Websites

SSL-Sicherheitslücken Offener gesicherter Web-Datenverkehr

?Wie öffnet oder schließt man Ports.?Wie findet man heraus welche Ports auf einem PC geöffnet sind?

?Wie öffnet oder schließt man Ports.?Wie findet man heraus welche Ports auf einem PC geöffnet sind?
Anonim

Ein kritischer neuer Fehler in SSL oder der Secure Sockets Layer, die zum Schutz des Web-Datenverkehrs für Online-Banking, Shopping und jede andere https-Verbindung verwendet wird, ermöglicht es einem Angreifer, in theoretisch gesicherte Verbindungen einzubrechen und bösartige Befehle hinzuzufügen.

Die Ausnutzung des Fehlers erfordert Zugreifen auf den spezifischen Netzwerkverkehr zwischen einem Client, z. B. einem Webbrowser, und einem Web- oder anderen Server. Das bedeutet, dass die meisten Heimanwender wahrscheinlich nicht gezielt von einem dieser potenziellen Man-in-the-Middle-Angriffe angegriffen werden, so der Entdecker Marsh Ray, ein Sicherheitsforscher von PhoneFactor, der telefonbasierte Zwei-Faktor-Authentifizierungslösungen anbietet

Unternehmen und Organisationen sind jedoch wahrscheinlich Ziele. Per Ray kann jeder SSL-geschützte Datenverkehr anfällig sein, egal ob es sich um eine https-Site, gesicherte Datenbankkommunikation oder eine sichere E-Mail-Verbindung handelt. Das Problem erlaubt es nicht, SSL-verschlüsselte Daten direkt zu entschlüsseln und zu stehlen, sondern erlaubt es, einen beliebigen Befehl in den Kommunikationsstrom einzufügen.

[Weiterführende Literatur: So entfernen Sie Malware von Ihrem Windows-PC]

Das wäre schlimm genug für den https-Verkehr, bei dem ein Webbrowser des Opfers veranlasst werden könnte, Daten an eine von einem Angreifer kontrollierte Website zu senden. Und es könnte sich als verheerend für einen Datenbankserver erweisen.

Ray sagt, PhoneFactor habe den Fehler ursprünglich im August gefunden, während er interne Sicherheitstests durchführte, und es ruhig gehalten, während betroffene Hersteller und Softwaregruppen an einer Lösung arbeiteten. Aber inzwischen hat auch ein unabhängiger Forscher den Fehler gefunden und die Nachricht ist gebrochen.

Patches sind im Gange, aber noch nicht verfügbar. Der aktuell vorgeschlagene Fix erfordert das Patchen aller Client- und Server-Anwendungen, einschließlich Web-Browsern, E-Mail-Programmen und anderen Programmen, die SSL-Bibliotheken verwenden, nach Ray.

Der Post von PhoneFactor zu dem Problem befindet sich auf der Website des Unternehmens Der Sicherheitsforscher Chris Paget hat seine Gedanken zum Thema veröffentlicht (scrollen Sie zu den Kommentaren, um etwas zwischen Ray und Paget zu sehen). Der IDG-Nachrichtendienst hat auch eine gute Geschichte zum Thema.