Apple’i ja Androidi brauserid on juba aastaid rünnakute suhtes haavatavad

See samm, mis takistas Ameerika ettevõtetel eksportida kõige tugevamate andmete krüpteerimisprotokollidega tooteid, sundis ettevõtteid alandama teistesse riikidesse müüdavate toodete turvalisuse taset (512 bitti on piir), seda võimalust ei muudetud. kuigi valitsuse samm võeti 1990. aastate lõpus tagasi.

See samm on mõeldud selleks, et säilitada võimalus USA firmade turustatavatele mobiiltelefonidele “koputamiseks”, kui ametivõimud peavad jälgimismeetmeid võtma. Kui see meede enam ei kehti, on nõrgemate krüptimisstandardite kasutamine kogu maailmas ja isegi Ameerika Ühendriikides levitatavates toodetes integreeritud tarkvara osa.

Avastuse tegid mitu nädalat tagasi turvaeksperdid, kes tuvastasid vea Friigi rünnakuna. Probleem mõjutab OpenSSL-i ja Apple SecureTransporti – mis on tuletatud transpordikihi turbeprotokollist – mõlemal on haavatav versioon. OpenSSL on protokoll avatud lähtekoodiga mida kasutatakse mitmes tootes, nimelt Androidi brauseris. Apple’i kasutatav tehnoloogia on rakendustes iOS-i ja OSx-i jaoks, näiteks Safari iPhone’ile, iPadile või iPodile.

Kui see viga ära kasutatakse, võimaldab see dešifreerida haavatavatest brauseritest loodud turvaliste ühenduste (HTTPS-saitidele) kaudu sisselogimisteavet ja muid tundlikke andmeid. Liikluse pealtkuulamise kaudu saab ründaja, kui brauser loob ühenduse HTTPS-i veebisaidiga, ja väidetavalt turvalistele teenustele, näiteks panga veebisaidile või e-postile juurdepääsemiseks, saadaolevate protokollide loendiga jõustada valik nõrgemaid võimalusi ja kui nende parameetritega ühendus on loodud andmetele juurdepääsuks protokolli nõrkade kohtade eelis.

Kaks ettevõtet, Google ja Apple, kinnitasid Cnetile, et töötavad paranduse kallal, mis loodetavasti on peagi saadaval. Apple plaanib paranduse välja anda kohe järgmisel nädalal ja Google töötab samas suunas, et tuua parandused telefonitootjatele ja operaatoritele.

Vea avastanud uurijad ütlesid Washington Postile, et tänaseni pole nad leidnud tõendeid selle kohta, et haavatavust on ära kasutatud ja et kedagi on see risk tegelikult mõjutanud, kuid see on võimalik. Nende testides saavad nad seda lihtsalt tõestada, nad garanteerivad.

Selles testis suutsid teadlased saidi sundida kasutama nõrka krüptimissüsteemi, mis suutis mõne tunni jooksul paroolist või muust sobivast leheelemendist mööda minna ja pärast seda juurde pääseda.

Kirjutatud uue ortograafilise testamendi järgi