Greška u implementaciji TLS-a omogućuje napade na VISA-ine HTTPS veb stranice

Istraživači su otkrili 184 HTTPS veb servera u koje je moguće napasti iako za komunikaciju sa korisnicima koriste HTTPS. 

Neke od pogođenih veb stranica pripadaju kompaniji VISA, jednom od najvećih kompanija iz oblasti kartičnog plaćanja, Poljskoj bankarskoj asocijaciji ZBP i Njemačkoj berzi.  

Napada omogućuje nekorektna implementacija AES-GCM kriptografskog algoritma prilikom uspostavljanja TLS veze, kriptografskog protokola koji koristi HTTPS. 

Greška u implementaciji omogućuje napadačima da podmetnu svoj sadržaj u enkriptovanu vezu što može dovesti do krađe osjetljivih podataka. Problem sa ovom vrstom napada, pod nazivom “forbidden attack”, je to što veb čitač nema mogućnost da primjeti da je došlo do napada. 

Iako je ovaj napad  sa tehničke strane teško izvodljiv, istraživači su pokazali da nije nemoguć objavljivanjem Proof-of-Concept koda na GitHub-u. O ovom slučaju su obavještene pogođene strane.  

 

Izvor:www.helpnetsecurity.com