Hjemmesider

SSL-fejl kunne have været brugt til at hakse Twitter

The surprising habits of original thinkers | Adam Grant

The surprising habits of original thinkers | Adam Grant
Anonim

En fejl i protokollen, der bruges til at sikre kommunikation via internettet, kunne have været brugt til at hack Twitter-konti, ifølge en IBM sikkerhedsforsker.

I sidste uge viste Anil Kurmus, hvordan en fejl i SSL-protokollen (Secure Sockets Layer) kunne være plejede i det væsentlige at narre ofrene til at sende Twitter-beskeder, der indeholdt deres adgangskodeoplysninger. For den fejl, der skal udnyttes, skal en hacker først finde en måde at komme ind på offerets netværk, og lancere det såkaldte "man-in-middle attack", så det ville være svært at påvirke et stort antal Twitter-brugere med denne teknik. Problemet blev snart patchet af Twitter, men det har sikkerhedseksperter, der undrer sig over, hvor mange websteder der kan lide af et lignende problem.

Et konsortium af internetfirmaer har forvrøjet for at løse SSL-problemet siden 5. november, da det blev udilsigtet lavet offentligt på en diskussionsliste. Men der har været en del debat om grovheden af ​​fejlen. Kort efter fejlen blev offentliggjort, sagde IBM-forsker Tom Cross, at de fleste webapplikationer for det meste ikke ville blive berørt af problemet.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Men Cross forandrede sig og skrev: "Desværre er situationen værre end jeg troede."

Webmail applikationer kan især også være i fare fra dette angreb. Og sikkerhedseksperter bekymrer sig også om, at andre applikationer - f.eks. Databaser - kan være i fare.

Twitter.com var modtagelig for fejlen, fordi det gjorde hvad der kaldes klientforhandling under SSL. Kundens genforhandling giver hjemmesiden mulighed for at spørge Twitter-brugeren om et SSL-certifikat, efter at en bruger allerede er tilsluttet webstedet. Det er et nyttigt værktøj til websteder, der giver brugerne mulighed for at logge på ved hjælp af smarte kort eller til websteder, der begrænser adgangen til en udvalgt gruppe af foruddefinerede web surfere, men indtil fejlen er løst, åbner klientfordeling også døren til SSL-angreb.

Der er sandsynligvis mange steder som Twitter, der tillader klientgenforhandling blot fordi den er indbygget i SSL-protokollen og dens efterfølger, TLS (Transport Layer Security), sagde Marsh Ray, en af ​​PhoneFactor-udviklerne, der opdagede problemet. "Mange mennesker indså ikke, at de gjorde det," sagde han.

Den gode nyhed er, at mange websteder bare kan deaktivere det direkte, hvilket tilsyneladende er, hvad Twitter har gjort. Twitter reagerede ikke på en meddelelse, der beder om kommentarer til denne historie.

Ifølge Ray skal folk indse, at mens SSL-fejlen ikke er katastrofal, "dette er en alvorlig fejl, og folk skal patchere det."