- Fundene
- Hvad har eksperter at sige?
- Hvad kan du gøre?
Hvis du troede, at dine data var sikre, så tænk igen. Fordi ifølge akademiske studier blev det konstateret, at på grund af TLS 1.3-sårbarhed, kan hackere nu trykke på en sikret kanal og kan høste data for ondsindet hensigt.
Forskningsartiklen blev offentliggjort af Tel Aviv University, University of Adelaide og University of Michigan samt Weizmann Institute. Derudover har NCC Group og Data61 også konkluderet lignende fund.
Fundene
Angrebet er ændret version af det faktiske Bleichenbacher-orakelangreb, som tidligere var i stand til at afkode en RSA-krypteret meddelelse ved hjælp af Public-Key Cryptography.
Denne nye bølge søger imidlertid at arbejde imod TLS 1.3, som er den seneste version blandt TLS-protokollerne. Myndighederne mente, at det var sikkert, men tilsyneladende er det ikke, og det er alarmerende!
Da TLS 1.3 ikke understøtter RSA-nøgleudveksling, mente forskere det bedst at fortsætte med nedgraderingsversionen, dvs. TLS 1.2, til det formål at vurdere angrebet.
Som et resultat nedgraderes afhjælpninger såsom en serverside og to-klientside, der omgår nedgraderingsangrebet. Dermed konkluderes det, at hvis der var større RSA-nøgler, kunne disse angreb være blevet forhindret, og også timeout for håndtryk ville have forkortet.
Ni forskellige TLS-implementeringer blev undersøgt; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL og GnuTLS, hvoraf BearSSL og Googles BoringSSL var sikre. Alle de andre forblev sårbare.
Hvad har eksperter at sige?
Hvad antallet af angreb angår, mener Broderick Perelli-Harris, sr. Direktør hos Venafi, at de har dukket op siden 1988 under variationer af Bleichenbacher. Derfor er det ikke overraskende, at TLS 1.3 også er sårbar.
Jake Moore, cybersikkerhedsspecialist hos ESET UK mener, at angrebet af kryptografisk karakter ikke er det første og ikke vil være det sidste af sin art. Han er også af den opfattelse, at det ligner et spil af Whac-A-Mole - hver gang en sikkerhedsrettelse anvendes, dukker en anden op.
Hvad kan du gøre?
Alt i alt er fejlen i den originale sammensætning af TLS-krypteringsprotokollen. Men på nuværende tidspunkt på grund af selve designet af protokollen er patching den eneste vej frem.
Hvad kan du gøre for at beskytte dig selv i mellemtiden? Anvend tofaktorautentisering (2FA), hold din software opdateret, f.eks. Anti-malware / antivirus, indstilling af stærkere adgangskoder og en anstændig VPN-service, såsom Ivacy.
