Stanno emergendo maggiori dettagli sulle vulnerabilità dei firewall di Juniper dei quali abbiamo parlato su The Server-Side Technology qualche mese fa. Sebbene non vi siano dichiarazioni ufficiali, le speculazioni che le vulnerabilità siano opera della famigerata NSA sono ovviamente abbastanza automatiche e sebbene Juniper esclusa qualsiasi responsabilità diretta, permangono dubbi molto forti come le backdoor possano essere state inserite nel codice di ScreenOS senza alcuna complicità da parte dell’azienda. Il problema, infatti, è legato anche a soprattutto a questa circostanza: non si tratta solo di vulnerabilità del codice, una cosa che capita a tutti i sistemi, ma modifiche specificamente introdotte nel codice di ScreenOS, il sistema operativo che viene usato dai firewall NetScreen di Juniper, per rendere possibile la violazione.

La prima vulnerabilità, a cui è stato assegnato codice CVE-2015-7755, consente ad un utente di ottenere l’accesso amministrativo usando una sessione SSH o TELNET ed inserendo una qualsiasi username insieme con una password specifica che è codificata all’interno del sistema operativo del firewall. E’ questa la vulnerabilità, che in sostanza è una backdoor, che più fa insospettire gli esperti perché significa avere avuto accesso alla linea di produzione del codice ed avere inserito questo caso specifico, qualcosa di molto difficile senza la collaborazione dell’azienda sebbene anche la modifica non autorizzata sia possibile. Questa vulnerabilità colpisce le revisioni 6.3.0r17, 6.3.0r18, 6.3.0r19 e 6.3.0r20 di ScreenOS e Juniper raccomanda a tutti i clienti di installare la patch che è stata rilasciata per correggere il problema. Sono state anche rilasciate indicazioni su come rilevare questi accessi non autorizzati attraverso i log e Fox-IT ha creato una serie di regole per Snort che possono rilevare gli accessi non autorizzati. Oltre a questo e stante la promessa di Juniper di effettuare una rigorosa investigazione per capire come sia stato possibile non rilevare il problema, non sono state fornite altre indicazioni dall’azienda.

Un algoritmo di crittografia è invece alla base della seconda vulnerabilità, CVE-2016-7756, che consente l’intercettazione del traffico anche quando criptato. Il problema risiede in Dual Elliptic Curve Deterministic Random Bit Generator (Dual_EC_DRBG) un algoritmo non più ritenuto sicuro e che anzi si sospetta essere stato elaborato in collaborazione con la NSA in modo che quest’ultima potesse usare la sua vulnerabilità per operazioni di sorveglianza. L’algoritmo è responsabile della generazione di numeri casuali usati poi nella crittografia dei dati ed il problema risiede nella possibilità, in determinate circostanze, di prevedere tali numeri che non sarebbero quindi più casuali. Con questa informazioni a disposizione, un utente può procedere alla decodifica dei dati in teoria cifrati. Il NIST ha già raccomandato sin da Luglio 2015 ai produttori di software di non usare più Dual_EC_DRBG nei loro prodotti ma ScreenOS ancora oggi continua ad usarlo per le comunicazioni sicure con i client.

Juniper ha già annunciato di non avere corretto il problema perché ScreenOS usa l’algoritmo in un modo differente e non sarebbe quindi soggetto alla vulnerabilità. Una analisi dettagliata condotta da Ralf-Phillip Weinmann ed altri ha tuttavia rilevato come, sebbene Juniper non usi l’algoritmo in modo standard, un bug nell’implementazione proprietaria consente comunque l’uso [...]

Ha destato non poco stupore la notizia diffusa da Juniper Networks attraverso il proprio sito Web. L’azienda che gestisce una parte importante dell’infrastruttura della rete Internet con le sue apparecchiature ha infatti annunciato di avere rilevato codice “non autorizzato” all’interno del proprio sistema operativo ScreenOS usato dalle apparecchiature NetScreen. La notizia è rilevante perché non si parla di una compromissione del sistema, come quella realizzata da un hacker che trovasse un bug per accedere al sistema in modo non autorizzato ed installasse del proprio codice per usarla, ma di codice inserito direttamente nel sistema operativo ScreenOS e quindi distribuito dalla stessa Juniper Networks con le apparecchiature in vendita.

Per l’importanza che l’azienda riveste nell’ambito della rete Internet grazie alla diffusa presenza di apparecchiature nei datacenter, è facile capire come la notizia abbia acquisito subito notevole rilevanza anche perché la compromissione subita non può certo essere opera di qualche cane sciolto o hacker amatoriale ma deve essere avvenuta ad un livello ben più elevato, anzi troppo elevato e sicuramente interno all’azienda. La backdoor consente infatti di decifrare il traffico delle VPN configurate sui dispositivi di Juniper, quindi di monitorare un tipo di traffico considerato sicuro e spesso usato dagli amministratori delle reti e dei datacenter, diventando così una porta di accesso ai dati.

La complessità e la difficoltà di inserire codice direttamente nelle copie originali del sistema operativo di Juniper alimenta i sospetti che l’operazione possa essere stata completata da agenzie governative interessate ad accedere in modo opaco e forse illegale ai dati degli utenti. Impossibile non pensare agli Stati Uniti, già diverse volte trovati con le mani nella marmellata e ritenuti responsabili di numerose violazioni di sistemi aziendali per motivi di controllo e spionaggio. La notizia però rilancia anche il sospetto che ci possano essere state, ed essere ancora, possibili connivenze tra le aziende tecnologiche statunitensi e le agenzie di sorveglianza e spionaggio, come del resto la recente sentenza della Corte Europea che ha invalidato il Safe Harbour ha dimostrato.

Juniper smentisce implicitamente qualsiasi coinvolgimento affermando di avere scoperto di recente il problema e di avere rilasciato una patch per la sua correzione. Nel frattempo, è stata avviata una inchiesta interna per capire come il codice sia potuto entrare nelle distribuzioni ufficiali dell’azienda.

Nonostante questo, le compromissioni (sia software che hardware) subite dalle aziende statunitensi da parte soprattutto del proprio governo sono decisamente troppe. Se dobbiamo fidarci dei giganti tecnologici americani e pensare che siano tutte involontarie si tratterebbe davvero di un colpo duro per l’affidabilità di queste aziende e della loro capacità di produrre sistemi sicuri.