Már megint feltörték az SSL-t :)

Security-all

Az ITcafé szerint (hamarosan mindenhol kinn lesz úgyis) már megint feltörték az SSL-t, jön a világvége, mindenkinek ellopják a jelszavát meg a pénzét a netbankból, az emailjeit is, meg a kutyáját a hálókábelen keresztül.

A szigorúan tudományos cikk itt: http://itcafe.hu/hir/ssl_hack.html
(Sajnos a cikk írója már megint valami sötét helyről előrángatott "hozzáértő" "biztonsági" "szakember")

A "törés" publikációja:
https://www.blackhat.com/presentations/bh-dc-09/Marlinspike/BlackHat-DC…
(maga a támadás elég érdekes és ötletes, kár, hogy nem a protokollt támadják, hanem egy implementációs hiányosságot)

Holnap én is feltöröm az SSL protokollt :)

  • 3108 megtekintés

( Hunger | 2009. 02. 19., cs – 16:47 )

Természetesen nem az SSL-t törték fel, de ettől függetlenül a probléma valós... Kevés ember írja be, hogy https:// a bankjának webcíme elé, vagy a webes levelezője elé. A legtöbben http:// oldalról kerülnek oda.

( sany | 2009. 02. 19., cs – 18:02 )

etch > lenny upgrade alkalmával említést nyert a sebezhetőség.
Nem tudom mennyire függ össze ezzel.

( subchee | 2009. 02. 19., cs – 18:44 )

De jó, hogy nyitottad a témát, mert pont van ezzel kapcsolatban egy kérdésem :))

Szóval most állítottam be az openssl -t apache2 mellé és azt szeretném, ha a böngészőbe begépelve az aldomain1.valami.hu automatikusan https kapcsolaton keresztül nyílna meg. (a bejegyzése így kezdődik <.Virtualhost *:443>)

Jelenleg ha begépelem az aldomain1.valami.hu -t, akkor automatikusan http kapcsolat nyílik, viszont a /etc/apache2/sites-available/default -ban megadott könyvtárra irányít. Ha https://aldomain1.valami.hu -t írok a böngészőbe, akkor a /etc/apache2/sites-available/aldomain1.valami.hu -ban beállított könyvtárra irányít... szóval működik, de csak ha https van begépelve.

(rendszer: Ubuntu 8.10 Server Edition + Apache2.2 + php5)

( marcabru | 2009. 02. 19., cs – 20:17 )

Na most akkor, alapismeretekkel rendelkező fél-laikusnak 1 mondatban elmagyarázva megtudhatom, hogy mit is csinált a feketekalapos hekkercsávó? Mert hogy nem az Ssl-t törte fel, az valószínű.

SSl tanusitvany lancban van a "hiba": ha nekem van egy ervenyes tanusitvagyom, es (a hanyag kiallito) meghagyta a jogot, hogy en is alairhassak tovabbi tanusitvanyokat, akkor tudok csinalni olyan tanusitvanyt aminek a neve www.sajatbank.hu. Ezutan az aldozatot atverem, mert o azt latja hogy a rendes bankkal beszelget titositott csatornan.

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

( kisauto | 2009. 02. 19., cs – 21:48 )

varom holnap a CSO levelet :)

"Sracok, bajban vagyunk! Ne hasznaljatok a VPN -t, mert SSL Titkositott, amit Tegnap feltortek!"

Ooo faszom, mar tenyleg be kene tiltani az itcafe-t