Η λάθος SSL θα μπορούσε να χρησιμοποιηθεί για να χτυπήσει το Twitter

Την περασμένη εβδομάδα Anil Kurmus κατέδειξε πώς θα μπορούσε να είναι ένα ρήγμα στο πρωτόκολλο SSL (Secure Sockets Layer) χρησιμοποιείται ουσιαστικά για να εξαπατήσει τα θύματα να στέλνουν μηνύματα Twitter που περιείχαν τις πληροφορίες κωδικού πρόσβασης τους. Για να εκμεταλλευτεί το ελάττωμα, ένας χάκερ θα πρέπει πρώτα να βρει έναν τρόπο να φτάσει στο δίκτυο του θύματος, ξεκινώντας αυτό που είναι γνωστό ως άνθρωπος στη μεσαία επίθεση, οπότε θα ήταν δύσκολο να επηρεαστεί ένας μεγάλος αριθμός χρηστών του Twitter με αυτή την τεχνική. Το θέμα ήταν σύντομα patched από το Twitter, αλλά έχει ειδικούς ασφαλείας που αναρωτιούνται πόσες ιστοσελίδες μπορεί να υποφέρουν από ένα παρόμοιο πρόβλημα.

Μια κοινοπραξία εταιρειών του Διαδικτύου έχει ανακατωλήσει για να διορθώσει το ζήτημα SSL από τις 5 Νοεμβρίου, όταν έγινε κατά λάθος δημόσια σε μια λίστα συζητήσεων. Αλλά υπήρξε κάποια συζήτηση σχετικά με τη σοβαρότητα του ελάττωματος. Λίγο μετά τη δημοσιοποίηση του σφάλματος, ο ερευνητής της IBM Tom Cross δήλωσε ότι, ως επί το πλείστον, οι μεγάλες εφαρμογές Web δεν θα επηρεαστούν από το ζήτημα.

[Περαιτέρω ανάγνωση: Τρόπος κατάργησης κακόβουλου λογισμικού από τον υπολογιστή σας Windows]

Αλλά ο Σταύρος άλλαξε το μυαλό του, γράφοντας: "Δυστυχώς, η κατάσταση είναι χειρότερη από όσο σκέφτηκα."

Οι εφαρμογές Webmail, ειδικότερα, μπορεί επίσης να κινδυνεύουν από αυτή την επίθεση. Και οι εμπειρογνώμονες ασφαλείας ανησυχούν επίσης ότι άλλες εφαρμογές - βάσεις δεδομένων, για παράδειγμα - ενδέχεται να διατρέχουν κίνδυνο.

Το Twitter.com ήταν ευαίσθητο στο σφάλμα επειδή έκανε την επαναδιαπραγμάτευση του πελάτη υπό SSL. Η επαναδιαπραγμάτευση του πελάτη δίνει στον ιστότοπο έναν τρόπο να ζητήσει από τον χρήστη Twitter ένα πιστοποιητικό SSL αφού ένας χρήστης είναι ήδη συνδεδεμένος με τον ιστότοπο. Είναι ένα χρήσιμο εργαλείο για ιστότοπους που επιτρέπουν στους χρήστες να συνδεθούν χρησιμοποιώντας έξυπνες κάρτες ή για ιστότοπους που περιορίζουν την πρόσβαση σε μια επιλεγμένη ομάδα προκαθορισμένων διαδικτυακών χρηστών, αλλά μέχρι να οριστεί το ελάττωμα, η επαναδιαπραγμάτευση του πελάτη ανοίγει επίσης την πόρτα για επιθέσεις SSL. είναι πιθανώς πολλοί ιστότοποι όπως το Twitter που επιτρέπουν την επαναδιαπραγμάτευση του πελάτη απλώς και μόνο επειδή ενσωματώνεται στο πρωτόκολλο SSL και ο διάδοχός του, TLS (Security Layer Security), δήλωσε ο Marsh Ray, ένας από τους προγραμματιστές του PhoneFactor που ανακάλυψε το ζήτημα. «Πολλοί άνθρωποι δεν συνειδητοποίησαν ότι το κάνουν», είπε.

Τα καλά νέα είναι ότι πολλοί ιστότοποι μπορούν απλά να την απενεργοποιήσουν, πράγμα που προφανώς είναι αυτό που έκανε το Twitter. Το Twitter δεν απάντησε σε ένα μήνυμα που ζητούσε σχόλιο σχετικά με αυτήν την ιστορία

Σύμφωνα με τον Ray, οι άνθρωποι θα πρέπει να συνειδητοποιήσουν ότι ενώ το ελάττωμα SSL δεν είναι καταστροφικό, "αυτό είναι ένα σοβαρό σφάλμα και οι άνθρωποι πρέπει να το επισκευάσουν."