- Сообщения
- 1.025
- Реакции
- 2.097
Новая уязвимость под названием Logjam
Уязвимости подвержены веб-браузеры Microsoft Internet Explorer, Mozilla Firefox, Google Chrome, Apple Safari. На текущий момент уязвимость исправлена только в IE, для которого было выпущено обновление
Появление уязвимости стало возможно по той же причине, что и FREAK, из-за специального закона США, накладывающего ограничения на экспортирование стойких шифров (export restrictions mandated by the U.S. government during the Clinton administration). Т. е. при использовании TLS за пределами США, его стойкость может быть специально понижена.
При установке подключения между клиентом и сервером, в этот процесс могут вмешаться атакующие и незаметно переключить стороны на использовании слабого шифра с 512-битными ключами, а затем попытаться расшифровать трафик.
Attackers with the ability to monitor the connection between an end user and a Diffie-Hellman-enabled server that supports the export cipher can inject a special payload into the traffic that downgrades encrypted connections to use extremely weak 512-bit key material.
Необходимые системным администраторам действия и исправления можно найти по этой ссылке
Доп. ссылки на исследования.
The Logjam Attack
Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice[PDF]
Logjam: the latest TLS vulnerability explained
Logjam is latest security flaw to affect secure communication protocols
HTTPS-crippling attack threatens tens of thousands of Web and mail servers
Короче, что я вам могу сказать товарищи. Этой уязвимости подвержены также и яббер-серверы, ибо они тоже работают через TLS. Так что шифруйте свои сообщения обязательно пока не исправят эту уязвимость. Да и вообще всегда шифруйте, мало ли какие ещё не обнаруженные дыры существуют.
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
в различных реализациях протокола TLS. Уязвимость аналогична другой под названием FREAK, о которой было написано
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
. Logjam также относится к типу «downgrade» и позволяет клиенту понизить стойкость шифрования до 512 бит DH при условии поддержки сервером шифра DHE_EXPORT, который задается в процессе «рукопожатия» (handshake) между клиентом и сервером. Т. о. атакующему значительно проще организовать атаку типа Man-in-the-Middle (MitM). Уязвимость затрагивает как серверное ПО, использующее
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
, так и веб-браузеры.Уязвимости подвержены веб-браузеры Microsoft Internet Explorer, Mozilla Firefox, Google Chrome, Apple Safari. На текущий момент уязвимость исправлена только в IE, для которого было выпущено обновление
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
. В свою очередь, остальные браузеры ожидают обновления, как и пакет свободно распространяемого ПО OpenSSL. Уязвимость актуальна и для OS X, iOS, Android.
Появление уязвимости стало возможно по той же причине, что и FREAK, из-за специального закона США, накладывающего ограничения на экспортирование стойких шифров (export restrictions mandated by the U.S. government during the Clinton administration). Т. е. при использовании TLS за пределами США, его стойкость может быть специально понижена.
При установке подключения между клиентом и сервером, в этот процесс могут вмешаться атакующие и незаметно переключить стороны на использовании слабого шифра с 512-битными ключами, а затем попытаться расшифровать трафик.
Attackers with the ability to monitor the connection between an end user and a Diffie-Hellman-enabled server that supports the export cipher can inject a special payload into the traffic that downgrades encrypted connections to use extremely weak 512-bit key material.
Необходимые системным администраторам действия и исправления можно найти по этой ссылке
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
.Доп. ссылки на исследования.
The Logjam Attack
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice[PDF]
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
Logjam: the latest TLS vulnerability explained
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
Logjam is latest security flaw to affect secure communication protocols
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
HTTPS-crippling attack threatens tens of thousands of Web and mail servers
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.
Короче, что я вам могу сказать товарищи. Этой уязвимости подвержены также и яббер-серверы, ибо они тоже работают через TLS. Так что шифруйте свои сообщения обязательно пока не исправят эту уязвимость. Да и вообще всегда шифруйте, мало ли какие ещё не обнаруженные дыры существуют.
