The code of errors that allows computer pirates to open the Chinese version of Microsoft's signature code

In March 2021, Microsoft A révélélé une cyberattaque massive qui a compromis son logiciel de messagerie Exchange Server et affecté des dizaines de milliers d'organisations dans le monde entier. L'attaque, attribuée à un groupe de pirates informatiques parrainé par l'État chinois et connu sous le nom de Hafnium, a exploité four vulnérabilités inconnues jusqu'alors dans Exchange Server pour accéder à des comptes de messagerie, voler des données et installer des malveillants logiciels.

Mais l'attaque a également eu une autre conséquence, plus alarmante: les pirates ont réussi à voler la clé de signature de Microsoft, qui est utilisée pour verifier l'authenticité et l'intégrité des mises à jour logicielles. Cela means that the pirates can use the clé volée to signer des codes malveillants et les distribuer comme des mises à jour légitimes à des utilisateurs peu méfiants.

Comment cela s'est-il produit? Comment on a company that is also sophisticated that Microsoft at-elle can lose the control of an actif that is also essential? What is this meaning for the security of approvision chains in logiciels?

The answer is found in a comedy of errors involving a human error, a technical failure and an organizational failure. Ce sont là quelques-uns des facteurs clés qui ont contribute to this violation without previous:

– Microsoft uses a self-signed certificate for its current Exchange Server, with a certificate issued by an external trust authority. Il était donc plus facile pour les pirates d'usurper l'identité de Microsoft et d'inciter les utilisateurs à installer des mises à jour malveillantes.

– Microsoft a stocké sa clé de signature sur un serveur connecté à l'internet, au lieu de l'isoler dans un environnement hors ligne securisé. Cela exposait la clé à un risk de compromission par toute personne pouvant accéder au serveur.

– Microsoft n'a pas mis en œuvre les contrôles de security adéquats sur son server de signatures, tels que le cryptage, l'authentification, la journalisation et la surveillance. Cela a permis à des pirates d'obtenir un accès non détecté au serveur et de modifier sa configuration.

– Microsoft does not respect the principle of most privileges, which consists of the level of access that is minimally necessary for the user or process. Au lieu de cela, il acordé à son serveur de signature tous les privilèges administratifs, ce qui aux pirates d'exécuter des commandes arbitraires et de voler la clé.

– Microsoft does not have a solid response plan for incidents that allows you to detect, contain and attack the attack. Microsoft a mi plusieurs semaines à découvrir la faille et à informar ses clients, ce qui aux pirates tout le temps nécessaire pour exploiter la clé volée.

Ces erreurs illustrent comment un seul maillon faible peut compromettre toute une chaîne d'approvisionnement en logiciels et mettre en danger des millions d'utilisateurs. The soulignent également la nécessité pour les développeurs et les vendeurs de logiciels d'adopter les meilleures pratiques pour protéger leurs clés et leurs processus de signature:

– Utilisez des certificats originant d'autorités accréditées qui appliquent des politiques strictes de vérification et de révocation.

– Stockage of the signature keys in the modules of security materials (HSM) that ensure physical and logical protection against non-authorized access.

– Mettre en œuvre des contrôles de security tels que le cryptage, l'authentification, la journalisation et la surveillance sur les serveurs et les réseaux de signature.

– Suivez le principe du moindre privilège et appliquez le principe de la défense en profondeur, qui consists à utiliser plusieurs couches de security pour protéger les actifs critiques.

– Disposer d'un plan d'intervention clair et complet en cas d'incident, comprenant des tests et des mises à jour réguliers.

Le vol de la clé de signature de Microsoft a été un signal d'alarm pour l'industrie du logiciel et a rappelé l'importance de la protection des chaînes d'approvisionnement en logiciels. In keeping with the leçons de cet incident et en appliquant ces meilleures pratiques, les développeurs et les vendeurs de logiciels peuvent prévenir des attaques similaires à l'avenir et garantir la fiabilité de leurs produits.