Security Pro يقول هجوم SSL جديد يمكن أن يضرب العديد من المواقع

مستشار أمن الكمبيوتر في سياتل يقول إنه طور طريقة جديدة لاستغلال خلل تم الكشف عنه مؤخرًا في بروتوكول SSL ، المستخدم لتأمين الاتصالات على الإنترنت. الهجوم ، رغم صعوبة تنفيذه ، يمكن أن يعطي المهاجمين هجومًا تصيدًا قويًا للغاية.

فرانك هيدت ، الرئيس التنفيذي لمجموعة ليفياتان للأمن ، يقول إن كوده "العام" لإثبات المفهوم يمكن استخدامه لمهاجمة مجموعة متنوعة من مواقع الويب. في حين أنه من الصعب للغاية سحب الهجوم - يجب على المتسلل أولاً أن يسحب هجوم رجل في الوسط ، يدير كودًا يضر بشبكة الضحية - قد يكون له عواقب مدمرة.

الهجوم يستغل الخطأ في ثغرة مصادقة طبقة مآخذ التوصيل الآمنة (SSL) ، التي تم الكشف عنها لأول مرة في 5 نوفمبر. يقول أحد مكتشفي حشرة SSL ، مارش راي في PhoneFactor ، إنه شاهد توضيحيًا لهجوم Heidt ، وهو مقتنع بأنه قد ينجح. قال راي: "لقد أظهرها لي وهي الصفقة الحقيقية". [

] [المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز الكمبيوتر الذي يعمل بنظام تشغيل Windows]

عيب مصادقة SSL يمنح المهاجم طريقة لتغيير البيانات التي يتم إرسالها إلى خادم طبقة المقابس الآمنة ، ولكن لا تزال هناك طريقة لقراءة المعلومات الواردة مرة أخرى. يقوم Heidt بإرسال البيانات التي تتسبب في قيام خادم SSL بإرجاع رسالة إعادة التوجيه التي تقوم بعد ذلك بإرسال مستعرض الويب إلى صفحة أخرى. ثم يستخدم رسالة إعادة التوجيه هذه لنقل الضحية إلى اتصال غير آمن حيث يمكن إعادة كتابة صفحات الويب بواسطة جهاز كمبيوتر Heidt قبل إرسالها إلى الضحية.

"لقد أظهر فرانك طريقة للاستفادة من هذا الهجوم الحقن في النص العادي الأعمى في وقال راي: "إن هناك تنازلات تامة بين الاتصال بين المتصفح والموقع الآمن". كان اتحاد شركات الإنترنت يعمل على إصلاح الخلل منذ أن كشف مطورو PhoneFactor عن ذلك منذ عدة أشهر. اكتسب عملهم إلحاحًا جديدًا عندما تم الكشف عن الخطأ عن غير قصد في قائمة المناقشة. لقد ناقش خبراء الأمن شدة هذا الخلل الأخير في SSL منذ أن أصبح معروفاً لدى الجمهور.

في الأسبوع الماضي ، أظهر باحث آي بي إم Anil Kurmus كيف يمكن استخدام الخلل لخداع المتصفحات في إرسال رسائل تويتر التي تحتوي على كلمات مرور مستخدم.

يظهر هذا الهجوم الأخير أن الخلل يمكن أن يستخدم لسرقة جميع أنواع المعلومات الحساسة من مواقع الويب الآمنة ، كما يقول هيدت.

لكي تكون عرضة للخطر ، تحتاج المواقع إلى القيام بشيء ما يسمى إعادة التفاوض مع العميل بموجب SSL وأيضاً الحصول على بعض العناصر على صفحات الويب الآمنة التي يمكن أن تولد رسالة إعادة توجيه 302 معينة.

لن تقوم العديد من مواقع الويب الخاصة بالبنوك والتجارة الإلكترونية رفيعة المستوى بإعادة رسالة إعادة توجيه 302 هذه بطريقة يمكن استغلالها ، ولكن "عددًا كبيرًا" من المواقع قال هيدت: "مع تعرض العديد من المواقع الإلكترونية لخطر العيب ، يقول هيدت إنه لا ينوي إطلاق شفرته على الفور.

من وجهة نظر الضحية ، فإن التغيير الملحوظ الوحيد أثناء الهجوم هو أن متصفح لا لو يبدو أن nger مرتبطًا بموقع SSL. يشبه الهجوم هجوم قطاع SSL الذي أظهرته Moxie Marlinspike [cq] في مؤتمر أمني في وقت سابق من هذا العام.

لقد أنشأت مجموعة Leviathan Security أداة يمكن لمشرفي المواقع استخدامها لمعرفة ما إذا كانت مواقعهم معرضة لفجوة مصادقة SSL الهجوم.

لأن SSL ، ومعيار استبدالها ، TLS ، تستخدم في مجموعة واسعة من تقنيات الإنترنت ، فإن الأخطاء لها آثار بعيدة المدى.

تييري زولير ، مستشار أمني مع G-Sec ، يقول ذلك نظريا ، يمكن استخدام الخلل لمهاجمة خوادم البريد. وقال في مقابلة في رسالة فورية: "يمكن للمهاجم أن يحيل الرسائل الإلكترونية المرتجعة عبر اتصالات بروتوكول SMTP البسيط ، حتى لو تمت مصادقتها بواسطة شهادة خاصة".

زولر ، الذي لم ير رمز لفياتان ، قال أنه إذا كان الهجوم يعمل كما هو معلن ، فستكون مجرد بضعة أيام قبل أن يتعرف شخص آخر على كيفية القيام بذلك.