Nowo odkryta luka w zabezpieczeniach może narazić na niebezpieczeństwo przeszło 11 milionów stron internetowych i serwisów pocztowych. Błąd dotyczy popularnego protokołu bezpiecznej komunikacji TLS (Transport Layer Security), będącego, jako rozwinięcie protokołu SSL (Secure Socket Layer) standardem w transmisji szyfrowanych danych pomiędzy serwisami internetowymi a ich użytkownikami.

Luka, nazwana DROWN (Decrypting RSA with Obsolete and Weakened eNcryption), jest już kolejną odkrytą w ostatnich latach stawiającą pod znakiem zapytania bezpieczeństwo protokołu. Choć TLS istnieje już od 1999 roku, to wciąż, co roku, niezawodnie, odkrywa się w nim nowe „wyłomy”. I tak w 2011, 2012 i 2014 roku odkryto po jednej takiej luce, w 2015 roku dwie, a w rekordowym roku 2013 – aż trzy.

DROWN, podobnie jak i większość poprzednich możliwości ataku, wykorzystuje przestarzałe mechanizmy, które chociaż w ważniejszych implementacjach TLS są domyślnie wyłączone, to znaczną część z nich (w tym popularną implementację OpenSSL, która właśnie otrzymała łatkę zmniejszającą prawdopodobieństwo ataku) da się zmusić do ich wykorzystania.

Problem wynika z pochodzącego jeszcze z lat dziewięćdziesiątych ubiegłego stulecia ograniczenia długości kluczy szyfrujących do 40 bit w protokole SLSv2. Haker może, podsłuchując komunikację prowadzoną za pomocą protokołu TLS, jednocześnie próbować się kontaktować z serwerem za pomocą starszego SSLv2. Używając dostępnych komercyjnie rozwiązań można dzięki temu złamać hasło w ciągu kilku-kilkunastu godzin. Taki atak, gdyby użyć do niego wynajętej chmury obliczeniowej Amazon, kosztuje około 440 dolarów.

Na atak podatne może być około 11 milionów stron www i serwisów mailowych rozsianych po całym świecie. Nie wydaje się to bardzo dużo biorąc pod uwagę ogrom internetu, jednak pamiętajmy że statystycznie oznacza to, iż spośród miliona najpopularniejszych serwisów internetowych na świecie narażonych może być około 8,1%.

[źródło i grafika: arstechnica.com]

Spodobał Ci się ten artykuł? Podaj dalej!