Атака срещу SSL криптиране
March 16th, 2009 от singu
Привет, отдавна не сме се чували… за което се чувствам виновен, разбира се. Искрено се извинявам на хората, на които съм липсвал. След като преглътнахме това, ще се опитам да наваксам с нещата, които се случиха, докато си губих времето с други неща.
Една от основните новини е, че на BlackHat 20091 беше обявен нов клас атаки срещу SSL криптирана комуникация.
Кратко лирическо отклонение: SSL е метод на криптиране на HTTP, известен още и като HTTPS – точно това нещо, което ползвате, когато се свързвате към онлайн банкирането си, Gmail или някоя друга подобна услуга. SSL сме дъвкали и друг път и не помня дали съм писал повечко, но в общия случай – HTTP сървърът си има сертификат, с помоща на който удостоверява, че този сървър е точно същия, за когото се представя. Този сертификат беше цел на атаката от декември. Това е нещото, което ме спира да нароча моя машина за www.paypal.com и да почна да събирам пари за пенсионирането си. С помощта на въпросния сертификат и малко тъмна магия… добре де, алгоритми с публичен ключ се генерира ключ, с който се криптира сесията между въпросния сървър и браузера. По този начин, дори и някой да подслушва комуникацията, няма начин да разбере какво има вътре. /Лирично отклонение.
Цялата магия се основава на начина, по който стигаме до https – в 99% от случаите щракаме линк вътре в стандартна страница, или казано по друг начин – биваме пренасочени от HTTP към HTTPS. Представената атака, наречена ssl-strip ( заедно с инструмента със същото име ) всъщност се целят именно в този преход. Инструмента може да прихване и подмени връзките към https страници с връзки към фалшив сайт, или дори към същия сайт, но без криптиране, дори с още малко фокуси успява да покаже любимото на всички катинарче. Много интересна дискусия след презентацията можете да проследите и от видеото -> тук
Атаката е изключително опасна и може да заблуди дори и опитни потребители. Колко от вас си проверяват сертификата на сайта всеки път, когато го отворят ?
_________- за който не знае – това е една от основните хакерски конференции [обратно ↩]
Подобни статии:
