Точнее, основная проблема заключается в сочетании поведения SSL/TLS и работающего поверх него прикладного протокола HTTP. В спецификацию TLS заложена возможность повторной установки сессии любой стороной, что и позволяет злоумышленнику вклиниться в процесс установки соединения с сервером: задержать исходный пакет, установить соединение самостоятельно, после чего пропустить исходный пакет, что будет воспринято сервером как вполне легальное повторное соединение. На этом этапе серверу по-хорошему надо бы перезапросить сертификат, но прикладному уровню не очень интересно, что происходит там внизу. Таким образом атакующий оказывается в состоянии подсунуть в защищенную сессию некий дополнительный код (например, заголовки или значения каких-то полей, кук, или просто врезать в начало http-запроса команду GET с произвольным путем), который будет воспринят сервером как исходящий от легального пользователя.

Уязвимость была обнаружена в августе, в конце сентября основные производители SSL решений создали рабочую группу, задачей которой была выработка единого подхода к решению проблемы и разработка рекомендаций по снижению эффекта от уязвимости. В настоящее время разработчики OpenSSL и GNU TLS уже приступили к тестированию патчей, другие производители находятся на разных этапах работы.

Источник: The Register

теги: ssl, retro  |  предложить новость  |  обсудить  |  все отзывы (0)

[2806]

аналогичные материалы

Microsoft подтвердила наличие 17-летней уязвимости во всех 32-битных системах // dl // 21.01.10 19:29 Кража кук через поддомены - еще один привет из прошлого // dl // 04.11.09 11:17 Критическая уязвимость в ядре FreeBSD // dl // 16.09.09 14:48 Локальное повышение привилегий в ядрах всех Линуксов // dl // 14.08.09 02:08 Успешная атака на SSL // dl // 20.02.09 22:33 MS исправила уязвимость семилетней давности // dl // 14.11.08 15:22 И еще одна дырка в ключевом интернет-протоколе // dl // 02.10.08 11:25 Очередная крупнейшая дырка в интернете // dl // 27.08.08 13:13

последние новостиBugTraq.Ru: последние новости

Oracle выпустила внеочередной патч // dl // 08.02.10 19:17 Четвертый Хром // dl // 26.01.10 10:06 Антивирус Касперского принял Adsense за троян // dl // 25.01.10 21:26 Антивирус Касперского заблокировал половину Рунета // dl // 25.01.10 14:40 Чаку Норрису не нужно знать ваш пароль, чтоб зайти в ваш фейсбук // dl // 22.01.10 00:01 Внеочередной патч IE // dl // 21.01.10 23:27 FireFox 3.6 // dl // 21.01.10 21:28 Microsoft подтвердила наличие 17-летней уязвимости во всех 32-битных системах // dl // 21.01.10 19:29 Массовая атака с помощью pdf-уязвимости // dl // 14.01.10 23:45 Мулечное // dl // 13.01.10 18:16