rulinux.net - Форум - Security - Представлена техника перехвата данных для сжатых соединений TLS и SPDY http://rulinux.net/ rulinux.net - Форум - Security - Представлена техника перехвата данных для сжатых соединений TLS и SPDY http://rulinux.net/ http://rulinux.net/rss_icon.png Re:Представлена техника перехвата данных для сжатых соединений TLS и SPDY https://rulinux.net/message.php?newsid=38034&page=1#154142 https://rulinux.net/message.php?newsid=38034&page=1#154142 Tue, 18 Sep 2012 12:29:01 +0400 Пошёл нахуй, пидор.

]]> Re:Представлена техника перехвата данных для сжатых соединений TLS и SPDY https://rulinux.net/message.php?newsid=38034&page=1#154131 https://rulinux.net/message.php?newsid=38034&page=1#154131 Tue, 18 Sep 2012 10:06:43 +0400 Вот для чего нужны бесплатные вайфай-интернеты

]]> Представлена техника перехвата данных для сжатых соединений TLS и SPDY https://rulinux.net/message.php?newsid=38034&page=1#154128 https://rulinux.net/message.php?newsid=38034&page=1#154128 Tue, 18 Sep 2012 09:37:27 +0400 пруф c опеннет

text
Джулиано Риццо (Juliano Rizzo) и Тхай Дыонг (Thai Duong), известные исследователи компьютерной безопасности, предложившие в своё время технику атаки BEAST против SSL/TLS, разработали новый способ перехвата на промежуточном шлюзе содержимого сессионных Cookie, передаваемых внутри зашифрованного соединения. Новая атака, получившая название CRIME (Compression Ratio Info-leak Made Easy), эффективна для каналов связи на основе SSL/TLS и SPDY, действует только при использовании сжатия передаваемых данных и требует выполнения JavaScript-кода злоумышленника в браузере клиента (в случае man-in-middle атак осуществить подстановку такого кода не составляет труда).

По своей сути CRIME является продолжением развития идей, воплощённых в методе атаки BEAST. Атака строится на возможности выделения в отслеживаемом зашифрованном трафике блоков данных с метками, отправляемыми подставным JavaScript-кодом на сайт, для которого требуется перехватить Cookie, в рамках общего шифрованного канала связи. Используя тот факт, что данные сжимаются на этапе до шифрования и не подвергаются дополнительной рандомизации, новая атака позволяет обойти средства защиты, добавленные производителями браузеров для блокирования атаки BEAST.

В качестве демонстрации, на транзитном хосте, через который был перенаправлен трафик клиента, был организован перехват сессий для защищённых каналов связи с сервисами Gmail, GitHub, Twitter, Dropbox и Yahoo Mail. По заявлению авторов CRIME, они заранее связались с производителями браузеров и в последние версии Chrome и Firefox (только данные браузеры поддерживают протокол SPDY) уже включены надлежащие патчи, позволяющие защититься от новой техники атаки. Что касается браузеров поддерживающих сжатие SSL/TLS, то в последних выпусках Chrome, Firefox, Opera и Safari сжатие трафика для SSL/TLS было по умолчанию отключено (Internet Explorer подобное сжатие не поддерживается вообще).

На стороне сервера защититься от атаки можно отключив сжатие SSL/TLS, например, для Apache 2.4 можно указать в настройках "SSLCompression off". Концептуальный прототип приложения для осуществления атаки можно найти здесь. Общее число серверов, поддерживающих сжатие SSL/TLS, в настоящее время оценивается в 42%, а число поддерживающих сжатие SSL/TLS браузеров в 7% (с учётом того, что в последних версиях сжатие SSL/TLS отключено).
 

]]>