Sivustot

Security Pro sanoo, että uusi SSL-hyökkäys voi osua useisiin sivustoihin

Internet Technologies - Computer Science for Business Leaders 2016

Internet Technologies - Computer Science for Business Leaders 2016
Anonim

Seattlen tietoturvakonsultti kertoo kehittäneen uuden tavan hyödyntää äskettäin julkistettua vikaa SSL-protokollassa, jota käytetään tietoliikenneyhteyksien suojaamiseen Internetissä. Hyökkäyksiltä saatava hyökkäys, joka on vaikea toteuttaa, saattaa hyökkääjille antaa erittäin voimakkaan tietojenkalastushyökkäyksen.

Leviathan Security Groupin toimitusjohtaja Frank Heidt sanoo, että hänen "yleinen" konekielisen koodinsa avulla voidaan hyökätä erilaisiin verkkosivustoihin. Vaikka hyökkäys on äärimmäisen vaikeaa vetää pois - hakkeri ensin joutuisi ensin irrottamaan miehen keskellä olevan hyökkäyksen, joka vaarantaa uhrin verkon. Se voi aiheuttaa tuhoisia seurauksia.

Hyökkäys hyödyntää SSL (Secure Sockets Layer) Authentication Gap -virhe, joka ilmestyi ensimmäisen kerran 5. marraskuuta. Yksi SSL-bugin löydöistä, Marsh Ray on PhoneFactor, kertoo näkevänsä Heidtin hyökkäyksen, ja hän on vakuuttunut voivan toimia.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

SSL-todennusvirhe antaa hyökkääjälle mahdollisuuden muuttaa lähettämääsi dataa SSL-palvelimelle, mutta ei vieläkään ole mahdollista lukea takaisin tulevia tietoja. Heidt lähettää tietoja, jotka aiheuttavat SSL-palvelimen palauttavan uudelleenohjaussanoman, joka lähettää sitten selaimen toiseen sivulle. Tämän jälkeen hän käyttää kyseistä uudelleenohjausviestiä siirtäessään uhrin epävarmalle yhteydelle, jossa Heidtin tietokoneet voivat kirjoittaa ne Web-sivut uudelleen ennen kuin heidät lähetetään uhreille.

"Frank on osoittanut keinon hyödyntää tätä tavallista selkokielistä hyökkäystä täydellinen kompromissi selaimen ja turvallisen sivuston välisestä yhteydestä ", Ray sanoi.

Internet-yritysten konsortio on pyrkinyt korjaamaan virheen, sillä PhoneFactor-kehittäjät löysivät sen ensimmäisen kerran useita kuukausia sitten. Heidän työnsä sai uutta kiireellisyyttä, kun vikaa paljastui väärässä keskustelulistassa. Tietoturva-asiantuntijat ovat keskustelleet tämän viimeisimmän SSL-virheen vakavuudesta, koska siitä tuli julkista tietämystä.

IBM tutkija Anil Kurmus osoitti viime viikolla kuinka vikaa voidaan käyttää tempaamaan selaimesi lähettämään Twitter-viestejä, jotka sisältävät käyttäjän salasanoja.

Tämä viimeisin hyökkäys osoittaa, että virheestä voitaisiin varastaa kaikenlaisia ​​arkaluontoisia tietoja turvallisilta verkkosivustoilta, Heidt sanoi.

Haavoittuvuudestaan ​​sivustot tarvitsevat jotain, jota kutsutaan SSL: n asiakkaiden uudeksi neuvotteluksi ja joilla on myös joitain elementtejä turvallisia Web-sivuja, jotka voisivat tuottaa tietyn 302-uudelleenohjaussanoman.

Useat korkean profiilin pankki- ja verkkokauppasivustot eivät palauta tätä 302-uudelleenohjausviestiä tavalla, jota voidaan hyödyntää, mutta "valtava määrä" sivustoja voisi hyökätä, Heidt sanoi:

Heidt sanoo, että hän ei aio julkaista koodiaan välittömästi.

Uhrin näkökulmasta ainoa huomattava muutos hyökkäyksen aikana on se, että selain ei lo nger näyttää siltä kuin se on yhteydessä SSL-sivustoon. Hyökkäys on samanlainen kuin SSL Strip-hyökkäys, jonka Moxie Marlinspike [cq] osoitti aiemmin tämän vuoden turvallisuuskonferenssissa.

Leviathan Security Group on luonut työkalun, jonka avulla verkkovastaavat voivat tarkistaa, ovatko niiden sivustot alttiita SSL-todentamiselle hyökkäys

Koska SSL: n ja sen korvausstandardin TLS käytetään monissa Internet-tekniikoissa, virheellä on kauaskantoisia vaikutuksia.

G-Secin turvallisuuskonsultti Thierry Zoller sanoo, että teoriassa, virheestä voitaisiin hyökätä postin palvelimiin. "Hyökkääjä voi lähettää sähköpostiviestejä lähettämään suojattuja SMTP-yhteyksiä (Simple Mail Transfer Protocol), vaikka heidät vahvistettaisiin yksityisellä varmenteella", hän sanoi pikaviestikyselyssä.

Zoller, joka ei ole nähnyt Leviathanin koodia, sanoi, että jos hyökkäys toimii mainoksena, se on vain muutamia päiviä ennen kuin joku muu luulee, miten se tehdään.