SSL de la grieta de los investigadores Phishing y Spoofing la autoridad de la certificación de Digitaces (CA)

Cuando el usuario visita un Web site seguro cifrado con el SSL (asegure la capa de zócalos, ahora conocida como seguridad de la capa de transporte (TLS)) El protocolo de HTTPS, tal como comercio electrónico y sitios de las actividades bancarias del Internet, la mayoría de la gente sentirá que el sitio es más digno de confianza, confiable y poco probable ser Web pages malévolos o phishing. Sin embargo, la seguridad asociada al SSL puede ser cosas de a más allá en equipo de investigadores en California, el centro Wiskunde y Informatica (CWI) en los Países Bajos, EPFL en Suiza, y la Universidad Tecnológica de Eindhoven (TU/e) en los Países Bajos revele un error de seguridad serio en el protocolo del SSL, y presentado lo durante el 25to congreso de la comunicación del caos (25C3) en Berlín.

La vulnerabilidad explota un insecto en el algoritmo de cálculo criptográfico MD5 usado para crear algunos de los certificados digitales publicados por la autoridad de la certificación (CA). Los trabajos de la grieta porque desmenuza se utilizan para crear una “huella digital digital” que se suponga para identificar únicamente un documento y se pueda calcular fácilmente para verificar que el documento no se ha modificado en tránsito. Pero el defecto en el algoritmo MD5 permite crear dos diversos documentos que tengan el mismo valor de picadillo numérico. Así, alguien puede crear un certificado digital áspero para un sitio phishing que tenga la misma huella digital que el certificado para un Web site genuino, permite con eficacia que los Web site prueben que sean lo que demandan ser, aunque en realidad no estén.

Con cerca de 200 la granja de PlayStation 3 (PS3) (su procesador de la célula es popular entre los trituradores del código porque es bueno en la ejecución de funciones criptográficas), los investigadores manejan crear un Certificate Authority eliminado las plantas débiles (CA) que sea una copia replegada exacta de la genuina, y lo utilizaron para publicar los certificados válidos del SSL para cualquier sitio que quisieran. Incluso con la parodia ilegal digital firmó CERT, usuario final (ni su hojeador) sabría que su HTTPS: /se está comprometiendo la conexión si está atacada.

Hasta ahora, los investigadores han manejado cortar el sitio del Certificate Authority de RapidSSL.com de VeriSign y crear los certificados digitales falsos para cualquier Web site en el Internet. Otros sitios del CA que utilizan MD5 para generar los certificados digitales incluyen el japonés de VeriSign, TrustCenter AG del TC, la unidad del EMC RSA y Thawte.

Usted puede ver el certificado firmado reproducido áspero del CA en https://i.broke.the.internet.and.all.i.got.was.this.t-shirt.phreedom.org/

Sin embargo, no se espera que la debilidad y la vulnerabilidad planteen riesgo significativo, pues el fondo criptográfico al ataque no se publica, y el ataque no es repetible sin esta información. Además, y más importante, la mayor parte de los vendedores del Certificate Authority que publican certificados digitales han estado utilizando el algoritmo más seguro SHA-1.

Transfiera las diapositivas de la 25ta presentación del congreso de la comunicación del caos (25C3 ) en la grieta de la hazaña del SSL MD5: md5-collisions-1.0.ppt

Lea la información detallada sobre la hazaña en “ MD5 titulado de papel consideraba hoy dañoso - creando un certificado de CA del granuja”.

IMPORTANTE: La página es traducida por computador y con tal que “como está” sin garantía. La traducción automática puede ser difícil de entender. Refiera por favor al artículo inglés original siempre que sea posible.

Artículos relacionados

• Los investigadores de la Universidad Cornell demostraron vulnerabilidad del GPS con Spoofing actividades
• IE7 retardan respuesta en XP y el sistema informático de Vista debido al filtro de Phishing
• Invención del papel que habla de los investigadores suecos
• Revisiones del cubo del Spam (virus anti del Spam y herramienta de Phishing)
• Explorador de película de Digitaces para convertir las películas negativas análogas a las fotos de Digitaces
• Revisiones y comparaciones del zumbido de Canon PowerShot SD40 Digitaces ELPH o de Digitaces IXUS i7
• La firma de Digitaces lanza la nueva estación de música de Digitaces de la menta 220
• Revisiones de Canon Digital IXUS 60 (Canon PowerShot SD600 Digitaces ELPH)
• Canon Digital IXUS 800 ES (Canon PowerShot SD700 ES Digitaces ELPH) revisiones
• FOE 400D Digitaces de Canon o revisiones rebeldes y comparaciones del FOE Digital XTi de Canon

Esta entrada fue fijada el jueves 1 de enero de 2009 en el 2:09 y se archiva bajo seguridad. Usted puede seguir cualquier respuesta a esta entrada a través de la alimentación de RSS 2.0. Usted puede dejar una respuesta, o el trackback de su propio sitio.