Protokół SSL/TLS podatny
Microsoft wydał poradnik bezpieczeństwa informujący o luce w protokole SSL (Secure Socket Layer) i TLS (Transport Layer Security). Wykorzystywanie tej luki może pozwolić atakującemu na odszyfrowanie ruchu SSL/TLS i uzyskanie wrażliwych informacji.
Głównym celem ataku jest przeglądarka i wykorzystywany przez nią protokół HTTPS. Atakujący może wstrzyknąć złośliwy kod w odpowiedź HTTP, wymuszając na przeglądarce wykonanie tego kodu. Nastepnie kod będzie wysyłał kilka zapytań wewnątrz sesji TLS/SSL do kolejnej witryny HTTPS. Wykorzystując atak "man-in-the-middle", napastnik jest w stanie przechwycić komunikacją https i wykorzystując podatność w SSL - będzie w stanie rozszyfrować część szyfrowanego ruchu, np. authorisation cookies.
Obecnie nie opublikowano odpowiedniej łaty, jednakże należy zastosować któreś obejście proponowane przez Microsoft:
- wymuszenie stosowania algorytmu RC4 w systemach Windows Vista, Windows Server 2008 i późniejszych (atak jest tylko możliwy na algorytmach wykorzystujących szyfrowanie blokowe np. AES);
- włączenie TLS 1.1 i/lub 1.2 w Internet Explorer na systemach Windows 7 lub Windows Server 2008 R2;
- blokowanie kontrolek ActiveX i aktywnych skryptów w strefach Internet i Lokolanej (można to osiągnąć ustawiając poziom bezpieczeństwa na "Wysoki" dla tych stref).
CERT.GOV.PL zaleca użytkownikom i administratorom zapoznanie się z poradnikiem bezpieczeństwa (2588513) i zastosowanie zalecanych przez Microsoft obejść w celu zminimalizowania ryzyka.
Przydatne linki:
http://www.kb.cert.org/vuls/id/864643
http://technet.microsoft.com/en-us/security/advisory/2588513
http://support.microsoft.com/kb/2588513
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3389
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3389
Najbardziej popularne
-
01.03.2012Kradzieże haseł - ostrzeżenie W związku z powtarzającymi się incydentami teleinformatycznymi na różnego typu stronach internetowych, w rezultacie których zostają wykradzione hasła użytkowników, zespół CERT.GOV.PL przypomina podstawowe zasady bezpieczeństwa:
-
13.02.2012Wyciąg z ogólnej analizy ataków na witryny administracji państwowej RP w okresie 21 - 25 stycznia 2012r. Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL opracował analizę ataków na witryny administracji państwowej RP w okresie 21‐25 stycznia 2012r.
-
30.01.2012Wytyczne w zakresie ochrony portali informacyjnych administracji publicznej wprowadzone przez Ministra Administracji i Cyfryzacji Zostały opracowane i zatwierdzone Wytyczne Ministra Administracji i Cyfryzacji w zakresie ochrony portali informacyjnych administracji publicznej opracowane przez Zespół zadaniowy do spraw ochrony portali rządowych powołany przez przewodniczącego Komitetu Rady Ministrów do spraw Cyfryzacji Michała Boniego
-
06.04.2011Nowe zagrożenie w plikach PDF Dzięki współpracy polskich zespołów bezpieczeństwa, związanych inicjatywa Abuse-Forum udało się wykryć oraz przeanalizować nowe zagrożenie. Od 03.04.2011 do polskich internautów trafia wiadomość e-mail zawierająca w załączniku złośliwy dokument PDF. Z analiz przeprowadzonych przez CERT Polska wynika, że po otwarciu załączonego pliku PDF komputer zostaje zainfekowany złośliwym oprogramowanie SpyEye.
-
26.01.2011Cyberprzestępcy wykorzystują tragedię w Moskwie Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL informuje, że tragedia związana z atakiem bombowym na lotnisku Domodiedowo w Moskwie wykorzystywana jest między innymi do rozsyłania poczty internetowej zawierającej złośliwe oprogramowanie.
-
03.11.2010Ostrzeżenie o ataku wyłudzającym W dniu dzisiejszym , Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL uzyskał informacje o masowo rozsyłanych wiadomościach email mających na celu wyłudzenie informacji dostępowych (adres email, hasło) do kont pocztowych instytucji administracji państwowej (domena gov.pl).
-
27.08.2010Poważny błąd w systemach operacyjnych firmy Microsoft Windows W ostatnim czasie głośno jest o poważnej luce w zabezpieczeniach systemów Windows “DLL Preloading Bug”. Powyższa luka pozwala na podrzucenie dowolnej biblioteki dołączanej dynamicznie DLL do systemu operacyjnego i załadowanie jej przy wykorzystaniu dowolnej aplikacji zainstalowanej na komputerze ofiary.
-
07.04.2010Ostrzeżenie przed atakami ukierunkowanymi W związku z informacjami o atakach ukierunkowanych na pracowników instytucji administracji publicznej, Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL apeluje o zachowanie środków ostrożności przy przeglądaniu poczty internetowej zatytułowanej „The annual Cybersecurity meeting on April 05-08”.
-
19.01.2010Atak phishingowy na klientów banku PKO BP W związku z atakiem phishingowym na użytkowników banku PKO BP Rządowy Zespół Reagowania na Incydenty Komputerowe ostrzega przed próbą wyłudzenia wrażliwych danych.
