- Pronalasci
- Što stručnjaci moraju reći?
- Što možeš učiniti?
Ako ste mislili da su vaši podaci sigurni, razmislite ponovo. Budući da je prema akademskim studijama utvrđeno da zbog ranjivosti na TLS 1.3, hakeri sada mogu upasti u zaštićeni kanal i prikupljati podatke za zlonamjerne namjere.
Istraživački rad objavili su Sveučilište Tel Aviv, Sveučilište Adelaide i Sveučilište Michigan, kao i Weizmann Institute. Štoviše, NCC Group i Data61 također su zaključili slična otkrića.
Pronalasci
Napad je modificirana inačica stvarnog napada Bleichenbacher oracle koji je u prošlosti mogao dekodirati RSA šifriranu poruku koristeći kriptografiju s javnim ključem.
No, ovaj novi val želi raditi protiv TLS 1.3 koji je najnovija inačica među TLS protokolima. Vlasti su vjerovale da je to sigurno, ali očito nije i to je alarmantno!
Budući da TLS 1.3 ne podržava razmenu ključeva RSA, istraživači su smatrali da je najbolje da nastavi s verzijom nadogradnje tj. TLS 1.2 u svrhu procjene napada.
Kao rezultat, smanjenje ublažavanja kao što su jedna strana poslužitelja i strana dva klijenta što zaobilazi napad nadogradnje. Zaključujući tako, da je bilo većih RSA ključeva, ti bi se napadi mogli spriječiti i, vremensko ograničenje stiska ruke bi se skratilo.
Proučeno je devet različitih TLS implementacija; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL i GnuTLS od kojih su BearSSL i Googleov BoringSSL bili sigurni. Svi ostali su ostali ranjivi.
Što stručnjaci moraju reći?
Što se tiče broja napada, Broderick Perelli-Harris, stariji direktor u Venafiju, vjeruje da se oni pojavljuju od 1988. pod inačicama Bleichenbachera. Stoga nije iznenađujuće da je i TLS 1.3 ranjiv.
Jake Moore, stručnjak za kibernetičku sigurnost u ESET UK, smatra da napad kriptografske prirode nije prvi i neće biti posljednji takve vrste. On je također mišljenja da je slična igri Whac-A-Mole - svaki put kada se primijeni sigurnosni ispravak, pojavi se još jedan.
Što možeš učiniti?
Sve u svemu, nedostatak je u izvornom sastavu TLS protokola šifriranja. Ali za sada je zbog samog dizajna krpljenje protokola jedini put naprijed.
Što možete učiniti da se u međuvremenu zaštitite? Zaposlite dvofaktornu provjeru autentičnosti (2FA), ažurirajte svoj softver poput anti-malwarea / antivirusa, postavljajte jače lozinke i pristojnu VPN uslugu kao što je Ivacy.
