E.O. Wilson: Advice to young scientists
Ehhez hibát követett el a webhelyek által használt digitális tanúsítványok annak igazolására, hogy ők azok, akiket állítanak. Az általuk létrehozott MD5 hasítási algoritmus ismert hibáinak kihasználásával ezek a tanúsítványok létrehozására a Verisign RapidSSL.com tanúsítványhatóságát és a hamis digitális tanúsítványokat hoztak létre az interneten lévő bármely webhelyre.
Hashes hogy létrehozzon egy ujjlenyomatot egy dokumentumhoz, olyan számot, amely képes egy adott dokumentum egyedi azonosítására, és könnyen kiszámítható annak igazolására, hogy a dokumentumot nem módosították át. Az MD5 hasítási algoritmus azonban hibás, így két különböző dokumentumot lehet létrehozni, amelyek ugyanolyan hash értéket tartalmaznak. Így tud valaki létrehozni egy tanúsítványt egy olyan adathalász webhelyre, amelynek ugyanaz az ujjlenyomatja, mint a valódi webhely tanúsítványa.
A Playstation 3 gépek gazdaságának használata, a kutatók egy "gazember bizonyíték hatóságot" építettek, amely ezután hamis tanúsítványokat bocsáthat ki, amelyek gyakorlatilag bármely böngészőben bíztak. A Playstation cellás processzora népszerű a kódtörők számára, mert különösen jól működik a kriptográfiai funkciók végrehajtásában.
A kongresszusi kongresszusi kongresszusi konferencián, Berlinben, kedden tartott, az internetes biztonsági közösség néhány spekulációját.
A kutatómunkát egy független szakértő, Jacob Appelbaum és Alexander Sotirov, valamint a Centrum Wiskunde & Informatica, a Ecole Polytechnique Federale de Lausanne, az Eindhoven Műszaki Egyetem és a Kaliforniai Egyetem, Berkeley.
Bár a kutatók úgy vélik, hogy technikájukat használó valódi támadások nem valószínűek, azt mondják, hogy munkájuk azt mutatja, hogy az MD5 hasítási algoritmust már nem a digitális tanúsítványt kibocsátó tanúsító hatóságok. "Ez egy felszólítás arra, hogy bárki még mindig az MD5-t használja" - mondta David Molnar a Berkeley egyetemi hallgató, aki a projekten dolgozott.
A Rapidssl.com, a TC TrustCenter AG, az RSA Data Security, a Thawte és a Verisign.co mellett. A jp mindegyik MD5-t használja a tanúsítványok előállításához, a kutatók azt mondják.
A támadás elindítása nehéz, mert a rosszfiúknak először meg kell trükkelnie egy áldozatot a hamis digitális tanúsítványt ellátó rosszindulatú weboldal meglátogatására. Ez azonban megtörténhet, ha úgynevezett ember-in-the-middle támadás. Tavaly augusztusban a biztonsági kutató, Dan Kaminsky megmutatta, hogy az Internet Domain Name Rendszerének egyik fő hibája a középső támadások bevezetése. Ezzel a legfrissebb kutatással most könnyebb elindítani az ilyen típusú támadást a webhelyek biztonságossá tételéhez SSL (Secure Sockets Layer) titkosítással, amely megbízható digitális tanúsítványokra támaszkodik.
"A kaminsky DNS-hibáját használhatja ehhez hogy gyakorlatilag észrevétlen adathalászatot szerezzen "- mondta Molnar.
" Ez nem egy pie-in-the-sky beszél arról, hogy mi történhet, vagy mit tehet meg valaki, ez bemutatja, az eredmények azt bizonyítani - írta HD Moore, a BreakingPoint Systems biztonsági kutatásának igazgatója egy blogbejegyzésben a beszélgetésen.
A kriptográfusok fokozatosan kiszűrik az MD5 biztonságát 2004 óta, amikor a Shandong Wang Xiaoyun egyetem mutatott hibákat az algoritmusban.
Az MD5 kutatásának állapotát tekintve a tanúsító hatóságoknak évekkel ezelőtt biztonságosabb algoritmusokra, például az SHA-1-re (Secure Hash Algorithm-1) kellett fejleszteniük "- mondta Bruce Schneier, egy ismert kriptográfiai szakértő és BT.
A RapidSSL.com január végén megszünteti az MD5 tanúsítványok kibocsátását, és arra törekszik, hogy ösztönözze ügyfeleit az új digitális tanúsítványokra való áttérésre, mondta Tim Callan, a Verisign termékmarketingért felelős alelnöke.
De először a cég szeretné jól megnézni ezt a legújabb kutatást. Molnar és csapata közvetve közvetítették megállapításait a Verisignra, Microsofton keresztül, de nem beszéltek közvetlenül a Verisign-szal, attól tartva, hogy a vállalat jogi lépéseket tehet a beszéd visszavonásáról. A múltban a vállalatok néha bírósági határozatokat fogadtak el, hogy megakadályozzák a kutatókat, hogy hacker konferenciákon beszéljenek.
Callan azt kívánta, hogy a Verisignot több információt kaphassák. "Nem tudom kifejezni, milyen csalódott vagyok, hogy a bloggereket és az újságírókat tájékoztatják erről, de nem vagyunk, figyelembe véve, hogy mi vagyunk az emberek, akiknek ténylegesen reagálniuk kell".
Schneier elmondta, a legutóbbi kutatás mögött rejlő matematikát, azt mondta, hogy már sokkal fontosabb biztonsági problémák vannak az interneten - olyan gyengeségek, amelyek nagyméretű adatbázisokat bocsátanak ki az érzékeny információk között.
"Nem számít, hogy hamis MD5 tanúsítványt kapsz, mert egyébként sem ellenőrizheti a certjeit - mondta. "Több tucat módja van a hamisításnak, és ez még egy másik."
Kutatók fenyegető Twitter támadást
Egy cross site scripting támadás a Twitterre veszélyeztetheti a gyorsan terjedő vírusos támadásokat.
A fenyegetésszerű adathalász támadást célzó Twitter ismételten
A Twitter felhasználókat bevetik a bejelentkezési és jelszóadatok közzétételére egy weboldalra, amely
A kutatók felderítik az ausztrál bankügyfeleknek szóló nagy cyberfraud műveletet
Az orosz számítógépes bűnözéssel foglalkozó, a Group-IB cég biztonsági kutatói felfedeztek egy cyberfraud műveletet, malware, hogy több ausztrál bank bankjait célozza meg.