aan om OSS te promoten.

[Roland684]

Zo ongevaarlijk is dat niet. Een virus op jouw computer kan nl ook die "man in the middle" zijn (een IM-berichtje legt op jouw eigen pc ook al een stukje van zijn weg af).
En dus kan een besmette pc een andere pc besmetten door een besmet bericht te sturen aan een ander. Ik kan me niet veel gevaarlijkers voorstellen.

Of zou een besmet bericht automatisch worden 'gecorrigeerd' door de server? dan moet je dus na de centrale server op het lijntje zien te komen. De enige makkelijke mogelijkheid die ik zie is dat je je chello-buren besmet, Chello is nl een bus die door een hele straat (of wijk) loopt. ook het dataverkeer van je buren komt door jouw meterkast (waar jouw modem normaal gesproken enkel jouw dataverkeer doorlaat naar jouw PC)

[Verwijderd]

Als de makers van GAIM toestemming hebben gegeven zie ik geen probleem. Het is en blijft toch hun code en als zij een deel willen geven aan een niet-opensource project, moet dat toch kunnen?

Edit:
Reactie op master_artech

[Verwijderd]

Als je maar zoekt, is er overal iets op aan te merken

[Pietervs]

Als je maar zoekt, is er overal iets op aan te merken
Op deze opmerking in ieder geval. Het gaat hier niet om een aanmerking, maar om een LEK!

[2bme]

Als je maar zoekt, is er overal iets op aan te merken

En als je niet zoekt, doen kwaadwillenden het zodat er exploits komen zonder dat er een patch voor is...

Gelukkig is dit niet zo'n gevaarlijke bug omdat hij alleen uitgevoerd kan worden door 'man-in-the-middle'. Maar iets zegt me dat hackers dit ook zullen weten te omzeilen en op de één of andere manier zullen spoofen dat ze de tussenliggende partij zijn..

Kunnen ze niet een melding maken van die patch zodra je je aanmeldt bij één van de netwerken die Trillian ondersteund?

[whistler]

Maar welke moet je nu hebben als je Trillian Pro hebt? Want er staat alleen een patch voor de basic versie.

[pven]

Als je inlogt via trillian.cc kan je versie 2.011 downloaden; dat is dus de Pro-versie.

[VisionMaster]

Een leuke oplossing zou een messenger zijn die via een SSH verbinding zijn chat en filetransfer laat lopen
Misschien een idee voor de toekomst. De man-in-the-middle wordt dan gedetecteerd of is tijdens de verbinding erg veel moeilijker om voor elkaar te krijgen.

[Verwijderd]

Trillian ondersteunt reeds bidirectionele encryptie/decryptie van IM-berichten. Voor GAIM zijn er eveneens plugins te vinden die IM-sessies kunnen beveiligen:

http://gaim-encryption.sf.net
http://gaim-e.sf.net (werkt met GPG)

Hoe het met de compatibiliteit van dat alles tussen verschillende clients (bijvoorbeeld tussen Trillian en GAIM) zit, dat weet ik nog niet. Volgens mij werkt dat gewoon, maar misschien dat iemand anders hier dat kan bevestigen of ontkrachten....?

[Verwijderd]

Mooi principe dat er onderlinge uitwisseling van code plaats vind. Laat toch echt zien dat OS en CS goed met elkaar samen kunnen gaan.