Bypassing Secure Boot Using Fault Injection
Een goed- bekende cryptografische aanval kan door hackers worden gebruikt om in te loggen in webtoepassingen die door miljoenen gebruikers worden gebruikt, volgens twee beveiligingsexperts die van plan zijn om het probleem tijdens een aanstaande veiligheidsconferentie te bespreken.
Onderzoekers Nate Lawson en Taylor Nelson zeggen dat ze ontdekt hebben een elementaire beveiligingsfout die invloed heeft op tientallen open-source softwarebibliotheken - inclusief die welke worden gebruikt door software die de OAuth- en OpenID-standaarden implementeert - die worden gebruikt om wachtwoorden en gebruikersnamen te controleren wanneer mensen zich aanmelden bij websites. OAuth- en OpenID-verificatie worden geaccepteerd door populaire websites zoals Twitter en Digg.
Ze ontdekten dat sommige versies van deze inlogsystemen kwetsbaar zijn voor wat bekend staat als een timingaanval. Cryptografen weten al 25 jaar van timingaanvallen, maar over het algemeen wordt gedacht dat ze heel moeilijk over een netwerk kunnen worden verspreid. De onderzoekers willen laten zien dat dit niet het geval is.
[Meer informatie: hoe u malware van uw Windows-pc verwijdert]De aanvallen worden zo moeilijk geacht omdat ze zeer nauwkeurige metingen vereisen. Ze kraken wachtwoorden door te meten hoe lang het duurt voordat een computer reageert op een inlogverzoek. Op sommige inlogsystemen controleert de computer de wachtwoordtekens één voor één en wordt het bericht 'aanmelding mislukt' opgeheven zodra een slecht karakter in het wachtwoord wordt gevonden. Dit betekent dat een computer een heel slechte inlogpoging een klein beetje sneller retourneert dan een login waarbij het eerste teken in het wachtwoord correct is.
Door steeds opnieuw in te loggen, door personages te bladeren en de tijd te meten die nodig is voor de computer om te reageren, kunnen hackers uiteindelijk de juiste wachtwoorden achterhalen.
Dit klinkt allemaal erg theoretisch, maar timingaanvallen kunnen echt slagen in de echte wereld. Drie jaar geleden werd er een gebruikt om het Xbox 360-spelsysteem van Microsoft te hacken, en mensen die slimme kaarten bouwen, hebben jarenlang bescherming tegen timingaanvallen toegevoegd.
Ze zijn van plan hun aanvallen te bespreken op de Black Hat-conferentie later deze maand in Las Vegas.
"Ik denk echt dat mensen exploits moeten zien om te zien dat dit een probleem is dat ze moeten oplossen," zei Lawson. Hij zegt dat hij zich concentreerde op dit soort webapplicaties juist omdat ze zo vaak worden beschouwd als onkwetsbaar voor timingaanvallen. "Ik wilde de mensen bereiken die er het minst van op de hoogte waren", zei hij.
De onderzoekers ontdekten ook dat vragen aan programma's geschreven in geïnterpreteerde talen zoals Python of Ruby - beide zeer populair op het web - gegenereerd veel trager reageren dan andere soorten talen, zoals C of assembleertaal, waardoor timingaanvallen meer haalbaar zijn. "Voor talen die worden geïnterpreteerd, krijg je een veel groter timingverschil dan mensen dachten," zei Lawson.
Toch zijn deze aanvallen niets waar de meeste mensen zich zorgen over moeten maken, volgens Yahoo Director of Standards Eran Hammer-Lahav, een bijdrager aan zowel de OAuth- als OpenID-projecten. "Ik ben er niet door bezorgd", schreef hij in een e-mailbericht. "Ik denk niet dat een grote provider een van de opensourcebibliotheken gebruikt voor de implementatie aan de serverzijde, en zelfs als ze dat wel deden, is dit geen triviale aanval die moet worden uitgevoerd."
Lawson en Nelson hebben de softwareontwikkelaars die door het probleem zijn getroffen op de hoogte gebracht, maar zullen de namen van kwetsbare producten pas vrijgegeven nadat ze zijn opgelost. Voor de meeste getroffen bibliotheken is de oplossing eenvoudig: programmeer het systeem om evenveel tijd te nemen om zowel correcte als onjuiste wachtwoorden te retourneren. Dit kan worden gedaan in ongeveer zes regels code, zei Lawson.
Lawson en Nelson zeggen niet voor hun gesprek bij Black Hat hoe nauwkeurig hun timingmetingen waren, maar er zijn feitelijk redenen dat het misschien moeilijker is om dit type aanval in te zetten de cloud, volgens Scott Morrison, CTO bij Layer 7 Technologies, een cloud computing beveiligingsprovider.
Omdat veel verschillende virtuele systemen en applicaties concurreren om computerresources in de cloud, kan het moeilijk zijn om betrouwbare resultaten te krijgen, hij zei. "Al deze dingen werken om deze specifieke … aanval te verzachten omdat het gewoon onvoorspelbaarheid toevoegt aan het hele systeem."
Toch zei hij dat dit soort onderzoek belangrijk is omdat het laat zien hoe een aanval, die bijna onmogelijk lijkt voor sommige, echt kan werken.
Robert McMillan behandelt computerbeveiliging en algemeen nieuws over technologie voor
The IDG News Service
. Volg Robert op Twitter op @bobmcmillan. Het e-mailadres van Robert is [email protected]
Is wat ik heb verzonden echt spam? Er is geen enkele, algemeen geaccepteerde, gedetailleerde definitie van spam. Dit is één reden (uit vele) waarom spamfilters niet perfect zijn. Iedereen is het er vrijwel mee eens dat de illegale of quasi-legale e-mail die je inbox verstopt, spam is. Geen redelijk persoon zal de V1agra-advertenties verdedigen, voorraad pompen en dumpen, of iets over miljoenen doll
Het wordt duisterder als legitieme bedrijven massale, ongevraagde e-mails versturen. Daarom zullen de meeste van deze advocaten, in tegenstelling tot de voor de hand liggende spammers, uw verzoek om van de mailinglijst te worden gehonoreerd.
Hoe zal de T-Mobile / Orange-fusie de Amerikaanse klanten beïnvloeden?
Europese gebruikers zullen de grootste veranderingen voelen, maar deze fusie zou ook de concurrentie in de VS kunnen stimuleren.
Onderzoekers: verificatie Crack kan miljoenen beïnvloeden
Als gevolg van een rapportagefout kan het verhaal 'Onderzoekers: verificatiekraken miljoenen beïnvloeden', donderdag gepost, onjuist beschreven het doelwit van een aanval op ...