TIETOTURVA
Heikki Siljamäki, 17.11.2009, 16:01Internetin salaustekniikassa aukko: "Tilanne pahempi kuin ajattelin"
Internet-liikenteen salaamiseen tarkoitetussa ssl-protokollassa (seucre sockets layer) olleen aukon kautta pystyttiin murtautumaan Twitteriin, ja nyt murehditaan, mihin kaikkialle muualle aukon kautta tunkeudutaan. Webmail-sähköpostit ovat vahva ehdokas.
Tietoturvatutkija Anil Kurnu osoitti viime viikolla kuinka ssl-protokollassa ollut haavoittuvuutta voitiin hyödyntää siten, että käyttäjät harhautettiin lähettämään Twitter-viesti, joka sisälsi käyttäjien salasanan. Haavoittuvuutta hyödyntääkseen murtautujan täytyy ensin päästä sisään uhrin tietoverkkoon ja käynnistää niin sanottu man-in-the-middle-hyökkäys, joten laajaan Twitter-käyttäjien joukkoon vaikuttaminen tällä tavalla olisi vaikeaa.
Twitter on sittemmin korjannut ongelman, mutta tietoturva-asiantuntijat pohtivat nyt, kuinka montaa muuta verkkosivustoa haavoittuvuus koskee. Mielipiteet ongelman vakavuudesta ovat vaihtelevia, ja esimerkiksi IBM:n tutkija Tom Cross totesi pian bugin löytämisen jälkeen, ettei se vaikuta suurimpaan osaan web-sovelluksista.
Myöhemmin Cross kuitenkin muutti mielensä: ”Valitettavasti tilanne on pahempi kuin ajattelin”, hän kirjoitti blogipostauksessaan.
”Vakava bugi, joka täytyy korjata”
Erityisesti webmail-sovellukset saattavat olla riskissä joutua ssl-aukkoa hyödyntävän hyökkäyksen kohteeksi, ja asiantuntija pelkäävät, että muutkin sovellukset – esimerkiksi tietokannat – voivat olla vaarassa.
Twitter oli altis bugille sen vuoksi, että palvelu käytti ssl-protokollaan kuuluvaa client renegotiation -menetelmää, joka antaa web-sivustolle tavan kysyä käyttäjältä ssl-sertifikaattia sen jälkeen, kun käyttäjä on jo muodostanut yhteyden sivustoon. Menetelmä on hyödyllinen tietyissä käyttötarkoituksissa, mutta niin pitkään kuin haavoittuvuutta ei ole korjattu, avaa se myös oven ssl-hyökkäyksiä varten.
Monet verkkosivustot sallivat client renegotiationin yksinkertaisesti sen vuoksi, että se on rakennettuna sisään ssl:ään ja sen seuraajaan, tsl-protokollaan (transport layer security), kommentoi Marsh Ray, yksi haavoittuvuuden löytäjistä, uutispalvelu IDG:lle. ”Monet ihmiset eivät tiedostaneet, että he käyttävät sitä.”
Hyvä puoli tilanteessa on se, että useat verkkosivustot voivat yksinkertaisesti ottaa toiminnon pois päältä, kuten Twitter on ilmeisesti tehnyt. Rayn mielestä ssl-aukon olemassaolo pitää kuitenkin tiedostaa, vaikka se ei olekaan katastrofimainen: ”Tämä on vakava bugi ja se täytyy korjata.”
Lue myös: Verkkopankkiyhteydet uhattuna - ssl-protokollassa vakava turva-aukko
IDG
