Op het IEEE Symposium on Security and Privacy (http://www.ieee-security.org/TC/SP2012/program.html) zullen morgen Zhiyun Qian and Z. Morley Mao (University of Michigan) een presentatie geven over:

Off-Path TCP Sequence Number Inference Attack - How Firewall Middleboxes Reduce Security

De bijbehorende publicatie is al beschikbaar als PDF: http://web.eecs.umich.edu/~zhiyunq/pub/oakland12_TCP_sequence_number_inference.pdf

Als ik het goed begrijp is voor een aanval nodig:

- Een client device waarop al malware draait, echter unprivileged en zonder toegang tot andere applicaties;

- Het client device bevindt zich aan de schone kant van een firewall die TCP pakketjes dropt waarvan de sequence nummers buiten het TCP window vallen. Deze functionaliteit is niet nodig in een firewall (endpoints kunnen dat prima) maar de gedachte is dat je zo vervalste pakketjes al in de firewall blokkeert en zo minder verkeer in je schone netwerk overhoudt. Volgens de publicatie doen bijna alle grote firewall makers dit, waaronder Cisco, Juniper en CheckPoint;

- Een legitieme server aan de internetzijde van de firewall;

- Een aanvaller (eveneens aan de internetzijde van de firewall) die op de hoogte gehouden wordt door de malware op het device.

[   client  ]                    .––  X  ––[legitieme server]
[    met   ]––[firewall]––+
[malware]                     `–––––––[aanvaller]

De aanvallen kunnen vervolgens bestaan uit het redirecten van de verbinding, opgezet door de client, van de server naar de aanvaller. Ook kan de aanvaller ordinair verbindingen verbreken. De attacks werken doordat de aanvaller in combinatie met de malware aan de andere kant van de firewall het gedrag van die firewall kan observeren en misbruiken.

In het bijzonder mobiele devices zouden zo gevaar lopen; zowel de KPN als Vodafone GPRS/UMTS netwerken zouden kwetsbaar zijn volgens het artikel en de reacties in http://tweakers.net/nieuws/82078/onderzoekers-leggen-kwetsbaarheid-in-firewalls-bloot.html. Dat neemt niet weg dat vergelijkbare aanvallen op PC's achter firewalls met genoemde functionaliteit zouden kunnen plaatsvinden.

Voor de duidelijkheid: het gaat dus om een soort privilege escalation attack op een device waarop reeds malware draait. Als voorbeeld wordt verwezen naar http://www.youtube.com/watch?v=T65lQtgUJ2Y waarin te zien is dat een "wallpaper app" de logon op je Facebook pagina kan kapen. Het gaat dus niet om een generieke attack op TCP sequence nummers.

Nb. Tweakers stelt: Dat is onzin. SSL/TLS verbindingen zijn niet te bypassen met deze techniek (bugs in implementaties van SSL/TLS, zwak geconfigureerde endpoints en onbetrouwbare CA's daargelaten). Uit de publicatie: Gebruikers moeten gewoon leren om https in te tikken.

De redactie zal hier morgen waarschijnlijk ook wel een artikel over publiceren, maar de nachtbrakers hebben het in elk geval al op security.nl kunnen lezen!

Aanvulling, korte uitleg door de auteurs met plaatjes en filmpje is hier te vinden: http://web.eecs.umich.edu/~zhiyunq/tcp_sequence_number_inference/.