- Radiniai
- Ką turi pasakyti ekspertai?
- Ką tu gali padaryti?
Jei manėte, kad jūsų duomenys yra saugūs, tada pagalvokite dar kartą. Kadangi remiantis akademiniais tyrimais nustatyta, kad dėl TLS 1.3 pažeidžiamumo įsilaužėliai dabar gali patekti į saugų kanalą ir gali rinkti duomenis dėl kenkėjiškų ketinimų.
Tyrimo dokumentą paskelbė Tel Avivo universitetas, Adelaidės universitetas ir Mičigano universitetas, taip pat Weizmanno institutas. Be to, panašias išvadas padarė ir NCC grupė bei „Data61“.
Radiniai
Ataka yra modifikuota tikrojo „Bleichenbacher“ orakulo atakos versija, kuri praeityje sugebėjo iššifruoti RSA šifruotą pranešimą, naudodama viešojo rakto kriptografiją.
Tačiau šia nauja banga siekiama kovoti su TLS 1.3, kuri yra naujausia versija tarp TLS protokolų. Valdžia manė, kad tai saugu, bet, matyt, nėra ir tai kelia nerimą!
Kadangi TLS 1.3 nepalaiko RSA raktų mainų, tyrėjai manė, kad tikslinga vertinti išpuolį, geriausia naudoti atnaujintą versiją, ty TLS 1.2.
Dėl šios priežasties buvo pakeistos versijos sušvelninimo priemonės, pavyzdžiui, viena serverio ir dviejų klientų pusė, kurios apeina ankstesnės versijos ataką. Taigi darytina išvada, kad jei būtų buvę didesnių RSA raktų, šių atakų būtų buvę galima išvengti, o rankos paspaudimo laikas būtų sutrumpėjęs.
Ištirti devyni skirtingi TLS įgyvendinimai; „OpenSSL“, „Amazon s2n“, „MbedTLS“, „Apple CoreTLS“, „Mozilla NSS“, „WolfSSL“ ir „GnuTLS“, iš kurių „BearSSL“ ir „Google“ „BoringSSL“ buvo saugios. Visi kiti liko pažeidžiami.
Ką turi pasakyti ekspertai?
Kalbant apie išpuolių skaičių, „Venafi“ direktorius Broderickas Perelli-Harrisas mano, kad nuo 1988 m. Jie pasirodė „Bleichenbacher“ variantuose. Todėl nenuostabu, kad ir TLS 1.3 yra pažeidžiamas.
„ESET UK“ kibernetinio saugumo specialistas Jake'as Moore'as laikosi nuomonės, kad kriptografinio pobūdžio išpuoliai nėra pirmieji ir nebus paskutiniai tokio pobūdžio. Jis taip pat mano, kad tai panašu į „Whac-A-Mole“ žaidimą - kiekvieną kartą pritaikius saugos pataisą, pasirodo vis kitas.
Ką tu gali padaryti?
Apskritai, trūkumas yra originaliame TLS šifravimo protokolo makiaže. Tačiau kol kas dėl paties protokolo projekto pataisymas yra vienintelis kelias į priekį.
Ką tuo metu galite padaryti, kad apsisaugotumėte? Naudokite dviejų faktorių autentifikavimą (2FA), nuolat atnaujinkite savo programinę įrangą, pvz., Apsaugą nuo kenkėjiškų programų / antivirusų, nustatydami stipresnius slaptažodžius ir padorią VPN paslaugą, tokią kaip „Ivacy“.
