- Nález
- Čo musia odborníci povedať?
- Čo môžeš urobiť?
Ak ste si mysleli, že vaše údaje sú v bezpečí, skúste znova. Pretože podľa akademických štúdií sa zistilo, že v dôsledku zraniteľnosti TLS 1.3 sa hackeri môžu teraz zapojiť do zabezpečeného kanála a môžu zhromažďovať údaje pre úmyselný úmysel.
Výskumnú publikáciu uverejnila Tel Avivská univerzita, Adelaidská univerzita a Michiganská univerzita, ako aj Weizmann Institute. Okrem toho NCC Group a Data61 dospeli k podobným zisteniam.
Nález
Útok je modifikovanou verziou skutočného Bleichenbacherovho Oracle útoku, ktorý v minulosti dokázal dekódovať RSA šifrovanú správu pomocou kryptografie s verejným kľúčom.
Táto nová vlna sa však snaží pracovať proti protokolu TLS 1.3, ktorý je najnovšou verziou protokolov TLS. Úrady verili, že je to bezpečné, ale zjavne to nie je a je to alarmujúce!
Pretože TLS 1.3 nepodporuje výmenu kľúčov RSA, vedci sa domnievali, že je najlepšie pokračovať v downgrade verzii, tj TLS 1.2 na účely vyhodnotenia útoku.
Výsledkom je zmiernenie downgrade, ako napríklad strana servera a strana dvoch klientov, ktorá obchádza útok downgrade. Preto by sme dospeli k záveru, že ak by existovali väčšie kľúče RSA, týmto útokom by sa dalo predísť a tiež by sa skrátil časový limit nadviazania spojenia.
Študovalo sa deväť rôznych implementácií TLS; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL a GnuTLS, z ktorých BearSSL a Google BoringSSL boli v bezpečí. Všetci ostatní zostali zraniteľní.
Čo musia odborníci povedať?
Čo sa týka počtu útokov, Broderick Perelli-Harris, riaditeľ Sr vo Venafi, verí, že sa objavujú od roku 1988 na základe variácií Bleichenbacher. Preto nie je prekvapujúce, že aj TLS 1.3 je zraniteľný.
Jake Moore, špecialista kybernetickej bezpečnosti v spoločnosti ESET UK, zastáva názor, že útok kryptografickej povahy nie je prvý a nebude posledný svojho druhu. Taktiež zastáva názor, že je podobný hre Whac-A-Mole - zakaždým, keď je použitá bezpečnostná oprava, objaví sa ďalšia.
Čo môžeš urobiť?
Celkovo vzaté, chyba je v pôvodnom zložení šifrovacieho protokolu TLS. Ale zatiaľ je kvôli samotnému návrhu záplatovania protokolov jedinou cestou vpred.
Čo môžete urobiť, aby ste sa medzitým ochránili? Využite dvojfaktorové overenie (2FA), aktualizujte svoj softvér, napríklad antivírusový softvér / antivírus, nastavujte prísnejšie heslá a slušnú službu VPN, napríklad Ivacy.
