JitterBugs: кейлоггер и новый скрытый канал для похищения д

// JitterBugs: кейлоггер и новый скрытый канал для похищения данных.

На прошедшей в Ванкувере (Канада) конференции USENIX 2006 https://db.usenix.org/events/sec06/
была представлена новая технология скрытной передачи данных по сетям и организации скрытого канала для
снятия данных с клавиатуры.

Группа американских ученых из департамента информатики и компьютерных наук Пенсильванского Университета под руководством профессора Мэтта Блэйза представила
работу: http://www.usenix.org/events/sec06/tech/shah/shah.pdf

!!(green)

" Keyboards and Covert Channels"

Gaurav Shah, Andres Molina and Matt Blaze

!!

В ней они исследуют возможности новой технологии Jitterbug, которая вероятно превышает сегодняшние возможности, имеющиеся в распоряжении ФБР. Простейшая аппаратная реализация заключается в следующем.
К клавиатуре подключается аппаратный кейлоггер, который округляет все задержки между нажатиями клавиш до 20 миллисекунд.
В пределах этого временного фрэйма добавляется ещё минимальная задержка, меньшая по размеру и предназначенная для кодирования определённого символа клавиатуры. Эти задержки не видны невооружённым глазом на мониторе компьютера.

Но они, несмотря на загруженность комьютера различными задачами, сохраняются в задержках посылаемых в сеть IP пакетов, даже прошедших через множество маршрутизаторов. Таким образом можно снять пароль из шифрованного сеанса связи с SSH сервером, записав траффик при помощи сниффера, измерив задержки между пакетами и раскодировать нажатия клавиш обратно. Не потребуется как раньше вновь подходить к клавиатуре и снимать записанные данные или использовать потенциально обнаружимый и ограниченный по расстоянию радиоканал. При этом сама операционная система остаётся чистой и не содержит никаких модификаций, меняющих поведение пакетов.

Чтобы затруднить обнаружение задержек в пакетах со стороны посторонних наблюдателей, используется шифрование, а для уменьшения количества ошибок при прохождении сигнала от клавиатуры через операционную систему, аппаратную часть компьютера и множество узлов сети, используется код упреждающей коррекции ошибок (Forward Error Correction).

Таким образом модифицированный траффик, содержащий скрытый временной канал при знании ключа можно отловить от нотбука, который уехал вместе с владельцем в неизвестное место земного шара, а никакие методы фильтрации траффика или файрволлы не обнаружат ничего подозрительного.

Неограниченные возможности предоставляют перепрограммируемые клавиатуры. Также могут быть использованы мыши, микрофоны и другая периферия ввода данных, в работу которых можно вносить задержки.

Могут быть созданы и обычные троянские программы, которые передают данные через сеть таким незаметным способом.
Ещё одно применение данной технологии – скрытый канал в Voice over IP траффике.

JitterBug может быть настроенным на определённое событие, например ожидание ввода пароля на логин с определённым сервером,
также он может записывать данные и многократно передавать их повторно, а ожидающая сообщение сторона поймает наиболее удачный момент.

Сильная сторона этой технологии в её пассивности – скрытый канал не формируется, а создается модулированием проходящих данных.

Таким образом данная технология сопособна самым неожиданным способом разрушить безопасность многих защищённых сетевых протоколов, создавая скрытые каналы для похищения ключей и паролей путём организации незаметной активной тайминг атаки на систему.