黑帽大会:HTTPS和SSL协议存在安全漏洞

日期: 2010-07-29 作者:Michael S. Mimoso翻译:王勇 来源:TechTarget中国 英文

HTTPS(安全HTTP)和SSL/TLS(安全套接层/传输层安全)协议是Web安全和可信电子商务的核心,但Web应用安全专家Robert “RSnake” Hansen和Josh Sokol在昨天的黑帽大会上宣布,Web浏览器的基础架构中存在24个危险程度不同的安全漏洞。这些漏洞基本上使HTTPS和SSL能够提供的浏览器保护荡然无存。   HTTPS对HTTP协议进行了加密,以保护用户的页面请求和Web服务器返回的页面不被窃听。SSL及后来的TLS协议允许HTTPS利用公钥加密验证Web客户端和服务器。

  Hansen和Sokol指出,攻击者要利用这些漏洞,首先需要……

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

HTTPS(安全HTTP)和SSL/TLS(安全套接层/传输层安全)协议是Web安全和可信电子商务的核心,但Web应用安全专家Robert "RSnake" Hansen和Josh Sokol在昨天的黑帽大会上宣布,Web浏览器的基础架构中存在24个危险程度不同的安全漏洞。这些漏洞基本上使HTTPS和SSL能够提供的浏览器保护荡然无存。

  HTTPS对HTTP协议进行了加密,以保护用户的页面请求和Web服务器返回的页面不被窃听。SSL及后来的TLS协议允许HTTPS利用公钥加密验证Web客户端和服务器。

  Hansen和Sokol指出,攻击者要利用这些漏洞,首先需要发起中间人攻击。攻击者一旦劫持了浏览器会话,就可以利用这些漏洞中的大多数对会话进行重定向,从而窃取用户凭据或者从远程秘密执行代码。

  然而,两位研究人员强调,中间人攻击并不是攻击者的终极目的。

  Hansen指出,“利用中间人攻击,攻击者还可以实现许多更加容易的攻击。你不得不‘执行’中间人攻击,并被迫成为一个十分坚定的攻击者......然而,这还不是最坏的情况。对于电子商务应用来说,这些攻击简直是毁灭性的灾难。”

  实际上,Hansen怀疑HTTPS和SSL/TLS中可能有数百个安全问题有待发现。他说,由于要准备这次黑帽大会的演讲,他们还没来得及对此进行深入研究。

  中间人攻击并不是什么新技术。由于各种原因,攻击者可以设法在一个浏览器会话过程中的多个时刻加入会话。一些攻击者能够使用包括MD5冲突在内的各种方法伪造或窃取SSL证书。由于在会话到达认证协商的加密端口之前,SSL协议是采用明文传输DNS和HTTP请求的,所以攻击者还可以在这些步骤中的任一时刻劫持会话。另外,攻击者还能够利用中间人攻击修改HTTPS链接,将用户重定向到恶意HTTP网站。

  对任何攻击者来说,重复Hansen和Sokol所说的工作并不容易,它需要耐心和资源。两位专家强调,中间人攻击得逞之后,攻击者可能发动两种高度危险的攻击。

  第一种是cookie篡改(cookie poisoning)攻击,即攻击者利用浏览器在用户会话期间不更改cookie的情况,将同一个cookie反复标记为有效状态。如果攻击者能够提前劫持来自网站的cookie,然后再将其植入用户的浏览器中,则当用户的认证信息到达HTTPS站点时,攻击者就能够获得用户凭据并以用户身份登录。

  第二种是重定向攻击。许多银行网站会将用户的会话从一个HTTP站点重定向到一个HTTPS站点,该会话通常是在另一个浏览器选项卡中打开,而不是在一个新的浏览器窗口中打开。由于攻击者仍然控制着旧的选项卡,所以攻击者可以在URL中注入Javascript脚本并修改新选项卡的行为。受攻击者可能会下载可执行文件,或者被重定向到一个恶意登录页面。

  Hansen和Sokol解释说,利用针对SSL Web浏览器会话的攻击,攻击者可以观察和计算用户在一个网站的特定页面上停留的时间。这可能会泄漏处理数据的页面。此时,攻击者可以在该网页上采用相关技术强迫用户退出登录并重新进行身份认证,从而获得用户凭据。

  Hansen指出,“有必要对SSL进行修改,比如添加填充和抖动代码”。他解释说,通过在Web请求中添加无意义的编码,可以延长攻击者完成攻击的时间,也许足以阻止攻击者采取进一步的行动。他说,“要避免此类攻击,必须采取适当的选项卡隔离和沙箱技术。安全专家也许能够避免此类情况的发生,但普通用户却不得不面临这种威胁。我们真的很难阻止这种攻击,我不知道有没有简单的办法可以解决这个问题。”

作者

Michael S. Mimoso
Michael S. Mimoso

TechTarget中国信息安全杂志(Information Security magazine)编辑

翻译

王勇
王勇

相关推荐