Ik heb te maken met iets dat lijkt op een man-in-the-middle attack op een klein bedrijfsnetwerk. Het netwerk bestaat uit een Cisco Small Business router, type RV130 VPN Firewall (nieuw, kort geleden geplaatst), 2 Debian Wheezy servers en een hoop Windows 7 computers en wat telefoons e.d.
Nu was ik er laatst en zag ik dat 2 computers SSL-waarschuwingen gaven bij bezoek aan Google. Certificaten niet geldig voor Google en soms verlopen. Ik vermoedde dat deze computers wat opgelopen hadden, dus heb ze beiden geformatteerd. Andere systemen leken nergens last van te hebben.
Echter, nu krijg ik te horen dat het weer voorkomt. Dus ik ben naar binnen geVPN'd en samen zijn we gaan testen. Voor een periode kreeg zowel ik (Debian Jessie) als een lokale Windows 7 computer een ongeldig certificaat voor https://www.google.nl:
Ook hebben we traceroutes uitgevoerd. Zowel voordat ik certifiaatwaarschuwingen kreeg als na zag ik daar niets bijzonders aan (identiek). Vanaf het win7 systeem:
En vanaf Debian (via VPN, vandaar de 10.9.8.1):
Ik heb even een paar stukken informatie weggehaald uit privacyoverwegingen uiteraard. Maar daar lijkt niets mis te zijn.
Verder, surfen naar https://192.168.1.1/ (de Cisco router) geeft een certificaat dat wel voor het apparaat is en claimt getekend te zijn door Cisco Systems, Inc., maar is self-signed. Lijkt me ook vreemd voor een dergelijk apparaat.
Mis ik iets? Wat is hier aan de hand? Heb ik een NSA-gemodificeerd apparaat gekregen soms?
Nu was ik er laatst en zag ik dat 2 computers SSL-waarschuwingen gaven bij bezoek aan Google. Certificaten niet geldig voor Google en soms verlopen. Ik vermoedde dat deze computers wat opgelopen hadden, dus heb ze beiden geformatteerd. Andere systemen leken nergens last van te hebben.
Echter, nu krijg ik te horen dat het weer voorkomt. Dus ik ben naar binnen geVPN'd en samen zijn we gaan testen. Voor een periode kreeg zowel ik (Debian Jessie) als een lokale Windows 7 computer een ongeldig certificaat voor https://www.google.nl:
We hebben toen alle andere Windows PCs (naast dat testsysteem) uitgezet. Het leek toen even goed te gaan, behalve dat we voor https://support.mozilla.org/en-US/questions/749035 opeens een certificaat voor https://bugzilla.mozilla.org kregen.
Ook hebben we traceroutes uitgevoerd. Zowel voordat ik certifiaatwaarschuwingen kreeg als na zag ik daar niets bijzonders aan (identiek). Vanaf het win7 systeem:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
| C:\Users\xxx>tracert www.google.nl Tracing route to www.google.nl [173.194.112.184] over a maximum of 30 hops: 1 <1 ms <1 ms <1 ms x.solcon.nl [192.168.1.1] 2 <1 ms <1 ms <1 ms x.network.solcon.net [x] 3 1 ms 1 ms 1 ms rf-wholesale.ars01.ams2.network.solcon.net [212. 45.33.221] 4 1 ms 1 ms 1 ms rf-wholesale.ars01.ams2.network.solcon.net [212. 45.33.221] 5 1 ms 1 ms 1 ms te1-2.crs1.ams2.network.solcon.net [212.45.45.10 9] 6 2 ms 2 ms 2 ms core2.ams.net.google.com [80.249.209.100] 7 2 ms 3 ms 2 ms 209.85.254.95 8 3 ms 3 ms 2 ms 209.85.143.77 9 9 ms 10 ms 10 ms 209.85.246.41 10 10 ms 10 ms 10 ms 209.85.251.247 11 10 ms 11 ms 9 ms 72.14.238.57 12 10 ms 10 ms 10 ms fra07s32-in-f24.1e100.net [173.194.112.184] Trace complete. |
En vanaf Debian (via VPN, vandaar de 10.9.8.1):
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
| xxx@xxx-desktop:~$ traceroute google.com traceroute to google.com (173.194.112.132), 30 hops max, 60 byte packets 1 10.9.8.1 (10.9.8.1) 29.566 ms 60.896 ms 60.897 ms 2 x.solcon.nl (192.168.1.1) 60.894 ms 60.889 ms 60.885 ms 3 x.network.solcon.net (x) 60.880 ms 60.876 ms 60.870 ms 4 rf-wholesale.ars01.ams2.network.solcon.net (212.45.33.221) 60.866 ms 60.861 ms 60.855 ms 5 rf-wholesale.ars01.ams2.network.solcon.net (212.45.33.221) 60.851 ms 60.846 ms 92.052 ms 6 te1-2.crs1.ams2.network.solcon.net (212.45.45.109) 92.052 ms 52.150 ms 32.430 ms 7 core2.ams.net.google.com (80.249.209.100) 46.224 ms 46.217 ms 46.217 ms 8 209.85.254.90 (209.85.254.90) 46.220 ms 46.212 ms 46.227 ms 9 209.85.143.75 (209.85.143.75) 46.204 ms 46.205 ms 209.85.253.249 (209.85.253.249) 46.205 ms 10 209.85.241.229 (209.85.241.229) 46.208 ms 46.209 ms 209.85.240.143 (209.85.240.143) 62.468 ms 11 72.14.234.234 (72.14.234.234) 62.454 ms 93.505 ms 209.85.250.142 (209.85.250.142) 93.500 ms 12 72.14.236.223 (72.14.236.223) 132.408 ms 41.502 ms 154.947 ms 13 fra07s31-in-f4.1e100.net (173.194.112.132) 154.939 ms 154.923 ms 84.882 ms |
Ik heb even een paar stukken informatie weggehaald uit privacyoverwegingen uiteraard. Maar daar lijkt niets mis te zijn.
Verder, surfen naar https://192.168.1.1/ (de Cisco router) geeft een certificaat dat wel voor het apparaat is en claimt getekend te zijn door Cisco Systems, Inc., maar is self-signed. Lijkt me ook vreemd voor een dergelijk apparaat.
Mis ik iets? Wat is hier aan de hand? Heb ik een NSA-gemodificeerd apparaat gekregen soms?
:strip_icc():strip_exif()/u/307291/avatar2.jpg?f=community){kind=avatar}
:strip_icc():strip_exif()/u/79614/Family-Guy-Victory-is-Ours.jpg?f=community)
:strip_icc():strip_exif()/u/87479/audi_logo_2.jpg?f=community){kind=logo}
/u/67154/crop61cd7a4cd8d80_cropped.png?f=community)
:strip_exif()/u/31559/avatar-trev-60.gif?f=community){kind=avatar}
:strip_icc():strip_exif()/u/58248/tomcat4.jpg?f=community)