'Saya percaya hasil cukai judi tak bayar gaji MP Pontian' - Hamzah
Untuk melakukan ini, mereka telah mengeksploitasi pepijat dalam sijil digital yang digunakan oleh laman web untuk membuktikan bahawa mereka adalah siapa yang mereka nyatakan. Dengan memanfaatkan kelemahan yang diketahui dalam algoritma hashing MD5 yang digunakan untuk membuat beberapa sijil ini, para penyelidik dapat mencuba kuasa sijil Verisign RapidSSL.com dan membuat sijil digital palsu untuk mana-mana laman web di Internet.
Hashes digunakan untuk membuat "cap jari" untuk dokumen, nombor yang sepatutnya mengenal pasti secara unik dokumen tertentu dan mudah dikira untuk mengesahkan bahawa dokumen itu tidak diubah suai dalam transit. Algoritma hashing MD5, bagaimanapun, adalah cacat, sehingga memungkinkan untuk membuat dua dokumen yang berbeda yang mempunyai nilai hash yang sama.
Menggunakan ladang mesin Playstation 3 mereka, penyelidik membina "pihak berkuasa sijil jahat" yang kemudiannya boleh mengeluarkan sijil palsu yang akan dipercayai oleh mana-mana pelayar. Pemproses sel Playstation adalah popular dengan pemutus kod kerana ia sangat baik dalam melaksanakan fungsi kriptografi.
Mereka bercadang untuk membentangkan penemuan mereka di persidangan penggodam Kongres Komunikasi Chaos, yang diadakan di Berlin pada Selasa, dalam ceramah yang telah menjadi subjek daripada beberapa spekulasi dalam komuniti keselamatan Internet.
Kerja penyelidikan dilakukan oleh pasukan antarabangsa yang termasuk penyelidik bebas Jacob Appelbaum dan Alexander Sotirov, serta saintis komputer dari Centrum Wiskunde & Informatica, Ecole Polytechnique Federale de Lausanne, Eindhoven University of Technology dan University of California, Berkeley.
Walaupun penyelidik percaya bahawa serangan dunia sebenar menggunakan teknik mereka tidak mungkin, mereka mengatakan bahawa kerja mereka menunjukkan bahawa algoritma hashing MD5 tidak lagi akan digunakan oleh sijil pihak berkuasa yang mengeluarkan sijil digital. "Ia adalah panggilan bangun untuk sesiapa yang masih menggunakan MD5," kata David Molnar seorang pelajar siswazah Berkeley yang bekerja pada projek itu.
Sebagai tambahan kepada Rapidssl.com, TC TrustCenter AG, RSA Data Security, Thawte dan Verisign.co. jp semua menggunakan MD5 untuk menghasilkan sijil mereka, para penyelidik berkata.
Pelancaran serangan adalah sukar, kerana orang jahat harus terlebih dahulu menipu seorang mangsa untuk melawat laman web yang berniat jahat yang menganjurkan sijil digital palsu. Walau bagaimanapun, ini boleh dilakukan dengan menggunakan apa yang dikenali sebagai serangan lelaki-dalam-tengah. Ogos lepas, penyelidik keselamatan Dan Kaminsky menunjukkan bagaimana kecacatan utama dalam Sistem Nama Domain Internet dapat digunakan untuk melancarkan serangan manusia-dalam-tengah. Dengan penyelidikan terbaru ini, kini menjadi lebih mudah untuk melancarkan serangan jenis ini terhadap laman web yang terjamin menggunakan penyulitan SSL (Secure Sockets Layer), yang bergantung pada sijil digital yang boleh dipercayai.
"Anda boleh menggunakan bug DNS kaminsky, digabungkan dengan ini untuk mendapatkan pancingan data yang tidak dapat dikesan, "kata Molnar.
" Ini bukan cakap-cakap tentang apa yang mungkin berlaku atau apa yang seseorang boleh lakukan, ini adalah demonstrasi apa yang mereka lakukan dengan hasilnya untuk membuktikannya, "tulis HD Moore, pengarah penyelidikan keselamatan di BreakingPoint Systems, dalam sebuah blog yang memaparkan ucapannya.
Cryptographers telah secara beransur-ansur meruntuhkan keamanan MD5 sejak 2004, ketika sebuah tim yang dipimpin oleh Shandong Universiti Wang Xiaoyun menunjukkan kelemahan dalam algoritma.
Memandangkan keadaan penyelidikan ke MD5, pihak berkuasa sijil sepatutnya telah dinaik taraf kepada algoritma yang lebih selamat seperti SHA-1 (Secure Hash Algorithm-1) "bertahun-tahun yang lalu," kata Bruce Schneier, seorang pakar kriptografi yang terkenal dan ketua pegawai keselamatan keselamatan dengan BT.
RapidSSL.com akan berhenti mengeluarkan sijil MD5 menjelang akhir bulan Januari dan melihat bagaimana untuk menggalakkan pelanggannya untuk pindah ke sijil digital baharu selepas itu, kata Tim Callan, naib presiden pemasaran produk dengan Verisign.
Tetapi pertama, syarikat itu ingin melihat dengan baik penyelidikan terkini ini. Molnar dan pasukannya telah menyampaikan dapatan mereka kepada Verisign secara tidak langsung, melalui Microsoft, tetapi mereka tidak bercakap secara langsung dengan Verisign, kerana takut bahawa syarikat mungkin mengambil tindakan undang-undang untuk membatalkan perbualan mereka. Pada masa lalu, syarikat kadang-kadang mendapat arahan mahkamah untuk menghalang penyelidik daripada bercakap di persidangan hacking.
Callan mengatakan bahawa dia berharap Verisign telah diberikan lebih banyak maklumat. "Saya tidak dapat menyatakan betapa kecewa saya bahawa blogger dan wartawan diberi taklimat mengenai perkara ini tetapi kita tidak, memandangkan kita adalah orang yang benar-benar perlu bertindak balas."
Ketika Schneier berkata dia kagum dengan matematik di belakang penyelidikan terkini ini, beliau berkata bahawa terdapat masalah keselamatan yang jauh lebih penting di Internet - kelemahan yang mendedahkan pangkalan data yang besar mengenai maklumat sensitif, contohnya.
"Tidak masalah jika anda mendapatkan sijil MD5 palsu, kerana anda tidak pernah memeriksa pensijilan anda, "katanya. "Terdapat banyak cara untuk menipu itu dan ini satu lagi."
Penyelidik: Masalah keselamatan Jawa tidak dapat diselesaikan segera
Sejak awal tahun ini, penggodam telah mengeksploitasi kelemahan di Jawa untuk melaksanakan serangkaian serangan terhadap syarikat termasuk Microsoft, Apple, Facebook dan Twitter, serta pengguna di rumah. Oracle telah berusaha untuk bertindak balas dengan lebih cepat terhadap ancaman dan menguatkan perisian Javanya, namun para pakar keselamatan mengatakan serangan itu tidak akan dapat dilepaskan.
Apakah Phishing dan bagaimana untuk mengenal pasti Serangan Phishing
Siaran ini akan meningkatkan Kesedaran Phishing anda kerana ia memberitahu anda bagaimana untuk mengelakkan serangan Phishing dan tetap selamat dalam talian. Jenis-jenis & ciri-ciri serangan Phishing juga dibincangkan.
Gunakan McAfee GetSusp jika anda mengesyaki malware tidak dapat dikesan pada PC anda
McAfee GetSusp adalah alat percuma yang dimaksudkan untuk pengguna yang mengesyaki malware tidak dapat dikesan komputer Windows mereka. Ia mengasingkan malware yang tidak dapat dikesan & berfungsi pada McAfee GTI.