Melinda, Vivien
2 °C
8 °C

Biztonsági rés az SSL protokollban

2003.02.21. 17:31
Rábukkantak az első biztonsági résre a hitelkártya-tranzakcióknál is használt SSL biztonsági protokollban. Bár a hibát meglehetősen könnyű kihasználni, mégsem jelent nagyobb veszélyt, mivel a gyakorlatban nehéz lenne kivitelezni a támadást.
Svájci kutatók rábbukantak az első biztonsági résre az SSL (Secure Socket Layer) biztonsági protokollban. Serge Vaudenay, a svájci szövetségi műszaki intézet munkatársa és csapata a szerveroldali hibaüzenetek egy hiányosságát kihasználva tudták a titkosítást feltörni, írta a New Scientist.

Hibaüzenet-hiba

Az SSL protokoll az átmenő adatokat kódolja, így a böngésző vagy levelezőprogram és a szerver közötti biztonságos kapcsolat létrehozására szolgál. Több ezer oldal használja például hitelkártya-tranzakciók titkosítására, de támogatja a digitális aláírást, vagy a kliens- és szerverazonosítást is. Az SSL használatához külön URL kell, ez https://-sel kezdődik a http:// helyett. A böngésző grafikus felülete egy kis lakattal jelzi valamelyik sarokban, hogy biztonságos, vagy nem biztonságos szerverrel kommunikál éppen.

Egy titkosított üzenet elküldésekor a szerver SSL-programja dekódolja azt, hogy ellenőrizze, helyesen van-e feltüntetve a hossza, és jól lett-e tömörítve. Ha probléma van, hibaüzenetet küld vissza. Vaudenayék rájöttek arra, hogy ha egy titkosított üzenetet elfognak, és egy bizonyos módon megváltoztatva küldik tovább, a visszajövő hibajelentésben elolvasható az eredeti üzenet egy része.

A jelszót is megfejtették

A támadást egy mailszerveren próbálták ki. 160 módosított levél és visszajövő hibaüzenet után már meg tudták fejteni a jelszót is, ami 8 karakter hosszúságú volt. "Most először bukkantunk biztonsági hiányosságra magában az SSL-ben, és nem abban, ahogy használják" - mondta Vaudenay a New Scientistnek.

Ezzel együtt elismerte, hogy a támadást gyakorlatban nehéz lenne kivitelezni. Ennek az az oka, hogy a támadónak el kell fognia egy titkosított üzenetet, ehhez pedig az szükséges, hogy hozzáférjen a hálózat egyes biztonságos részeihez. A biztonsági rés más szakértők szerint sem különösebben veszélyes, egy támadást ráadásul nagyon könnyen nyomon lehetne követni.

Az SSL legújabb verziója szerdán jelent meg, a problémát ebben már kijavították.