Janne Häyrynen
7. syyskuuta, 2012 10:52
Kaspersky Labin uutispalvelu threatpost.com kertoo, että kaksi tietoturvatutkijaa on paljastanut hyökkäyksen, jonka avulla on mahdollista kaapata suojattu HTTPS-istunto.
Yleisimmissä selaimissa käytetyn SSL/TLS-salakirjoitusstandardin kaikki tämänhetkiset versiot sisältävät ominaisuuden, jonka kautta on mahdollista avata salakirjoitetut, selainistuntoja koskevat evästeet. Evästeiden avulla hyökkääjän on mahdollista kirjautua tietyissä tapauksissa uudelleen suojatulle verkkosivulle uhrin tunnusta käyttäen. Haavoittuvuus toimii riippumatta evästeen salakirjoitukseen käytetystä algoritmista.
Uusi haavoittuvuus toimii, kun hyökkääjä ensin suorittaa JavaScript-koodia selaimessa ja pääsee tarkkailemaan käyttäjän HTTPS-liikennettä, mutta periaatteessa myös yksinkertainen HTML-sivu voi toimia vastaavalla tavalla. Tällä hetkellä sekä Firefox- että Chrome-selaimet ovat hyökkäykselle alttiita. Selaimiin on kehitetty korjaukset, jotka julkaistaan lähiviikkoina.
Tietoturvatutkijat Juliano Rizzo ja Thai Duong aikovat kertoa CRIME:ksi nimetyn haavoittuvuuden yksityiskohdista myöhemmin tässä kuussa. Samat tutkijat paljastivat viime vuonna vastaavankaltaisen BEAST-hyökkäyksen (Browser Exploit Against SSL/TLS), joka myös koski evästeiden avaamista suojatuissa istunnoissa, esimerkiksi kauppa- ja pankkipalveluissa.