Linux E X P R E S

Facebook

Některé nástroje pro odposlech HTTPS oslabují bezpečnost

Hrozba

Některé nástroje, které firmy využívají pro odposlech a analýzu komunikace přes HTTPS, snižují bezpečnost této komunikace. Používají zastaralé algoritmy a protokoly, neověřují certifikáty nebo obsahují známé zranitelnosti.


Bezpečnostní tým z několika univerzit a firem testoval různé nástroje, které firmy používají pro odposlech a analýzu šifrované komunikace protokolem HTTPS (především s cílem odfiltrovat malware). Testovaly se jak samostatné „krabičky“ (middleboxes) a proxy servery, tak i antivirové programy, které tuto funkcionalitu rovněž nabízejí.

K odposlechu HTTPS je samozřejmě potřeba do komunikace vstoupit stylem „man in the middle“. To se zajistí tím, že se kořenový certifikát výrobce nástroje přidá mezi důvěryhodné certifikační autority v systému, resp. prohlížeči.

Výsledky ukázaly, že některé produkty výrazně oslabují bezpečnost. Používají zastaralé algoritmy a protokoly (RC4, RC2, DES, SSLv2...), neověřují certifikáty serverů nebo obsahují známé bezpečnostní zranitelnosti (Logjam, CRIME, FREAK, BEAST apod.). Předmětem testu nebyly pokročilejší metody zabezpečení, například HSTS, HPKP nebo ověřování Certificate Transparency.

Diskuze (2) Nahoru