Експерти eScan розповіли, як захистити свій комп'ютер від нової уразливості протоколів SSL, TLS і SPDY, що забезпечують захист з'єднань і переданих даних в Інтернеті.
Чергову вразливість протоколів SSL, TLS і SPDY продемонстрували недавно дослідники Джуліано Різзо і Тай Дуонг на конференції Ekoparty в Буенос-Айресі. Атака з використанням нової проломи отримала назву CRIME (Compression Ratio Info-leak Made Easy).
Під час атаки CRIME експлуатуються алгоритми стиснення даних. Розглянемо, як це відбувається, на прикладі протоколу SSL:
Для проведення атаки CRIME на комп'ютер жертви необхідно завантажити шкідливий код. Це можна зробити, наприклад, перенаправивши користувача на інфіковану веб-сторінку.
Приклад стисненого POST-запиту, розмір якого може бути змінений при додаванні даних куки
Раніше ті ж дослідники показали можливість успішного злому протоколів SSL і TLS за допомогою вразливості блокових шифрів (атака Browser Exploit Against SSL / TLS, BEAST).
Значний інтерес до захищеності SSL-з'єднань викликаний, зокрема, розвитком хмарних технологій. Все більше число компаній і домашніх користувачів використовують хмарні сервіси для зберігання і обробки важливої інформації, а підключення до таких служб в більшості випадків здійснюється через веб-браузер з використанням технології SSL. Уразливість в системі захисту потенційно дає зловмисникам практично необмежені можливості для розкрадання важливої інформації.
Нижче наведено список актуальних версій браузерів з відключеною функцією стиснення SSL: