rulinux.net - Все о GNU/Linux и не только - Форум - Security - Представлена техника перехвата данных для сжатых соединений TLS и SPDY

Представлена техника перехвата данных для сжатых соединений TLS и SPDY

text



Джулиано Риццо (Juliano Rizzo) и Тхай Дыонг (Thai Duong), известные исследователи компьютерной безопасности, предложившие в своё время технику атаки BEAST против SSL/TLS, разработали новый способ перехвата на промежуточном шлюзе содержимого сессионных Cookie, передаваемых внутри зашифрованного соединения. Новая атака, получившая название CRIME (Compression Ratio Info-leak Made Easy), эффективна для каналов связи на основе SSL/TLS и SPDY, действует только при использовании сжатия передаваемых данных и требует выполнения JavaScript-кода злоумышленника в браузере клиента (в случае man-in-middle атак осуществить подстановку такого кода не составляет труда).



По своей сути CRIME является продолжением развития идей, воплощённых в методе атаки BEAST. Атака строится на возможности выделения в отслеживаемом зашифрованном трафике блоков данных с метками, отправляемыми подставным JavaScript-кодом на сайт, для которого требуется перехватить Cookie, в рамках общего шифрованного канала связи. Используя тот факт, что данные сжимаются на этапе до шифрования и не подвергаются дополнительной рандомизации, новая атака позволяет обойти средства защиты, добавленные производителями браузеров для блокирования атаки BEAST.



В качестве демонстрации, на транзитном хосте, через который был перенаправлен трафик клиента, был организован перехват сессий для защищённых каналов связи с сервисами Gmail, GitHub, Twitter, Dropbox и Yahoo Mail. По заявлению авторов CRIME, они заранее связались с производителями браузеров и в последние версии Chrome и Firefox (только данные браузеры поддерживают протокол SPDY) уже включены надлежащие патчи, позволяющие защититься от новой техники атаки. Что касается браузеров поддерживающих сжатие SSL/TLS, то в последних выпусках Chrome, Firefox, Opera и Safari сжатие трафика для SSL/TLS было по умолчанию отключено (Internet Explorer подобное сжатие не поддерживается вообще).



На стороне сервера защититься от атаки можно отключив сжатие SSL/TLS, например, для Apache 2.4 можно указать в настройках "SSLCompression off". Концептуальный прототип приложения для осуществления атаки можно найти здесь. Общее число серверов, поддерживающих сжатие SSL/TLS, в настоящее время оценивается в 42%, а число поддерживающих сжатие SSL/TLS браузеров в 7% (с учётом того, что в последних версиях сжатие SSL/TLS отключено).

anonymous(*) (2012-09-18 13:37:27)

Mozilla/5.0 (X11; Linux i686; rv:10.0.7) Gecko/20100101 Firefox/10.0.7 Iceweasel/10.0.7

[Ответить на это сообщение]

Ответ на: Представлена техника перехвата данных для сжатых соединений TLS и SPDY от anonymous 2012-09-18 13:37:27

Скрыть

Re:Представлена техника перехвата данных для сжатых соединений TLS и SPDY

Вот для чего нужны бесплатные вайфай-интернеты

bugmaker(*)(2012-09-18 14:06:43)

Mozilla/5.0 (X11; Ubuntu; Linux i686; rv:15.0) Gecko/20100101 Firefox/15.0.1

[Ответить на это сообщение]

Ответ на: Re:Представлена техника перехвата данных для сжатых соединений TLS и SPDY от bugmaker 2012-09-18 14:06:43

Скрыть

Re:Представлена техника перехвата данных для сжатых соединений TLS и SPDY

Пошёл нахуй, пидор.

Hokum(*)(2012-09-18 16:29:01)

Mozilla/5.0 (X11; Linux x86_64; rv:15.0) Gecko/20100101 Firefox/15.0.1

[Ответить на это сообщение]

anonymous@RULINUX.NET~#	Last login: 2024-11-23 00:40:37
Регистрация Вход	Новости \| Разметка \| Пользователи \| Галерея \| Форум \| Статьи \| Неподтвержденное \| Трекер \| Правила форума \| F.A.Q. \| Ссылки \| Поиск

Этот тред читают 1 пользователь:
Анонимных: 1 Зарегистрированных: 0