GoAgent的安全风险

原文：http://www.williamlong.info/archives/3882.html
GoAgent 利用 Google App Engine (GAE) 来实现安全上网，以免费、快速、稳定的特点深受网民的欢迎。但是，GoAgent 的安装和配置中存在两点严重安全风险的问题却鲜为人知。这两点安全风险都可能被攻击者利用进行 “中间人攻击（man-in-the-middle attack）” 来窃取 GoAgent 用户的网络帐号密码等敏感信息，其概括描述如下：

GoAgent 在启动时会尝试自动往系统的可信根证书中导入一个名为 “GoAgent CA” 的证书。由于这个证书的私钥是公开的，导致任何人都可以利用这个私钥来伪造任意网站的证书进行 HTTPS 中间人攻击。即使在不开启 GoAgent 时，这种攻击的风险仍然存在。换而言之，一旦这个证书被导入，攻击者可以用此绕过几乎所有网站的 HTTPS 保护。
GoAgent 本身对 TLS 证书的认证存在问题，而且默认时不对证书进行检查，这导致在使用 GoAgent 时存在 HTTPS 中间人攻击的风险。

GoAgent 导入公开私钥根证书的问题
测试页面：请访问 https://goagent-cert-test.bamsoftware.com/ 来进行测试。这个页面使用了一个由 GoAgent CA 签发的证书。如果你的浏览器没有受到影响，会显示报警信息；如果没有看到报警，则表明你的浏览器导入了公开的 GoAgent CA 证书，存在严重安全风险。
如何防止风险：GoAgent 本身带有生成证书文件 CA.crt 的功能。只需要删除 local/CA.crt 文件就能保证 GoAgent 所导入的证书是唯一的，不会被网络上的攻击者利用来进行攻击。如果你以前曾经使用过 GoAgent，务必要检查系统中任何可能的地方，删除 SHA-1 指纹为 AB:70:2C:DF:18:EB:E8:B4:38:C5:28:69:CD:4A:5D:EF:48:B4:0E:33 的 “GoAgent CA” 证书（建议使用浏览器访问上面的测试页面进行检查）。常见系统中检查和删除 GoAgent CA 证书的方法请自行搜索。

GoAgent 没有进行正确的 TLS 验证，存在中间人攻击的风险
如何防止风险：确认在 proxy.ini 中设置了 gae.mode=https （默认），并且启用了证书验证 gae.validate=1（非默认）。这样的设定基本上能够防止 proxy.py 和 GAE 服务器，以及 GAE 服务器和网站服务器之间的 HTTPS 中间人攻击。由于 proxy.py 中没有对证书的主机名进行严格匹配，proxy.py 和 GAE 服务器的通信仍存在（相对较小的）风险，如果有人能够申请到 organizationName 字段以 “Google ” 开头的证书，仍然能够成功进行HTTPS 中间人攻击。

觉得文章有用，微信打赏一元。