Cercetatorii au descoperit un mod de a lansa un atac de phishing nedetectabil, exploatand defecte in algoritmul MD5. în ajutorul a aproximativ 200 de PlayStation-uri Sony, o echipă internațională de cercetători în domeniul securității a conceput o modalitate de a submina algoritmii utilizați pentru protejarea site-urilor Web sigure și a lansa un atac de phishing aproape nedetectabil.

[Citiți în continuare: Cum să eliminați programele malware de pe PC-ul Windows]

Folosind ferma lor de jocuri Playstation 3, cercetătorii au construit o "autoritate de certificare necinstiți" care ar putea emite apoi certificate false care ar fi de încredere practic în orice browser. Procesorul Cell de la Playstation este popular în cazul distrugătorilor de coduri, deoarece este deosebit de bun în efectuarea funcțiilor criptografice.

Ei intenționează să-și prezinte concluziile la conferința de hackeri a Congresului de comunicare al Chaos, care a avut loc marți la Berlin, într-o discuție care a făcut deja obiectul a unor speculații în comunitatea de securitate pe Internet.

munca de cercetare a fost realizat de către o echipă internațională care a inclus cercetători independenți Jacob Appelbaum și Alexander Sotirov, precum și oameni de știință de calculator de la Centrum Wiskunde si Informatica, Ecole Polytechnique Federale de Lausanne, Universitatea de Tehnologie din Eindhoven și Universitatea din California, Berkeley.

Deși cercetătorii cred că un atac în lumea reală folosind tehnicile lor este puțin probabil, ei spun că munca lor demonstrează că algoritmul hash de MD5 nu mai trebuie utilizat de companiile autorității de certificare care emite certificate digitale. "Este un apel de trezire pentru oricine utilizează încă MD5", a spus David Molnar un student absolvent Berkeley, care a lucrat la proiect.

În plus față de Rapidssl.com, TC TrustCenter AG, RSA Data Security, și Thawte Verisign.co. jp toate folosesc MD5 pentru a-și genera certificatele, spun cercetătorii.

Lansarea unui atac este greu, pentru că băieții răi trebuie să trișeze mai întâi o victimă în vizitarea site-ului Web rău intenționat care găzduiește certificatul digital fals. Acest lucru se poate face, totuși, prin utilizarea a ceea ce se numește atac de tip "om-în-mijloc". În august anul trecut, cercetătorul de securitate Dan Kaminsky a arătat cum un defect major în sistemul de nume de domeniu al internetului ar putea fi folosit pentru a lansa atacuri de tip "man-in-the-middle". Cu această ultimă cercetare, acum este mai ușor să lansați acest tip de atac împotriva site-urilor Web sunt securizate folosind criptarea SSL (Secure Sockets Layer), care se bazează pe certificate digitale demne de încredere.

"Puteți utiliza bug-ul DNS al lui kaminsky, combinat cu pentru a obține phishing practic nedetectabil ", a spus Molnar.

" Nu este vorba despre o poveste despre ce se poate întâmpla sau despre ce ar putea face cineva, aceasta este o demonstrație a ceea ce au făcut cu Rezultatele pentru a dovedi acest lucru ", a scris HD Moore, director de cercetare de securitate la BreakingPoint Systems, într-un blog postat pe discuție.

Criptografii s-au retras treptat la securitatea MD5 din 2004, când o echipă condusă de Shandong Universitatea Wang Xiaoyun a demonstrat defecte în algoritmul

Având în vedere stadiul de cercetare al MD5, autoritățile de certificare ar fi trebuit să fie modernizate la algoritmi mai siguri, cum ar fi SHA-1 (Secure Hash Algorithm-1) "cu ani în urmă", a declarat Bruce Schneier, expert în criptografie și ofiter de securitate.

RapidSSL.com va opri emiterea certificatelor MD5 până la sfârșitul lunii ianuarie și se va gândi cum să-i încurajeze pe clienții săi să se mute la noi certificate digitale după aceea, a declarat Tim Callan, vicepreședinte al marketingului produselor cu Verisign. Dar, în primul rând, compania dorește să se uite la această ultimă cercetare. Molnar și echipa lui au comunicat constatările sale către Verisign indirect, prin intermediul Microsoft, dar nu au vorbit direct cu Verisign, din teama că compania ar putea lua măsuri legale pentru a-și înlătura discuțiile. În trecut, companiile au obținut uneori ordine de judecată pentru a împiedica cercetătorii să vorbească la conferințe de hacking.

Callan a spus că dorea ca Verisign să fi primit mai multe informații. "Nu pot să-mi exprim cât de dezamăgit faptul că bloggerii și jurnaliștii sunt informați despre acest lucru, dar nu suntem, considerând că suntem oamenii care trebuie să răspundă efectiv."

În timp ce Schneier a spus că a fost impresionat de matematica din spatele acestei ultime cercetări, el a spus că există deja probleme de securitate mult mai importante pe Internet - punctele slabe care expun baze de date mari de informații sensibile, de exemplu.

"Nu contează dacă primiți un certificat MD5 fals, pentru că nu verificați niciodată certele dvs. ", a spus el. "Există zeci de moduri de a falsifica acest lucru și acest lucru este altul."