พบช่องโหว่บน Symantec API เสี่ยงถูกขโมย Private Key

Chris Byrne ที่ปรึกษาด้านความมั่นคงปลอดภัยจาก Cloud Harmonics ออกมาเปิดเผยถึงปัญหาสำคัญในการออกใบรับรอง SSL ของ Symantec จากตัวแทนจำหน่ายและช่องโหว่บน API ในการส่งมอบและบริหารจัดการใบรับรอง SSL ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูล Certificate ออกไปได้ ไม่ว่าจะเป็น Private Key หรือ Public Key รวมไปถึงสามารถออกใบรับรองใหม่และเพิกถอนใบรับรองเหล่านั้นได้

Byrne อธิบายถึงปัญหาที่ค้นพบว่า API ในการร้องขอและส่งมอบใบรับรองของ Symantec ที่ให้ตัวแทนจำหน่ายใช้นั้น เป็นแบบ URI-based UID ซึ่งมีการพิสูจน์ตัวตนที่ไม่ดีเพียงพอ ส่งผลให้แฮ็คเกอร์หรือลูกค้าที่เก่งคอมพิวเตอร์สามารถดักจับอีเมลที่มีลิงค์ที่ API สร้างขึ้น หรือเปลี่ยนพารามิเตอร์บน UID ของตนเพื่อเข้าถึงข้อมูลใบรับรอง SSL ของลูกค้าคนอื่นได้ ผลลัพธ์คือแฮ็คเกอร์สามารถขโมย Private Key, Public Key, เพิกถอนใบรับรอง หรือออกใบรับรองใหม่ได้

Byrne ค้นพบช่องโหว่นี้และรายงานไปยัง Symantec ตั้งแต่ปี 2015 ซึ่งทาง Symantec ก็รับทราบและขอร้องให้ยังไม่เปิดเผยข้อมูลดังกล่าว พร้อมทั้งสัญญาว่าจะแก้ไขปัญหาทั้งหมดภายใน 2 ปี อย่างไรก็ตาม หลังจากที่ Google ออกมาประกาศลดความน่าเชื่อถือของใบรับรอง SSL จาก Symantec บน Google Chrome ลงเมื่อสัปดาห์ที่ผ่านมา เนื่องจากพบปัญหาหลายประการระหว่างบริษัทกับตัวแทนจำหน่าย ทำให้ Byrne ตัดสินใจออกมาเปิดเผยปัญหาดังกล่าว

“จากประสบการณ์และการกระทำของ Google จนถึงตอนนี้ แสดงให้เห็นว่า Symantec ไม่ได้แก้ไขปัญหาอย่างจริงจังตามที่สัญญาไว้” — Byrne ระบุ

อย่างไรก็ตาม Byrne ไม่สามารถยืนยันได้ว่าช่องโหว่ที่เขาค้นพบกับช่องโหว่ที่ Google เจอนั้นเป็นช่องโหว่เดียวกันหรือไม่ และยังไม่มีหลักฐานหรือการ PoC ที่ชัดเจนว่าสามารถโจมตีช่องโหว่ได้จริง

ล่าสุด Symantec ออกมาชี้แจงถึงประเด็นดังกล่าวว่า ช่องโหว่ที่ Byrne กล่าวมาไม่น่าจะสร้างปัญหาหรือเป็นอันตรายต่อการใช้งานจริงแต่อย่างใด แต่ทาง Symantec ยินดีที่จะจัดการปัญหาในกรณีที่มีงานวิจัยหรือมีการ PoC ออกมา และ Symantec ยืนยันว่ายังไม่พบการเข้าถึง Private Key โดยไม่ได้รับอนุญาตแต่อย่างใด

ที่มา: http://thehackernews.com/2017/03/symantec-ssl-certificates.html