Eine Gruppe von Forschern der Universität Ca' Foscari (Italien) hat 90.000 Hosts analysiert, die mit 10.000 der größten Websites im Alexa-Ranking verbunden sind, und festgestellt, dass 5,5 % von ihnen ernsthafte Sicherheitsprobleme bei der Implementierung von TLS aufweisen. Im Rahmen der Studie wurden Probleme mit anfälligen Verschlüsselungsmethoden untersucht: 4.818 der problematischen Hosts waren anfällig für MITM-Angriffe, 733 wiesen Schwachstellen auf, die eine vollständige Entschlüsselung des Datenverkehrs ermöglichten, während 912 eine teilweise Entschlüsselung ermöglichten (zum Beispiel das Abrufen von Session-Cookies).
Auf 898 Websites wurden schwerwiegende Schwachstellen festgestellt, die eine vollständige Kompromittierung ermöglichen, etwa durch die Implementierung von Skriptinjektionen auf den Seiten. 660 (73,5 %) dieser Websites verwendeten externe Skripte, die von anfälligen Drittanbietern geladen wurden, was die Relevanz von indirekten Angriffen und die Möglichkeit ihrer kaskadenartigen Verbreitung zeigt (ein Beispiel hierfür ist der Hack von StatCounter, der zur Kompromittierung von mehr als zwei Millionen anderen Websites führen konnte).
10 % aller Zugangsarten auf den untersuchten Websites hatten Datenschutzprobleme, die potenziell zu Passwortdiebstahl führen konnten. 412 Websites wiesen Probleme mit der Abfangung von Session-Cookies auf. 543 Websites hatten Probleme mit der Integritätskontrolle von Session-Cookies. Über 20 % der untersuchten Cookies waren anfällig für Datenlecks an Personen, die Subdomains kontrollieren.
Quelle: opennet.ru
