Byl zveřejněna nová zranitelnost s názvem Sweet32, která se týká 64bitových blokových šifer v TLS (CVE-2016–2183) a OpenVPN (CVE-2016–6329). Šifry s délkou bloku 64 bitů jsou stále používány. Blowfish je dokonce výchozí šifra v OpenVPN a většina HTTPS serverů stále podporuje Triple-DES, který používá odhadem asi 1–2 % HTTPS spojení.
Vlastní útok používá narozeninový útok a není velmi praktický. K odchycení tajné HTTP cookie je potřeba zaznamenat téměř 800 GB síťového provozu, který je generován škodlivým javascriptem. Je k tomu potřeba méně než dva dny.
Obranou je přestat používat 64bitové šifry. Uživatelé OpenVPN by měli používat AES cipher AES-128-CBC, nebo často měnit klíče, což je použitelné i jen na straně klienta reneg-bytes 64000000.
(zdroj: arstechnica)
ČLÁNKY DO MAILU