Securitatea Pro declară că un nou atac SSL poate afecta multe site-uri

Un consultant de securitate în computer din Seattle declară că a dezvoltat o nouă modalitate de a exploata o eroare recent dezvăluită în protocolul SSL utilizat pentru a asigura comunicațiile pe Internet. Atacul, în timp ce este dificil de executat, ar putea da atacatorilor un atac puternic de phishing.

Frank Heidt, CEO al Leviathan Security Group, declară că codul "generic" al conceptului de concept ar putea fi folosit pentru a ataca o varietate de site-. În timp ce atacul este extrem de dificil de îndepărtat - hackerul ar trebui mai întâi să scoată mai întâi un atac de tip "man-in-the-middle", executând un cod care compromite rețeaua victimei - ar putea avea consecințe devastatoare. exploatează bug-ul GAP de autentificare SSL (Secure Sockets Layer), dezvăluit pentru prima dată pe 5 noiembrie. Unul dintre descoperitorii de erori SSL, Marsh Ray de la PhoneFactor, spune că a văzut o demonstrație a atacului lui Heidt și este convins că ar putea funcționa. "El mi-a arătat-o ​​și este adevărata afacere", a spus Ray.

[Mai multă lectură: Cum să eliminați malware-ul de pe PC-ul Windows]

Defecțiunea de autentificare SSL oferă atacatorului o modalitate de a schimba datele trimise la serverul SSL, dar nu există încă nicio modalitate de a citi informațiile care se întorc. Heidt trimite date care determină ca serverul SSL să returneze un mesaj de redirecționare care trimite apoi browserul web la o altă pagină. Apoi el folosește mesajul de redirecționare pentru a muta victima într-o conexiune nesigură în care paginile Web pot fi rescrise de computerul lui Heidt înainte de a fi trimise victimei.

"Frank a arătat o modalitate de a utiliza acest atac injectabil un compromis complet al conexiunii dintre browser și site-ul securizat ", a spus Ray.

Un consorțiu de companii de Internet a fost de lucru pentru a remedia defectul de când dezvoltatorii PhoneFactor l-au descoperit pentru prima oară în urmă cu câteva luni. Activitatea lor a devenit o nouă urgență atunci când bug-ul a fost dezvăluit în mod neadecvat pe o listă de discuții. Securitatea experților a dezbătut severitatea acestui defect SSL de când a devenit cunoscută publicului.

Săptămâna trecută, cercetătorul IBM, Anil Kurmus, a arătat cum ar putea fi folosit defectul pentru a înșela browserele să trimită mesaje Twitter care conțineau parole de utilizator. Acest atac recent arată că defectul ar putea fi folosit pentru a fura tot felul de informații sensibile din site-urile Web securizate, a spus Heidt.

Pentru a fi vulnerabili, site-urile trebuie să facă ceva numit renegociere client în SSL și, de asemenea, pagini web securizate care ar putea genera un mesaj de redirecționare special 302.

Multe site-uri Web bancare și de comerț electronic de mare anvergură nu vor returna acest mesaj de redirecționare 302 într-un mod care poate fi exploatat, dar un "număr imens"

browser-ul nu lo nger pare ca este conectat la un site SSL. Atacul este similar cu atacul SSL Strip demonstrat de Moxie Marlinspike la o conferință de securitate la începutul acestui an.

Leviathan Security Group a creat un instrument pe care webmasterii îl poate utiliza pentru a vedea dacă site-urile lor sunt vulnerabile la o eroare de autentificare SSL

Deoarece SSL și standardul său de înlocuire TLS sunt utilizate într-o gamă largă de tehnologii Internet, bug-ul are implicații de anvergură.

Thierry Zoller, consultant în securitate cu G-Sec, spune că teoretic, defectul ar putea fi folosit pentru a ataca serverele de poștă electronică. "Un atacator poate trimite poștă electronică cu potențial ridicat de trimitere prin conexiuni securizate SMTP [Simple Mail Transfer Protocol], chiar dacă acestea sunt autentificate de un certificat privat", a spus el într-un interviu cu mesaj instant.

Zoller, care nu a văzut codul lui Leviathan, a spus că dacă atacul funcționează așa cum este anunțat, va fi doar o chestiune de zile înainte ca altcineva să-și dea seama cum să o facă.