Nettsteder

SSL-feil kunne vært brukt til å hakse Twitter

Reacting to my old tweets from 2012

Reacting to my old tweets from 2012
Anonim

En feil i protokollen som brukes til å sikre kommunikasjon via Internett, kunne ha vært brukt til å hack Twitter-kontoer, ifølge en IBM-sikkerhetsforsker.

I forrige uke viste Anil Kurmus hvordan en feil i SSL-protokollen (Secure Sockets Layer) kunne være pleide å i hovedsak lure ofre til å sende Twitter-meldinger som inneholdt deres passordinformasjon. For at feilen skal utnyttes, må en hacker først finne en måte å komme inn på offerets nettverk, og lansere det som er kjent som et menneske i midtangrep, så det ville være vanskelig å påvirke et stort antall Twitter-brukere med denne teknikken. Problemet ble snart oppdatert av Twitter, men det har sikkerhetseksperter lurt på hvor mange nettsteder som kan lide av et lignende problem.

Et konsortium av Internett-selskaper har forvrengt for å fikse SSL-problemet siden 5. november da det ble utilsiktet gjort offentlig på en diskusjonsliste. Men det har vært litt debatt om alvoret av feilen. Kort tid etter at feilen ble offentliggjort, sa IBM-forsker Tom Cross at de fleste webapplikasjoner for det meste ikke ville bli påvirket av problemet.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Men Cross endret seg og skrev: "Dessverre er situasjonen verre enn jeg trodde."

Spesielt kan webmailapplikasjoner være i fare fra dette angrepet. Og sikkerhetseksperter er også bekymret for at andre applikasjoner - for eksempel databaser - kan være i fare.

Twitter.com var mottakelig for feilen fordi det gjorde det som kalles klientforhandling under SSL. Kundefordeling gir nettsiden en måte å spørre Twitter-brukeren for et SSL-sertifikat etter at en bruker allerede er koblet til nettstedet. Det er et nyttig verktøy for nettsteder som lar brukerne logge på ved hjelp av smarte kort eller nettsteder som begrenser tilgangen til en valgt gruppe forhåndsdefinerte surfere, men til feilen er løst, åpner klientforhandlingen også døren for SSL-angrep.

Der er trolig mange nettsteder som Twitter som tillater klientfordeling bare fordi den er innebygd i SSL-protokollen og etterfølgeren TLS (Transport Layer Security), sa Marsh Ray, en av PhoneFactor-utviklerne som oppdaget problemet. "Mange mennesker forsto ikke at de gjorde det," sa han.

Den gode nyheten er at mange nettsteder bare kan deaktivere det direkte, noe som tilsynelatende er hva Twitter har gjort. Twitter reagerte ikke på en melding som ber om kommentar til denne historien.

Ifølge Ray burde folk innse at mens SSL-feilen ikke er katastrofalt, "dette er en alvorlig feil og folk trenger å lappe det."