Исследователи безопасности Джулиано Риццо (Juliano Rizzo) и Тай Дуонг (Thai Duong) заявляют о том, что им удалось разработать новый метод расшифровки сессионных cookie в HTTPS (Hypertext Transfer Protocol Secure) соединениях.
Web-страницы используют сессионные cookie для того, чтобы запомнить пользователя, прошедшего авторизацию. Если злоумышленнику удастся получить доступ к сессионным cookie этого пользователя, он сможет захватить контроль над его учетной записью. Зашифрованное HTTPS соединение предназначено для того, чтобы предотвратить внедрение в сессию, однако Риццо и Дуонг утверждают, что раскрыли новый способ обхода защиты этого протокола.
Их метод, получивший название CRIME, будет представлен в этом месяце в ходе конференции по информационной безопасности Ekoparty в Аргентине.
Как сообщает ComputerWorld, недавно разработанный метод атаки эксплуатирует брешь в функциях криптографических протоколов TLS и SSL, которые применяются в HTTPS. Эта брешь распространяется на все современные версии криптографических протоколов.
Для успешного проведения атаки код CRIME должен быть загружен в браузер жертвы, что может быть сделано с помощью, например, отправки фишингового сообщения, которое перенаправит пользователя на контролируемую злоумышленником web-страницу.
Для ускорения работы кода CRIME, он использует javascript, но также может обойтись и без сторонних плагинов в браузере целевой системы.
Напомним, что в прошлом году Джулиано Риццо (Juliano Rizzo) и Тай Дуонг (Thai Duong) уже представляли инструмент, который позволяет относительно быстро расшифровать содержимое HTTPS протокола, который получил название BEAST, однако он распространялся на старые версии TLS и SSL, а также требовал, чтобы на браузере жертвы был установлен плагин Java.
Источник: SecurityLab
|
