Webbplatser

SSL-fel kunde ha använts för att hacka Twitter

Per Morberg skär sig när han ska briljera - Sveriges mästerkock (TV4)

Per Morberg skär sig när han ska briljera - Sveriges mästerkock (TV4)
Anonim

En fel i protokollet som används för att säkra kommunikation via Internet skulle kunna ha använts för att hacka Twitter-konton, enligt en IBM-säkerhetsforskare.

I förra veckan visade Anil Kurmus hur en fel i SSL-protokollet (Secure Sockets Layer) kunde vara brukade väsentligen lura offer för att skicka Twitter-meddelanden som innehöll deras lösenordsinformation. För att felet ska utnyttjas måste en hackare först hitta ett sätt att komma in på offerets nätverk och starta det som kallas en man-i-mittattack, så det skulle vara svårt att påverka ett stort antal Twitter-användare med denna teknik. Problemet blev snart patchat av Twitter, men det har säkerhetsexperter undrar hur många webbplatser som kan drabbas av ett liknande problem.

Ett konsortium av internetföretag har krypterat för att åtgärda SSL-problemet sedan 5 november då det oavsiktligt gjordes allmän på en diskussionslista. Men det har varit en del debatt om felets allvar. Kort efter att buggen publicerades uppgav IBM-forskaren Tom Cross att de flesta webapplikationer för det mesta inte skulle påverkas av problemet.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Men Cross ändrade sig och skrev: "Tyvärr är situationen sämre än jag trodde."

Särskilt kan webbmailapplikationer vara i fara från denna attack. Och säkerhetsexperter oroar sig också för att andra applikationer - t.ex. databaser - kan vara i fara.

Twitter.com var mottagligt för felet eftersom det gjorde det som kallas förklassificering av klienter under SSL. Kundtjänstförmedling ger webbplatsen ett sätt att fråga Twitter-användaren för ett SSL-certifikat efter att en användare redan är ansluten till webbplatsen. Det är ett användbart verktyg för webbplatser som låter användarna logga in med smarta kort eller webbplatser som begränsar åtkomsten till en vald grupp av fördefinierade webbsurfare, men tills felet är löst öppnar klientförmedling också dörren för SSL-attacker.

Där är förmodligen många webbplatser som Twitter som tillåter omförhandling av klienten helt enkelt för att den är inbyggd i SSL-protokollet och dess efterträdare, TLS (Transport Layer Security), sa Marsh Ray, en av PhoneFactor-utvecklarna som upptäckte problemet. "Många människor inser inte att de gjorde det," sa han.

Den goda nyheten är att många webbplatser helt enkelt kan inaktivera det, vilket tydligen är vad Twitter har gjort. Twitter svarade inte på ett meddelande som bad om kommentarer till den här berättelsen.

Enligt Ray borde folk inse att medan SSL-felet inte är katastrofalt, "det här är en allvarlig bugg, och folk måste klistra in det."