Triple Handshake - chyba v protokolu TLS

Byl zveřejněn popis závažné chyby v protokolu TLS. Chyba využívá tří druhů handshaku používaných v TLS a (ne zrovna přímočaré) interakce mezi nimi. Útočníkovi umožňuje provést omezený MITM, totiž může navázat spojení, vložit do něj data a spojení nechat autentizovat. Mnoho klientů bude tato data považovat za autentická. Problém se netýká jedné implementace, jde o problém samotného protokolu, kde se tiše předpokládá že vyjednaný klíč (Master Secret) je unikátní, a mnoho implementací na to spoléhá. Shrnutí problému na blogu Matthewa Greena.

24.4.2014 22:40 | Lyco | Zajímavý článek

Komentáře

[gsnak]

To je nejaka nova moda pre kazdu zranitelnost zakladat domenu?

[pavlix]

Není to spíše důsledek příliš levných domén?

[gsnak]

Alebo skor malo chyb?

[Filip Jirsák]

V obou případech to byla prezentace nějakého subjektu, který se bezpečností zabývá. Takže ta stránka jim zároveň slouží jako reklama. A lidé asi odkazují raději na doménu věnovanou jen chybě, než odkazovat na podstránku nějaké firmy.

[xkucf03]

Ta firma/reklama je za tím tak jako tak. Já bych radši odkazoval na stránku, která má šanci, že tu bude dlouhodobě. A mám menší důvěru v to, že někdo bude platit třeba deset let jednoúčelovou doménu, než že deset let nechá nějaký záznam na své wiki nebo v databázi.

Tyhle nákupy jednoúčelových domén pak nezřídka dopadají tak, že doména za rok za dva propadne a „ujmou“ se jí nějací spekulanti nebo SEO spameři – spousty odkazů z různých webů zůstanou a dělá to pak akorát bordel ve vyhledávačích a mate to lidi, případně se na té doméně objeví i nějaký ten malware nebo phishing.

Radši budu odkazovat na heartbleed.bugs.example.com než na heartbleed.tld.

[Andrej]

to budu teraz vsetky bezpecnostne problemy uz len s krvacajucim logom?!

[Zopper]

No příští dva, tři měsíce ještě možná jo. Ale víc bych tomu nedával, za chvíli se to omrzí.