Nusu ya tovuti , na idadi yao inaongezeka kwa kasi. Itifaki inapunguza hatari ya kuzuiwa kwa trafiki, lakini haiondoi mashambulizi ya majaribio kama hivyo. Tutazungumza juu ya baadhi yao - POODLE, BEAST, DROWN na wengine - na njia za ulinzi katika nyenzo zetu.
/flickr/ / CC BY-SA
POODLE
Kwa mara ya kwanza kuhusu shambulio hilo ilijulikana mnamo 2014. Athari katika itifaki ya SSL 3.0 iligunduliwa na mtaalamu wa usalama wa habari Bodo MΓΆller na wafanyakazi wenzake kutoka Google.
Kiini chake ni kama ifuatavyo: mdukuzi hulazimisha mteja kuunganisha kupitia SSL 3.0, akiiga mapumziko ya muunganisho. Kisha hutafuta katika iliyosimbwa -Modi ya trafiki ujumbe maalum wa lebo. Kwa kutumia mfululizo wa maombi ghushi, mshambulizi anaweza kuunda upya maudhui ya data inayokuvutia, kama vile vidakuzi.
SSL 3.0 ni itifaki iliyopitwa na wakati. Lakini suala la usalama wake bado ni muhimu. Wateja huitumia ili kuepuka matatizo ya uoanifu na seva. Kulingana na data fulani, karibu 7% ya tovuti 100 elfu maarufu zaidi . Pia marekebisho ya POODLE ambayo yanalenga TLS 1.0 ya kisasa zaidi na TLS 1.1. Mwaka huu mashambulizi mapya ya Zombie POODLE na GOLDENDOODLE ambayo yanapita ulinzi wa TLS 1.2 (bado yanahusishwa na usimbaji fiche wa CBC).
Jinsi ya kujitetea. Kwa upande wa POODLE asili, unahitaji kuzima usaidizi wa SSL 3.0. Hata hivyo, katika kesi hii kuna hatari ya matatizo ya utangamano. Suluhisho mbadala linaweza kuwa utaratibu wa TLS_FALLBACK_SCSV - inahakikisha kuwa ubadilishanaji wa data kupitia SSL 3.0 utafanywa na mifumo ya zamani pekee. Wavamizi hawataweza tena kuanzisha upunguzaji wa viwango vya itifaki. Njia ya kulinda dhidi ya Zombie POODLE na GOLDENDOODLE ni kuzima usaidizi wa CBC katika programu zinazotegemea TLS 1.2. Suluhisho la kardinali litakuwa mpito kwa TLS 1.3 - toleo jipya la itifaki haitumii usimbaji fiche wa CBC. Badala yake, AES ya kudumu zaidi na ChaCha20 hutumiwa.
BORA
Moja ya shambulio la kwanza kwenye SSL na TLS 1.0, lililogunduliwa mnamo 2011. Kama POODLE, MNYAMA vipengele vya usimbaji fiche wa CBC. Wavamizi husakinisha wakala wa JavaScript au applet ya Java kwenye mashine ya kiteja, ambayo huchukua nafasi ya ujumbe wakati wa kutuma data kupitia TLS au SSL. Kwa kuwa washambuliaji wanajua yaliyomo kwenye pakiti za "dummy", wanaweza kuzitumia kusimbua vekta ya uanzishaji na kusoma ujumbe mwingine kwa seva, kama vile vidakuzi vya uthibitishaji.
Kufikia leo, udhaifu wa BEAST bado upo : Seva za seva mbadala na programu za kulinda lango la karibu la Mtandao.
Jinsi ya kujitetea. Mshambulizi anahitaji kutuma maombi ya mara kwa mara ili kusimbua data. Katika VMware punguza muda wa SSLSessionCacheTimeout kutoka dakika tano (pendekezo chaguomsingi) hadi sekunde 30. Mbinu hii itafanya iwe vigumu zaidi kwa washambuliaji kutekeleza mipango yao, ingawa itakuwa na athari mbaya kwa utendakazi. Kwa kuongezea, unahitaji kuelewa kuwa hatari ya BEAST inaweza kuwa jambo la zamani peke yake - tangu 2020, vivinjari vikubwa zaidi. msaada kwa TLS 1.0 na 1.1. Kwa hali yoyote, chini ya 1,5% ya watumiaji wote wa kivinjari hufanya kazi na itifaki hizi.
ZAMA
Hili ni shambulio la itifaki mtambuka ambalo linatumia hitilafu katika utekelezaji wa SSLv2 na funguo za RSA za biti 40. Mshambulizi husikiliza mamia ya miunganisho ya TLS ya walengwa na kutuma pakiti maalum kwa seva ya SSLv2 kwa kutumia ufunguo sawa wa faragha. Kutumia , mdukuzi anaweza kusimbua mojawapo ya vipindi elfu moja vya TLS vya mteja.
DROWN ilijulikana kwa mara ya kwanza mnamo 2016 - basi ikawa katika dunia. Leo haijapoteza umuhimu wake. Kati ya tovuti elfu 150 maarufu zaidi, 2% bado ziko SSLv2 na mbinu za usimbaji fiche ambazo zinaweza kuathiriwa.
Jinsi ya kujitetea. Ni muhimu kusakinisha viraka vilivyopendekezwa na watengenezaji wa maktaba za kriptografia ambazo zinazima usaidizi wa SSLv2. Kwa mfano, viraka viwili kama hivyo viliwasilishwa kwa OpenSSL (mnamo 2016 1.0.1 na 1.0.2g). Pia, masasisho na maagizo ya kulemaza itifaki iliyo katika mazingira magumu yalichapishwa , , .
"Rasilimali inaweza kuwa hatarini kwa DROWN ikiwa funguo zake zitatumiwa na seva ya watu wengine yenye SSLv2, kama vile seva ya barua," anabainisha mkuu wa idara ya maendeleo. Sergei Belkin. - Hali hii hutokea ikiwa seva kadhaa hutumia cheti cha kawaida cha SSL. Katika hali hii, unahitaji kuzima usaidizi wa SSLv2 kwenye mashine zote."
Unaweza kuangalia kama mfumo wako unahitaji kusasishwa kwa kutumia maalum - ilitengenezwa na wataalamu wa usalama wa habari ambao waligundua DROWN. Unaweza kusoma zaidi kuhusu mapendekezo yanayohusiana na ulinzi dhidi ya aina hii ya mashambulizi .
Heartbleed
Moja ya udhaifu mkubwa katika programu ni . Iligunduliwa mnamo 2014 kwenye maktaba ya OpenSSL. Wakati wa tangazo la hitilafu, idadi ya tovuti zilizo hatarini - hii ni takriban 17% ya rasilimali zilizolindwa kwenye mtandao.
Shambulio hilo linatekelezwa kupitia moduli ndogo ya kiendelezi ya Mapigo ya Moyo ya TLS. Itifaki ya TLS inahitaji kwamba data isambazwe kila mara. Katika kesi ya kupungua kwa muda mrefu, mapumziko hutokea na uunganisho unapaswa kuanzishwa tena. Ili kukabiliana na shida, seva na wateja "hupiga kelele" kituo (), kusambaza pakiti ya urefu wa nasibu. Ikiwa ilikuwa kubwa kuliko pakiti nzima, basi matoleo hatarishi ya OpenSSL yalisomeka zaidi ya bafa iliyotengwa. Eneo hili linaweza kuwa na data yoyote, ikijumuisha funguo za usimbaji fiche za faragha na taarifa kuhusu miunganisho mingine.
Athari ya kuathiriwa ilikuwepo katika matoleo yote ya maktaba kati ya 1.0.1 na 1.0.1f zikijumlishwa, na pia katika idadi ya mifumo ya uendeshaji - Ubuntu hadi 12.04.4, CentOS ya zamani zaidi ya 6.5, OpenBSD 5.3 na mingineyo. Kuna orodha kamili . Ingawa mabaka dhidi ya athari hii yalitolewa mara tu baada ya kugunduliwa, tatizo bado linafaa hadi leo. Nyuma mnamo 2017 , hushambuliwa na Kutokwa na damu ya Moyo.
Jinsi ya kujitetea. Ni muhimu hadi toleo la 1.0.1g au toleo jipya zaidi. Unaweza pia kuzima maombi ya Mapigo ya Moyo mwenyewe kwa kutumia chaguo la DOPENSSL_NO_HEARTBEATS. Baada ya sasisho, wataalamu wa usalama wa habari toa tena vyeti vya SSL. Ubadilishaji unahitajika iwapo data kwenye funguo za usimbaji fiche itaishia mikononi mwa wadukuzi.
Ubadilishaji wa cheti
Nodi inayodhibitiwa iliyo na cheti halali cha SSL imewekwa kati ya mtumiaji na seva, ikizuia trafiki kikamilifu. Nodi hii inaiga seva halali kwa kuwasilisha cheti halali, na itawezekana kutekeleza shambulio la MITM.
Kulingana na timu kutoka Mozilla, Google na vyuo vikuu kadhaa, takriban 11% ya miunganisho salama kwenye mtandao husikilizwa. Haya ni matokeo ya kusakinisha vyeti vya tuhuma kwenye kompyuta za watumiaji.
Jinsi ya kujitetea. Tumia huduma za kuaminika . Unaweza kuangalia "ubora" wa vyeti kwa kutumia huduma (CT). Watoa huduma za wingu pia wanaweza kusaidia katika kugundua usikilizaji; baadhi ya makampuni makubwa tayari hutoa zana maalum za kufuatilia miunganisho ya TLS.
Njia nyingine ya ulinzi itakuwa mpya ACME, ambayo huboresha upokeaji wa vyeti vya SSL kiotomatiki. Wakati huo huo, itaongeza njia za ziada za kuthibitisha mmiliki wa tovuti. Zaidi kuhusu hilo .
/flickr/ /CC NA
Matarajio ya HTTPS
Licha ya udhaifu kadhaa, wakuu wa IT na wataalam wa usalama wa habari wana uhakika katika siku zijazo za itifaki. Kwa utekelezaji amilifu wa HTTPS Muundaji wa WWW Tim Berners-Lee. Kulingana na yeye, baada ya muda TLS itakuwa salama zaidi, ambayo itaboresha kwa kiasi kikubwa usalama wa miunganisho. Berners-Lee hata alipendekeza hivyo vyeti vya mteja kwa uthibitishaji wa utambulisho. Watasaidia kuboresha ulinzi wa seva kutoka kwa washambuliaji.
Pia imepangwa kubuni teknolojia ya SSL/TLS kwa kutumia mashine ya kujifunza - algoriti mahiri zitawajibika kuchuja trafiki hasidi. Kwa miunganisho ya HTTPS, wasimamizi hawana njia ya kujua yaliyomo kwenye ujumbe uliosimbwa kwa njia fiche, ikiwa ni pamoja na kugundua maombi kutoka kwa programu hasidi. Tayari leo, mitandao ya neva ina uwezo wa kuchuja pakiti hatari kwa usahihi wa 90%. ().
Matokeo
Mashambulizi mengi kwenye HTTPS hayahusiani na matatizo na itifaki yenyewe, lakini kusaidia mifumo ya usimbaji iliyopitwa na wakati. Sekta ya TEHAMA inaanza kuacha taratibu itifaki za kizazi kilichopita na kutoa zana mpya za kutafuta udhaifu. Katika siku zijazo, zana hizi zitazidi kuwa na akili.
Viungo vya ziada juu ya mada:
Chanzo: mapenzi.com