Si sta espandendo velocemente in rete la notizia che ci sarebbe una vulnerabilità nel protocollo SSL/TLS che può essere sfruttata per inserire dati all’interno di una connessione sicura.
Questo mette a rischio tutti i protocolli che utilizzano connessioni sicure, a partire da quelle https. Il problema non è nella singola implementazione, ma proprio nel protocollo stesso e si fonda su una svista nella gestione della rinegoziazione che consente attacchi di tipo Man in the middle.
Al momento sono sicuramente vulnerabili le ultime versioni di openSSL, Apache, IIS e molti altri software che utilizzano il protocollo. Le prime patch che sono uscite puntano alla disabilitazione della rinegoziazione in attesa di una soluzione a lungo termine che è ancora oggetto di discussione.
Per un approfondimento potete seguire la discussione sulla mailing list del working group IETF sul TLS.
ossblog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, chi siamo
© 2004-2011 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Ossblog.it contattare la concessionaria esclusiva Populis Engage.
pof
05 nov 2009 - 21:31 - #1“Questo mette a rischio tutti i protocolli che utilizzano questi protocolli” Capisco che non è facile trovare un sinonimo, però… sbattuta così in faccia…
evilsocket
06 nov 2009 - 02:13 - #2Veramente nn è tutta sta novità, la tecnica di ssl proxying durante un attacco mitm è parecchio vecchia, in pratica l’attaccante si interpone tra i due host forzandoli a scambiarsi chiavi e certificati a lui noti (manipolando la transazione naturalmente) in modo tale da poter intercettare il traffico in chiaro … nn capisco perchè la si fa tanto grossa per una cosa che esiste da anni … poi il problema non sta nel SSL/TLS, ma in quei protocolli soggetti al poisoning e relativi attacchi mitm (vedi il protocollo ARP ad esempio) … il tizio si sta facendo grande di una scoperta che nn ha fatto lui ma che è nota nel campo dell hacking da parecchio, e da altrettanto tempo viene sfruttata XD
rizlox
06 nov 2009 - 09:34 - #3esatto tool come ettercap rendono facili questo tipo di attacchi ma questo è possibile grazie all’ARP poisoning… Nulla di nuovo
Massimo S:
06 nov 2009 - 10:22 - #4Scusate ma io tutta questa diffusione in rete della notizia non la vedo.
Dove se ne parla, a parte la mailing list di IETF ?
nessunohastonick
06 nov 2009 - 15:12 - #5ma scusate, questa non è una vulnerabilità di ssl o tls..
ssl/tls non è un protocollo di autenticazione, bensi di crittografia.. quindi se il problema è l’autenticazione falsata, che colpa ne ha ssl/tls?
bpm
06 nov 2009 - 18:59 - #6#5
ssl/tsl è un protocollo pensato per autenticazione, segretezza e integrità dei dati.
Non ho letto in cosa consiste lo specifico problema, comunque con ssl/tsl un attacco men in the middle non dovrebbe essere possibile (a patto di verificare la validità del certificato di colui a cui ci si connette). Quindi se c’è qualche modo per eseguirlo in fase di rinegoziazione probabilmente c’è qualche cosa che non va nel protocollo.