Security Pro λέει ότι η νέα επίθεση SSL μπορεί να πλήξει πολλούς ιστότοπους

Ένας σύμβουλος ασφάλειας υπολογιστών του Seattle αναφέρει ότι έχει αναπτύξει έναν νέο τρόπο εκμετάλλευσης ενός πρόσφατα αποκαλυπτόμενου σφάλματος στο πρωτόκολλο SSL που χρησιμοποιείται για την εξασφάλιση επικοινωνιών στο Διαδίκτυο. Η επίθεση, ενώ είναι δύσκολο να εκτελεστεί, θα μπορούσε να δώσει στους επιτιθέμενους μια πολύ ισχυρή επίθεση phishing.

Ο Frank Heidt, Διευθύνων Σύμβουλος της Leviathan Security Group, λέει ότι ο "γενικός" κώδικας proof-of-concept θα μπορούσε να χρησιμοποιηθεί για να επιτεθεί σε ποικίλες τοποθεσίες Web. Ενώ η επίθεση είναι εξαιρετικά δύσκολο να τραβηχτεί - ο χάκερ θα έπρεπε πρώτα να τραβήξει μια επίθεση στον άνθρωπο στη μέση, τρέχοντας κώδικα που υπονομεύει το δίκτυο του θύματος - θα μπορούσε να έχει ολέθριες συνέπειες. εκμεταλλεύεται το σφάλμα ταυτότητας SSL (Secure Sockets Layer), το οποίο αποκαλύφθηκε για πρώτη φορά στις 5 Νοεμβρίου. Ένας από τους εντοπιστές του SSL, Marsh Ray στο PhoneFactor, λέει ότι είδε μια επίδειξη της επίθεσης του Heidt και είναι πεπεισμένος ότι θα μπορούσε να λειτουργήσει. "Το έδειξε σε μένα και είναι η πραγματική συμφωνία", δήλωσε ο Ray.

Η ελαττωματική πιστοποίηση SSL δίνει στον εισβολέα έναν τρόπο να αλλάξει τα δεδομένα που αποστέλλονται στο διακομιστή SSL, αλλά δεν υπάρχει κανένας τρόπος να διαβάσετε τις πληροφορίες που θα επιστρέψουν. Ο Heidt στέλνει δεδομένα που προκαλούν το διακομιστή SSL να επιστρέψει ένα μήνυμα ανακατεύθυνσης, το οποίο στη συνέχεια στέλνει το πρόγραμμα περιήγησης στο Web σε μια άλλη σελίδα. Στη συνέχεια χρησιμοποιεί αυτό το μήνυμα ανακατεύθυνσης για να μετακινήσει το θύμα σε μια μη ασφαλής σύνδεση, όπου οι ιστοσελίδες μπορούν να ξαναγραφούν από τον υπολογιστή της Heidt πριν να αποσταλούν στο θύμα. <>

Ο Frank έχει δείξει έναν τρόπο να εκμεταλλευτεί αυτή την επίθεση τυφλού απλού κειμένου ένα πλήρες συμβιβασμό της σύνδεσης μεταξύ του προγράμματος περιήγησης και του ασφαλούς ιστότοπου, "δήλωσε ο Ray.

Μια κοινοπραξία εταιρειών του Διαδικτύου εργάστηκε για να διορθώσει το ελάττωμα από τότε που οι προγραμματιστές του PhoneFactor το αποκάλυψαν για πρώτη φορά πριν από αρκετούς μήνες. Το έργο τους απέκτησε νέα επείγοντα περιστατικά όταν το σφάλμα αποκαλύφθηκε κατά λάθος σε μια λίστα συζητήσεων. Οι εμπειρογνώμονες σε θέματα ασφάλειας συζητούν τη σοβαρότητα αυτού του τελευταίου ελαττώματος SSL από τότε που έγινε γνωστό στο κοινό

Την περασμένη εβδομάδα, ο ερευνητής της IBM, Anil Kurmus, έδειξε πως το ελάττωμα θα μπορούσε να χρησιμοποιηθεί για να εξαπατήσει τους browsers να στέλνουν μηνύματα Twitter που περιέχουν κωδικούς πρόσβασης χρηστών. Αυτή η τελευταία επίθεση δείχνει ότι το ελάττωμα θα μπορούσε να χρησιμοποιηθεί για να κλέψει όλα τα είδη ευαίσθητων πληροφοριών από ασφαλείς τοποθεσίες Web, δήλωσε ο Heidt.

Για να είναι ευάλωτοι, οι ιστότοποι πρέπει να κάνουν κάτι που ονομάζεται επαναδιαπραγμάτευση πελάτη υπό SSL. ασφαλείς ιστοσελίδες που θα μπορούσαν να δημιουργήσουν ένα συγκεκριμένο μήνυμα ανακατεύθυνσης 302.

Πολλοί ιστότοποι υψηλού προφίλ τραπεζικής και ηλεκτρονικού εμπορίου δεν θα επιστρέψουν αυτό το μήνυμα ανακατεύθυνσης 302 κατά τρόπο που να μπορεί να εκμεταλλευτεί, αλλά ένας "τεράστιος αριθμός"

Με τόσους πολλούς ιστότοπους που διατρέχουν κίνδυνο για το ελάττωμα, ο Heidt αναφέρει ότι δεν προτίθεται να απελευθερώσει τον κώδικα του αμέσως.

Από την οπτική γωνία του θύματος, η μόνη αξιοσημείωτη αλλαγή κατά τη διάρκεια μιας επίθεσης είναι ότι browser no lo ο nger μοιάζει σαν να είναι συνδεδεμένος με έναν ιστότοπο SSL. Η επίθεση είναι παρόμοια με την επίθεση της SSL Strip που παρουσιάστηκε από την Moxie Marlinspike σε μια διάσκεψη για την ασφάλεια που έγινε νωρίτερα φέτος.

Η Leviathan Security Group δημιούργησε ένα εργαλείο που οι webmasters μπορούν να χρησιμοποιήσουν για να διαπιστώσουν εάν οι ιστότοποί τους είναι ευάλωτοι σε ένα SSL Authentication Gap

Επειδή το SSL και το πρότυπο αντικατάστασής του TLS χρησιμοποιούνται σε ένα ευρύ φάσμα τεχνολογιών Διαδικτύου, το σφάλμα έχει εκτεταμένες συνέπειες.

Ο Thierry Zoller, σύμβουλος ασφαλείας με την G-Sec, λέει ότι θεωρητικά, το ελάττωμα θα μπορούσε να χρησιμοποιηθεί για την επίθεση διακομιστών αλληλογραφίας. "Ένας επιτιθέμενος μπορεί να στέλνει μηνύματα ηλεκτρονικής αλληλογραφίας που στέλνουν μέσω ασφαλών συνδέσεων SMTP [Simple Mail Transfer Protocol], ακόμη και αν έχουν πιστοποιηθεί από ιδιωτικό πιστοποιητικό", ανέφερε σε συνέντευξη άμεσου μηνύματος.

Ο Zoller, ο οποίος δεν έχει δει τον κώδικα του Leviathan, δήλωσε ότι αν η επίθεση λειτουργεί όπως διαφημίζεται, θα είναι μόνο θέμα ημερών πριν κάποιος άλλος υπολογίζει πώς να το κάνει.