SSL Man in the MIddle Attack using SSL Strip - Part 1
Ang isang consultant sa seguridad sa computer ng Seattle ay nagsabi na nakagawa siya ng isang bagong paraan upang pagsamantalahan ang isang kamakailang isiwalat na bug sa protocol ng SSL, na ginagamit upang ma-secure ang mga komunikasyon sa Internet. Ang pag-atake, samantalang mahirap ipatupad, ay maaaring magbigay ng mga attacker ng isang napakalakas na pag-atake sa phishing.
Frank Heidt, CEO ng Leviathan Security Group, ay nagsabi na ang kanyang "generic" na patunay-ng-konsepto na code ay maaaring magamit sa pag-atake ng iba't ibang mga Web site. Habang ang pag-atake ay napakahirap na mag-pull off - ang hacker ay dapat munang mag-pull off ang isang tao-sa-gitna atake, na nagpapatakbo ng code na nakompromiso sa network ng biktima - maaaring magkaroon ng malulubhang kahihinatnan. Sinasamantala ang SSL (Secure Sockets Layer) Authentication Gap bug, unang isiniwalat sa Nobyembre 5. Ang isa sa mga discoverer ng SSL bug, si Marsh Ray sa PhoneFactor, ay nagsabi na nakita niya ang isang demonstrasyon ng pag-atake ni Heidt, at nakumbinsi siya na magagawa ito. "Ibinigay niya ito sa akin at ito ang tunay na pakikitungo," Sinabi ni Ray.
[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]
Ang kasiraan ng SSL Authentication ay nagbibigay sa isang magsasalakay ng isang paraan upang baguhin ang data na ipinadala sa server ng SSL, ngunit wala pang paraan upang mabasa ang impormasyon na babalik. Nagpadala si Heidt ng data na nagdudulot sa SSL server na ibalik ang mensahe ng redirect na pagkatapos ay ipinapadala ang Web browser sa isa pang pahina. Pagkatapos ay ginagamit niya ang mensahe ng pag-redirect upang ilipat ang biktima sa isang hindi secure na koneksyon kung saan ang mga pahina ng Web ay maaaring muling isulat ng computer ni Heidt bago sila ipadala sa biktima. "" Nagpakita si Frank ng isang paraan upang magamit ang bulag na plain text injection attack isang kumpletong kompromiso ng koneksyon sa pagitan ng browser at ng secure na site, "Sinabi ni Ray.
Ang isang kasunduan ng mga kompanya ng Internet ay nagtatrabaho upang ayusin ang depekto dahil ang mga developer ng PhoneFactor ay unang natuklasan ito ilang buwan na ang nakararaan. Ang kanilang gawain ay nakakuha ng mga bagong urgency kapag ang bug ay inadvertently isiwalat sa isang listahan ng talakayan.
Noong nakaraang linggo, ipinakita ng IBM researcher na si Anil Kurmus kung paano maaaring gamitin ang kapintasan upang linlangin ang mga browser sa pagpapadala ng mga mensahe sa Twitter na naglalaman ng mga password ng gumagamit.
Ang pinakahuling pag-atake na ito ay nagpapakita na ang lamat ay maaaring gamitin upang magnakaw ng lahat ng uri ng sensitibong impormasyon mula sa mga secure na Web site, sinabi ni Heidt.
Upang maging mahina, ang mga site ay kailangang gumawa ng isang bagay na tinatawag na renegotiation ng kliyente sa ilalim ng SSL at mayroon ding ilang elemento sa kanilang secure na mga pahina ng Web na maaaring bumuo ng isang partikular na 302 na mensahe sa pag-redirect.
Maraming mga high-profile banking at e-commerce na Web site ay hindi ibabalik ang 302 na mensahe sa pag-redirect sa isang paraan na maaaring mapagsamantalahan, ngunit ang isang "malaking bilang"
Sa pamamagitan ng pananaw ng biktima, ang tanging kapansin-pansing pagbabago sa panahon ng isang pag-atake ay na ang browser no lo ang nger ay mukhang parang nakakonekta ito sa isang site ng SSL. Ang pag-atake ay katulad ng pag-atake ng SSL Strip na ipinakita ng Moxie Marlinspike [cq] sa isang kumperensya ng seguridad mas maaga sa taong ito.
Ang Leviathan Security Group ay lumikha ng isang tool na maaaring gamitin ng mga webmaster upang makita kung ang kanilang mga site ay maaaring masugatan sa isang SSL Authentication Gap
Dahil ang SSL, at ang kapalit na pamantayan, TLS, ay ginagamit sa isang malawak na hanay ng mga teknolohiyang Internet ang bug ay may napakalawak na implikasyon.
Sinasabi ni Thierry Zoller, isang tagapayo sa seguridad na may G-Sec, ang lamat ay maaaring gamitin upang pag-atake ng mga mail server. "Ang isang magsasalakay ay maaaring potensyal na mga highjack mail na magpadala ng mga secure na koneksyon sa SMTP [Simple Mail Transfer Protocol], kahit na sila ay napatotohanan ng isang pribadong sertipiko," sinabi niya sa isang interbyu sa instant message.
Zoller, na hindi nakakita ng code ng Leviathan, sinabi na kung ang pag-atake ay gumagana bilang advertized, ito ay lamang ng isang bagay ng mga araw bago ang ibang tao figure out kung paano gawin ito.
Ginamit ni Christopher Fowler, isang estudyante sa Georgia Highlands College, ang mga kredensyal sa pag-login ng isang ng mga guro ng paaralan upang ma-access ang computer network ng paaralan, sinasabi ng mga awtoridad. Pinag-uusapan din niya ang sistema ng telepono ng VoIP (voice over Internet protocol) ng paaralan. "Nakuha niya ang isang password mula sa isang propesor sa matematika na may keystroke logger. Iyan ay nagbigay sa kanya ng access sa maraming mga administrative machine,"
Si Fowler, isang mahilig sa computer, ay nag-hang sa IT department ng paaralan at kilala sa mga tauhan doon, sinabi ni Davis. Hindi malinaw na gumawa siya ng anumang masama sa impormasyon na nakolekta niya mula sa kanyang pag-hack, idinagdag niya. "Ito ay isang trahedya, ang batang ito ay nagkaroon ng kanyang buong buhay sa unahan niya, at ito ang kanyang pinili."
Ang bagong tampok sa pag-import ay magagamit para sa lahat ng mga bagong user, at dahan-dahan na pinalabas para sa mga mas lumang account sa mga darating na linggo . Maaari pa ring gamitin ng mga mas lumang user ang pagkuha ng POP3 mail at pag-import ng mga contact sa pamamagitan ng isang CSV file habang naghihintay sila para sa bagong tampok.
Nagdagdag din ang Google ng ilang higit pang mga tampok para sa Gmail kahapon. Ang kamakailan-lamang na inilunsad na nakapag-iisang mga contact manager ay maaari na ngayong mapagsama ang lahat ng iyong mga contact sa pamamagitan ng pag-import ng mga contact mula sa Outlook, Outlook Express, Hotmail at Yahoo sa format ng CSV, at OS X Address Book sa vCard format. Ang isang field ng kaarawan ay naidagdag sa kahilingan ng user.
Maraming mga monitor na nakakuha ng napakalaking apela sa mga nakaraang taon, at hindi mahirap makita kung bakit. Ang pagkakaroon ng isang pangalawang monitor ay nagpapahintulot sa iyo na i-reference ang isang bagay habang ang pagmamanipula ng data sa isa pa. Ang mas maraming mga screen ang mas mahusay na sinasabi ko.
Ang isang magaan na tablet na maaaring kumilos bilang pangalawang monitor ay perpekto para sa mga propesyonal sa mobile na nangangailangan ng sobrang real estate. Dahil ito ay batay sa iPhone, ang hardware nito ay magiging mas magaan at mas payat kaysa kung ito ay batay sa platform ng Intel Core 2. Ang pangkalahatang aparato ay dapat na tungkol sa bilang portable bilang umiiral na portable monitor usb tulad ng mga sa pamamagitan ng Mimo. Sa pamamagitan ng paggawa ng tablet manipis at liwanag, an