Windows NT heikkoudet Tom Bosas, Tuomas Stenbäck, Lauri Toivanen TP01SB

1. Windows NT heikkoudetTom Bosas, Tuomas Stenbäck, Lauri ToivanenTP01SB

2. Asetuksista johtuvat heikkoudet • Ohjelmointivirheistä johtuvat heikkoudet • Rakenteelliset heikkoudet

3. Valvonta • Windows NT-käyttöjärjestelmässä on melko kattavat valvontaominaisuudet. • Asennuksen jälkeen valvonta kuitenkin lähes olematonta. Ylläpitäjän täytyy määritellä mitä tapahtumia valvotaan. • Käyttöjärjestelmän mukana ei tule kunnon työkaluja lokien. analysointiin. Kattava auditointi voi tuottaa liikaa materiaalia. • Muutkin käyttäjät kuin ylläpitäjä pääsevät käsiksi lokitiedostoihin, jos niitä ei erikseen suojata. • Erillistä auditointi käyttäjätiliä ei ole.

4. Tietoliikenteen heikkoudet • Asennuksen jälkeen verkkokortteihin on sidottuna palveluita joista on löytynyt runsaasti tietoturva-aukkoja • esim netbios, wins, tiedostojen ja tulostimien jako • Guest ja Everyone käyttäjätilit käytössä oletusarvoisesti. • Verkkoliikennettä ei salata, eikä sen eheyttä tarkisteta. Mahdollistaa yhteyden kaappauksen. Salasanoja ei kuitenkaan lähetetä salaamattomana. • Käyttäjien kirjautumiskertojen määrän ennen tilin väliaikaista lukitsemista voi säätää, mutta oletuksena ominaisuus on pois päältä. Sama koskee salasanan pituutta.

5. TCP-pakettien järjestysnumerointi on ennakoitavissa ainakin Windows NT 4 SP4 versioon asti, mahdollistaa yhteyden kaappaamisen. • Käyttöjärjestelmässä ei ole tulivallia.

6. Asiaa salasanoista • Windows NT tukee kahta salasanan salausmenetelmää yhteensopivuussyistä. • Salasanojen pituutta, monimutkaisuutta ja vanhenemista voi säätää, mutta oletusarvoisesti mitään rajoituksia ei ole voimassa. Lyhyt ja simppeli salasana murtuu nopeasti. • Nykykoneilla hyvänkin salasanan murron pitäisi olla kohtalaisen ripeä toimenpide. • Repair diskin rakentaminen tekee kopion SAM-tietokannasta %SystemRoot%\repair\sam hakemistoon. • Samaa salt-arvoa käytetään salasanojen salaamiseen, helpottaa brute force hyökkäyksiä salasanan arvaamisessa.

7. Objektien suojauksen ongelmia • Rekisterissä on oletusarvoistesti tärkeitä avaimia joiden suojaus ei ole riittävä. Asennettujen ohjelmien avaimilla ei ole mitään suojauksia, ellei ylläpito aseta ne kuntoon. • Käyttöjärjestelmän hakemistorakenteen suojauksissa yksittäisiä heikkouksia, asennetuilla ohjelmilla ei mitään suojauksia. Monet ohjelmat asentavat turhaan tavaraa käyttöjärjestelmän hakemistoon. • Guest ja everyone käyttäjätilit voivat altistaa sekä rekisteriin että tiedostoihin liittyville tiedon kaappauksille ja muutoksille.

8. Löytyneitä bugeja • DCOM RPC puskurin ylivuoto (MS03-026) RPC-kompontentissa on puskurin ylivuotovirhe jonka avulla tunkeutuja voi suorittaa omaa koodiaan koneella. Heikkoutta pystyi hyödyntämään lähettämällä tarkoitusta varten luotu tcp tai udp paketti porttiin 135, 139, 445 tai 593. Tulivalli suojaa haavoittuvuudelta. Luokiteltu kriittiseksi. • Ennen Service Pack 3:ea käyttöjärjestelmän pystyi kaatamaan avaamalla TCP-yhteyden ja lähettämällä heti perään Out Of Band paketin jota tcp/ip-pino ei osannut käsitellä. • WWW-palvelimen pystyi sekoittamaan http://hostname.com/../../ muotoa olevalla osoitteella. Saman softan kaataminen onnistui ottamalla telnet-yhteys porttiin 80 ja antamalla käsky GET ../.. • DNS-palveminen sai sekaisin lähettämällä vastauksen pyyntöön jota ei oltu esitetty. • CPU käyttöasteen sai nostettua maksimiin ottamalla telnet-yhteyden porttiin 135 ja lähettämällä muutaman merkin.

9. Koneen saa hidastumaan ja lokit täyttymään nopeasti ottamalla telnet-yhteyden porttiin 42 ja lähettämällä satunnaisia merkkejä • Kaiken kaikkiaan vanhoissa ja/tai päivittämättömissä Windows NT versioissa on pahoja puutteita turvallisuudessa. Windows NT 4 SP6 on ilmeisesti kohtalaisen turvallinen kun siihen on asentanut viimeisimmät hotfixit. Ylläpitäjän tulee kuitenkin olla perillä järjestelmän asetuksista, jotka voivat olla riskialttiita oletusarvoissaan. • Vuonna 2004 Windows NT SP6a:sta on seuraavia turva-aukkoja: • Workstation: 4 kriittistä, 4 tärkeää • Server: 13 kriittistä, 8 tärkeää

10. WIN 32 API heikkous Ohjelmia Win32 API:ssa ohjataan viesteillä eri ikkunoiden välillä Viestien lähettäjän oikeuksia ei tarkisteta Mikä tahansa ohjelma voi lähettää viestejä mihin tahansa ohjelmaan samalla työpöydällä. Työpöydällä pyörivillä ohjelmilla voi olla eri käyttöoikeuksia Lähettämällä oikea viesti oikeaan paikkaan, saadaan ajettua oma ohjelma korkeammilla käyttöoikeuksilla.

11. Jos tiedetään Kahva (Handle) toiseen ikkunaan, voidaan sen kautta suorittaa omaa koodia ja esim. sitoa komentorivi verkko sockettiin. Tämä mahdollistaa koneen haltuunoton. Esim. väärin klikatut sähköpostien liitetiedostot

12. Application Main Window handle handle Edit Window handle Main Window abc...| Button OK

13. Yhteenveto • Windows NT-käyttöjärjestelmän ongelmat johtuvat lähinnä ohjelmointivirheistä ja oletusasetuksista. Suurin osa ohjelmointivirheistä ja osa asetusongelmistakin on korjattu käyttöjärjestelmän päivityksillä.