Защита от уязвимости протокола SSL
Эксперты eScan опубликовали сведения о способах защиты компьютеров от новой уязвимости протоколов SSL, TLS и SPDY, обеспечивающих безопасность соединений и передаваемых данных в Интернете. Очередная уязвимость этих протоколов была продемонстрирована недавно на конференции Ekoparty в Буэнос-Айресе.
Атака с использованием новой бреши получила название CRIME (Compression Ratio Info-leak Made Easy). Во время этой атаки эксплуатируются алгоритмы сжатия данных. В случае протокола SSL это происходит следующим образом: получив сообщение для отправки, SSL разбивает его на блоки, при необходимости сжимает, вычисляет код аутентичности MAC, шифрует, добавляет заголовок и передает. Сжатие является необязательной, но часто используемой функцией. Атака CRIME основана на изменении размера сжатых сообщений, что происходит, например, при добавлении аутентификационных данных cookies. Тот факт, что сжатие происходит до шифрования, а информация не подвергается дополнительной рандомизации, позволяет злоумышленнику расшифровать сообщение и, если украдены cookies, провести несанкционированную авторизацию в системе.
Для проведения атаки CRIME на компьютер жертвы необходимо загрузить вредоносный код. Это можно сделать, к примеру, перенаправив пользователя на инфицированную Web-страницу.
Интерес к защищенности SSL-соединений вызван, в частности, развитием облачных технологий. Все большее число компаний и домашних пользователей используют облачные сервисы для хранения и обработки важной информации, а подключение к таким службам в большинстве случаев происходит через браузер с использованием технологии SSL. Уязвимость в системе защиты дает злоумышленникам практически неограниченные возможности для хищения информации.
Как объясняют эксперты eScan, для вскрытия зашифрованных сообщений во время атаки CRIME хакеру нужно иметь возможности прослушивать сетевой трафик и принуждать браузер жертвы отправлять запросы на определенный сервер. Это вполне осуществимо, учитывая современный уровень хакерских технологий. Однако для этого требуется, чтобы и сервер, и клиентская машина поддерживали опцию сжатия данных до шифрования. Поэтому eScan рекомендует использовать последние версии браузеров, в которых разработчики уже отключили эту опцию, а на серверной стороне – отключить ее самостоятельно.
Актуальные версии браузеров с отключенной функцией сжатия SSL:
- Google Chrome 21.0.1180.89;
- Firefox 15.0.1;
- Opera 12.01;
- Safari 5.1.7 для Windows;
- Safari 5.1.6 & 6 для OSX Lion;
- Все версии Internet Explorer.
Администраторы могут проверить Web-серверы на наличие функции SSL-сжатия на специальном сайте.