Webbplatser

SSL-hål sprickor Öppna säker webbtrafik

Виды SSL-сертификатов: DV SSL, OV SSL, EV SSL, Multi-domain SSL, Wildcard SSL | SSL.com.ua

Виды SSL-сертификатов: DV SSL, OV SSL, EV SSL, Multi-domain SSL, Wildcard SSL | SSL.com.ua
Anonim

En kritisk ny fel i SSL eller Secure Sockets Layer som används för att skydda webbtrafik för internetbank, shopping och annan https-anslutning, tillåter en angripare att bryta sig in i någon teoretiskt säker anslutning och lägga till skadliga kommandon.

Om du utnyttjar felet krävs åtkomst till den specifika nätverkstrafiken mellan en klient, till exempel en webbläsare och en webbserver eller annan server. Det betyder att de flesta hemmabrukare antagligen inte skulle vara specifikt riktade mot någon av dessa potentiella man-i-mitten attacker, enligt upptäckaren Marsh Ray, en säkerhetsforskare på PhoneFactor, som ger telefonbaserade tvåfaktors autentiseringslösningar.

Men företag och organisationer är sannolikt mål. Per Ray kan eventuell SSL-skyddad trafik eventuellt vara sårbar, oavsett om det gäller en https-sida, en säker databaskommunikation eller en säker e-postanslutning. Problemet tillåter inte att dekryptera och stjäla SSL-krypterade data direkt, men tillåter istället att lägga in något kommando i kommunikationsströmmen.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Det skulle vara dåligt nog för https-trafik, där ett offrets webbläsare kan göras för att skicka data till en angriparestyrd webbplats. Och det kan visa sig förödande för en databasserver.

Ray säger att PhoneFactor ursprungligen fann felet i augusti samtidigt som den utförde intern säkerhetstest och höll det tyst medan berörda leverantörer och programvarugrupper arbetade med en fix. Men under tiden fann en oberoende forskare också felet och nyheterna bröt.

Patchar är på gång men ännu inte tillgängliga. Den föreslagna reparationen kräver att alla klient- och serverns applikationer, inklusive webbläsare, e-postprogram och andra program som använder SSL-bibliotek, måste patchas, enligt Ray.

PhoneFactors inlägg på problemet är uppe på företagets webbplats och en säkerhetsforskare heter Chris Paget har lagt fram sina tankar om ämnet (rulla ner till kommentarerna för att se några fram och tillbaka mellan Ray och Paget). IDGs nyhetstjänst har också en bra berättelse om ämnet.