Nová zranitelnost SSLv2 DROWN

Jan Fikar 1. 3. 2016

Dnes byla odhalena nová zranitelnost SSLv2 DROWN (Decrypting RSA using Obsolete and Weakened eNcryption). Jde o útok typu man-in-the-middle na TLS šifrovanou komunikaci a dostal označení CVE-2016–0800.

V typickém scénáři útočník odposlechne tisíc TLS handshaků, zahájí 40 tisíc SSLv2 spojení (oběť vůbec nemusí navazovat SSLv2) a udělá 250 offline úloh aby rozluštil 2048-bitový RSA TLS 1.2 text. Výzkumníkům se to podařilo na Amazon EC2 clusteru pod 8 hodin za zhruba 440 USD.

Přibližně třetina všech HTTPS serverů je napadnutelná. Více informací a test lze najít na speciální stránce a také v článku. Napadnutelné jsou například servery yahoo.com, alibaba.com, weather.com, flicker.com, mediafire.com, speedtest.net, denik.cz, airbank.cz, kb.cz a mbank.cz.

Obrana spočívá v zakázání SSLv2 a u OpenSSL upgrade na dnes vydané 1.0.2g nebo 1.0.1s. OpenSSL také vydalo bezpečnostní upozornění.

(zdroj: arstechnica, phoronix)

Našli jste v článku chybu?
Měšec.cz: 100% hypotékám zvoní umíráček

100% hypotékám zvoní umíráček

DigiZone.cz: Skylink zapojil nový transpondér

Skylink zapojil nový transpondér

Podnikatel.cz: "Okurku" vyřeší slevové servery. Už jim věřte

"Okurku" vyřeší slevové servery. Už jim věřte

120na80.cz: Cestovní nevolnost. Co pomůže?

Cestovní nevolnost. Co pomůže?

DigiZone.cz: ČT veze bronz z klání televizní grafiky

ČT veze bronz z klání televizní grafiky

DigiZone.cz: Satelitní Flix TV vyráží do boje

Satelitní Flix TV vyráží do boje

DigiZone.cz: Klesající sledovanost USA filmů potřetí

Klesající sledovanost USA filmů potřetí

Měšec.cz: TEST: Vyzkoušeli jsme pražské taxikáře

TEST: Vyzkoušeli jsme pražské taxikáře

DigiZone.cz: Dabingové ceny znají letošní nominace

Dabingové ceny znají letošní nominace

DigiZone.cz: Loewe: už i bezztrátové streamování hudby

Loewe: už i bezztrátové streamování hudby

Vitalia.cz: Máte chutě? Nejezděte do světa, ale do Dobřichovic

Máte chutě? Nejezděte do světa, ale do Dobřichovic

DigiZone.cz: Nova stahuje bonus díl „Tvoje tvář má...“

Nova stahuje bonus díl „Tvoje tvář má...“

Lupa.cz: Vzali věc, která fungovala, a přidali internet

Vzali věc, která fungovala, a přidali internet

Měšec.cz: Vyplatí se spořit přes DPS?

Vyplatí se spořit přes DPS?

Podnikatel.cz: Babiš představil daňovou revoluci Moje daně

Babiš představil daňovou revoluci Moje daně

Lupa.cz: Text umírá, na webu zbude jen video

Text umírá, na webu zbude jen video

Lupa.cz: U Chomutova vyroste dotované datacentrum

U Chomutova vyroste dotované datacentrum

Podnikatel.cz: Zůstat na Heurece je čiré bláznovství

Zůstat na Heurece je čiré bláznovství

Měšec.cz: Práce na tři směny? Neblázněte, mám doma psa

Práce na tři směny? Neblázněte, mám doma psa

DigiZone.cz: Soud zakázal šíření TV Markíza v ČR

Soud zakázal šíření TV Markíza v ČR