लाखों साइटों द्वारा उपयोग किए गए SSL एन्क्रिप्शन को हैकर्स ने क्रैक किया

शोधकर्ताओं ने सुरक्षित सॉकेट्स लेयर प्रोटोकॉल द्वारा संरक्षित लगभग सभी साइटों में गंभीर कमजोरी पाई, जो एक हमलावर को वेब सर्वर और उपयोगकर्ता के ब्राउज़र के बीच गुजरने वाले डेटा को चुपचाप डिक्रिप्ट करने की अनुमति देता है।

भेद्यता 1.0 संस्करण में है, टीएलएस के पुराने संस्करण, और परिवहन सुरक्षा परत में। टीएलएस 1.1 और 1.2 के संस्करण कमजोरियों के लिए अतिसंवेदनशील नहीं हैं, लेकिन वे लगभग उपयोग नहीं किए जाते हैं, जो पेपल, जीमेल और कई अन्य साइटों को असुरक्षित बनाता है अगर हमलावर के पास उपयोगकर्ता और अंतिम साइट के बीच संचार को नियंत्रित करने की क्षमता है।

ब्यूनस आयर्स में एकोपार्टी सुरक्षा सम्मेलन में सप्ताह के अंत में, थाई डूंग और जूलियानो रिज़ो शोधकर्ताओं ने अपनी अवधारणा के साक्ष्य प्रदर्शित करने की योजना बनाई है, जिसे उन्होंने निम्नलिखित शब्दों के पहले अक्षर से BEAST (जानवर के रूप में अनुवादित) कहा है SSL / TLS के खिलाफ ब्राउज़र एक्सप्लॉइट।

डुओंग ने कहा कि डेमो पेपल खाते तक पहुंचने के लिए कुकी डिक्रिप्शन दिखाएगा।

BET HTTPS पर सबसे अधिक प्रकाशित "हमलों" से अलग है। हैकिंग के अन्य प्रयास SSL प्रमाणीकरण गुणों को खराब करने पर ध्यान केंद्रित करते हैं। जहां तक ​​हम जानते हैं, BEAST अपनी तरह का पहला हमला है जो आपको वास्तव में HTTPS अनुरोधों को डिक्रिप्ट करने की अनुमति देता है।

वर्तमान में, एन्क्रिप्टेड कुकी बाइट को डिक्रिप्ट करने के लिए BEAST को लगभग 2 सेकंड की आवश्यकता होती है। इसका मतलब है कि आधे घंटे के लिए 1000-2000 अक्षरों का एक प्रमाणीकरण कुकी डिक्रिप्ट किया जाएगा। हालांकि, यह तकनीक उन लाखों साइटों के लिए खतरा है जो टीएलएस के शुरुआती संस्करणों का उपयोग करती हैं।

थाई डुओंग और जूलियानो रिज़ो ने कहा कि टीएलएस 1.0 एन्क्रिप्शन का उपयोग करने वाले लगभग सभी एप्लिकेशन असुरक्षित हैं और उदाहरण के लिए, तत्काल संदेशवाहक या वीपीएन के माध्यम से भेजे गए निजी संदेशों को नियंत्रित और मॉनिटर करने के लिए अपनी तकनीक का उपयोग करना संभव बनाते हैं।

"समस्या यह है कि लोग तब तक कुछ भी सुधारने के लिए शुरू नहीं करते हैं जब तक कि आप उन्हें एक अच्छा कारण नहीं देते हैं," इवान रिस्ते, क्वालिस के निदेशक, "यह भयानक है, है ना?"


टीएलएस 1.1 और 1.2 समर्थन अनुसूची

जबकि मोज़िला और ओपनएसएसएल डेवलपर्स को टीएलएस 1.2 को लागू करने की आवश्यकता है, माइक्रोसॉफ्ट के पास थोड़ी अधिक उपलब्धियां हैं। IE और ब्राउज़र वेब सर्वर में सुरक्षित TLS संस्करण उपलब्ध हैं, लेकिन डिफ़ॉल्ट रूप से नहीं।

थाई डुओंग: "अधिकांश ब्राउज़र और साइट क्रमशः एसएसएल 3.0 और टीएलएस 1.0 का उपयोग करते हैं, यदि किसी साइट का मालिक संस्करण 1.1 या 1.2 में अपग्रेड करने का निर्णय लेता है, तो वह बस अपने ग्राहकों का एक महत्वपूर्ण हिस्सा खो देगा।"

अद्यतन
उपयोगकर्ता की ओर से:
शोषण एक पृष्ठ पर जावास्क्रिप्ट कोड एम्बेड करने के साथ संयोजन में मैन-इन-द-बीच की तरह काम करता है। एक हमलावर https ट्रैफ़िक के लिए सुनता है और क्लाइंट पेज में जावास्क्रिप्ट इंजेक्ट करता है। फिर यह स्क्रिप्ट हमलावर को ज्ञात सामग्री के साथ उसी संबंध में अनुरोध भेजना जारी रखती है। अनुरोध निकाय की सामग्री के बारे में जानकर, एक हमलावर उपयोगकर्ता के कुकी सहित HTTP हेडर को डिक्रिप्ट कर सकता है।
इसका मतलब है कि यदि जावास्क्रिप्ट पेज पर अक्षम है, तो सभी HTTPS कनेक्शन सुरक्षित रहते हैं।