Pondělí 8. března 2021, svátek má Gabriela
  • schránka
  • Přihlásit Můj účet
  • Pondělí 8. března 2021 Gabriela

Nový útok DROWN ohrožuje uživatele. Každý třetí server je zranitelný

  15:00
Výzkumníci našli nový způsob útoku na šifrovanou komunikaci internetových serverů. Útočník jej může napadnout a zmocnit se soukromých dat: jmen, hesel, čísel kreditních karet apod. Přibližně 33 % serverů na světě je nyní zranitelných.

Útok DROWN využívá staré chyby v SSLv2 | foto: drownattack.com, montáž: Pavel Kasík - Technet.czProfimedia.cz

Informace o útoku nazvaném DROWN (Decrypting RSA with Obsolete and Weakened eNcryption) zveřejnil mezinárodní výzkumný tým 1. března. Využívá 17 let staré chyby v dnes již překonaném, ale stále používaném protokolu SSLv2.

„Jde o vážnou zranitelnost, která se dotýká protokolu HTTPS a dalších služeb závisejících na SSL a TLS, tedy klíčových šifrovacích protokolů nezbytných pro zabezpečení na internetu,“ uvádí autoři studie (dostupná v PDF). „Zranitelné mohou být webové stránky, mailové servery a jiné služby, které protokol TLS využívají,“ dodává český Národní bezpečnostní tým.

Zranitelné jsou ty servery, které:

  • povolují zastaralý protokol SSLv2
  • využívají klíč, který je zároveň využit serverem povolujícím SSLv2

Princip útoku DROWN

Podle odhadu autorů je zasažena čtvrtina až třetina všech internetových serverů. „Tento problém je srovnatelný s chybou Heartbleed (více o Heartbleed zde). I v tomto případě může dojít k dešifrování komunikace,“ uvedla pro Technet.cz Zuzana Duračinská, bezpečnostní analytička sdružení CZ.NIC.

Po celém světě jsou zranitelné miliony serverů. V České republice jsou to tisíce. „Podle informací, které jsme včera obdrželi, se problém týká téměř třinácti tisíc IP adres,“ řekla Duračinská. „Všechny provozovatele těchto adres jsme již o tomto problému informovali.“

Řešení: okamžité i dlouhodobé

Každý provozovatel webových serverů si může ověřit, zda je jeho server napadnutelný útokem DROWN. Nejjednodušší ochranou je zakázat protokol SSLv2 na všech serverech. Některé webové servery (např. Microsoft IIS od verze 7.0) a knihovny (např. OpenSSL od verze 1.0.2g) jsou takto již nastavené, u jiných je potřeba toto nastavení upravit.

Uživatelé nemohou pro svou ochranu v tuto chvíli udělat nic, na straně klienta není proti útoku DROWN obrany. Maximálně se mohou vyhýbat serverům, které nejsou zabezpečené. To nám potvrdila i Duračinská: „Na straně uživatelů bohužel není možné se jakkoliv bránit. Potřebná opatření musí udělat dotčení provozovatelé služeb.“

Ohrožené jsou servery, které využívají TLS i SSLv2 protokoly, nebo servery,...

Ohrožené jsou servery, které využívají TLS i SSLv2 protokoly, nebo servery, které používají SSLv2 protokol a sdílí klíč s jiným TLS serverem. Celkem je tak zranitelných 33 % webových serverů.

Dlouhodobé řešení vidí autoři studie v pečlivém zavírání bezpečnostních chyb, odstřihávání zastaralých protokolů a knihoven a omezení opakovaného využívání bezpečnostních klíčů. V současné době ale podle nich „finanční politika certifikačních autorit povzbuzuje firmy k tomu, aby si nakoupily nejmenší možný počet bezpečnostních certifikátů.“

Autor:
  • Nejčtenější

MiG-29 byl nejvýkonnější stíhačkou čs. letectva, Češi ho ale brzy zavrhli

Služba letounů MiG-29 u letectva československé armády byla krátká, a to z důvodu rozdělení republiky na dva samostatné...

Z boeingu v jedenácti kilometrech nic nevyhodíte, směje se pilot konspiraci

Pravda bývá nudnější než konspirační teorie, zejména proto, že v ní platí fyzikální zákony. Jak moc je děravé tvrzení o...

První výlet Perseverance po Marsu. Šest a půl metru urazil za 33 minut

Robotický průzkumník Perseverance se dal poprvé od svého únorového přistání na Marsu do pohybu, oznámil americký...

Prototyp velké lodi SpaceX konečně úspěšně přistál, pak však vybuchl

Společnost SpaceX provedla další test prototypu, z nějž vznikne budoucí velkokapacitní loď Starship. Ten současný měl...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Nejzajímavější československý letoun k obraně vlasti vznikal v Pragovce

Výzbroj letectva ČSR byla před druhou světovou válkou tristní. Moderně řešené letouny domácí konstrukce vznikly příliš...

Exploze viru: v domově důchodců ve Vrchlabí zabil polovinu seniorů

Premium Tragédie v domově seniorů varuje, jak rychle se šíří nákaza koronavirem a jak smrtelná může být. Celorepublikově pak...

Randění pod rouškou. Reportérka absolvovala sedm pokusů o seznámení

Premium „Jestli si někoho nenajdeš, než ti bude třicet, nainstaluju ti seznamku,“ oznámila mi moje nejlepší kamarádka. Patřím...

Zavřené nezavřené restaurace. Jak vypadá zapovězený společenský život?

Premium Zaplněné stoly, skupinky lidí se sklenicemi vína a smích nesoucí se až na ulici. Nejde o výjev starý víc než rok, ale o...

  • Další z rubriky

Twitter začal testovat hlasovou konkurenci Clubhousu na další platformě

Úspěch sociální sítě Clubhouse, která sází na hlasovou komunikaci, nedá spát jeho konkurenci. I proto se Twitter pustil...

Válka o soukromí na internetu probíhá i v segmentu vyhledávání

Počet položených dotazů prostřednictvím internetových prohlížečů každým rokem roste. S tím rostou i požadavky na větší...

Služební cesty od stolu ve 3D. Virtuální veletrhy mohou vypadat jako hra

Virtuální výstavy, konference a veletrhy byly v posledních měsících nezbytností. Pokud budou fungovat i po pandemii...

Chraňte si soukromí a nenechte se vystopovat webovými stránkami

Internet není soukromé a už vůbec ne anonymní místo. Nejen webové stránky, na kterých surfujete, mohou získat jasnou...

Nepravda a účelovka, říká Koukal o tvrzení exmanželky Soukalové

Po obviněních bývalé biatlonistky Gabriely Soukalové (31), že ji exmanžel Petr Koukal (35) podváděl a utrácel její...

Zemřel rockový bubeník kapely Citron a podnikatel Radim Pařízek

Zemřel rockový bubeník spjatý zejména s heavymetalovou kapelou Citron Radim Pařízek. Hudebníkovi, který se uplatnil i v...

Jeden partner byl sadista, druhý asexuál, říká autorka erotické trilogie

Blanka Lipinska (35) se proslavila svou erotickou trilogií s názvem 365 dní. Polská spisovatelka si momentálně užívá na...

České lvy vyhrál Šarlatán, z herců Trojan, Borová, Mádl a Špalková

Filmové ceny Český lev za rok 2020 vyhrál životopis léčitele Šarlatán, vyslaný rovněž za Oscary. Cenu pro herce v...

Těžká z dokumentu V síti má kromě manžela a přítelkyně i další milostné vztahy

Tereza Těžká (25) je divákům známá jako jedna z představitelek náctiletých dívek v dokumentu o sexuálních predátorech V...