Video: Heartbleed Exploit - Discovery & Exploitation (Oktober 2024)
Fantastiske akronymer som TLS (Transport Layer Security) og SSL (Secure Sockets Layer) lyder kompliceret for dem, der ikke er trænet i netværkskommunikation. Man kunne forvente, at Heartbleed-angrebet, der drager fordel af en fejl i sikker kommunikation, ville være noget utroligt komplekst og arket. Det er det ikke. Faktisk er det latterligt enkelt.
Når det fungerer korrekt
Først lidt baggrund. Når du opretter forbindelse til et sikkert (HTTPS) websted, er der en slags håndtryk for at konfigurere den sikre session. Din browser anmoder om og verificerer webstedets certifikat, genererer en krypteringsnøgle til den sikre session og krypterer det ved hjælp af stedets offentlige nøgle. Webstedet dekrypterer det ved hjælp af den tilsvarende private nøgle, og sessionen begynder.
En simpel HTTP-forbindelse er en række as-if-relaterede begivenheder. Din browser anmoder om data fra stedet, webstedet returnerer disse data, og det er det, indtil den næste anmodning. Det er dog nyttigt for begge sider af en sikker forbindelse at være sikker på, at den anden stadig er aktiv. Hjerteslagsudvidelsen til TLS lader ganske enkelt den ene enhed bekræfte den anden fortsatte tilstedeværelse ved at sende en bestemt nyttelast, som den anden enhed sender tilbage.
En stor Scoop
Hjerteslagslasten er en datapakke, der blandt andet indeholder et felt, der definerer nyttelastens længde. Et hjerteanfaldet angreb involverer at ligge omkring nyttelastens længde. Den misdannede hjerteslagspakke siger, at dens længde er 64 KB, den maksimale mulighed. Når buggy-serveren modtager denne pakke, reagerer den ved at kopiere den mængde data fra hukommelsen til responspakken.
Hvad er der i hukommelsen? Der er ingen måde at fortælle. Angriberen bliver nødt til at kæmpe igennem den og leder efter mønstre. Men potentielt overhovedet kunne alt fanges, inklusive krypteringsnøgler, loginoplysninger og mere. Rettelsen er enkel - kontroller, at afsenderen ikke ligger omkring pakkens længde. Synd de ikke troede at gøre det i første omgang.
Hurtig respons
Da udnyttelse af denne fejl ikke efterlader spor, kan vi ikke rigtig fortælle, hvor meget angiveligt sikre data er blevet stjålet. Dr. David Bailey, BAE Systems Applied Intelligence's CTO for Cyber Security, sagde "Kun tiden vil vise, om digitale kriminelle er i stand til at udnytte dette til at erhverve følsomme personlige data, overtage brugerkonti og identiteter og stjæle penge. Dette specifikke problem vil passere, men det fremhæver et vigtigt træk i den tilsluttede verden og illustrerer behovet for, at virksomheder og sikkerhedsudbydere begge skal være smidige i, hvordan de løser problemer som disse og anvender efterretningsstyrede teknikker, der forbedrer forsvaret, før svage steder bliver angrebet."
Det ser ud til, at de fleste websteder demonstrerer den krævede smidighed i dette tilfælde. BAE rapporterer, at den 8. april fandt 628 af de 10.000 bedste websteder sårbare. Den 9. april i går var dette nummer nede til 301. Og i morges var det aftaget til 180. Det er en ret hurtig reaktion; lad os håbe, at holdouts bliver travlt med at rette fejlen snart.
Infografien herunder illustrerer, hvordan Heartbleed fungerer. Klik på det for en større visning.
