Car-tech

Cercetatorii: Parola Crack ar putea afecta milioane

Don't Use Crack Plugins & Softwares | Hindi

Don't Use Crack Plugins & Softwares | Hindi
Anonim

Cercetatorii Nate Lawson si Taylor Nelson sustin ca au descoperit un defect de securitate de bază care afectează zeci de biblioteci de software cu sursă deschisă - inclusiv cele utilizate de software care implementează standardele OAuth și OpenID - care sunt folosite pentru a verifica parolele și numele de utilizatori atunci când utilizatorii se conectează la site-uri Web. Autentificarea OAuth și OpenID este acceptată de site-uri web populare, cum ar fi Twitter și Digg.

Au descoperit că unele versiuni ale acestor sisteme de conectare sunt vulnerabile la ceea ce se numește atac de sincronizare. Criptografii au știut despre atacurile de timp de 25 de ani, dar se consideră, în general, că sunt foarte greu de tras în rețea. Cercetătorii vizează să demonstreze că nu este cazul.

[A se citi lectură: Cum să eliminați malware-ul de pe PC-ul dvs. de Windows]

Atacurile sunt considerate a fi atât de dificile deoarece necesită măsurători foarte precise. Creează parole prin măsurarea timpului necesar unui computer pentru a răspunde la o solicitare de autentificare. La unele sisteme de conectare, computerul va verifica caracterele de parolă unul câte unul și va replica mesajul "nu a reușit autentificarea" de îndată ce va afișa un caracter rău în parolă. Acest lucru înseamnă că un computer întoarce o încercare de conectare complet greșită cu puțin mai rapid decât o autentificare unde primul caracter din parolă este corect.

Încercând să vă conectați din nou și din nou, faceți ciclism prin caractere și măsurați timpul necesar pentru computerul pentru a răspunde, hackerii pot descoperi în cele din urmă parolele corecte.

Toate acestea suna foarte teoretic, dar atacurile de sincronizare pot reuși, de fapt, în lumea reală. Cu trei ani în urmă, unul a fost folosit pentru a sparge sistemul de jocuri Xbox 360 al Microsoft, iar cei care construiesc carduri inteligente au adăugat protecția timpului de atac de ani de zile. Dar dezvoltatorii de internet au presupus mult timp că există prea mulți alți factori - - care încetinesc sau accelerează timpul de răspuns și fac aproape imposibil să obțină un fel de rezultate precise, în cazul în care nanosecunde au o diferență, necesare pentru un atac de sincronizare reușit. consultanta de securitate Root Labs. El și Nelson au testat atacuri pe Internet, în rețelele locale și în mediile de tip cloud computing și au descoperit că au reușit să spargă parole în toate mediile folosind algoritmi pentru a elimina bruiajul rețelei. conferința Black Hat, care a avut loc mai târziu în această lună în Las Vegas. "Cred că oamenii trebuie să-și vadă exploatațiile pentru a vedea că aceasta este o problemă pe care trebuie să o remedieze", a spus Lawson. El spune că sa concentrat pe aceste tipuri de aplicații Web, tocmai pentru că se consideră adesea invulnerabile la atacurile de sincronizare. "Am vrut sa ajung la cei mai putin constienti de acest lucru", a spus el.

Cercetatorii au descoperit de asemenea ca interogarile facute pentru programele scrise in limbi interpretate, cum ar fi Python sau Ruby - ambele foarte populare pe Web răspunde mult mai încet decât alte tipuri de limbi, cum ar fi C sau limbajul de asamblare, făcând atacurile temporale mai fezabile. "Pentru limbile care sunt interpretate, veți ajunge la o diferență mult mai mare de timp decât credeau oamenii", a spus Lawson.

Totuși, aceste atacuri nu sunt nimic de care majoritatea oamenilor ar trebui să se îngrijoreze, potrivit directorului de standarde Eran Hammer-Lahav, un colaborator al proiectelor OAuth și OpenID. "Nu mă preocupă", a scris el într-un mesaj de poștă electronică. "Nu cred că niciun furnizor de mari dimensiuni nu folosește niciuna dintre librăriile open source pentru implementarea de pe server, și chiar dacă au făcut-o, acesta nu este un atac trivial de executat."

Lawson și Nelson au notificat dezvoltatorii de software afectați de această problemă, dar nu vor elibera numele produselor vulnerabile până când nu sunt reparate. Pentru majoritatea bibliotecilor afectate, remedierea este simplă: programați sistemul să ia același timp pentru a returna parolele corecte și incorecte. Acest lucru poate fi facut in aproximativ sase linii de cod, a spus Lawson.

Interesant, cercetatorii au descoperit ca aplicatiile bazate pe cloud ar putea fi mai vulnerabile la aceste tipuri de atacuri deoarece serviciile precum Amazon EC2 si Slicehost le ofera atacatorilor o modalitate de a obtine apropiindu-se de obiectivele lor, reducând astfel jitterul rețelei.

Lawson și Nelson nu spun înainte de discuția lor la Black Hat cât de precise erau măsurătorile lor de sincronizare, dar există de fapt motive pentru care ar fi mai greu să elimini acest tip de atac în norul, potrivit lui Scott Morrison, CTO cu Layer 7 Technologies, un furnizor de securitate în cloud computing.

Deoarece multe sisteme și aplicații virtuale diferite concurează pentru resursele de calcul în nor, poate fi dificil să obținem rezultate fiabile, el a spus. "Toate aceste lucruri ajută la atenuarea acestui atac special, deoarece el adaugă imprevizibilitate întregului sistem." Totuși, el a spus că acest tip de cercetare este important deoarece arată cum un atac, care pare aproape imposibil pentru unii, într-adevăr poate funcționa.

Robert McMillan acoperă securitatea calculatoarelor și știrile generale de ultimă oră pentru

Serviciul de știri IDG

. Urmați pe Robert pe Twitter la @ bobmcmillan. Adresa de e-mail a lui Robert este [email protected]