Sivustot

Toimittajat Scrambling korjata virheen Net Security

Privacy, Security, Society - Computer Science for Business Leaders 2016

Privacy, Security, Society - Computer Science for Business Leaders 2016
Anonim

Ohjelmiston valmistajat ympäri maailma turvautuu korjaamaan vakavaa vikaa tekniikassa, jota käytetään tietojen siirtoon turvallisesti Internetissä.

Virhe on SSL-protokolla, joka tunnetaan parhaiten tietoturvakäytännössään, joka on tarkoitettu n aloittamiseen tarkoitettujen verkkosivustojen turvalliseen selaamiseen. hyökkääjät tarttuvat turvalliseen SSL (Secure Sockets Layer) -tietoliikenteeseen tietokoneiden välityksellä, mikä tunnetaan nimellä "man-in-the-middle" -hyökkäys.

Vaikka vikaa voidaan käyttää vain tietyissä olosuhteissa,

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

"

" Se on protokollatason virhe. " sanoi Paget, teknologiapäällikkö, jolla oli turvallisuusneuvonta nimeltä H4rdw4re. "Siellä on paljon asioita, jotka täytyy kiinnittää tähän: Web-selaimet, Web-palvelimet, Web-kuormitustasapainot, Web-kiihdyttimet, sähköpostipalvelimet, SQL-palvelimet, ODBC-ohjaimet ja vertaisverkkoprotokollat."

Vaikka hyökkääjä joutuisi ensin hakemaan uhrin verkkoa ja käynnistämään keskellä olevan ihmisen keskellä, tulokset olisivat tuhoisia - varsinkin jos niitä käytetään kohdennetussa hyökkäyksessä, jotta päästäisiin tietokantaan tai sähköpostipalvelimeen, Paget sanoi.

Koska sitä käytetään niin paljon, SSL on jatkuvasti turvallisuustutkijoiden mikroskoopin alla. Viime vuoden lopulla tutkijat löysivät keinon luoda väärennettyjä SSL-sertifikaatteja, joiden luotettaisiin jokin selain, ja elokuussa tutkijat paljastivat kourallisen uusia hyökkäyksiä, jotka saattaisivat vaarantaa SSL-liikenteen. Mutta toisin kuin SSL: n digitaalisten sertifikaattien hallitsemiseen liittyvästä infrastruktuurista, tämä viimeisin vika on itse SSL-protokolla, ja sitä on paljon vaikeampi korjata.

Lisääntyvä asioita on se, että virhe oli vahingossa julkaistiin hämmästyttävän postituslistalla keskiviikkona, mikä pakotti toimittajat hulluksi salakuunteluun tuotteidensa korjaamiseksi.

Kysely löydettiin Auguustilta tutkijoilta, jotka ovat matkapuhelinvalvontajärjestön PhoneFactorin tutkijoita. He olivat työskennelleet viimeisten kahden kuukauden aikana teknisen toimittajien yhteenliittymällä, jota kutsuttiin ICASI: n (teollisuuskonsortio Internetin suojaamisen edistämiseksi) koordinoimaan ongelmaan liittyvää alanlaajuista korjausta, nimeltään "Project Mogul".

Mutta niiden huolelliset suunnitelmat heitettiin epäonnistumiseen keskiviikkona, kun SAP-insinööri Martin Rex kompastui bugin yli. Ilmeisesti tietämättään ongelman vakavuudesta hän lähetti huomautuksensa aiheesta IETF: n (Internet Engineering Task Force) keskusteluluetteloon.

Keskiviikkona iltapäivällä puhui tarpeeksi ihmisistä siitä, että PhoneFactor päätti julkistaa löydöistään. "Siinä vaiheessa tunsimme, että roistot tiesivät ja tunsimme, että meillä oli vastuu siitä, että hyvät ihmiset tietäisivätkin," sanoi Sarah Fender, PhoneFactorin markkinointijohtajana.

Fender ei voinut sanoa, kuka oli valmis korjaamaan mutta hän huomautti, että useat avoimen lähdekoodin tuotteet ovat "ahdistuneita" työntämään laastaria.

ICASI: ta ei voitu kommentoida keskiviikkoiltana.

Vaikka turvallisuusasiantuntijat sanovat, että virhe on luultavasti ollut olemassa vuosia, se ei ole ajatus on hyödynnetty missä tahansa hyökkäyksessä.