| |
最近，來自Rapid7 的一組國際安全研究員演示了如何成功攻擊網(wǎng)絡(luò)公鑰架構(gòu)(Public Key Infrastructure，PKI)。PKI是利用MD5 Hash函數(shù)產(chǎn)生的簽名對Web網(wǎng)站安全證書進行認證的一種基礎(chǔ)架構(gòu)。
值得慶幸的是，該漏洞很容易被診斷出來，破解這種攻擊也并不困難：
這是什么樣的攻擊?
HTTPS網(wǎng)站會對訪問者的瀏覽器發(fā)送安全證書，以通過身份驗證來保證安全鏈接。安全證書中包含了該網(wǎng)站的主機名稱和它的公共密鑰，并由認證機構(gòu)CA簽署并加密該安全證書。瀏覽器則通過自己信任的CA列表對訪問網(wǎng)站進行安全驗證，檢查該CA是否值得信任，從而避免受到釣魚攻擊。
而在這次特定的襲擊中，研究員成功地建立了一個有效的中間CA證書(經(jīng)過權(quán)威CA認證)。然后，他們利用它來生成任意有效的Web站點證書，使它們能夠模仿HTTPS網(wǎng)站、監(jiān)測甚至篡改這些網(wǎng)站。這種攻擊可能會影響到使用基于MD5機制所產(chǎn)生的X.509證書的應(yīng)用軟件。黑客們正在準備通過碰撞攻擊法(collision attack)來攻擊MD5運算法則，然后產(chǎn)生假冒的認證授權(quán)中心(Certificate Authority )。
這次攻擊簡要概況如下：
1、攻擊者利用MD5中的漏洞創(chuàng)建假冒CA。
2、攻擊者可為某個Web站點創(chuàng)建有效HTTPS證書。
3、攻擊者利用安全證書獲得大部分瀏覽器的信任。
4、攻擊者可以肆意執(zhí)行基于瀏覽器攻擊并獲取終端用戶敏感數(shù)據(jù)。
就實際情況而言，這意味著誰掌控了假冒CA誰就可以發(fā)動中間人式的攻擊，并且獲得用戶的銀行帳號信息。其他的攻擊還包括篡改發(fā)送到安全站點的數(shù)據(jù)信息以及釣魚攻擊。
破解攻擊步驟
在這種情況下，最好的解決辦法就是廢除所有的MD5證書。簡要步驟概述如下：
保護Web應(yīng)用程序：
1、查明任何證書或者使用MD5的證書。特別是要仔細核對TLS/SSL 服務(wù)器或者客戶端證書，使用Rapid NeXpose 可以掃描該漏洞。
2、采用SHA-1或者SHA-2而不是MD5驗證安全證書。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
