SSL-fout zou kunnen worden gebruikt om Twitter te hacken

Een fout in het protocol dat wordt gebruikt voor het beveiligen van communicatie via internet zou kunnen zijn gebruikt om Twitter-accounts te hacken, aldus een IBM-beveiligingsonderzoeker.

Afgelopen week demonstreerde Anil Kurmus hoe een fout in het SSL-protocol (Secure Sockets Layer) kan worden opgelost gebruikt om slachtoffers in wezen te misleiden tot het verzenden van Twitter-berichten die hun wachtwoordinformatie bevatten. Om de fout te exploiteren, moet een hacker eerst een manier vinden om op het netwerk van het slachtoffer te komen door een zogenaamde man-in-the-middle-aanval uit te voeren, dus het zou moeilijk zijn om een ​​groot aantal Twitter-gebruikers te beïnvloeden met deze techniek. Het probleem werd al snel gepatcht door Twitter, maar het heeft beveiligingsdeskundigen die zich afvragen hoeveel websites een soortgelijk probleem kunnen hebben.

Een consortium van internetbedrijven is verrekend om het SSL-probleem op te lossen sinds 5 november, toen het per ongeluk werd gemaakt publiek op een discussielijst. Maar er is wat discussie geweest over de ernst van de fout. Kort nadat de bug was bekendgemaakt, zei IBM-onderzoeker Tom Cross dat het grootste deel van de grote webtoepassingen niet door het probleem zou worden getroffen.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Maar Cross veranderde van gedachten en schreef: "Helaas is de situatie slechter dan ik dacht."

Vooral webmailtoepassingen kunnen door deze aanval worden bedreigd. En beveiligingsdeskundigen maken zich ook zorgen dat andere toepassingen, zoals databases, mogelijk gevaar lopen.

Twitter.com was vatbaar voor de bug omdat deze deed wat de klant heronderhandeling noemde onder SSL. Heronderhandeling door de klant geeft de website een manier om de Twitter-gebruiker om een ​​SSL-certificaat te vragen nadat een gebruiker al is verbonden met de site. Het is een handig hulpmiddel voor sites waarop gebruikers kunnen inloggen met smartcards of voor sites die de toegang tot een selecte groep van vooraf gedefinieerde websurfers beperken, maar totdat de fout is hersteld, opent klantonderhandeling ook de deur voor SSL-aanvallen.

zijn waarschijnlijk veel sites zoals Twitter waarmee de klant opnieuw onderhandelt omdat het is ingebouwd in het SSL-protocol en zijn opvolger TLS (Transport Layer Security), zegt Marsh Ray, een van de ontwikkelaars van PhoneFactor die het probleem heeft ontdekt. "Veel mensen wisten niet dat ze het deden," zei hij.

Het goede nieuws is dat veel sites het gewoonweg kunnen uitschakelen, wat blijkbaar is wat Twitter heeft gedaan. Twitter reageerde niet op een bericht waarin om commentaar op dit verhaal werd gevraagd.

Volgens Ray moeten mensen zich realiseren dat de SSL-fout niet catastrofaal is, maar "dit is een ernstige bug en mensen moeten deze patch repareren."