Laman web

Kesalahan SSL Boleh Digunakan untuk Menipu Twitter

Scammer kena game

Scammer kena game
Anonim

Satu cacat dalam protokol yang digunakan untuk menjamin komunikasi melalui Internet boleh digunakan untuk menggodam akaun Twitter, menurut penyelidik keselamatan IBM.

Minggu lepas Anil Kurmus menunjukkan bagaimana cacat dalam protokol SSL (Secure Sockets Layer) yang digunakan pada dasarnya menipu mangsa untuk menghantar mesej Twitter yang mengandungi maklumat kata laluan mereka. Untuk kecacatan yang akan dieksploitasi, seorang penggodam perlu mencari cara untuk mendapatkan rangkaian mangsa, melancarkan apa yang dikenali sebagai serangan di tengah-tengah, jadi sukar untuk mempengaruhi sejumlah besar pengguna Twitter dengan teknik ini. Masalahnya tidak lama lagi ditekan oleh Twitter, namun ia mempunyai pakar keselamatan yang mengira berapa banyak laman web mungkin menderita masalah yang sama.

Sebuah konsortium dari syarikat Internet telah berusaha keras untuk memperbaiki masalah SSL sejak 5 November, ketika secara tidak sengaja dibuat awam pada senarai perbincangan. Tetapi ada beberapa perdebatan mengenai keseriusan kesilapan itu. Tidak lama selepas bug dibuat awam, penyelidik IBM, Tom Cross berkata, sebahagian besarnya, aplikasi Web utama tidak akan terjejas oleh masalah ini.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

Tetapi Cross mengubah fikirannya, menulis: "Malangnya, keadaan lebih buruk dari yang saya fikir."

Aplikasi webmail, khususnya, mungkin berisiko dari serangan ini. Pakar keselamatan juga bimbang bahawa aplikasi lain - pangkalan data, misalnya - mungkin berisiko.

Twitter.com rentan terhadap bug kerana ia melakukan apa yang disebut renegosiasi klien di bawah SSL. Rundingan semula pelanggan memberi laman web sebagai cara untuk meminta pengguna Twitter untuk mendapatkan sijil SSL selepas pengguna telah disambungkan ke laman web ini. Ini alat yang berguna untuk laman web yang membolehkan pengguna log masuk menggunakan kad pintar atau laman web yang menyekat akses kepada kumpulan terpilih pelayar web yang telah ditetapkan, tetapi sehingga cacat itu ditetapkan, rundingan semula pelanggan juga membuka pintu untuk serangan SSL.

mungkin banyak laman web seperti Twitter yang membolehkan rundingan semula pelanggan semata-mata kerana ia dibina dalam protokol SSL dan penggantinya, TLS (Transport Layer Security), kata Marsh Ray, salah seorang pemaju PhoneFactor yang menemui isu itu. "Banyak orang tidak menyedari bahawa mereka melakukannya," katanya.

Berita baiknya adalah bahawa banyak laman web hanya dapat mematikannya secara langsung, yang nampaknya apa yang dilakukan Twitter.

Menurut Ray, orang harus menyadari bahwa sementara kecacatan SSL tidak malapetaka, "ini adalah bug yang serius dan orang perlu menambalnya."