Sites Internet

SSL Hole Cracks Ouvrir le trafic Web sécurisé

The Great Gildersleeve: The Matchmaker / Leroy Runs Away / Auto Mechanics

The Great Gildersleeve: The Matchmaker / Leroy Runs Away / Auto Mechanics
Anonim

une faille dans SSL, ou la couche Secure Sockets Layer utilisée pour protéger le trafic Web pour les transactions bancaires en ligne, les achats et toute autre connexion https, permet à un attaquant de pénétrer dans une connexion théoriquement sécurisée et d'y ajouter des commandes malveillantes. accéder au trafic réseau spécifique entre un client, tel qu'un navigateur Web, et un serveur Web ou autre. Cela signifie que la plupart des utilisateurs à domicile ne seraient probablement pas spécifiquement ciblés par l'une de ces attaques potentielles, selon le découvreur Marsh Ray, chercheur en sécurité chez PhoneFactor, qui fournit des solutions d'authentification à deux facteurs basées sur le téléphone.

Cependant, les entreprises et les organisations sont des cibles probables. Par Ray, tout trafic protégé par SSL peut potentiellement être vulnérable, qu'il s'agisse d'un site https, de communications de bases de données sécurisées ou d'une connexion de messagerie sécurisée. Le problème ne permet pas de décrypter et de voler les données cryptées SSL, mais permet d'insérer n'importe quelle commande dans le flux de communication.

[Plus d'informations: Comment supprimer les logiciels malveillants sur votre PC Windows]

assez mauvais pour le trafic https, où un navigateur Web victime pourrait être fait pour publier des données sur un site contrôlé par un attaquant. Selon Ray, PhoneFactor a trouvé la faille en août lors d'un test de sécurité interne et l'a maintenu silencieux alors que les fournisseurs et les groupes de logiciels concernés travaillaient sur un correctif. Mais en attendant, un chercheur indépendant a également trouvé la faille et les nouvelles cassées.

Des correctifs sont en cours mais pas encore disponibles. Le correctif actuellement proposé nécessitera de patcher toutes les applications client et serveur, y compris les navigateurs Web, les programmes de messagerie et tous les autres programmes utilisant des bibliothèques SSL, selon Ray.

Le message de PhoneFactor sur le problème est sur le site de l'entreprise. Chris Paget, chercheur en sécurité, a publié ses réflexions sur le sujet (faites défiler les commentaires pour voir les allers-retours entre Ray et Paget). Le service de nouvelles IDG a aussi une bonne histoire sur le sujet.