SSL-virheitä voitaisiin käyttää Twitterissä

Internet-tietoliikenneyhteyksien suojaamiseksi käytetyn protokollan puute olisi voitu käyttää Twitter-tileihin, IBM: n tietoturva-tutkijan mukaan.

Viime viikolla Anil Kurmus osoitti, miten SSL (Secure Sockets Layer) -protokollaa voisi olla käytettiin lähinnä huijaamaan uhreja lähettämään Twitter-viestejä, jotka sisälsivät salasanatietonsa. Jotta virhe olisi hyödynnettävä, hakkeri joutuisi ensin etsimään tapaa päästä uhrin verkkoon, käynnistämällä tunnetuksi mies-keskellä hyökkäys, joten olisi vaikea vaikuttaa suuriin Twitter-käyttäjiin tämä tekniikka. Kysymys pantiin pian Twitteriin, mutta turvallisuusasiantuntijat ovat miettineet, kuinka monta verkkosivustoa he saattavat kärsiä samanlaisesta ongelmasta.

Internet-yritysten yhteenliittymä on salattu SSL-ongelman korjaamiseksi 5.11. Alkaen, kun se tapahtui tahattomasti julkisesti keskusteluluettelossa. Mutta puutteen vakavuudesta on keskusteltu jonkin verran. Hiljaisen virheen julkaisemisen jälkeen IBM-tutkija Tom Cross kertoi, että ongelma ei vaikuta suurimmaksi osaksi tärkeimpiin Web-sovelluksiin.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Mutta Risti muutti mieltään kirjoittamalla: "Valitettavasti tilanne on huonompi kuin luulin."

Erityisesti Webmail -sovelluksia voi olla myös vaarassa tästä hyökkäyksestä. Turvallisuusasiantuntijat huolehtivat myös siitä, että muutkin sovellukset - esimerkiksi tietokannat - saattavat olla vaarassa.

Twitter.com oli vikasietoinen, koska se teki niin sanotun asiakkaan uudelleentarkastelun SSL: n mukaan. Asiakkaan uudelleentarkastelu antaa verkkosivustolle mahdollisuuden lähettää Twitter-käyttäjälle SSL-varmenne sen jälkeen, kun käyttäjä on jo liitetty sivustoon. Se on hyödyllinen työkalu sivustoille, joiden avulla käyttäjät voivat kirjautua sisään älykorttien tai sivustojen avulla, jotka rajoittavat pääsyä tietyn ryhmän ennalta määritettyihin Web-surffaajiin, mutta kunnes vika on korjattu, asiakkaan uudelleentutkiminen avaa myös oven SSL-hyökkäyksille.

on luultavasti monia sivustoja, kuten Twitter, joka mahdollistaa asiakkaan neuvottelemisen yksinkertaisesti siksi, että se on rakennettu SSL-protokollaan ja sen seuraajaan, TLS (Transport Layer Security), sanoi Marsh Ray, joka on yksi ongelma-aiheista löydetyistä PhoneFactor-kehittäjistä. "Monet ihmiset eivät ymmärrä, että he tekivät sen."

Hyvä uutinen on, että monet sivustot voivat yksinkertaisesti poistaa sen kokonaan, mikä on ilmeisesti mitä Twitter on tehnyt.

Rayn mukaan ihmisten pitäisi ymmärtää, että vaikka SSL-virhe ei ole katastrofaalinen, "tämä on vakava virhe ja ihmisten täytyy korjata se."