Веб-сайты

Открытые защищенные веб-трафики SSL-дыры

Маша и Медведь (Masha and The Bear) - Подкидыш (23 Серия)

Маша и Медведь (Masha and The Bear) - Подкидыш (23 Серия)
Anonim

Критический новый недостаток в SSL или Secure Sockets Layer, используемый для защиты веб-трафика для онлайн-банкинга, покупки и любого другого соединения https, позволяет злоумышленнику проникнуть в любое теоретически защищенное соединение и добавить вредоносные команды.

Воспользовавшись недостатком, необходимо доступ к конкретному сетевому трафику между клиентом, например веб-браузер, и веб-сервер или другой сервер. Это означает, что большинство домашних пользователей, вероятно, не будут специально нацелены на одну из этих потенциальных атак типа «человек в середине», согласно исследователю-исследователю в PhoneFactor Маршу Рей, который предлагает двухфакторные решения для проверки подлинности на основе телефона.

Однако предприятия и организации, вероятно, являются целями. Per Ray любой защищенный SSL-трафик потенциально может быть уязвимым, будь то для сайта https, защищенных связей с базой данных или защищенного соединения по электронной почте. Проблема не позволяет дешифровать и красть данные, зашифрованные SSL, но вместо этого позволяет вставлять любую команду в поток связи.

[Подробнее: Как удалить вредоносное ПО с вашего ПК с Windows]

Это будет достаточно плохо для трафика https, где может быть сделан веб-браузер жертвы для отправки данных на сайт, контролируемый злоумышленником. И это может оказаться разрушительным для сервера базы данных.

Рэй говорит, что PhoneFactor изначально обнаружил ошибку в августе во время тестирования внутренней безопасности и оставил ее в покое, в то время как затронутые продавцы и группы программ работали над исправлением. Но в то же время независимый исследователь также обнаружил недостаток, и новости сломались.

Патчи продолжаются, но пока недоступны. В настоящее время исправление потребует исправления всех клиентских и серверных приложений, в том числе веб-браузеров, программ электронной почты и любых других программ с использованием библиотек SSL, согласно Ray.

Сообщение PhoneFactor о проблеме находится на сайте компании, и исследователь безопасности по кличке Крис Пейгл опубликовал свои мысли по этому вопросу (прокрутите вниз до комментариев, чтобы увидеть некоторые из них и Рэй и Пэйджит). Служба новостей IDG также имеет хорошую историю по этой теме.