Настя и сборник весёлых историй
Для этого они использовали ошибку в цифровые сертификаты, используемые веб-сайтами, чтобы доказать, что они являются тем, кем они себя называют. Воспользовавшись известными недостатками в алгоритме хэширования MD5, используемом для создания некоторых из этих сертификатов, исследователи смогли взломать полномочия Verisign RapidSSL.com и создать поддельные цифровые сертификаты для любого веб-сайта в Интернете.
Хеши используются создать «отпечаток пальца» для документа, номер, который должен однозначно идентифицировать данный документ и легко рассчитан для проверки того, что документ не был изменен при переходе. Однако алгоритм хеширования MD5 является ошибочным, что позволяет создавать два разных документа, имеющих одно и то же значение хэш-функции. Таким образом, кто-то может создать сертификат для фишингового сайта, имеющего тот же отпечаток пальца, что и сертификат подлинного сайта.
Использование их фермы на компьютерах Playstation 3, исследователи создали «авторитетный центр сертификации», который затем может выдавать фиктивные сертификаты, которым доверяют практически любые браузеры. Процессор Cellstation Playstation популярен среди кодовых выключателей, потому что он особенно хорош в выполнении криптографических функций.
Они планируют представить свои выводы на хакерской конференции Chaos Communication Congress, состоявшейся во вторник в Берлине, в разговоре, который уже был предметом обсуждения из нескольких спекуляций в сообществе интернет-безопасности.
Исследовательская работа была проведена международной командой, в которую вошли независимые исследователи Яков Аппельбаум и Александр Сотиров, а также компьютерные ученые из Centrum Wiskunde & Informatica, Ecole Polytechnique Federale de Lausanne, Технологический университет Эйндховена и Калифорнийский университет в Беркли.
Хотя исследователи считают, что реальная атака с использованием их методов маловероятна, они говорят, что их работа показывает, что алгоритм хеширования MD5 больше не должен использоваться сертификационные центры, выпускающие цифровые сертификаты. «Это вызов для всех, кто все еще использует MD5», - сказал Дэвид Молнар, аспирант из Беркли, который работал над проектом.
Помимо Rapidssl.com, TC TrustCenter AG, RSA Data Security, Thawte и Verisign.co. jp все используют MD5 для генерации своих сертификатов, говорят исследователи.
Запустить атаку сложно, потому что плохие парни должны сначала обмануть жертву, посетив вредоносный веб-сайт, на котором размещен поддельный цифровой сертификат. Однако это можно сделать, используя так называемую атаку «человек в середине». В августе прошлого года исследователь безопасности Дэн Каминский показал, как основной недостаток системы доменных имен в Интернете можно использовать для запуска атак типа «человек в центре». С этим последним исследованием теперь стало проще запускать этот тип атаки против веб-сайтов, защищенных с использованием шифрования SSL (Secure Sockets Layer), который опирается на надежные цифровые сертификаты.
«Вы можете использовать ошибку DNS Kaminsky в сочетании с этим чтобы получить практически необнаруживаемый фишинг », - сказал Молнар.
« Это не разговоры о том, что может произойти или что кто-то может сделать, это демонстрация того, что они на самом деле делали с результаты, чтобы доказать это », - написал HD Moore, директор по исследованиям в области безопасности в BreakingPoint Systems, в блоге, опубликованном в беседе.
Криптографы постепенно упирались в безопасность MD5 с 2004 года, когда команда, возглавляемая Шаньдун Университет Ван Сяоюнь продемонстрировал недостатки в алгоритме.
Учитывая состояние исследования MD5, органы сертификации должны были обновить до более безопасных алгоритмов, таких как SHA-1 (Secure Hash Algorithm-1) «много лет назад», - сказал Брюс Шнайер, известный специалист по криптографии и главный специалист по технологиям безопасности с BT.
RapidSSL.com прекратит выдавать сертификаты MD5 к концу января и рассматривает, как побудить своих клиентов перейти на новые цифровые сертификаты после этого, сказал Тим Каллан, вице-президент по маркетингу продуктов Verisign.
Но, во-первых, компания хочет хорошо ознакомиться с этим последним исследованием. Мольнар и его команда сообщали свои выводы Verisign косвенно, через Microsoft, но они не говорили напрямую с Verisign, опасаясь, что компания может предпринять судебные иски, чтобы отменить их разговоры. В прошлом компании иногда получали судебные приказы, чтобы помешать исследователям разговаривать на конференциях по взлому.
Каллан сказал, что он хотел, чтобы Verisign получила больше информации. «Я не могу выразить, насколько я разочарован тем, что блоггеры и журналисты информируются об этом, но мы этого не делаем, учитывая, что мы - люди, которым на самом деле нужно отвечать».
Пока Шнайер сказал, что он был впечатлен математика за этим последним исследованием, он сказал, что в Интернете уже есть гораздо более серьезные проблемы с безопасностью - недостатки, которые предоставляют, например, большие базы данных конфиденциальной информации.
«Не имеет значения, получаете ли вы поддельный сертификат MD5, потому что вы никогда не проверяете свои сертификаты в любом случае », - сказал он. «Есть десятки способов подделать это, и это еще одно».
Исследователи разрабатывают Bip-блокирующий чип-монитор
Исследователи из Мичиганского университета разработали технологию, которая может помешать микропроцессорным ошибкам захватывать ПК.
IBM, европейские исследователи разрабатывают инструмент поиска мультимедиа
IBM раскрыла детали работы, которую она делает с европейскими партнерами, для разработки лучшего способа поиска изображений онлайн.
Исследователи разрабатывают трехмерное устройство для сжимаемого ввода
Команда исследователей разработала сжимаемое устройство ввода типа мыши, которое обеспечивает трехмерное управление его пользователи.