- Penemuan
- Apa Pakar Harus Katakan?
- Apa yang kau boleh buat?
Jika anda fikir data anda selamat maka fikirkan lagi. Kerana menurut kajian akademik, didapati bahawa disebabkan oleh kelemahan TLS 1.3, penggodam kini boleh memanfaatkan saluran selamat dan dapat menuai data untuk niat jahat.
Kertas penyelidikan itu diterbitkan oleh Universiti Tel Aviv, University of Adelaide dan University of Michigan serta Institut Weizmann. Selain itu, Kumpulan NCC dan Data61 juga membuat kesimpulan yang serupa.
Penemuan
Serangan ini diubahsuai versi serangan oracle Bleichenbacher sebenar yang pada masa lalu mampu menguraikan mesej disulitkan RSA menggunakan Cryptography Umum-Kunci.
Gelombang baru ini, bagaimanapun, berusaha untuk menentang TLS 1.3 yang merupakan versi terkini di antara protokol TLS. Pihak berkuasa percaya ia selamat tetapi nampaknya tidak dan itu membimbangkan!
Oleh kerana TLS 1.3 tidak menyokong pertukaran utama RSA, para penyelidik berpendapat yang terbaik untuk meneruskan versi penurunan iaitu TLS 1.2 untuk tujuan menilai serangan tersebut.
Akibatnya penurunan penurunan nilai seperti satu sisi pelayan dan dua pelanggan yang memintas serangan menurun. Oleh itu, menyimpulkan bahawa jika ada kunci RSA yang lebih besar, serangan-serangan ini dapat dicegah dan juga, jangka masa jabat tangan akan dipendekkan.
Sembilan pelaksanaan TLS yang berbeza telah dipelajari; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL, dan GnuTLS di mana BearSSL dan BoringSSL Google selamat. Semua yang lain masih terdedah.
Apa Pakar Harus Katakan?
Setakat jumlah serangan, Broderick Perelli-Harris, Sr. Pengarah di Venafi percaya bahawa mereka telah muncul sejak 1988 di bawah variasi Bleichenbacher. Oleh itu, tidak menghairankan bahawa TLS 1.3 juga terdedah.
Jake Moore, pakar keselamatan siber di ESET UK berpendapat bahawa serangan sifat kriptografi bukanlah yang pertama dan tidak akan menjadi yang terakhir dari jenisnya. Dia juga berpendapat bahawa ia serupa dengan permainan Whac-A-Mole - setiap kali penetapan keselamatan digunakan, satu lagi muncul.
Apa yang kau boleh buat?
Semuanya, kecacatan adalah dalam solek asal protokol penyulitan TLS. Tetapi buat masa ini disebabkan oleh reka bentuk protokol yang menampal adalah satu-satunya cara ke hadapan.
Apa yang boleh anda lakukan untuk melindungi diri anda dalam masa yang sama? Menggunakan dua faktor pengesahan (2FA), pastikan perisian anda dikemas kini seperti anti-malware / antivirus, menetapkan kata laluan yang lebih kuat, dan perkhidmatan VPN yang layak seperti Ivacy.
