Уязвимость браузеров при проверке SSL-сертификатов

Специалист по безопасности Джекоб Аппелбаум (Jacob Appelbaum) опубликовал SSL-сертификат и соответствующий секретный ключ, которые позволяют web-серверам избегать появления предупреждений о корректности сертификата в уязвимых браузерах - независимо от домена, для которого представлен сертификат. Фишеры, например, могут использовать сертификат, чтобы замаскировать их серверы под законные банковские сайты, которые будут обнаружены, только при более тщательном исследовании сертификата.

Для реализации трюка, Аппелбаум изменил сертификат согласно методу, продемонстрированному Мокси Марлинспайком (Moxie Marlinspike ) на конференции Black Hat, введя нулевой символ (\0) в поле имени (CN, Common Name). Однако, в отличие от Марлинспайк, Аппелбаум показал, что при задействовании маски'*' удалось создать универсальный сертификат для произвольных имен домена:

Code:

  CN= *\x00thoughtcrime.noisebridge.net
    OU = Moxie Marlinspike Fan Club
    O = Noisebridge
    L = San Francisco
    ST = California
    C = US

Тесты показали, что при обращении к домену с данным фиктивным сертификатом в уязвимых браузерах не выдаются предупреждения. Соответствующие обновления, не дающие попасться на нулевую уловку, доступны для почти всех популярных браузеров. Многие другие продукты и системы, которые проверяют сертификаты сервера, обеспечивая безопасное подключение SSL, были также обновлены. Аппелбаум не видит никаких проблем с публичным опубликованием его сертификата. Специалист говорит, что сертификат позволяет разработчикам проверять их собственные программы на эту уязвимость.

01.10.2009

ИСТОЧНИК ​