BEAST опять атакует SSL/TLS - BEAST again attacks SSL/TLS

Известные хакеры Джулиано Риццо( juliano rizzo) и Тай Дуонг( thai duong) опять дали о себе ведать. Они заявились на конференцию по сохранности ekoparty, которая пройдёт 19-21 сентября в Аргентине. Там они обрисуют новый способ атаки на ssl/ tls, не уступающий по эффективности несчастной программе beast( browser exploit against ssl/ tls.), которая обширно обсуждалась в прошлом году как 1-ая в истории атака, действительно направленная на декодирование запросов https. Именно эта два исследователей разработали утилиту beast для сбора пользовательских cookies из защищённых ssl/ tls сессий.



Они еще известны как авторы атаки с предсказателем на набивку в asp. Net в 2010 году, которая затронула миллионы прибавлений и заставила microsoft отпустить срочный патч для закрытия критической уязвимости. Напомним, что програмка beast в случае атаки mitm дозволяла хакеру незаметно дешифрировать данные, которые передаются меж веб-сервером и браузером окончательного пользователя в зашифрованном облике по tls. Программа beast эксплуатировала функцию метода aes( advanced encryption standard), в котором блоки данных шифруются один за иным, при этом предыдущий блок употребляется для кодирования последующего. Многие теоретики разговаривали, что это может привести к появлению эксплойта, и Риццо с Дуонгом первыми спроектировали такой инструмент. Что любопытно, презентация beast свершилась в 2011 году также на конференции ekoparty. Ровно год спустя ученые намерены продемонстрировать програмку под названием crime, которая схожа на beast по методу работы: она также базируется на атаке mitm и дозволяет декодировать сессии https, в том числе пользовательские куки, перехватывая зашифрованный трафик меж сервером и браузером. Уязвимости подвержены все версии tls, подключая tls 1. 2. Но если в случае с beast обойти делему можно было, ежели заменить aes на другой шифр( к примеру, rc4), то в случае с crime это не несомненно поможет. Риццо с Дуонг не сознаются, какая именно функция tls эксплуатируется ими на этот раз, лишь дают несколько намёков. Они молвят, что эта функция тоже ранее обсуждалась как теоретически уязвимая, но эксплойтов так и не получилось разработать. Они также молвят, что уязвимость работает в firefox и chrome, браузеры обязаны выпустить обновления сохранности перед конференцией ekoparty, но на самом деле эти обновления лишь частично решат делему. Они всего лишь закроют вероятность внедрения javascript для перехвата https-трафика, в то время как занимать его можно и другими методами, в теории crime может действовать даже из статического html.  

Known hackers of Dzhuliano Ritstso (Juliano Rizzo) also Thaw on Duong (Thai Duong) had again an effect. They were declared on conference on safety Ekoparty which will pass on September, 19-21th in Argentina. There they will describe a new way of attack on SSL/TLS, not conceding on efficiency to notorious program BEAST (Browser Exploit Against SSL/TLS.) which was widely discussed last year as the attack first in the history really directed on decoding of inquiries HTTPS. This pair researchers have developed utility BEAST for gathering user cookies from protected SSL/TLS sessions. They also are known as authors of attack with the oracle on stuffing in ASP.NET in 2010 which has mentioned millions appendices and has forced Microsoft to let out an urgent patch for closing of critical vulnerability. Let's remind that program BEAST in case of attack MiTM allowed the hacker to decode imperceptibly the data which are transferred between the web server and the browser of the end user in the ciphered kind on TLS. Program BEAST maintained function of algorithm AES (Advanced Encryption Standard) in which blocks of the data are ciphered one after another, thus the previous block is used for coding of the subsequent. Many theorists said that it can lead to occurrence эксплойта, and Ritstso with Duongom the first have developed such tool. That is interesting, presentation BEAST has taken place in 2011 too at conference Ekoparty. Exactly year later researchers intend to show the program under name CRIME which is similar on BEAST on a work method: it too is based on attack MiTM and allows to decode sessions HTTPS, including user куки, intercepting the ciphered traffic between the server and the browser. All versions TLS are subject to vulnerability, including TLS 1.2. But if in a case with BEAST it was possible to bypass a problem if to replace AES with other code number (for example, RC4) with CRIME it will not help with a case. Риццо with Duong do not admit, which function TLS is maintained by them this time, only give some hints. They say that this function too was discussed as theoretically vulnerable earlier, but эксплойтов and it was not possible to develop. They also say that vulnerability works in Firefox and Chrome, browsers should let out safety updatings before conference Ekoparty, but actually these updatings only will partially solve a problem. They only will close possibility of introduction JavaScript for HTTPS-traffic interception while to intercept it it is possible also in other ways, in theory CRIME can work even from static HTML.


Теги: взлом, BEAST,SSL/TLS,хакеры,кракозябр,krakoziaber,безопасность,защита информации, антивирус,антихакер,хакатак,ddos,эксплойт