ජර්මනියේ විශ්ව විද්‍යාල කිහිපයක පර්යේෂකයන් කණ්ඩායමක් විසින් HTTPS මත නව MITM ප්‍රහාරයක් නිපදවා ඇති අතර එමඟින් සැසි කුකීස් සහ අනෙකුත් සංවේදී දත්ත ලබා ගැනීමට මෙන්ම වෙනත් වෙබ් අඩවියක සන්දර්භය තුළ අත්තනෝමතික JavaScript කේතය ක්‍රියාත්මක කළ හැකිය. ප්‍රහාරය ALPACA ලෙස හඳුන්වන අතර විවිධ යෙදුම් ස්තර ප්‍රොටෝකෝල (HTTPS, SFTP, SMTP, IMAP, POP3) ක්‍රියාත්මක කරන TLS සේවාදායකයන් වෙත යෙදිය හැකි නමුත් පොදු TLS සහතික භාවිතා කරයි.
ප්‍රහාරයේ සාරය නම්, ඔහුට ජාල ද්වාරයක් හෝ රැහැන් රහිත ප්‍රවේශ ලක්ෂ්‍යයක් පාලනය කර ඇත්නම්, ප්‍රහාරකයාට වෙබ් ගමනාගමනය වෙනත් ජාල වරායකට හරවා යැවිය හැකි අතර TLS සංකේතනයට සහය දක්වන FTP හෝ තැපැල් සේවාදායකයක් සමඟ සම්බන්ධතාවයක් ඇති කර ගැනීම සංවිධානය කළ හැකිය. HTTP සේවාදායකය සමඟ පොදු TLS සහතිකය , සහ පරිශීලකයාගේ බ්‍රවුසරය ඉල්ලා සිටින HTTP සේවාදායකය සමඟ සම්බන්ධතාවයක් ඇති කර ගෙන ඇති බව උපකල්පනය කරයි. TLS ප්‍රොටෝකෝලය විශ්වීය වන අතර යෙදුම් මට්ටමේ ප්‍රොටෝකෝල සමඟ බැඳී නොමැති බැවින්, සියලුම සේවාවන් සඳහා සංකේතාත්මක සම්බන්ධතාවයක් ස්ථාපනය කිරීම සමාන වන අතර වැරදි සේවාවක් වෙත ඉල්ලීමක් යැවීමේ දෝෂය තීරණය කළ හැක්කේ සංකේතාත්මක සැසියක් සැකසීමෙන් පසුව පමණි. යවන ලද ඉල්ලීමේ විධාන.
ඒ අනුව, උදාහරණයක් ලෙස, ඔබ මුලින් HTTPS වෙත යොමු කරන ලද පරිශීලක සම්බන්ධතාවයක් HTTPS සේවාදායකය සමඟ බෙදාගත් සහතිකයක් භාවිතා කරන තැපැල් සේවාදායකයකට හරවා යවන්නේ නම්, TLS සම්බන්ධතාවය සාර්ථකව ස්ථාපිත වනු ඇත, නමුත් තැපැල් සේවාදායකයට සම්ප්‍රේෂණය කිරීමට නොහැකි වනු ඇත. HTTP විධාන කරන අතර දෝෂ කේතය සමඟ ප්‍රතිචාරයක් ලබා දෙනු ඇත. මෙම ප්‍රතිචාරය බ්‍රවුසරය විසින් ඉල්ලන ලද අඩවියෙන් ප්‍රතිචාරයක් ලෙස සකසනු ඇත, නිවැරදිව ස්ථාපිත සංකේතාත්මක සන්නිවේදන නාලිකාවක් තුළ සම්ප්‍රේෂණය කෙරේ.
ප්රහාර විකල්ප තුනක් යෝජනා කර ඇත:
- සත්‍යාපන පරාමිතීන් සහිත කුකියක් ලබා ගැනීමට "උඩුගත කරන්න". TLS සහතිකයෙන් ආවරණය වන FTP සේවාදායකය ඔබට එහි දත්ත උඩුගත කිරීමට සහ ලබා ගැනීමට ඉඩ දෙන්නේ නම් ක්‍රමය අදාළ වේ. මෙම ප්‍රහාරක ප්‍රභේදය තුළ, ප්‍රහාරකයාට කුකී ශීර්ෂයේ අන්තර්ගතය වැනි පරිශීලකයාගේ මුල් HTTP ඉල්ලීමේ කොටස් රඳවා තබා ගැනීම ලබා ගත හැක, උදාහරණයක් ලෙස, FTP සේවාදායකය විසින් ඉල්ලීම සුරැකීමේ ගොනුවක් ලෙස අර්ථකථනය කරන්නේ නම් හෝ එන ඉල්ලීම් සම්පූර්ණයෙන්ම ලොග් කරන්නේ නම්. සාර්ථක ලෙස පහර දීමට, ප්‍රහාරකයාට කෙසේ හෝ ගබඩා කර ඇති අන්තර්ගතය උකහා ගත යුතුය. ප්‍රහාරය Proftpd, Microsoft IIS, vsftpd, filezilla සහ serv-u සඳහා අදාළ වේ.
- Cross-site scripting (XSS) සංවිධානය කිරීම සඳහා "බාගන්න". මෙම ක්‍රමයෙන් ඇඟවෙන්නේ, ප්‍රහාරකයාට, සමහර තනි උපාමාරුවල ප්‍රතිඵලයක් ලෙස, පොදු TLS සහතිකයක් භාවිතා කරන සේවාවක දත්ත තැබිය හැකි බවත්, එය පරිශීලක ඉල්ලීමකට ප්‍රතිචාර වශයෙන් නිකුත් කළ හැකි බවත්ය. ප්‍රහාරය ඉහත සඳහන් FTP සේවාදායකයන්, IMAP සේවාදායකයන් සහ POP3 සේවාදායක (courier, cyrus, kerio-connect සහ zimbra) සඳහා අදාළ වේ.
- වෙනත් වෙබ් අඩවියක සන්දර්භය තුළ JavaScript ධාවනය කිරීමට "ආවර්ජනය". ක්‍රමය පදනම් වී ඇත්තේ ප්‍රහාරකයා විසින් එවන ලද ජාවාස්ක්‍රිප්ට් කේතය අඩංගු ඉල්ලීමේ සේවාදායක කොටස වෙත ආපසු යාම මත ය. ප්‍රහාරය ඉහත සඳහන් කළ FTP සේවාදායකයන්, IMAP සේවාදායක cyrus, kerio-connect සහ zimbra, මෙන්ම sendmail SMTP සේවාදායකයට අදාළ වේ.
උදාහරණයක් ලෙස, පරිශීලකයෙකු විසින් ප්‍රහාරකයෙකු විසින් පාලනය කරන ලද පිටුවක් විවෘත කරන විට, මෙම පිටුව පරිශීලකයාට සක්‍රිය ගිණුමක් ඇති (උදාහරණයක් ලෙස, bank.com) අඩවියකින් සම්පතක් සඳහා ඉල්ලීමක් ආරම්භ කළ හැක. MITM ප්‍රහාරයක් අතරතුර, bank.com වෙබ් අඩවිය වෙත යොමු කරන ලද මෙම ඉල්ලීම bank.com සමඟ බෙදාගත් TLS සහතිකයක් භාවිත කරන විද්‍යුත් තැපැල් සේවාදායකයක් වෙත හරවා යැවිය හැක. තැපැල් සේවාදායකය පළමු දෝෂයෙන් පසු සැසිය අවසන් නොකරන බැවින්, සේවා ශීර්ෂයන් සහ "POST / HTTP/1.1" සහ "Host:" වැනි විධානයන් නොදන්නා විධාන ලෙස සකසනු ලැබේ (තැපැල් සේවාදායකය "500 හඳුනා නොගත් විධානය" සඳහා ආපසු ලබා දෙනු ඇත. එක් එක් ශීර්ෂය).
තැපැල් සේවාදායකයට HTTP ප්‍රොටෝකෝලයේ විශේෂාංග නොතේරෙන අතර ඒ සඳහා සේවා ශීර්ෂයන් සහ POST ඉල්ලීමේ දත්ත අවහිර කිරීම එකම ආකාරයකින් සකසනු ලැබේ, එබැවින් POST ඉල්ලීමේ ශරීරය තුළ ඔබට විධානයක් සහිත රේඛාවක් නියම කළ හැකිය. තැපැල් සේවාදායකය. උදාහරණයක් ලෙස, ඔබට සමත් විය හැක: MAIL FROM: alert(1); තැපැල් සේවාදායකය 501 දෝෂ පණිවිඩයක් ලබා දෙනු ඇත alert(1); : විකෘති ලිපිනය: ඇඟවීම (1); අනුගමනය නොකළ හැකිය
මෙම ප්‍රතිචාරය පරිශීලකයාගේ බ්‍රවුසරයට ලැබෙනු ඇත, එය JavaScript කේතය ප්‍රහාරකයාගේ මුලින් විවෘත කර ඇති වෙබ් අඩවියේ සන්දර්භය තුළ නොව, ඉල්ලීම යවන ලද bank.com වෙබ් අඩවියේ සන්දර්භය තුළ ක්‍රියාත්මක කරනු ඇත, ප්‍රතිචාරය නිවැරදි TLS සැසියක් තුළ ලැබුණු බැවින් , bank.com ප්‍රතිචාරයේ සත්‍යතාව තහවුරු කළ සහතිකය.
ගෝලීය ජාලයේ ස්කෑන් කිරීමකින් පෙන්නුම් කළේ සාමාන්‍යයෙන්, වෙබ් සේවාදායකයන් මිලියන 1.4 ක් පමණ ගැටලුවෙන් පීඩාවට පත්වන අතර, ඒ සඳහා විවිධ ප්‍රොටෝකෝල භාවිතා කරමින් ඉල්ලීම් මිශ්‍ර කිරීමෙන් ප්‍රහාරයක් දියත් කළ හැකි බවයි. වෙනත් යෙදුම් ප්‍රොටෝකෝල මත පදනම්ව TLS සේවාදායකයන් ඇති වෙබ් සේවාදායකයන් 119 දහසක් සඳහා සැබෑ ප්‍රහාරයක හැකියාව තීරණය කරන ලදී.
ftp සේවාදායකයන් pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla සහ serv-u, IMAP සහ POP3 සේවාදායකයන් dovecot, courier, exchange, cyrus, kerio-connect සහ zimbra, SMTP servers යැවීම සඳහා සූරාකෑම් සඳහා උදාහරණ සකස් කර ඇත, postfix, exim සේවාදායකයන් , තැපැල් කළ හැකි, mdaemon සහ opensmtpd. පර්යේෂකයන් විසින් FTP, SMTP, IMAP සහ POP3 සේවාදායකයන් සමඟ ඒකාබද්ධව පමණක් ප්‍රහාරයක් සිදු කිරීමේ හැකියාව අධ්‍යයනය කර ඇත, නමුත් TLS භාවිතා කරන වෙනත් යෙදුම් ප්‍රොටෝකෝල සඳහා ද ගැටළුව ඇතිවිය හැකිය.
ප්‍රහාරය අවහිර කිරීම සඳහා, යෙදුම් ප්‍රොටෝකෝලය සහ SNI (සේවාදායක නාම දර්ශකය) දිගුව සැලකිල්ලට ගනිමින් TLS සැසියක් සාකච්ඡා කිරීමට ALPN (යෙදුම් ස්ථර ප්‍රොටෝකෝල සාකච්ඡා) දිගුව භාවිතා කිරීමට යෝජනා කෙරේ. වසම් නාම කිහිපයක් ආවරණය වන TLS සහතික. යෙදුම් පැත්තෙන්, විධාන සැකසීමේදී දෝෂ ගණන සීමා කිරීම රෙකමදාරු කරනු ලැබේ, පසුව සම්බන්ධතාවය අවසන් වේ. ප්‍රහාරය වැලැක්වීමේ ක්‍රියාමාර්ග වර්ධනය කිරීමේ ක්‍රියාවලිය පසුගිය වසරේ ඔක්තෝම්බර් මාසයේදී ආරම්භ විය. Nginx 1.21.0 (mail proxy), Vsftpd 3.0.4, Courier 5.1.0, Sendmail, FileZill, crypto/tls (Go) සහ Internet Explorer හි සමාන ආරක්ෂක පියවරයන් දැනටමත් ගෙන ඇත.
මූලාශ්රය: opennet.ru