Webbplatser

Leverantörer krypterar för att åtgärda fel i nätverkssäkerhet

Kryptera mail

Kryptera mail
Anonim

Felet ligger i SSL-protokollet, mest känt som den teknik som används för säker surfning på webbplatser som börjar med HTTPS och låter angripare avlyssnar säker SSL (Secure Sockets Layer) -kommunikation mellan datorer med hjälp av vad som är känt som en man-i-mitten attack.

Även om felet endast kan utnyttjas under vissa omständigheter kan det användas för att hacka in i servrar i delat värdemiljöer, postservrar, databaser och många andra säkra applikationer, enligt Chris Paget, en säkerhetsforskare som har studerat problemet.

[Läs vidare: Så här tar du bort skadlig kod från din Windows-dator]

"Det är en protokollnivåfel. " sa Paget, chefstekniker med en säkerhetskonsult som heter H4rdw4re. "Det finns många saker som måste lösas på den här: Webbläsare, Webservrar, Webbelastare, Webacceleratorer, Mailservrar, SQL Servrar, ODBC-drivrutiner, Peer-to-Peer-protokoll."

Även om en angripare först måste hacka in i offrets nätverk för att starta man-i-mitten attacken, skulle resultaten bli förödande - speciellt om de används i en riktade attack för att få tillgång till en databas eller en postserver, Säger Paget.

Eftersom det används så mycket, är SSL ständigt under säkerhetsforskares mikroskop. I slutet av förra året fann forskare ett sätt att skapa falska SSL-certifikat som skulle kunna lita på vilken webbläsare som helst, och i augusti presenterade forskare en handfull nya attacker som kan äventyra SSL-trafiken. Men i motsats till de attacker som hade att göra med den infrastruktur som används för att hantera SSL: s digitala certifikat ligger den här senaste buggen i SSL-protokollet själv och kommer att bli mycket svårare att fixa.

Ytterligare problem är att felet var av misstag avslöjade på en obskur postlista onsdag, tvinga leverantörer till en galen scramble att patchera sina produkter.

Problemet upptäcktes i Auguust av forskare på PhoneFactor, ett mobiltelefonsäkerhetsföretag. De hade arbetat de senaste två månaderna med ett konsortium av teknikleverantörer kallat ICASI (Industry Consortium for Security of Internet Security) för att samordna en branschövergripande åtgärd för problemet, som heter "Project Mogul." Men deras försiktiga planer kastades i disarray onsdag när SAP-ingenjören Martin Rex snubblat över buggen på egen hand. Uppenbarligen omedveten om allvaret av frågan, lade han fram sina observationer i frågan till en IETF-diskussionslista. Det publicerades sedan av säkerhetsforskare HD Moore.

Vid onsdagseftermiddagen talade tillräckligt många personer om att PhoneFactor bestämde sig för att gå offentligt med sina resultat. "Vid den tiden kände vi att de dåliga killarna visste och vi kände att vi hade ett ansvar för de bra killarna att veta också", säger Sara Fender, telefonfaktors vice president för marknadsföring. Fender kunde inte säga vem som var redo att patchera Problemet, men hon noterade att ett antal open source-produkter är "ängsliga" för att skjuta ut en korrigeringsfil. "Jag tror att vi kommer se några patchar inom en snar framtid," sa hon.

ICASI kunde inte nås för kommentar onsdag kväll.

Även om säkerhetsexperter säger att felet troligtvis har funnits i flera år, är det inte trodde att ha utnyttjats i några angrepp. "

" Medan vi anser att det är en materiell sårbarhet, är det inte världens ände ", säger Fender.