FREAK, útok na SSL/TLS komunikaci

Tým miTLS publikoval informace o útoku na SSL/TLS komunikaci, jenž byl pojmenován FREAK (Factoring RSA Export Keys). Například v OpenSSL se jedná o bezpečnostní chybu CVE-2015-0204, jež byla opravena ve verzích 1.0.1k, 1.0.0p a 0.9.8zd již 8. ledna (zprávička). Z historických důvodů (Wikipedia) mohou některé implementace SSL/TLS podporovat slabé kryptografické algoritmy. Webový prohlížeč je normálně nepoužívá a při navazování SSL/TLS je nenabízí. Výzkumný tým našel způsob, jak pomocí MITM některé webové prohlížeče přinutit tyto slabé algoritmy použít. Podmínkou je podpora stejných slabých algoritmů také na webovém serveru. Test prohlížeče a statistiky na FREAKAttack.com.

4.3.2015 01:10 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[24horas]

Prosim vice bugu s idiotskymi udernymi nazvy

[xkucf03]

+1

[bigBRAMBOR]

nedělěj si z toho srandu, je to vážná věc. Není jednoduché vymyslet takovej název a pak vymyslet z čeho je to náhodou zkratka.

[Hans1024]

A to je zneuziti jedne z tech zbytecnosti, ktere z LibreSSL uz davno vykuchali.

[pavel]

Nechapu co brani distribucim nasadit do vyvojove vetve LibreSSL. Takovy Void Linux pouziva vyhradne LibreSSL a vsechny vyznamne programy s nim bez problemu bezi.

[chrono]

Minulú chybu v OpenSSL opravili až dlho po tom, ako bola opravená v OpenSSL. ;)

[chrono]

Minulú chybu v OpenSSL, ktorá bola aj v LibreSSL, ...

[Hans1024]

Tahle nevyhoda je z velke casti zpusobena prave soucasnym malym poctem uzivatelu LibreSSL - nalezce chyby se neobtezuje informovat o ni nikoho jineho nez OpenSSL, ve ktere ji ostatne nasel.

Na druhou stranu FREAK je zase prikladem toho, ze procisteni kodu nese sve ovoce. Kdyby vyznamne distribuce presly na LibreSSL, mohli bychom mit obe vyhody

[Sid]

tusim si zaroven odpovedal aj cloveku co sa pytal nad tebou o prechode na libressl.