Сайттардың жартысы , және олардың саны тұрақты өсуде. Протокол трафикті тоқтату қаупін азайтады, бірақ шабуыл жасау әрекетін жоймайды. Біз олардың кейбіреулері туралы - ПУДЛ, ЖАҢБАЙ, САТҚАН және басқалары туралы және материалымызда қорғау әдістері туралы айтатын боламыз.
/flickr/ / CC BY-SA
ПАУЫЛ
Бірінші рет шабуыл туралы 2014 жылы белгілі болды. SSL 3.0 протоколындағы осалдықты ақпараттық қауіпсіздік жөніндегі маман Бодо Мёллер және Google әріптестері анықтады.
Оның мәні келесідей: хакер клиентті қосылым үзілістерін эмуляциялай отырып, SSL 3.0 арқылы қосылуға мәжбүр етеді. Содан кейін ол шифрланған түрде іздейді -трафик режимі арнайы тегтік хабарламалар. Жалған сұраулар қатарын пайдалана отырып, шабуылдаушы cookie файлдары сияқты қызықты деректердің мазмұнын қайта құра алады.
SSL 3.0 - ескірген протокол. Бірақ оның қауіпсіздігі мәселесі әлі де өзекті. Клиенттер оны серверлермен үйлесімділік мәселелерін болдырмау үшін пайдаланады. Кейбір деректер бойынша, 7 мың ең танымал сайттардың 100% дерлік . Сондай-ақ қазіргі TLS 1.0 және TLS 1.1 нұсқаларына бағытталған POODLE модификациялары. Осы жылы TLS 1.2 қорғанысын айналып өтетін жаңа Zombie POODLE және GOLDENDOODLE шабуылдары (олар әлі де CBC шифрлауымен байланысты).
Өзіңізді қалай қорғауға болады. Түпнұсқа POODLE жағдайында SSL 3.0 қолдауын өшіру керек. Дегенмен, бұл жағдайда үйлесімділік проблемалары қаупі бар. Балама шешім TLS_FALLBACK_SCSV механизмі болуы мүмкін - ол SSL 3.0 арқылы деректер алмасу ескі жүйелермен ғана жүзеге асырылатынын қамтамасыз етеді. Шабуылшылар бұдан былай протоколды төмендетуге кірісе алмайды. Zombie POODLE және GOLDENDOODLE-дан қорғаудың жолы TLS 1.2 негізіндегі қолданбаларда CBC қолдауын өшіру болып табылады. Негізгі шешім TLS 1.3-ке көшу болады - хаттаманың жаңа нұсқасы CBC шифрлауын пайдаланбайды. Оның орнына төзімдірек AES және ChaCha20 пайдаланылады.
BEAST
1.0 жылы табылған SSL және TLS 2011-ге жасалған алғашқы шабуылдардың бірі. ПУДЛ, BEAST сияқты CBC шифрлау мүмкіндіктері. Шабуыл жасаушылар клиенттік құрылғыға JavaScript агентін немесе Java апплетін орнатады, ол деректерді TLS немесе SSL арқылы тасымалдау кезінде хабарламаларды ауыстырады. Зиянкестер «жалған» пакеттердің мазмұнын білетіндіктен, оларды инициализация векторының шифрын шешу үшін және аутентификация кукилері сияқты серверге басқа хабарларды оқу үшін пайдалана алады.
Бүгінгі күні BEAST осалдықтары сақталады : Жергілікті интернет шлюздерін қорғауға арналған прокси серверлер және қолданбалар.
Өзіңізді қалай қорғауға болады. Шабуылдаушы деректерді шифрды шешу үшін тұрақты сұрауларды жіберуі керек. VMware бағдарламасында SSLSessionCacheTimeout ұзақтығын бес минуттан (әдепкі ұсыныс) 30 секундқа дейін азайтыңыз. Бұл тәсіл шабуылдаушылардың өз жоспарларын жүзеге асыруын қиындатады, дегенмен ол өнімділікке біршама теріс әсер етеді. Сонымен қатар, сіз BEAST осалдығы жақын арада өздігінен өткен нәрсеге айналуы мүмкін екенін түсінуіңіз керек - 2020 жылдан бастап ең ірі браузерлер TLS 1.0 және 1.1 үшін қолдау. Кез келген жағдайда, барлық браузер пайдаланушыларының 1,5%-дан азы осы протоколдармен жұмыс істейді.
БАТЫП АЛУ
Бұл 2 биттік RSA кілттерімен SSLv40 енгізудегі қателерді пайдаланатын протоколаралық шабуыл. Шабуылдаушы мақсаттың жүздеген TLS қосылымдарын тыңдайды және сол жеке кілтті пайдаланып SSLv2 серверіне арнайы пакеттерді жібереді. Қолдану , хакер мыңға жуық клиенттік TLS сеанстарының біреуін шифрлай алады.
DROWN алғаш рет 2016 жылы белгілі болды - содан кейін ол болды Әлемде. Бүгінде ол өзектілігін жойған жоқ. Ең танымал 150 мың сайттың 2 пайызы бұрынғысынша SSLv2 және осал шифрлау механизмдері.
Өзіңізді қалай қорғауға болады. SSLv2 қолдауын өшіретін криптографиялық кітапханаларды әзірлеушілер ұсынған патчтарды орнату қажет. Мысалы, OpenSSL үшін осындай екі патч ұсынылды (2016 ж 1.0.1с және 1.0.2г). Сондай-ақ осал хаттаманы өшіру бойынша жаңартулар мен нұсқаулар жарияланды , , .
«Егер оның кілттерін пошта сервері сияқты SSLv2 бар үшінші тарап сервері пайдаланса, ресурс DROWN-ге осал болуы мүмкін», - деп атап өтті әзірлеу бөлімінің басшысы. Сергей Белкин. — Бұл жағдай бірнеше серверлер жалпы SSL сертификатын пайдаланса орын алады. Бұл жағдайда барлық машиналарда SSLv2 қолдауын өшіру керек».
Жүйеңізді жаңарту қажет пе, жоқ па, оны арнайы пайдаланып тексеруге болады — оны АҚТҚА ашқан ақпараттық қауіпсіздік мамандары әзірледі. Осы түрдегі шабуылдан қорғауға қатысты ұсыныстар туралы толығырақ мына жерден оқи аласыз .
Heartbleed
Бағдарламалық жасақтамадағы ең үлкен осалдықтардың бірі . Ол 2014 жылы OpenSSL кітапханасында табылды. Қате туралы хабарландыру кезінде осал веб-сайттардың саны - бұл желідегі қорғалған ресурстардың шамамен 17% құрайды.
Шабуыл шағын Heartbeat TLS кеңейтім модулі арқылы жүзеге асырылады. TLS протоколы деректердің үздіксіз берілуін талап етеді. Ұзақ уақыт тоқтаған жағдайда үзіліс орын алады және қосылымды қалпына келтіруге тура келеді. Мәселені шешу үшін серверлер мен клиенттер арнаны жасанды түрде «шулайды» (), кездейсоқ ұзындықтағы пакетті жіберу. Егер ол бүкіл пакеттен үлкен болса, OpenSSL осал нұсқалары бөлінген буферден тыс жадты оқиды. Бұл аймақ кез келген деректерді, соның ішінде жеке шифрлау кілттерін және басқа қосылымдар туралы ақпаратты қамтуы мүмкін.
Осалдық кітапхананың 1.0.1 және 1.0.1f қоса алғанда барлық нұсқаларында, сондай-ақ бірқатар операциялық жүйелерде болды - Ubuntu 12.04.4 дейін, CentOS 6.5-тен ескі, OpenBSD 5.3 және т.б. Толық тізім бар . Бұл осалдыққа қарсы патчтар ашылғаннан кейін бірден шығарылғанымен, мәселе бүгінгі күнге дейін өзекті болып қала береді. 2017 жылы , Жүрек қан кетуіне бейім.
Өзіңізді қалай қорғауға болады. Бұл қажет 1.0.1g немесе одан жоғары нұсқасына дейін. Сондай-ақ, DOPENSSL_NO_HEARTBEATS опциясын пайдаланып Heartbeat сұрауларын қолмен өшіруге болады. Жаңартылғаннан кейін ақпараттық қауіпсіздік мамандары SSL сертификаттарын қайта шығару. Шифрлау кілттеріндегі деректер хакерлердің қолына түскен жағдайда ауыстыру қажет.
Сертификат ауыстыру
Пайдаланушы мен сервер арасында заңды SSL сертификаты бар басқарылатын түйін орнатылып, трафикті белсенді түрде ұстайды. Бұл түйін жарамды сертификатты ұсыну арқылы заңды сервердің атын көрсетеді және MITM шабуылын орындау мүмкін болады.
бойынша Mozilla, Google және бірқатар университеттердің командалары желідегі қауіпсіз қосылымдардың шамамен 11%-ын тыңдайды. Бұл пайдаланушылардың компьютерлерінде күдікті түбірлік сертификаттарды орнатудың нәтижесі.
Өзіңізді қалай қорғауға болады. Сенімді қызметтерді пайдаланыңыз . Сертификаттардың «сапасын» сервис арқылы тексеруге болады (КТ). Бұлттық провайдерлер тыңдауды анықтауға да көмектесе алады; кейбір ірі компаниялар TLS қосылымдарын бақылау үшін арнайы құралдарды ұсынады.
Тағы бір қорғаныс әдісі жаңа болады SSL сертификаттарын алуды автоматтандыратын ACME. Сонымен бірге ол сайттың иесін тексерудің қосымша тетіктерін қосады. Бұл туралы толығырақ .
/flickr/ / CC BY
HTTPS перспективалары
Бірқатар осалдықтарға қарамастан, IT алыптары мен ақпараттық қауіпсіздік сарапшылары хаттаманың болашағына сенімді. HTTPS белсенді іске асыру үшін WWW құрушысы Тим Бернерс-Ли. Оның айтуынша, уақыт өте TLS қауіпсіз болады, бұл қосылымдардың қауіпсіздігін айтарлықтай жақсартады. Бернерс-Ли тіпті мұны ұсынды жеке басын растауға арналған клиент сертификаттары. Олар серверді шабуылдаушылардан қорғауды жақсартуға көмектеседі.
Сондай-ақ, машиналық оқытуды пайдалана отырып, SSL/TLS технологиясын дамыту жоспарлануда – смарт алгоритмдер зиянды трафикті сүзуге жауапты болады. HTTPS қосылымдарымен әкімшілер шифрланған хабарлардың мазмұнын, соның ішінде зиянды бағдарламадан сұрауларды анықтау мүмкіндігін таба алмайды. Қазірдің өзінде нейрондық желілер ықтимал қауіпті пакеттерді 90% дәлдікпен сүзуге қабілетті. ().
қорытындылар
HTTPS шабуылдарының көпшілігі хаттаманың өзіне қатысты мәселелерге байланысты емес, ескірген шифрлау механизмдерін қолдауға байланысты. АТ индустриясы алдыңғы буын хаттамаларынан бірте-бірте бас тартып, осалдықтарды іздеудің жаңа құралдарын ұсына бастайды. Болашақта бұл құралдар барған сайын интеллектуалды болады.
Тақырып бойынша қосымша сілтемелер:
Ақпарат көзі: www.habr.com