Co mají společného zranitelnosti Beast, Crime, Poodle a Freak?

Především to, že se jedná o zranitelnosti v šifrovacích protokolech SSL/TLS používaných pro zajištění bezpečné komunikace mezi klientem a serverem, kterým se dostalo nebývalé mediální pozornosti i přes jejich chabé CVSS skóre.

Jak by také ne, když tyto zranitelnosti obdržely taková hezká poetická jména a v souvislosti s nimi se psalo o tom, že v ohrožení jsou všichni uživatelé přistupující na internet přes HTTPS.

Asi není nutné se zaobírat jednotlivými faktory, které do výpočtu CVSS skóre vstupují a zpochybňovat je, protože už tak je ono CVSS skóre u zranitelností BEAST, CRIME, POODLE a FREAK, spíše podprůměrné.

Ostatně není to poprvé, kdy se nějaké zranitelnosti dostane značné publicity, a k jejich vysokému hodnocení se nechali strhnout i jindy naprosto pragmaticky uvažující bezpečnostní experti, vzpomeňme třeba HEARTBLEED.

Problém však je v tom, že již od počátku je v některých případech samotné hodnocení jednotlivých zranitelností pomocí CVSS v2 zavádějící. Když se podíváme na poslední dvě mediálně známé zranitelnosti, POODLE a FREAK a položíme si otázku, zda je dle výše odkazované dokumentace Access Vector skutečně N a Access Complexity LOW, tak nejspíš dospějeme k závěru, že tomu tak není.

Nemusí být útočník v případě MITM útoku náhodou na stejné síti? Řekl bych, že ano. A může uvedené zranitelnosti zneužít dříve, než zneužije nějaké jiné zranitelnosti, která mi umožní se stát oním bájným MITM útočníkem? Obávám se, že ne, protože vstoupit do komunikace mezi klientem a serverem nemusí být až tak triviální, jak nám předkládají média.

A hlavně těchto zranitelností nebylo, není a nadále ani nebude nijak masově zneužíváno. Jednoduše protože že jejich zneužití není zase až tak snadné a především proto, že se tyto zranitelnosti týkají jen pár procent uživatelů. Dalo by se říci, že uživatelů, kteří surfují z posledních verzí Google Chrome, Mozille FireFox, Opera, se tento problém netýká.

A teoreticky, pokud by všichni upgradovali svůj prohlížeč na poslední verzi, tak by v ohrožení podle gs.statcounter bylo jen pár jednotek procent uživatelů, kteří na internet přistupují z MS Windows XP nebo Vista, Windows 8 a zároveň používají Internet Explorer, což je zachyceno zde.

Vzhledem k tomu, že ne všichni okamžitě upgradují, tak řekněme, že zranitelných jsou spíše desítky procent uživatelů. Nicméně pravděpodobnost, že tito klienti budou napadeni právě prostřednictvím těchto zranitelnosti, je nízká.

Z výše uvedeného vyplývá, že řešením je upgrade operačního systému a prohlížeče na straně klienta a používání jen silných šifer na straně serveru. A vám, kteří hledáte zranitelnosti a chcete, aby se o vás psalo, dám radu zdarma, zvolte zajímavý název, logo, udělejte k tomu microsite, umístěte na něj on-line nástroj k detekci zranitelnosti a napište, že mohou být ohroženi všichni uživatelé internetu.

Štítky: zranitelnosti

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.