SSL-gat scheurt open beveiligd webverkeer

Een cruciale nieuwe fout in SSL, of de Secure Sockets Layer die wordt gebruikt om internetverkeer te beschermen voor online bankieren, winkelen en elke andere https-verbinding, stelt een aanvaller in staat in te breken in een theoretisch beveiligde verbinding en kwaadaardige opdrachten toe te voegen.

Profiteren van de tekortkoming vereist toegang tot het specifieke netwerkverkeer tussen een client, zoals een webbrowser, en een web- of andere server. Dat betekent dat de meeste thuisgebruikers waarschijnlijk niet specifiek het doelwit zouden zijn van een van deze potentiële man-in-the-middle-aanvallen, volgens ontdekker Marsh Ray, een beveiligingsonderzoeker bij PhoneFactor, die op telefoon gebaseerde tweefactor-authenticatieoplossingen biedt.

Bedrijven en organisaties zijn echter waarschijnlijk doelwitten. Per Ray kan elk SSL-beveiligd verkeer mogelijk kwetsbaar zijn, of het nu gaat om een ​​https-site, beveiligde database-communicatie of een beveiligde e-mailverbinding. Het probleem staat niet toe om SSL-gecodeerde gegevens rechtstreeks te decoderen en te stelen, maar maakt in plaats daarvan het mogelijk om een ​​opdracht in de communicatiestroom in te voegen.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Dat zou zijn erg genoeg voor https-verkeer, waar een slachtoffer webbrowser zou kunnen worden gemaakt om gegevens naar een door aanvallers gecontroleerde site te posten. En het zou desastreus kunnen zijn voor een databaseserver. Ray zegt dat PhoneFactor in augustus de fout heeft gevonden bij het uitvoeren van interne beveiligingstests en het stil hield terwijl betrokken leveranciers en softwaregroepen aan een oplossing werkten. Maar in de tussentijd heeft een onafhankelijke onderzoeker ook de fout gevonden en het nieuws verbroken.

Er zijn patches operationeel maar deze zijn nog niet beschikbaar. De momenteel voorgestelde oplossing vereist het patchen van alle client- en servertoepassingen, inclusief webbrowsers, e-mailprogramma's en andere programma's die SSL-bibliotheken gebruiken, volgens Ray.

Het bericht van PhoneFactor over het probleem bevindt zich op de website van het bedrijf en een veiligheidsonderzoeker met de naam Chris Paget heeft zijn gedachten over het onderwerp geplaatst (scrol omlaag naar de opmerkingen om wat heen en weer te zien tussen Ray en Paget). De nieuwsdienst van IDG heeft ook een goed verhaal over het onderwerp.