Strony internetowe

Sonda SSL mogła być użyta do zhackowania Twittera

Трамп разозлился на Twitter и грозится его закрыть

Трамп разозлился на Twitter и грозится его закрыть
Anonim

Według analityka bezpieczeństwa IBM, błąd w protokole wykorzystywanym do zabezpieczenia komunikacji przez Internet mógł zostać wykorzystany do zhackowania kont na Twitterze.

W ubiegłym tygodniu Anil Kurmus zademonstrował, jak można uszkodzić protokół SSL (Secure Sockets Layer) w istocie oszukała ofiary, wysyłając wiadomości na Twitterze zawierające ich informacje o hasłach. Aby wada mogła zostać wykorzystana, haker musiałby najpierw znaleźć sposób na wejście do sieci ofiary, uruchamiając tak zwany atak pośredni, więc trudno byłoby wpłynąć na dużą liczbę użytkowników Twittera. ta technika. Problem został wkrótce załatany przez Twittera, ale eksperci ds. Bezpieczeństwa zastanawiają się, ile witryn może cierpieć z powodu podobnego problemu.

Konsorcjum firm internetowych rozwikłało problem związany z SSL od 5 listopada, kiedy zostało nieumyślnie publiczne na liście dyskusyjnej. Ale była debata na temat wagi błędu. Krótko po tym, jak błąd został upubliczniony, badacz IBM Tom Cross powiedział, że w większości przypadków główne problemy z aplikacjami sieci Web nie będą miały wpływu na ten problem.

[Więcej informacji: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Ale Cross zmienił zdanie, pisząc: "Niestety, sytuacja jest gorsza, niż myślałem."

W tym ataku mogą być również zagrożone aplikacje internetowe. Eksperci ds. Bezpieczeństwa obawiają się również, że inne aplikacje - na przykład bazy danych - mogą być zagrożone.

Twitter.com był podatny na błąd, ponieważ zrobił to, co nazwano renegocjacją klienta pod SSL. Renegocjacja klienta daje stronie internetowej sposób, aby poprosić użytkownika Twittera o certyfikat SSL po tym, jak użytkownik jest już podłączony do witryny. Jest to przydatne narzędzie do witryn, które pozwalają użytkownikom logować się przy użyciu kart inteligentnych lub witryn, które ograniczają dostęp do wybranej grupy predefiniowanych internautów, ale do czasu usunięcia usterki renegocjacja klienta otwiera również drzwi do ataków SSL.

Prawdopodobnie wiele witryn, takich jak Twitter, pozwala na renegocjację klienta tylko dlatego, że jest wbudowane w protokół SSL i jego następcę, TLS (Transport Layer Security), powiedział Marsh Ray, jeden z twórców PhoneFactor, który odkrył problem. "Wiele osób nie zdawało sobie sprawy, że to robią" - powiedział.

Dobrą wiadomością jest to, że wiele stron może po prostu wyłączyć to wszystko, co najwyraźniej robi Twitter. Twitter nie odpowiedział na wiadomość z prośbą o komentarz na temat tej historii.

Według Ray'a, ludzie powinni zdawać sobie sprawę, że chociaż luka SSL nie jest katastrofalna, "to poważny błąd i ludzie muszą to załatać."