從理論上來(lái)看，用于保護(hù)計(jì)算系統(tǒng)的加密技術(shù)和算法是強(qiáng)大的，但是，即使是最強(qiáng)大的加密技術(shù)也無(wú)法避免部署問(wèn)題和軟磨硬泡(Rubber -hose) 攻擊。即使你投入大量時(shí)間來(lái)保護(hù)公鑰基礎(chǔ)設(shè)施（PKI），僅一個(gè)漏洞就可以破壞整個(gè)基礎(chǔ)設(shè)施。特別是面對(duì)這種情況：攻擊者可以使用Adobe的證書對(duì)惡意軟件簽名，從而將惡意代碼偽裝成合法Adobe軟件更新。在本文中，我們將對(duì)這種Adobe攻擊進(jìn)行分析以了解Adobe證書帶來(lái)的安全問(wèn)題，并探討企業(yè)應(yīng)該采取哪些措施來(lái)保護(hù)自己。

Adobe攻擊分析

對(duì)Adobe的攻擊是使用惡意簽名軟件的幾種攻擊之一。Stuxnet和Flame都是利用偷來(lái)的或有效證書來(lái)簽名惡意軟件以逃避潛在的windows防御?；贏dobe的安全證書問(wèn)題，攻擊者能夠使用Adobe的數(shù)字代碼簽名來(lái)對(duì)惡意軟件簽名，使該惡意軟件看起來(lái)像是合法的Adobe軟件。根據(jù)Adobe安全主管Brad Arkin表示，Adobe已經(jīng)撤銷了有問(wèn)題的證書，但這樣做并沒(méi)有解決這種攻擊中所利用的所有安全漏洞。

Adobe使用硬件安全模塊（HSM）來(lái)更好地保護(hù)用于軟件簽名的證書。HSM可以提供高水平的安全性來(lái)保護(hù)私鑰，為某些類型的加密提供更高的性能，但HSM部署帶來(lái)安全挑戰(zhàn)，特別是在私鑰的訪問(wèn)方式方面。它們通常提供幾種不同的方法來(lái)控制對(duì)私鑰的訪問(wèn)，包括密碼保護(hù)、雙因素身份驗(yàn)證（生物特征識(shí)別、智能卡等）以及分割密鑰身份驗(yàn)證。然而，從部署和安全方面來(lái)看，每種方法都有優(yōu)點(diǎn)和缺點(diǎn)。例如，為了自動(dòng)化某些加密操作，例如簽名，一些HSM允許這些功能在不使用密碼的情況下執(zhí)行，這種設(shè)置需要其他補(bǔ)償性控制來(lái)防止對(duì)HSM的訪問(wèn)。Adobe很有可能在其軟件構(gòu)建過(guò)程使用了這種免密碼方式來(lái)簽名文件，從而使攻擊者能使用Adobe證書來(lái)簽名惡意軟件。

企業(yè)應(yīng)該如何應(yīng)對(duì)惡意Adobe簽名軟件

筆者在Flame惡意軟件攻擊中建議使用的保護(hù)措施同樣可以用于抵御惡意Adobe簽名軟件。企業(yè)可以使用反惡意軟件來(lái)阻止這種惡意更新，并將Windows配置為只執(zhí)行簽名軟件，或者使用白名單來(lái)幫助阻止攻擊。此外，維持基本的保護(hù)以及保持軟件更新將有助于減少全面攻擊的可能。企業(yè)可以對(duì)下載的文件進(jìn)行惡意軟件掃描，同時(shí)，企業(yè)也可以檢查是否存在使用吊銷證書簽名的軟件。對(duì)于下載的簽名軟件也應(yīng)該執(zhí)行這種吊銷證書檢查，但這可能不是所有補(bǔ)丁管理軟件的默認(rèn)配置。企業(yè)還可以檢查簽名軟件上從官方渠道接收的哈希值，但狡猾的攻擊者可能也會(huì)偽造這些值。

最可能受Adobe問(wèn)題安全證書影響的是自動(dòng)安裝更新的用戶，由于這些惡意更新偽裝成合法更新，因此它們可能被自動(dòng)安裝在不知情的系統(tǒng)上。這可能會(huì)逃避所有允許Adobe更新的白名單保護(hù)。與惡意Adobe簽名更新相比，老版本的Adobe Reader存在更大的風(fēng)險(xiǎn)，因?yàn)镽eader的安全性經(jīng)常受到破壞，而通過(guò)Adobe更新過(guò)程部署惡意軟件是不可能的。其他軟件制造商可能不會(huì)像Adobe一樣使用HSM來(lái)加強(qiáng)保護(hù)，因?yàn)檫@樣太貴，但他們的基礎(chǔ)設(shè)施都很容易受到攻擊。

結(jié)論

簡(jiǎn)而言之，雖然PKI很復(fù)雜且難以正確部署，但對(duì)最終用戶而言，它必須是簡(jiǎn)單的，并且它對(duì)計(jì)算生態(tài)系統(tǒng)的安全性是至關(guān)重要的。鑒于這些競(jìng)爭(zhēng)要求，企業(yè)應(yīng)該預(yù)想到PKI會(huì)受到破壞，他們必須準(zhǔn)備一個(gè)應(yīng)急預(yù)案計(jì)劃來(lái)盡量減小對(duì)企業(yè)、其客戶和用戶的影響。Adobe通過(guò)其軟件安全開發(fā)生命周期已經(jīng)取得了顯著的進(jìn)步，并通過(guò)HSM采取了合理的安全預(yù)防措施，但是，這一攻擊事件表明，如果攻擊者獲取了對(duì)基礎(chǔ)設(shè)施的特權(quán)訪問(wèn)，這種訪問(wèn)可以被用來(lái)破壞系統(tǒng)。