- Havainnot
- Mitä asiantuntijoiden on sanottava?
- Mitä voit tehdä?
Jos uskot tietosi olevan turvassa, miettiä uudelleen. Koska akateemisten tutkimusten mukaan havaittiin, että TLS 1.3 -haavoittuvuuden vuoksi hakkerit voivat nyt siirtyä suojattuun kanavaan ja kerätä tietoja haitallisten tarkoitusten varalta.
Tutkimuspaperin ovat julkaissut Tel Avivin yliopisto, Adelaiden yliopisto ja Michiganin yliopisto sekä Weizmann-instituutti. Lisäksi NCC Group ja Data61 ovat myös tehneet samanlaisia havaintoja.
Havainnot
Hyökkäys on muunneltu versio todellisesta Bleichenbacher-oraakkelihyökkäyksestä, joka aiemmin pystyi purkamaan RSA-salatun viestin julkisen avaimen salaustekniikan avulla.
Tämä uusi aalto pyrkii kuitenkin toimimaan TLS 1.3: ta vastaan, joka on TLS-protokollien viimeisin versio. Viranomaiset uskoivat sen olevan turvallinen, mutta ilmeisesti ei ole ja se on huolestuttavaa!
Koska TLS 1.3 ei tue RSA-avaintenvaihtoa, tutkijoiden mielestä hyökkäyksen arviointia varten on parasta jatkaa vanhemman version versiota eli TLS 1.2.
Seurauksena on alemman tason lieventäminen, kuten yhden palvelinpuolen ja kahden asiakkaan puoli, joka ohittaa alemman hyökkäyksen. Johtopäätöksenä, että jos RSA-avaimia olisi suurempi, nämä hyökkäykset olisi voitu estää ja myös kädenpuristuksen aikakatkaisu olisi lyhentynyt.
Tutkittiin yhdeksää erilaista TLS-toteutusta; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL ja GnuTLS, joista BearSSL ja Googlen BoringSSL olivat turvassa. Kaikki muut pysyivät haavoittuvina.
Mitä asiantuntijoiden on sanottava?
Hyökkäysten lukumäärän suhteen Venafin johtaja Broderick Perelli-Harris uskoo, että ne ovat alkaneet vuodesta 1988 lähtien Bleichenbacherin muunnelmien alla. Siksi ei ole yllättävää, että TLS 1.3 on myös haavoittuvainen.
ESET UK: n tietoturva-asiantuntija Jake Moore on sitä mieltä, että salaustekniikan hyökkäys ei ole ensimmäinen eikä tule olemaan viimeinen laatuaan. Hän on myös sitä mieltä, että se on samanlainen kuin Whac-A-Molen peli - joka kerta, kun turvakorjaus tehdään, uusi osoittaa.
Mitä voit tehdä?
Kaiken kaikkiaan virhe on TLS-salausprotokollan alkuperäisessä muodossa. Mutta toistaiseksi protokollan varsinaisen suunnittelun takia korjaaminen on ainoa tie eteenpäin.
Mitä voit tehdä suojautuaksesi tällä välin? Käytä kaksifaktorista todennusta (2FA), pidä ohjelmistosi päivitettynä, kuten haittaohjelmien torjunta, virustorjunta, vahvempien salasanojen asettaminen ja kunnollinen VPN-palvelu, kuten Ivacy.
