Обычная пятница в ok.ru
Bir Seattle bilgisayar güvenlik danışmanı, Internet'te iletişimi sağlamak için SSL protokolünde yeni açıklanan bir hatayı kullanmanın yeni bir yolunu geliştirdiğini söylüyor. Saldırı yapmak zor olsa da, saldırganlara çok güçlü bir phishing saldırısı verebilir.
Leviathan Security Group'un CEO'su Frank Heidt, "jenerik" kavram kanıt kodunun çeşitli Web sitelerine saldırmak için kullanılabileceğini söyledi.. Saldırının çekilmesi son derece zor olsa da, hacker ilk önce kurbanın ağını tehlikeye sokan kodu çalıştıran ortadaki adam saldırıyı ortadan kaldırmak zorunda kaldı. Bu yıkıcı sonuçlara yol açabilirdi.
Saldırı SSL (Keşfedici Yuva Katmanı) Kimlik Doğrulaması Gap hatası'nı ilk kez 5 Kasım tarihinde açıkladı. SSL hatalarının keşfinden biri olan PhoneFactor'daki Marsh Ray, Heidt'in saldırısının bir gösterisini gördüğünü ve bunun işe yarayacağına inandığını söylüyor. “O bana gösterdi ve gerçek anlaşma,” dedi Ray.
[Daha fazla okuma: Windows PC'nizden kötü amaçlı yazılım nasıl kaldırılır]SSL Kimlik Doğrulama hatası, saldırganın gönderilmekte olan verileri değiştirmenin bir yolunu sunar SSL sunucusuna, ancak geri gelen bilgileri okumak için hala bir yolu yoktur. Heidt, SSL sunucusunun, Web tarayıcısını başka bir sayfaya gönderen bir yönlendirme mesajı göndermesine neden olan verileri gönderir. Daha sonra kurbana gönderilmeden önce Web sayfalarının Heidt'in bilgisayarı tarafından yeniden yazılabileceği güvenli olmayan bir bağlantıya yönlendirmek için bu yönlendirme mesajını kullanır.
"Frank, bu kör düz metin enjeksiyon saldırısının nasıl etkilendiğini gösterdi. Tarayıcı ile güvenli site arasındaki bağlantıdan tam bir uzlaşma sağladı, "Ray dedi.
PhoneFactor geliştiricileri birkaç ay önce ortaya çıkardığından bu yana, internet şirketlerinin bir konsorsiyumu kusurları düzeltmek için çalışıyor. İşler, bir tartışma listesinde yanlışlıkla yanlışlıkla açıklandığı zaman yeni bir aciliyet kazandı. Güvenlik uzmanları, kamuya açık hale geldiğinden beri bu en son SSL kusurunun önemini tartışıyorlar
Geçen hafta, IBM araştırmacısı Anil Kurmus, kusurun, tarayıcıları kullanıcı şifrelerini içeren Twitter mesajlarını göndermesi için kandırmak için nasıl kullanılabileceğini gösterdi.
Bu son saldırı, kusurun her türlü hassas bilgiyi güvenli Web sitelerinden çalmak için kullanılabileceğini gösteriyor Heidt.
Savunmasız olmak için, sitelerin SSL altında istemci yeniden müzakeresi olarak adlandırılan bir şey yapmaları ve aynı zamanda Belli bir 302 yönlendirme mesajı oluşturabilecek güvenli Web sayfaları.
Birçok yüksek profilli bankacılık ve e-ticaret Web sitesi, bu 302 yönlendirme mesajını istismar edilebilecek şekilde döndürmez, ancak "çok sayıda" site olabilir Saldırıya uğradı Heidt dedi.
Heidt, bu kadar çok internet sitesinin kusur tehlikesiyle karşı karşıya kaldığını söylüyor. Onun suçunu derhal serbest bırakmak niyetinde değil.
Kurbanın bakış açısına göre, bir saldırı sırasında dikkati çeken tek değişiklik, tarayıcı yok nger bir SSL sitesine bağlı gibi görünüyor. Saldırı, Moxie Marlinspike [cq] tarafından bu yılın başlarında düzenlenen bir güvenlik konferansında gösterilen SSL Strip saldırısına benziyor.
Leviathan Security Group, web yöneticilerinin sitelerinin SSL Kimlik Doğrulama Boşluğu'na karşı savunmasız olup olmadığını görmek için kullanabilecekleri bir araç oluşturdu.
SSL ve değiştirme standardı TLS, çok çeşitli İnternet teknolojilerinde kullanıldığından, hatanın çok geniş kapsamlı etkileri vardır.
G-Sec ile bir güvenlik danışmanı olan Thierry Zoller, teorik olarak şunu söylüyor: kusur posta sunucularına saldırmak için kullanılabilir. "Bir saldırgan, özel bir sertifika ile doğrulanmış olsa bile, postaların güvenli bir şekilde SMTP [Basit Posta Aktarım Protokolü] bağlantılarını göndermesine yol açabilir." Dedi. Bir anlık ileti görüşmesinde.
Leviathan'ın kodunu görmeyen Zoller, Saldırı reklam yayınlanmış gibi çalışırsa, bir başkasının bunu nasıl yapacağına karar vermesinden sadece birkaç gün sonra gerçekleşeceğini söyledi.
Güvenlik, Güvenlik, Daha Çok Güvenlik
Güvenlik haberleri bu hafta baskın çıktı ve bu da önümüzdeki hafta da Black Hat ve Defcon'la birlikte olacak. …
Intel'e Karşı Çok Sayıda Antitröst Eylemi Çok Az Çok Geç, Çok Geç
FTC'nin harekete geçmesi kadar yavaş, antitröst uygulamaları aslında bir katı olabilir İş modeli, şirketten çekilebilecek kaynaklara sahip.
Nasıl Windows 10 gibi bir çoklu görev > > Bu yayın, Windows 10`da çok görevli bir şekilde verimli çalışma hakkında bazı ipuçları sunar. Nasıl güzel bir şekilde yönetebildiğinizi öğrenin. Birden çok pencere, birden çok yolla çok görevli, daha üretken olun ve dar durumlarda çok zaman kazanın.
Çoklu görevler