Lek in tls en ssl maakt man-in-the-middle-aanval mogelijk

[Rukapul]

quote: http://tweakers.net/nieuw...ddle-aanval-mogelijk.html

het verkeer tussen de browser en een server kan worden onderschept.

In theorie kan de hacker ongemerkt data manipuleren of afgeluisterde gegevens zoals logins misbruiken

De bronnen die ik heb geraadpleegd lijken echter te suggereren dat alleen de integriteit op dit moment risico loopt door middel van de injectie van extra data in de verder beveiligde stroom. Zie o.a.:

quote: http://www.educatedguesswork.org/

t's important to note that in both the cases we just described the attacker doesn't get to see any sensitive information directly: that's just sent back encrypted to the client.

De nadruk op afluisteren en onderscheppen leggen wordt niet voldoende gestaafd.

[Dimitri R]

Ik heb het bijgesteld naar 'In theorie kan de hacker ongemerkt data toevoegen, terwijl de eindgebruiker via een beveiligde ssl-verbinding denkt te werken.' Met name afluisteren is (nog) niet aangetoond, maar leek gesuggereerd te worden. Desondanks deze aanscherping.

[Orion84]

Het is ook niet de makkelijkste aanval om goed te begrijpen

* Orion84 snapte het ook pas goed na het lezen van dat stuk op educatedguesswork.org en dan ben ik nog iemand die er verstand van zou moeten hebben

Het enige dat ik kan vinden over dat het meer zou zijn dan enkel integrity is de volgende opmerking:

quote: http://www.darkreading.co...jhtml?articleID=221600523

Dan Kaminsky, director of penetration testing for IOActive, says he doesn't think the flaw is limited to just injecting traffic. "HTTPS content will leak because of this bug," Kaminsky says. "Never underestimate the usefulness of a subtle cryptographic vulnerability. Nobody would say, 'Well, it's just an iceberg, and we're heading right for it, but it's not like it's cut a huge gash in the ship yet.'"

Maar die suggestie is in feite nergens op gebaseerd en zou ik persoonlijk af doen als FUD, al heeft ie natuurlijk een punt dat je dit soort dingen niet moet onderschatten.

[ Voor 63% gewijzigd door Orion84 op 06-11-2009 17:55 ]