Nettsteder

SSL Hole Cracks Åpne sikret webtrafikk

Fish attack Primitive Girl - Find Catfish in Secret Cracks Hole - Cooking delicious fish

Fish attack Primitive Girl - Find Catfish in Secret Cracks Hole - Cooking delicious fish
Anonim

En kritisk ny feil i SSL eller Secure Sockets Layer som brukes til å beskytte webtrafikk for nettbank, shopping og andre https-tilkoblinger, tillater en angriper å bryte seg inn i en teoretisk sikret forbindelse og legge til ondsinnede kommandoer.

Utnyttelse av feilen krever Å få tilgang til den spesifikke nettverkstrafikken mellom en klient, for eksempel en nettleser og en web-eller annen server. Det betyr at de fleste hjemmebrukere sannsynligvis ikke vil bli spesifikt målrettet mot et av disse potensielle mann-i-midten-angrepene, ifølge oppdageren Marsh Ray, en sikkerhetsforsker ved PhoneFactor, som gir telefonbaserte tofaktorautentiseringsløsninger.

Men virksomheter og organisasjoner er sannsynligvis mål. Per Ray kan enhver SSL-beskyttet trafikk potensielt være sårbar, enten det er for en https-side, sikret databasekommunikasjon eller en sikret e-postforbindelse. Problemet tillater ikke å dekryptere og stjele SSL-krypterte data direkte, men gjør det mulig å sette inn noen kommando i kommunikasjonsstrømmen.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Det ville være dårlig nok til https-trafikk, der et nettleser til ofre kunne gjøres for å legge inn data på et angriperstyrt nettsted. Og det kan vise seg ødeleggende for en databaseserver.

Ray sier PhoneFactor opprinnelig oppdaget feilen i August mens den utførte intern sikkerhetstesting og holdt den stille mens berørte leverandører og programvaregrupper jobbet med en løsning. Men i mellomtiden fant en uavhengig forsker også feilen og nyheten brøt.

Patches er på gang, men ikke tilgjengelig ennå. Den foreslåtte løsningen vil kreve patching av alle klient- og serverprogrammer, inkludert nettlesere, e-postprogrammer og andre programmer som bruker SSL-biblioteker, ifølge Ray.

PhoneFactors innlegg på problemet er oppe på selskapets nettsted, og en Sikkerhetsforsker ved navn Chris Paget har lagt ut sine tanker om emnet (bla ned til kommentarene for å se noen frem og tilbake mellom Ray og Paget). IDGs nyhetstjeneste har også en god historie om emnet.