Kövesse az Indexet Facebookon is!
Követem!További Biztonság cikkek
Európai és kaliforniai kutatók szerint a digitális tanúsítványokban nem lehet úgy megbízni, mint néhány éve. Kijátszhatók, és a hamisítványokról az összes ismert webes böngésző sem állapítja meg, hogy valami nincs rendben körülöttük.
Megbíznak bennük, ez teszi lehetővé, hogy biztonságos oldalaknak tűnjenek, s nehezen vagy egyáltalán nem felderíthető adathalász tevékenységeknek adjanak otthont.
Ha olyan weblapon járunk, melynek URL-je https-szel kezdődik, a böngésző ablakában megjelenő kicsi, lakatjel arra utal, hogy az oldal biztonságosságát valamelyik megbízható Hitelesítő Szervezet (Certification Authority, CA) által kiadott digitális tanúsítvány garantálja. A tanúsítvány eredetiségét a böngésző rutinművelettel ellenőrzi: az aláírást (a szervezet által előállított egyedi számsort) szabványosított kriptográfiai algoritmusokkal vizsgálják, s fogadják el.
Az egyik ilyen kódolási algoritmusról, a biztonsági alkalmazások széles skáláján adatellenőrzésre, például file-ok eredetiségének vizsgálatára használt MD5-ről (Message-Digest algorithm 5) kiderült: vissza lehet élni vele. Kódjában először 1996-ban fedeztek fel egy - nem túl súlyos - hibát. A 2004-es Crypto konferencián viszont további biztonsági rések láttak napvilágot. Kínai kutatók kimutatták, hogy ugyanazzal a digitális aláírással két különböző üzenet hozható létre. Úgynevezett ütközéses támadást (collision attack) generálva érték el a nem-kívánt eredményt. (Két jel egymással való ütközése a hálózaton rendszerint hibát okoz.) Támadásukat limitálták, úgyhogy nem okozott különösebb problémát. A következő, immár sokkal súlyosabb ütközés (több biztonsági cég általi) kivitelezése 2007 májusára esett, és a résztvevők bebizonyították: szinte teljesen korlátlanul választható ki mindkét üzenet. Az MD5 "koporsószögét" kaliforniai, holland és svájci kutatóintézetek tudósai verték be, kimutatva, hogy létrehozható a böngészők bizalmát bíró hamis CA.
Az internet infrastruktúrájának kritikus része egyáltalán nem tekinthető biztonságosnak: egy hamis CA és a DNS (Domain Name System) protokoll hibáinak ügyes összekombinálása láthatatlan adathalász-támadásoknak nyit teret, s máris megbízhatónak vélt, az eredetihez megtévesztésig hasonló kamu bank- és más elektronikus kereskedelmi oldalakon gépeljük be féltve őrzött adatainkat.
"Létfontosságú, hogy a böngészők és a CA-k ne használják többé az MD5-öt, és olyan robusztusabb alternatívákhoz forduljanak helyette, mint például az SHA-2, valamint a hamarosan debütáló SHA-3 szabvány" - nyilatkozta Arjen Lenstra, a svájci EPFL Kriptográfiai Algoritmusok Laboratóriumának vezetője, aki egy interjúban azt is elmondta, hogy a legnagyobb böngészőket és infokommunikációs cégeket már 2004-ben figyelmeztették. Többen meg is hozták a szükséges intézkedéseket. Egyes - valódi - CA-k viszont még mindig az MD5-öt használják.
Kövesse az Indexet Facebookon is!
Követem!
