אתרי אינטרנט

פגם SSL יכול היה לשמש לפרוץ טוויטר

הרב מאיר אליהו | איך לשבור את הקליפות? | ביהכנ"ס משכן יהודה

הרב מאיר אליהו | איך לשבור את הקליפות? | ביהכנ"ס משכן יהודה
Anonim

קונסורציום של חברות אינטרנט יש מקושקשות כדי לתקן את בעיית SSL מאז נובמבר 5, כאשר נעשה בטעות על רשימת דיונים. אבל היה איזה ויכוח על חומרת הפגם. זמן קצר לאחר פרסום הבאג, אמר חוקר יבמ, טום קרוס, כי ברוב המקרים יישומי אינטרנט גדולים לא יושפעו מן הבעיה. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

אבל קרוס שינה את דעתו, כותב: "למרבה הצער, המצב גרוע יותר ממה שחשבתי."

יישומי דואר אלקטרוני, בפרט, עלולים גם הם להיות בסיכון מפני התקפה זו. מומחי אבטחה חוששים גם כי יישומים אחרים - מסדי נתונים, למשל - עלולים להיות בסיכון.

Twitter.com היה רגיש לבאג כי הוא עשה מה שנקרא renegotiation הלקוח תחת SSL. Renegotiation הלקוח נותן את האתר דרך לשאול את המשתמש לצפצף אישור SSL לאחר משתמש כבר מחובר לאתר. זהו כלי שימושי עבור אתרים המאפשרים למשתמשים להיכנס באמצעות כרטיסים חכמים או לאתרים שמגבילים את הגישה לקבוצה נבחרת של גולשים מוגדרים מראש, אך עד לפגם קבוע, renegotiation הלקוח גם פותח את הדלת עבור התקפות SSL. הם כנראה אתרים רבים כמו טוויטר המאפשרים renegotiation הלקוח פשוט כי זה מובנה לתוך פרוטוקול SSL ויורשו, TLS (Transport Layer Security), אמר מארש ריי, אחד מפתחי PhoneFactor שגילה את הבעיה. "הרבה אנשים לא הבינו שהם עושים את זה", אמר. "החדשות הטובות הן כי אתרים רבים יכולים פשוט להשבית את זה על הסף, וזה כנראה מה טוויטר עשה. טוויטר לא הגיב להודעה שמבקשת תגובה על הסיפור הזה. על פי ריי, אנשים צריכים להבין שאף על פי שפגם ה- SSL אינו קטסטרופלי, "זה באג רציני ואנשים צריכים לתקן אותו".