Останнім часом ми звикли до невтішних новин у сфері комп’ютерної безпеки, але нова звістка вразила навіть бувалих експертів. Дослідники найбільших американських університетів виявили небезпечну вразливість, яка впродовж десятиліть піддавала ризику хакерських атак мільйони користувачів.
Уразливість отримала назву FREAK. Вона піддає ризику злому пристрою при відвідуванні імовірно безпечних сайтів, серед них сайти Білого дому, ФБР і навіть всесильного Агентства національної безпеки (АНБ). Дослідники відзначають, що особливому ризику піддаються користувачі продукції Apple і Google.
Такий стан справ став можливим завдяки недалекоглядній політиці влади США.
Аж до 1999 року, регулятори забороняли експорт пристроїв з сильним криптографічним захистом. Компаніям доводилося вбудовувати більш слабкий «експортний» варіант захисту в свою продукцію. Після скасування обмежень слабкий захист з невідомої причини продовжив залишатися частиною багатьох пристроїв.
[ads2] Експлуатуючи FREAK, експерти змусили браузери використовувати слабкий захист. Її подальший злом – питання кількох годин. Справа в тому, що «експортний» варіант криптозахисту заснований на ключах шифрування в 512 біт, в 1999 році це був вельми надійний варіант захисту, але сьогодні, враховуючи падіння цін на обчислювальні потужності, вона може бути зламана в дуже короткий час. Вчені з Університету Пенсільванії змогли зламати «експортну» захист за сім годин, використовуючи платформу Amazon Web Services.FREAK дозволяє хакерам організовувати атаки типу «людина посередині» (man-in-the-middle). Суть такого нападу проста: зловмисник, використовуючи вразливість, ставить себе в ланцюг між користувачем і ресурсом і таким чином може перехоплювати будь-які повідомлення.
Небезпеки схильні в тому числі сайти, які використовують технологію SSL (Security Socket Layer). З 14 млн ресурсів, що використовують SSL, 5 млн є уразливими, повідомляють дослідники.
Читайте також: Одяг із захистом від цифрових крадіжок (відео)
Відповісти на питання як часто FREAK експлуатувався хакерами, навряд чи можливо. Варто лише зазначити, що атаки «людина посередині» – популярний інструмент не тільки серед хакерів, але також серед держав, які практикують цей метод для стеження за своїми громадянами.
Дослідники, що виявили уразливість, повідомили приватні корпорації та органи державної влади про загрозливу небезпеку. Apple обіцяє виправити проблему на наступному тижні. Компанія працює над патчем для комп’ютерів і мобільних пристроїв. Google також працює над апдейтом безпеки для ОС Android.
Натхнення: 3dnews.ru