Due ricercatori sostengono di aver realizzato un attacco in grado di mandare gambe all’aria le comunicazioni cifrate su protocolli SSL e TLS superando con facilità la cifratura messa in atto dai due certificati.
I due ricercatori (Juliano Rizzo e Thai Duong) hanno battezzato il loro attacco BEAST, acronimo che sta per “Browser Exploit Against SSL/TLS“.
La presentazione del lavoro avverrà il prossimo venerdì a una conferenza sulla sicurezza che si terrà a Buenos Aires, ma già da ora i due ricercatori parlano di un attacco difficile da bloccare se non con un massiccio sforzo di riconversione da parte di una fetta significativa di servizi web.
Il codice creato da Rizzo e Duong agisce come un classico attacco “man-in-the-middle” (uomo in mezzo) ed è composto da due diversi componenti: la prima parte consiste in un codice che va caricato all’interno del browser della vittima, mentre la seconda si incarica di catturare e decrittare i cookie di sessione HTTPS.
In media, stimano i due ricercatori, occorrono cinque minuti per leggere in chiaro le informazioni contenute nei cookie cifrati.
Via | PuntoInformatico
Ottimo… ci mancava solo questa, ma a questo punto significa che renderanno pubbliche le modalità di attacco dei due protocolli? Cioè, se un malintenzionato dovesse essere presente alla conferenza di domani, sarebbe praticamente l’inizio della fine per l’https?!
Pingback: BEAST: hackerato il protocollo SSL – mezza internet è in pericolo | buonaguida.com
Pingback: Hackerati i protocolli SSL e TLS | IT Pills#News - Scolastic
Realmente questa cosa è vecchia di 2 anni, i primi crack si facevano nel 2004 in maniera brutale con esuberi di potenza, poi nel 2009 si è definito questo attacco classico con il “man in the middle”.