HTTPS не працює. Клієнти вже не в безпеці. Що тепер?

Минулої середи дослідники безпеки голландського університету в Лювені продемонстрували нову техніку кібератаки, яка заважає експертам. Що робить цю техніку настільки страшною, це те, що вона виявляє вразливість на рівні основного протоколу всього сьогоднішнього безпечного Інтернет-трафіку. Гірше те, що немає жодних виправлень, виправлень, короткострокових рішень. Цей хак тут залишиться.

Використання протоколів SSL / TLS та сертифікатів було основою майже кожної безпечної транзакції в Інтернеті протягом десятиліть. Як суспільство, що споживає Інтернет, ми щойно подолали шлях до створення HTTPS, SSL-варіанту HTTP, опцією за замовчуванням для всього веб-трафіку.

Потім відбулася нова атака, HEIST, і підірвала весь цей прогрес. Цей новий підхід використовує техніку, подібну до тієї, яку вчені з парку Блетчлі (тобто Алан Тьюрінг) використовували, щоб зламати машину Enigma під час Другої світової війни. HEIST, як і методи Алана Тьюрінга та Маріан Реєвскі, включає відомий відкритий текст. Зловмисники видаляють значну ентропію з порушення шифрування, припускаючи певні відомі тексти (K-PA). Для Тьюрінга це були дитячі ліжечка, такі як звіти про погоду (наприклад, “WETTER”). Для HEIST це параметри, такі як “? Email =” та “& username”, у поєднанні з декількома сучасними методами, такими як стиснення та синхронізація. кілька векторів атаки, які працюють спільно.

Що цікаво в HEIST, це не його паралелі з історією. Цікаво те, наскільки глибока вразливість знаходиться всередині інфраструктури Інтернету. Хоча багато хто погоджується з тим, що у нас є деякі відомі структурні проблеми, такі як органи корінних сертифікатів, постачальники технологій наполягають на тому, що альтернативні способи використання SSL, будь-яким шляхом закріплення або самопідписаних сертифікатів, все ще можуть бути використані в безпечному режимі. Ну, HEIST доводить, що це неправда. Печворк, поверхневих рішень безпеки вже недостатньо, щоб протистояти власним вразливостям наших протоколів.

На цьому було б легко зупинитися і дозволити «гибелі та похмурості» HEIST зануритися. Але це не те, що робить команда в Uniken. Ми вже давно працюємо над розробкою наступного покоління захищених протоколів. Ми не просто залатали діри в протоколах, ми їх відбудували з нуля.

Чим ми різні? Типові запити в Інтернеті розглядають з’єднання однаково. Це залишає місце для таких речей, як атака “оракул” – одна з основних складових HEIST. Крихітні зміни в запитах випускають крихітні шматочки інформації про шифрування. Складіть ці біти разом, і ви отримаєте достатньо інформації для злому цього зв’язку. У стандартному зашифрованому зв’язку, як HTTPS, однаковою мірою є сенс розглядати підключення – зашифровані канали встановлюються до того, як може відбутися автентифікація. З продуктом REL-ID компанії Uniken ця модель змінена. Пристрій, додаток та ідентифікатор користувача повинні бути вирівняні до встановлення каналу. Більше того, повна інформація про особу завжди розділена. Ви не можете просто зламати браузер, як це робить HEIST. Щоб зламати REL-ID, вам потрібно зламати пристрій, програму, облікові дані користувача, канал та сервер … все одночасно. Ось що робить REL-ID таким потужним.

Поки REL-ID не буде вбудований у кожен браузер, HEIST і надалі буде джерелом ризику для підприємств та підприємств. Незалежно від цього, команда Uniken продовжуватиме вдосконалювати REL-ID та працювати, щоб забезпечити всі зв’язки, які ми можемо. Ми не можемо виправити вчорашні технології, але ми можемо надати вам завтрашні.

Якщо ви хочете дізнатись більше про те, як продукт REL-ID компанії Uniken революціонізує онлайн-протоколи, відвідайте веб-сайт http://www.uniken.com.

Спочатку ця публікація була опублікована за адресою https://www.linkedin.com/pulse/https-broken-clients-longer-safe-what-now-bimal-gandhi/.

Bimal Gandhi люб’язно дозволив нам перекласти і опублікувати цю статтю.