мессенджеры
Во многих организациях, особенно небольших, в качестве средства рабочей коммуникации между сотрудниками используются не специализированные системы вроде Slack или Microsoft Teams, а обычные мессенджеры — WhatsApp, Telegram, Signal и прочие. И если для личного пользования люди чаще всего ограничиваются их мобильными версиями, то для рабочих нужд многие устанавливают десктопные приложения, не задумываясь особенно — а безопасны ли они вообще?
В недавнем посте про уязвимости, найденные в десктопной версии Signal, мы написали, что «по-хорошему, лучший совет — не использовать десктопную версию Signal (да и вообще мессенджеров)». Но поскольку сходу не очевидно, почему бы, собственно, и нет, в этом посте мы постараемся подробно описать их недостатки с точки зрения кибербезопасности.
Отдельно подчеркнем, что речь пойдет о десктопных версиях «гражданских» приложений для обмена сообщениями — Telegram, WhatsApp, Signal и так далее, — а не о корпоративных системах вроде Slack и Microsoft Teams. Последние специально адаптированы для рабочих задач, поэтому с ними дела обстоят несколько иначе и мы не будем рассматривать их в этом посте.
1. С виду приложение, браузер внутри
Один из важных моментов, которые надо понимать про десктопные версии приложений для обмена сообщениями, — это то, что в подавляющем большинстве случаев они построены на базе фреймворка Electron. По сути это означает, что внутри такая программа представляет собой веб-приложение, которое открывается во встроенном в эту программу браузере Chromium.
Собственно, такой подход и является основной причиной популярности использования Electron для разработки десктопных версий программ: с помощью этого фреймворка можно легко и быстро делать приложения, которые будут работать во всех операционных системах. Однако это также означает, что в программы, построенные на Electron, автоматически подтягивается и полный букет его уязвимостей.
При этом надо понимать, что из-за невероятной популярности Chrome и Chromium уязвимости в них находят регулярно. Столь же быстро создают соответствующие эксплойты и подробно описывают методы их применения. В случае нормального, отдельного браузера Chrome это не является такой уж серьезной проблемой: Google очень оперативно реагирует на информацию об уязвимостях и регулярно выпускает заплатки. Чтобы оставаться в безопасности, достаточно просто не тянуть с установкой обновлений. А вот в случае с программами на базе Electron встроенный в нее браузер обновляется только тогда, когда ее разработчики выпускают новую версию приложения.
Что мы имеем в итоге? При использовании приложений, построенных на Electron, в системах у ваших сотрудников оказывается несколько браузеров, для которых регулярно создаются эксплойты и обновление которых при этом никто не может контролировать, ни вы, ни они. И чем таких приложений больше — тем выше сопутствующие риски. Поэтому разумно будет по крайней мере ограничить количество «гражданских» мессенджеров, устанавливаемых для выполнения рабочих задач.
2. Ключевой вопрос
Одно из главных достоинств современных мессенджеров — это использование сквозного шифрования. То есть тот факт, что для расшифровки переписки нужны секретные ключи собеседников, которые никогда не покидают их устройств. Поэтому пока ключи шифрования не известны никому постороннему, ваша переписка надежно защищена. А вот если атакующему удастся наложить руки на секретный ключ, он сможет не только читать содержимое переписки, но и писать сообщения от лица одного из собеседников.
И вот с этим у десктопных версий мессенджеров есть проблема. Дело в том, что они хранят ключи шифрования на диске, откуда их достаточно несложно выкрасть. Да, разумеется, для этого необходимо каким-то образом получить доступ к системе, скажем, заразить ее вредоносным ПО, но в случае десктопных ОС это вполне осуществимо. В мобильных ОС в силу их архитектурных особенностей заполучить ключ шифрования гораздо сложнее — особенно если речь идет о том, чтобы сделать это удаленно.
Иначе говоря, использование десктопной версии мессенджера автоматически существенно повышает риск того, что ключ шифрования и таким образом содержимое рабочей переписки попадут в чужие руки.
3. Крыса в чате
Допустим, все идет по плану и никто (пока) не завладел ключом шифрования ни одного из ваших сотрудников, это означает, что все хорошо и вся рабочая переписка под замком, ведь так? Не совсем. Потенциально для получения доступа к ней злоумышленники могут использовать инструменты для удаленного доступа, а также родственные им трояны удаленного доступа — оба эти явления известны как RAT, что в первом случае расшифровывается как Remote Access Tool, а во-втором — Remote Access Trojan. В сущности разница между ними достаточно условная — и легитимные инструменты, и нелегальные трояны позволяют делать с компьютером очень много всего интересного.
Собственно RAT — это одна из угроз, перед которой десктопные клиенты мессенджеров практически беззащитны в отличие от их мобильных товарищей. Подобные программы позволяют добраться до содержимого тайной переписки даже крайне неопытным атакующим. В запущенном мессенджере все содержимое чатов уже автоматически расшифровано, поэтому даже секретные ключи воровать нет никакой необходимости. В режиме удаленного рабочего стола читать переписку пользователя сможет любой желающий — даже если эта переписка ведется в самом защищенном в мире мессенджере. И не только читать, но при желании и написать что-то от имени вашего сотрудника в рабочий чат.
При этом инструменты удаленного администрирования — это совершенно легитимные программы, со всеми вытекающими последствиями. Во-первых, в отличие от вредоносного ПО, которое придется добывать в каких-то темных местах, их вообще без каких-либо проблем можно найти и скачать в Интернете. Во-вторых, не каждое защитное ПО предупреждает пользователя о том, что у него на компьютере обнаружены инструменты для удаленного доступа.
4. Что в теремочке живет?
Еще одна причина, по которой стоит избегать использования десктопных клиентов популярных мессенджеров, — это возможные неприятности, связанные с вредоносными файлами, которые могут получить ваши сотрудники. Разумеется, зараженный файл может прийти откуда угодно. Но к почтовым вложениям, и тем более файлам, загруженным из Интернета, большинство людей уже привыкло относиться с осторожностью. А вот к файлам, полученным в мессенджере, который позиционируется как инструмент для безопасного общения, отношение обычно совсем другое — что тут может пойти не так? Тем более если этот файл еще и пришел от коллеги (привет ключам шифрования и RAT), то волноваться точно совершенно не из-за чего.
В качестве примера можно привести хотя бы описанные в нашем недавнем посте уязвимости в десктопной версии Signal, связанные с тем, как мессенджер работает с файлами. Эксплуатация этих уязвимостей позволяет атакующему незаметно распространять зараженные документы от имени доверенного участника переписки среди его собеседников.
Это всего лишь один из гипотетических вариантов, предполагающий серьезные технические возможности атакующего. Нельзя исключать также и другие — от массовых рассылок по украденным где-нибудь базам до таргетированных атак с использованием социальной инженерии.
Мобильные операционные системы опять же лучше защищены от вредоносного ПО, поэтому данная проблема не настолько актуальна для пользователей мобильных клиентов мессенджеров. А вот использование их десктопных собратьев существенно повышает риски занести на устройство какую-нибудь заразу.
5. Надо было брать дробовики
Не стоит забывать и про классические угрозы. Для защиты от вредоносных вложений и фишинговых сообщений в электронной почте существуют специализированные защитные решения. А вот в случае с десктопными клиентами мессенджеров дела обстоят сложнее. Не существует решения, которое способно влезть внутрь защищенного сквозным шифрованием процесса обмена сообщениями с использованием серверов самого мессенджера. Поэтому остается ловить опасные объекты только на выходе, что, конечно же, снижает эффективность защиты.
Опять-таки это является куда меньшей проблемой для мобильных устройств — на них и важные файлы реже хранятся, и вредоносным ПО их заразить гораздо сложнее. Да и распространение по сети компании в случае успешной атаки на мобильное устройство вряд ли приведет к столь тяжелым последствиям.
При использовании же десктопного мессенджера на рабочем компьютере по сути возникает даже не просто неконтролируемый, а отлично защищенный от вмешательства администратора сети канал связи, из которого в один не очень прекрасный момент может прилететь что-нибудь очень неприятное.
Что делать, чтобы потом не выяснять, кто виноват
Закончим мы тем, с чего, собственно, и начали: как уже было сказано во вступлении, лучший совет — это не использовать десктопные версии мессенджеров. Если это по каким-либо причинам невозможно, то хотя бы примите элементарные меры предосторожности:
- Обязательно используйте защитное ПО на рабочих устройствах. Это, по сути, единственный вариант защиты от тех неприятностей, которые могут пролезть в рабочую сеть из мессенджера.
- Если ваши сотрудники пользуются не одним мессенджером, а несколькими разными, попробуйте навести в этом порядок. Стоит выбрать какой-то один из них для рабочего общения, а установку остальных запретить.
- Также не забывайте отслеживать установку и использование на рабочих устройствах инструментов удаленного доступа.
- Кстати, в нашем Kaspersky Endpoint Security Cloud есть функция Cloud Discovery, с помощью которой можно отслеживать попытки использования сотрудниками не одобренных облачных сервисов.
- Ну а чтобы сделать все эти меры более действенными — а заодно получать меньше негатива из-за их применения, — будет полезно провести сотрудникам тренинги по информационной безопасности.
Советы