Chyba v SSL/TLS umožňuje vložení obsahu

Byla nalezena chyba v protokolu SSL/TLS, která umožňuje, aby útočník do spojení vložil data. Z popisu problému jde o obecný autentizační nedostatek, nikoliv o chybu konkrétní implementace. Pracuje se na návrhu, jak chybu řešit. Popis na H-Online.

6.11.2009 11:02 | Luboš Doležel (Doli) | IT novinky

Komentáře

[andree]

ouch...

One possibility would be to issue client certificates earlier, before a specific URL is requested.

rozumiem tomu dobre, ze to efektivne zabrani konfiguracii viacerych SSL virtualhostov na jednu IP adresu? tusim ze sa prave kvoli tejto feature TLS rozsirovalo (uz davnejsie), a teraz to zase bude musiet ist k ladu? :)

 

[d.c.]

Ne, jde o "certifikaty klientu".

[Ladislav Hagara]

V novém OpenSSL 0.9.8l je problém "vyřešen" zakázáním opětovného vyjednávání.

 Changes between 0.9.8k and 0.9.8l  [5 Nov 2009]

  *) Disable renegotiation completely - this fixes a severe security
     problem (CVE-2009-3555) at the cost of breaking all
     renegotiation. Renegotiation can be re-enabled by setting
     SSL3_FLAGS_ALLOW_UNSAFE_LEGACY_RENEGOTIATION in s3->flags at
     run-time. This is really not recommended unless you know what
     you're doing.
     [Ben Laurie]

[PavelC]

Hmm, další příklad toho, že bezpečnost zdaleka není jen o síle šifry (RSA 1024B ?) nebo délce hesla :(

[xurpha]

Jinak, originální blogposty: „Another Protocol Bites The Dust“ a „SSL MitM Attack, Part 2“.
Pro apache je venku patch (viz svn diff -r833581:833594 https://svn.apache.org/repos/asf/httpd/httpd/trunk/modules/ssl), který renegotioation taky zakáže, pokud v systému ještě není OpenSSL 0.9.8l.

[nike airmax pas cher]

replica yeezy boost 350 It is very interesting and worth reading