Již před několika týdny byl Microsoft informován o chybě v Internet Exploreru, který je náchylný na útok typu "muž uprostřed". O co jde? V případě že vzdálené stránky obsahují SSL (šifrované) spojení, může se díky chybě špatně označit šifrovaná komunikace jako správná, i tehdy když se zobrazují stránky hackera.
Protože se jedná o chybu ve sdílené knihovně, chyba se neprojevuje jen u IE 8, ale také např. u MS Outlooku používajícím bezpečnou verzi SMTP/POP3/iMAP protokolu a samozřejmě také Applovskému Safari ve Windows. Aplikace, které tedy využívají tuto knihovnu jsou zasaženy.
A jak lze chybu zneužít? Řekněme že si založíme doménu hacker.cz. V mnoha implementacích x.509 certifikační autoria podepíše certifikáty z jakékoliv kořenové domény hacker.cz, nehledě na předponu subdomény, která bude přidělena. V tomto případě, autorita ověří certifikát také pro mojebanka.hacker.com, ignoruje subdoménu mojebanka podpisem potvrdí kořenovou doménu hacker.com.
Současně prohlížeče, kteří mají tuto chybu, načtou certifkát x.509 dokud nenarazí na nulový znak (NULL). V těchto prohlížečích při čtení mojebanka.czNULL.hacker.com se zastaví na znaku NULL a interpretují certifikát jako autentický certifikát pro doménu mojebanka.cz. Prohlížeče bez této chyby správně identifikují doménu a správně tak povolí/zakážou další provoz. Útočník tak může využít tuto slabinu pomocí útoku "muž uprostřed", kdy bude zachytávat požadavky od náchylných prohlížečů aby nastavil SSL spojení. Pokud odebere dotaz na mojebanka.cz, odpoví autorizovaným x.509 certifikátem z mojebanka.czNULLhacker.cz.
Náchylný prohlížeč může interpretovat certifikát jako autorizovaný pro mojebanka.cz a nastavit bezpečné připojení s útočícím serverm. Uživatel, který si vyžádal spojení se stránkami mojebanka.cz tak přirozeně předpokládá, že spojení bylo uskutečněno se strankámi mojebanka. Pokud je to takto provedeno, zlomyslný server se pak zeptá na vaše přihlašovací jména a hesla a útočník má volnou cestu k vašemu bankovnímu účtu a může manipulovat s prostředky na účtě.
Tolik alespoň teorie, nicméně v praxi se banky proti těmto útokům brání pomocí jednorázových hesel, SMS kódy atd. Hlavním problémem zůstává tato chyba pro přihlašovaní k emailům přes web, přihlašování k účtům sociálních webů, ať je to již twitter, facebook nebo cokoliv jiného.
Teď se však blížíme k místu, které jsem docela nepochopil. Podle originálního článku, by uživatele mělo upozornit jiné, než požadovné URL v adresním řádku a to by se také mělo zobrazit v novém IE 8. IE 8 by pak na ně i měl upozornit. Podle mne to není tak docela pravda. Podle mne existují minimálně dva základní způsoby jak chybu zneužít, aniž by se objevila jiná adresa v adresním řádku:
- Upravením souboru hosts nebo podvrhnutím upraveného DNS serveru, který místo adresy mojebanka.cz bude ve skutečnosti odkazovat na IP adresu serveru mojebanka.hacker.cz (to běžný uživatel neodhalí a odborník jen obtížně - nevím jak vy, ale já si běžně nekontroluji hosts file nebo DNS servery)
- Jednoduše přenastavení routeru na cestě k serveru mojebanka.cz aby ten místo posílání dotazů na správný server mojebanka.cz, posílal provoz na server mojebanka.hacker.cz.
Jestli se mýlím, dejte mi prosím vědět v komentářích pod článkem. Microsoft toto stále neuznává jako chyby a tak není chyba opravena.
Odkazy z novinek:
