אתרי אינטרנט

SSL Hrack Cracks פתח תעבורת אינטרנט מאובטחת

Session Hijacking | Crack Session Cookies | Session fixation

Session Hijacking | Crack Session Cookies | Session fixation
Anonim

פגם ב- SSL או שכבת ה- Secure Sockets Layer המשמשת להגנה על תעבורת האינטרנט עבור בנקאות מקוונת, קניות וכל חיבור HTTP אחר, מאפשרת לתוקף לפרוץ לכל חיבור מאובטח מבחינה תיאורטית ולהוסיף פקודות זדוניות.

ניצול הפגם דורש גישה לתעבורת הרשת הספציפית בין לקוח, כגון דפדפן אינטרנט, לבין שרת אינטרנט או שרת אחר. משמעות הדבר היא שרוב המשתמשים הביתיים לא יכוונו במפורש על-ידי אחד מאותם תקיפות פוטנציאליות של אדם במתקפה האמצעית, על-פי המאייר מארש ריי, חוקר אבטחה ב- PhoneFactor, המספק פתרונות אימות מבוססי-טלפון המבוססים על שני גורמים.

עם זאת, עסקים וארגונים הם מטרות סביר. לכל ריי, כל תנועה המוגנת באמצעות SSL עלולה להיות פגיעה, בין אם מדובר באתר https, במסדי נתונים מאובטחים או בחיבור מאובטח של דואר אלקטרוני. הבעיה אינה מאפשרת פענוח וגניבה של נתונים מוצפנים באמצעות SSL, אך במקום זאת ניתן להוסיף כל פקודה לזרם התקשורת. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

זה יהיה רע מספיק עבור התנועה https, שבו דפדפן האינטרנט הקורבן יכול להתבצע כדי לפרסם נתונים לאתר בשליטת התוקף. זה יכול להיות הרסני עבור שרת מסד נתונים.

ריי אומר PhoneFactor במקור מצא את הפגם בחודש אוגוסט בעת ביצוע בדיקות אבטחה פנימיים ושמר את זה בשקט, בעוד ספקים מושפעים וקבוצות תוכנה עבדו על תיקון. אבל בינתיים, חוקר עצמאי גם מצא את הפגם ואת החדשות נשבר.

תיקונים הם עדיין בעיצומו אבל עדיין לא זמין. התיקון המוצע כעת ידרוש תיקון של כל יישומי הלקוח והשרת, כולל דפדפני אינטרנט, תוכניות דואר אלקטרוני וכל תוכניות אחרות באמצעות ספריות SSL, על פי ריי.

ההודעה של PhoneFactor על הבעיה היא באתר של החברה, חוקר אבטחה בשם כריס Paget פרסם את מחשבותיו על הנושא (לגלול למטה את ההערות כדי לראות כמה הלוך ושוב בין ריי ו Paget). השירות חדשות IDG גם יש סיפור טוב על הנושא