ΑρχικήsecurityΣφίγγει η θηλιά στο λαιμό του Internet TLS system

Σφίγγει η θηλιά στο λαιμό του Internet TLS system

TLS

Η αποκάλυψη δύο νέων επιθέσεων τον τελευταίο μήνα στένεψαν τη θηλιά γύρω από το λαιμό του Internet TLS system. Οι επιθέσεις αυτές μπορούν να ανακτήσουν κωδικούς πρόσβασης, αριθμούς πιστωτικών καρτών και άλλα ευαίσθητα δεδομένα από ορισμένα transmissions που προστατεύονται μέσω secure sockets layer και transport layer πρωτόκολλα ασφαλείας.

Και οι δύο επιθέσεις είχαν στόχο το RC4 stream cipher, το οποίο εκτιμάται ότι κρυπτογραφεί περίπου το 30% του σημερινού TLS traffic. Το αποτέλεσμα της επίθεσης αποκάλυψε μικρά τμήματα του plaintext μέσα σε ένα HTTPS-κρυπτογραφημένο data stream. Επέτρεψε στους επιτιθέμενους να δουν περισσότερες από 17 δισεκατομμύρια (234) ξεχωριστές κρυπτογραφήσεις των ίδιων δεδομένων. Αυτό έθεσε τον πήχη ψηλά, δεδομένου ότι η επίθεση αποκάλυψε μόνο ένα μικρό μέρος του plaintext. Από την στιγμή που οι ερευνητές απέδειξαν ότι η επίθεση θα μπορούσε να αποκρυπτογραφήσει HTTPS-protected authentication cookies, τα οποία χρησιμοποιούνται για την πρόσβαση σε λογαριασμούς e-mail χρηστών, η Google και άλλοι website operators αμέσως έλαβαν γνώση της κατάστασης.

Τώρα, οι ερευνητές έχουν εντοπίσει μερικές βελτιώσεις που θα τους επιτρέψουν να ανακτήσουν RC4-protected κωδικούς, με ποσοστό επιτυχίας 50% και περισσότερα από 67 εκατομμύρια (226) κρυπτογραφήσεις. Τα κατορθώματα, -τα οποία δημοσιεύτηκαν την περασμένη βδομάδα σε ένα έγγραφο με τίτλο Attacks Only Get Better: Password Recovery Attacks Against RC4 in TLS – αφορούν τόσο το βασικό έλεγχο ταυτότητας μέσω HTTPS, όσο και το IMAP πρωτόκολλο που χρησιμοποιείται ευρέως για την ανάκτηση και την αποθήκευση των e-mail.

Ένα δεύτερο exploit που στοχεύει στο RC4 επινοήθηκε από ερευνητές της εταιρείας ασφάλειας Imperva και παρουσιάστηκε την περασμένη Πέμπτη στο συνέδριο Black Hat security στη Σιγκαπούρη. Η επίθεση χρησιμοποιεί νέους τρόπους για την αξιοποίηση του “invariance weakness”, ένα key pattern στα RC4 keys που μπορεί να διαρρεύσει δεδομένα plaintext στο ciphertext, υπό ορισμένες προϋποθέσεις. Η προαναφερθείσα αδυναμία ήρθε στο φως πρώτη φορά το 2001. Λαμβάνοντας υπόψη την ηλικία της αδυναμίας, οι ερευνητές της εταιρείας Imperva μετονόμασαν το νέο exploit σε “bar-mitzvah attack“.

Εγγραφή στο Newsletter

* indicates required

FOLLOW US

LIVE NEWS