This is a machine translation. The original page (in English) is available here.

Последние мировые новости: года-Почему США рассматривают возможность запрета TikTok RSS-канал

Главная> > Мировые новости>> Дыра в безопасности SSL Microsoft Internet Explorer затягивается
Лучшие кейлоггеры
Посмотреть еще...

Дыра в безопасности SSL Microsoft Internet Explorer затягивается

  •  
Рейтинг пользователя: нет отзывов. Будьте первым, кто рассмотрит его! 0-1 голос
Microsoft до сих пор не признает слабость своего браузера Internet Explorer, которая была отмечена семь недель назад и позволяет злоумышленникам перехватывать то, что считается защищенными веб-сеансами.

Компания говорит, что она все еще оценивает, существует ли слабость, но Apple, которая основывает свой браузер Safari для Windows на коде Microsoft, говорит, что Safari для Windows имеет слабость, и код Microsoft является причиной. Если Microsoft не решит проблему, Apple не сможет решить ее самостоятельно, говорит Apple. Apple исправила проблему с Safari для Mac .

Самые печально известные инциденты черной шляпы: викторина

"Microsoft в настоящее время изучает возможную уязвимость в Microsoft Windows. Как только наше расследование будет завершено, мы примем соответствующие меры, чтобы помочь защитить клиентов",-сказал представитель Microsoft по электронной почте. -На этот раз нам больше нечего будет делить."

Эта слабость может быть использована злоумышленниками типа "Человек посередине", которые обманом заставляют браузер проводить сеансы SSL с вредоносными серверами, а не с законными серверами, к которым пользователи намереваются подключиться.

Текущие версии Safari для Mac, Firefox и Opera решают эту проблему, связанную с тем, как браузеры считывают сертификаты x.509, используемые для аутентификации машин, участвующих в настройке сеансов SSL/TLS.

В июле два отдельных разговора представленные исследователями Дэном Камински и Мокси Марлинспайк на конференции Black Hat предупреждали о том, как уязвимость может быть использована с помощью того, что они называют атаками с нулевым префиксом. Эти атаки включают в себя получение центрами сертификации подписанных сертификатов для доменных имен, назначенных законным владельцам доменных имен, и заставляют уязвимые браузеры интерпретировать сертификаты как авторизованные для разных владельцев доменных имен.

Например, кто-то может зарегистрироваться www.hacker.com. во многих реализациях x.509 центр сертификации будет подписывать сертификаты для любого запроса от hacker.com корневой домен, независимо от любых субдоменных префиксов, которые могут быть добавлены. В этом случае компетентный орган подпишет сертификат для bestbank.hacker.com, игнорируя поддомен bestbank и подписывая на основе корневого домена hacker.com-говорит Марлинспайк.

В то же время браузеры с описанным им недостатком считывают сертификаты x.509 до тех пор, пока они не достигнут нулевого символа, например 0. Если такой браузер читает bestbank.com\0hacker.com, он остановит чтение на 0 и интерпретирует сертификат как аутентификацию корневого домена bestbank.com-говорит исследователь. Браузеры без этого недостатка правильно идентифицируют корневой домен и подписывают или не подписывают на его основе.

Злоумышленник может воспользоваться этой слабостью, настроив атаку "человек посередине" и перехватывая запросы от уязвимых браузеров для установки SSL-соединений. Если атакующий сервер получает запрос на bestbank.com, он мог бы ответить аутентифицированным сертификатом x. 509 от bestbank.com\0hacker.com уязвимый браузер будет интерпретировать сертификат как авторизованный для bestbank.com и установите безопасный сеанс связи с атакующим сервером. Пользователь, запросивший сеанс с bestbank, естественно, предположил бы, что установленное соединение было с bestbank.

Как только ссылка сделана, вредоносный сервер может запросить пароли и идентификационные данные пользователей, которые злоумышленники могут использовать для взлома счетов пользователей Best Bank и манипулирования средствами, например, говорит Марлинспайк.

В некоторых случаях злоумышленники могут создать то, что Marlinspike называет подстановочными сертификатами, которые будут аутентифицировать любое доменное имя. Эти сертификаты используют Звездочку в качестве поддомена, за которым следует нулевой символ, а затем зарегистрированный корневой домен. Уязвимый браузер, который инициировал сеанс SSL с помощью bestbank.com интерпретировал бы сертификат с пометкой *\0hacker.com как исходящий из bestbank.com потому что он автоматически примет * как законный для любого корневого домена.

Это связано с "идиосинкразией в том, как Службы сетевой безопасности (NSS) сопоставляют подстановочные знаки", - говорит Марлинспайк в статье, подробно описывающей атаку. Такой подстановочный знак будет соответствовать любому домену, говорит он.

Различия между тем, что пользователи видят на своих экранах, когда они попадают на сайт, к которому они стремятся, и когда они попадают на макет сайта злоумышленника, могут быть тонкими. URL-адреса в браузере показали бы, что был достигнут неправильный сайт, но многие пользователи не проверяют это, говорит Марлинспайк.

Представитель Microsoft говорит, что Internet Explorer 8 выделяет домены, чтобы сделать их более визуально очевидными, напечатанными черным цветом, в то время как остальная часть URL-адреса является серой. "Улучшенная адресная строка Internet Explorer 8 помогает пользователям легче гарантировать, что они предоставляют личную информацию только сайтам, которым они доверяют",-сказал представитель Microsoft в электронном письме.

Marlinspike говорит, что уязвимость нулевого символа не ограничивается браузерами. "[P]lenty не-веб-браузеров также уязвимы. Outlook, например, использует SSL для защиты Вашего логина / пароля при общении через SMTP и POP3/IMAP. Вероятно, существует бесчисленное множество других SSL-VPN на базе Windows, чат-клиентов и т. д. все они также уязвимы",-сказал он в электронном письме.
Дата публикации:
Автор:
Главная> > Мировые новости>> Дыра в безопасности SSL Microsoft Internet Explorer затягивается
Важно! Установка средств компьютерного мониторинга на компьютеры, которыми вы не владеете или не имеете разрешения на мониторинг, может нарушать местное, государственное или федеральное законодательство.