Два бельгийских исследователя-безопасника из университета Левена забили еще пару гвоздей в гроб алгоритма шифрования RC4, сообщает «Лаборатория Касперского».
Опубликованный доклад, который, как ожидается, будет представлен на предстоящем в следующем месяце симпозиуме USENIX в Вашингтоне, описывает новые атаки на RC4, которые позволяют атакующему перехватывать cookie-файл жертвы и расшифровывать его за гораздо меньшее время, чем это считалось возможным ранее.
Доклад «All Your Biases Belong To Us: Breaking RC4 in WPA-TKIP and TLS«, написанный Мэти Ванхуфом (Mathy Vanhoef) и Фрэнком Писенсом (Frank Piessens), содержит описание обнаруженных особенностей алгоритма, которые позволяют взламывать шифрование на вебсайтах, работающих по TLS с RC4, а также с WPA-TKIP, Wi-Fi Protected Access Temporal Key Integrity Protocol, с целью кражи cookie-файлов.
Ванхуф и Писенс привели примеры, как злоумышленник может использовать эти открытия для расшифровки cookie-файлов пользователя, которые должны были быть защищены шифрованным каналом. Тем не менее, применение их атак не ограничивается cookie-файлами.
«Это означает, что злоумышленник может выполнять действия от имени жертвы (например, публиковать обновления статуса и отправлять сообщения), получать доступ к личной информации (например, к электронной почте и истории чата) и так далее», – сказали ученые.
По их словам, исследование сильно упрощает предварительную работу в этой области, что позволяет расшифровывать cookie в пределах 75 часов, и это придает атакам практический смысл. Продолжительность атак против реальных устройств им удалось сократить до 52 часов.
Исследователи заявили, что для того, чтобы провести атаку, нужно перехватить из TLS-потока несколько зашифрованных cookie-файлов, преобразовать их в вероятные значения cookie и продолжать перебор, пока не будет найдено правильное значение.
Microsoft и другие ведущие технологические компании уже предприняли шаги в сторону отказа от RC4 в TLS, так же, как и от других слабых алгоритмов вроде SHA-1. Этот доклад демонстрирует новые проблемы и объясняет, как исследователи вычисляли нужные значения cookie-файлов для расшифровки информации.
Распространившаяся в сети информация о том, что для доступа к Госуслугам будет обязательна регистрация биометрии в Единой биометрической системе является фейком, заявили в Минцифры России
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
