Czego nie wiecie o Skype

[remool]

Jak Skype znacząco obniżył poziom zabezpieczeń swojego czatu

Komunikacja za pomocą Skype’a jeszcze kilka lat temu była uważana za całkiem bezpieczną. Potem firma zmieniła właściciela, a przy okazji także podejście do prywatności użytkowników. Oto przykład, jaki poziom zabezpieczeń stosuje obecnie.

Skype od początku swojego istnienia stawiał na poufność komunikacji. Służby całego świata narzekały, że nie da się podsłuchać rozmów prowadzonych za jego pomocą. A potem kupił go Microsoft i od tego dnia nic już nie było takie samo

Skype kiedyś

W roku 2008 redakcja serwisu cnet zadała kilku producentom internetowych komunikatorów proste pytania dotyczące możliwości podsłuchania rozmów ich użytkowników. Na pytanie „Czy kiedykolwiek otrzymaliście nakaz podsłuchania komunikacji swoich użytkowników” Skype odpowiedział

Nigdy nie otrzymaliśmy nakazu lub postanowienia sądu żądającego uruchomienia podsłuchu komunikacji pomiędzy dwoma użytkownikami Skype’a. Nawet gdybyśmy taki nakaz otrzymali, nie moglibyśmy go zrealizować ze względu na architekturę peer-to-peer oraz stosowane szyfrowanie.

Odpowiedź Skype’a w roku 2008 była prawdziwa. Komunikacja odbywała się bezpośrednio pomiędzy użytkownikami, omijając serwery firmy, a do tego była szyfrowana algorytmem AES z kluczem o długości 256 bitów. Co prawda nie wiemy, co drzemie w serwerowni NSA, ale powszechnie uznaje się ten rodzaj szyfrowania za bezpieczny

Skype dzisiaj

Nadszedł rok 2011, kiedy to Microsoft kupił Skype’a. Krótko potem użytkownicy zaczęli zauważać, że pakiety, które z reguły podróżowały między dwoma stronami rozmowy, zaczynają przechodzić przez serwery Microsoftu. Krok po kroku infrastruktura p2p została przerobiona na tradycyjną, oparta o scentralizowane serwery. W lipcu 2012 Washington Post poinformował, że Skype udostępnił organom ścigania możliwość czytania czatów użytkowników, jednak nie przedstawił na to żadnych dowodów – dopiero w lipcu potwierdziły to dokumenty Snowdena. Tymczasem w maju 2013 odkryto, ze linki, przesyłane w prywatnych wiadomościach Skype, są odwiedzane przez roboty Microsoftu. Oznaczało to wprost, że gigant z Redmond ma możliwość czytania treści rozmów. Faktycznie, na oficjalnej stronie programu znajduje się odpowiedź na pytanie, czy Skype korzysta z szyfrowania:

Wiadomości tekstowe szyfrowane są za pomocą protokołu SSL między klientem Skype’a a serwerami w chmurze lub za pomocą algorytmu AES gdy przesyłane są bezpośrednio między dwoma klientami Skype’a. Większość wiadomości jest przesyłana oboma drogami, lecz w przyszłości dla zapewnienia optymalnego działania usługi będziemy wykorzystywać tylko serwery w chmurze.

Krótko mówiąc „Drogi kliencie, kiedyś szyfrowaliśmy tak, że nikt tego nie mógł odszyfrować oprócz Ciebie, a teraz dla Twojej wygody zmieniamy szyfrowanie na takie, w którym możemy czytać Twoje wiadomości”. Co ciekawe, jeszcze w wersji strony z października zeszłego roku nie ma mowy o szyfrowaniu TLS, za to jeszcze w roku 2010 strona informowała, że czaty szyfrowane są za pomocą algorytmu AES. Jak jednak wygląda praktyczna możliwość odczytania cudzej konwersacji?
Odczytywanie treści czatu

Kilka dni temu jeden z pracowników firmy Blue Coat, wdrażającej platformy umożliwiające inspekcję ruchu internetowego, został zapytany, czy oferowany przez niego produkt potrafi zrekonstruować konwersację tekstową prowadzoną za pomocą Skype’a. Był zaskoczony tym pytaniem, ponieważ trwał w przekonaniu, że to niemożliwe, podczas kiedy osoba go pytająca twierdziła, że da się to zrobić. Przyjrzał się zatem ruchowi Skype’a i potwierdził, że faktycznie jest to wykonalne.

Krótki eksperyment pozwolił ustalić, ze faktycznie w najnowszym kliencie Skype informacje przesyłane za pomocą czatu są jedynie szyfrowane z użyciem protokołu TLS – nie ma już mowy o szyfrowaniu całej komunikacji za pomocą algorytmu AES. Przeprowadzając atak typu MiTM na sesję TLS, badacz mógł zobaczyć treść odszyfrowanej komunikacji pomiędzy dwoma testowymi klientami Skype’a.

Oczywiście wiadomości przesyłane są do serwerów Microsoft, gdzie mogą zostać w każdym przypadku przechwycone i zarejestrowane. Przy okazji badacz odkrył coś jeszcze.
Wystarczy dobry certyfikat

Okazuje się, że do przeprowadzenia ataku MiTM nie potrzeba wcale być posiadaczem certyfikatu SSL Microsoftu. Wystarczy do tego celu dowolny certyfikat, któremu zaufa podsłuchiwany komputer – niestety klient Skype’a nie posiada ograniczenia listy zaufanych certyfikatów. Oznacza to, że atak, umożliwiający podsłuchanie rozmowy nawet bez udziału Microsoftu może przeprowadzić każdy atakujący, który może wystawić zaufany certyfikat SSL dla odpowiedniej domeny. Nie jest to dobra wiadomość. Zapewne jeszcze rok temu uważalibyśmy tego rodzaju atak za mało prawdopodobny, jednak po ostatnich rewelacjach Snowdena trudno zachować podobny optymizm.

Jeśli temat interesuje Was od strony technicznej, na stronie Blue Coat znajdziecie zrzuty pakietów oraz dużo więcej obserwacji na temat protokołu Skype’a, w tym również rozmów głosowych (na razie nie udało się ich odszyfrować, choć dostępne są pewne metadane). Przypominamy także, że ciągle działa opisywana przez nas sztuczka pozwalająca każdemu na ustalenie adresu IP dowolnego użytkownika Skype’a, jeśli tylko użytkownik ten logował się przez ostatnie 48 godzin.

Jak łatwo ustalić adres IP dowolnego użytkownika Skype

Przyzwyczailiśmy się już, że organy ścigania mogą ustalić adres IP użytkownika danej usługi (a w konsekwencji jego tożsamość). Zdarza się jednak, że taką możliwość zyskują również zwykli internauci. Poniżej opisujemy metodę, działającą dla Skype’a.

Rok temu francuscy naukowcy opisali metodę deanonimizacji użytkowników Skype’a poprzez analizę pakietów TCP. Polega ona na analizie ruchu internetowego podczas wykonywania połączenia głosowego do innego użytkownika. Pakiety, wymieniane z tym użytkownikiem, są relatywnie łatwe do zidentyfikowania, ponieważ są wysyłane i odbierane w określonej kolejności. Metoda ta jednak wymaga podsłuchiwania ruchu oraz blokowania części pakietów, by druga strona nie zorientowała się, że jest namierzana. Dodatkowo, druga osoba powinna znaleźć się na naszej liście kontaktów. Metoda jest zatem dość skomplikowana i mimo, iż naukowcy zgłosili ją inżynierom Skype’a w październiku 2010, ci postanowili nie modyfikować aplikacji. Tymczasem istnieje sposób na znacznie prostsze zidentyfikowanie adresu IP dowolnego innego użytkownika Skype’a bez jego wiedzy.

Pierwszy raz opis tej metody pojawił się w sieci w serwisie Pastebin w kwietniu tego roku. Krótko potem powstała strona internetowa Skype IP-Finder, która umożliwiała zidentyfikowanie adresu IP przez interfejs www. Wystarczyło podać nazwę użytkownika, a witryna zwracała jego IP. Strona została jednak szybko zablokowana – w przeciwieństwie do samej metody. Metoda, choć już wiekowa, ciągle działa, a nie została do tej pory opisana po polsku, więc czas to zmienić. Co zatem trzeba zrobić?
Jak znaleźć adresy IP użytkownika Skype

1 Pobierz wersję Skype Open Source (repozytorium zostało zablokowane z uwagi na zgłoszone roszczenia dotyczące praw autorskich, ale działa bezpośredni link do pliku).
2 Zainstaluj Skype Open Source.
3 Utwórz plik rejestru (np. skype.reg) o treści jak poniżej i zaimportuj do rejestru Windows.

Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Skype\Phone\UI\General]
"LastLanguage"="en"
"Logging"="SkypeDebug2003"
"Logging2"="on"

4 Uruchom zmodyfikowanego Skype’a i utwórz nowe konto (na wszelki wypadek, bo podobno czasem Skype banował użytkowników korzystających z tej wersji).
5 Wyszukaj dowolny kontakt Skype’a (na podstawie nazwy użytkownika – w dalszej części opiszemy, jak znaleźć użytkownika po adresie email), nie musisz go dodawać do znajomych.
6 Wyświetl jego wizytówkę, klikając w miniaturkę awatara.
7 Zajrzyj do pliku debug-data-godzina.log, który został utworzony w tym samym katalogu, gdzie znajdował się plik skype.exe.
8 Znajdź w pliku wiersz podobny do poniższego, zawierający nazwę użytkownika, której szukałeś.
11:09:23.761 T#5620 PresenceManager: nazwauzytkownika0x62911323c9c9dbf6-s-s157.55.225.116:41024-r194.181.5.13:58229-l192.168.100.155:1832966f671dafe14b3af
9 Pierwszy adres IP (-s157.55.235.156) to adres serwera Skype. Drugi adres IP (-r194.181.5.13) to adres publiczny użytkownika, trzeci adres IP (-l192.168.100.155) to jego adres prywatny.
10 Dekalog wygląda lepiej, stąd punkt dziesiąty – zainteresowanym polecamy lekturę całego logu debuggera, zawiera sporo interesujących informacji.

Ograniczenia tej metody

Po pierwsze, musimy znać nazwę użytkownika (lub adres email, na który zostało zarejestrowane konto – patrz poniżej). Po drugie, działa ona tylko w przypadku aktywnych użytkowników. Jeśli ktoś nie logował się od kilku dni, jest całkiem prawdopodobne, ze nie zobaczymy jego adresu IP. Według autorów pierwszej opisywanej metody identyfikacji (po ruchu pakietów), działa ona tylko w ciągu 72h od ostatniego logowania.

Jak znaleźć nazwę użytkownika Skype na podstawie adresu email

To, co kiedyś było możliwe z poziomu aplikacji, dzisiaj wymaga trochę więcej zachodu. Od wersji 5.0 włącznie, Skype wyłączył możliwość wyszukiwania użytkownika na podstawie adresu email. Ale nic nie stoi na przeszkodzie, by odinstalować aktualną wersję i zainstalować Skype 4.2.0.187. Wtedy wystarczy już tylko wyłączyć automatyczną aktualizację aplikacji (narzędzia -> opcje -> zaawansowane -> pobierz automatycznie i zainstaluj) i można przeszukiwać bazę użytkowników na starych zasadach. Niestety Skype nie wymaga potwierdzenia adresu – więc może się zdarzyć, że konto Skype przypisane do adresu email wcale nie jest kontem tej samej osoby, która jest właścicielem konta pocztowego.

Jak nie dać się namierzyć

Skype posiada opcję łączenia przy użyciu serwera proxy – wystarczy skorzystać z tej funkcjonalności, wtedy w logu pojawi się IP serwera proxy.