Útok DROWN je závažný, může za něj i úmyslné oslabení, vysvětlují experti

  10:21aktualizováno  13:05
Zranitelnost DROWN, využívající oslabené bezpečnosti starších protokolů a špatného nastavení přibližně třetiny světových serverů, ukazuje na některé dlouhodobější problémy.

Princip útoku DROWN: Útočník napadne server požadavky SSLv2 a získá tak údaje, které využije k dekódování dat oběti přenášených přes TLS. | foto: drownattack.com

Útok DROWN, zveřejněný 1. března (viz náš předchozí článek) ukazuje princip, který lze využít pro napadení šifrované komunikace (například HTTPS) pomocí zranitelnosti staršího protokolu SSLv2. Uživatelé se přitom útoku nemohou bránit, chybu musí opravit provozovatelé serverů.

V čem spočívá útok DROWN

Podle analytiků ze společnosti Avast je chyba závažná, ale nikoli tak kritická, jako byla zranitelnost Heartbleed (psali jsme o ní v dubnu 2014). „Chyba DROWN je z hlediska bezpečnosti a ochrany dat velice závažná, ale jedná se především o špatné nastavení serverů, nikoli o novou chybu v kryptografii,“ shrnul pro Technet.cz názor analytiků Michal Salát, Threat Intelligence Manager firmy Avast. „Prevence proti DROWN útoku je v porovnání s Heartbleed hrozbou velice jednoduchá, ale exploitace systému je v případě DROWN složitější.“

Obrana musí proběhnout na straně serveru

„Útočník může pomocí DROWN zranitelnosti dešifrovat obsah HTTPS komunikace díky zneužití starého SSLv2 protokolu. Autorům této zranitelnosti se také podařilo zneužít některých chyb v OpenSSL a proces dešifrování mnohonásobně zrychlit,“ připomíná Salát. „Útočník tak může získat přístup k datům z webových stránek nebo IM služeb, e-mailům, ale také on-line platbám, číslům kreditních karet, heslům a dalším.“

A jak se bránit? „Administrátoři serverů by se měli ujistit, že jejich privátní klíče nejsou použity v žádném serverovém softwaru podporujícím SSLv2 (web server, SMTP/IMAP/POP server, xmpp apod.) Dále doporučujeme update OpenSSL na poslední verzi a globální vypnutí podpory SSLv2 protokolu,“ vyjmenovává Salát. Uživatelé nemohou svou napadnutelnost nijak ovlivnit, veškerá opatření proti DROWN probíhají na straně serveru.

„Podle informací, které jsme 1. března obdrželi, se problém týká téměř třinácti tisíc IP adres,“ řekla pro Technet.cz Zuzana Duračinská, bezpečnostní analytička sdružení CZ.NIC. „Všechny provozovatele těchto adres jsme již o tomto problému informovali.“ Na této webové stránce je možné otestovat, které servery zatím mezery v nastavení neopravily.

Zranitelnost DROWN zároveň upozornila na nevýhodu úmyslného oslabování šifrování, o které se často snaží různé vládní agentury. „Je to skvělá ukázka toho, jak úmyslně oslabená kryptografie v dlouhodobém horizontu poškodí bezpečnost všech,“ říká Nadia Heningerová, která o počítačové bezpečnosti přednáší na University of Pennsylvania a podílela se na studii popisující zranitelnost DROWN.

Aktualizace: Doplněné vyjádření odborníků.

Autor:
  • Nejčtenější

Šarlatán, či génius? Vědec se před 100 lety chlubil vynálezem paprsku smrti

v diskusi je 17 příspěvků

6. dubna 2024

Před 100 lety lidé doslova hltali v novinách zprávy o převratném vynálezu „the death ray“, tedy...

Hlavně zaujmout. Do Sněmovny dorazili před 100 lety komunisti z Podkarpatské Rusi

v diskusi je 20 příspěvků

7. dubna 2024

Na začátku dubna 1924 se poprvé do Prahy na schůze Národního shromáždění dostavili premiérově nově...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Na méně používané dráze se potkalo několik obrů i návštěva z pouště

v diskusi jsou 2 příspěvky

10. dubna 2024  10:13

Letiště Václava Havla využívá při tzv. západním proudění jako hlavní dráhu pro starty a přistání...

Apple vzdal vlastní auto, ale chystá se domácnosti zaplavit roboty

v diskusi je 32 příspěvků

5. dubna 2024

I Apple si někdy dokáže ukousnout příliš velké sousto, které se mu pak vzpříčí v hrdle. Naposledy...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

OBRAZEM: Po zkušenostech s Moskvou neponechává Litva otázku výzbroje náhodě

v diskusi je 17 příspěvků

11. dubna 2024

Litva se stala členem obranné aliance NATO v roce 2004. Pro zajištění vlastní bezpečnosti v...

Patnáct zbytečných obětí. Před 100 lety vybuchl důl Gabriela na Ostravsku

v diskusi jsou 3 příspěvky

12. dubna 2024

Dvanáctý duben 1924 přinesl vážnou důlní katastrofu v Československu. Výbuch v dole Gabriela v...

Tyto obrázky určitě budete znát. Všechny ikonické tapety z Windows XP

v diskusi je 31 příspěvků

12. dubna 2024

Jsou to fotografie či grafické motivy, které mnozí z nás vídali denně. Sada základních tapet pro...

Messenger opravuje směšné nedostatky, a přidává nové funkce

v diskusi je 9 příspěvků

11. dubna 2024  12:41

Společnost Meta oznámila nové funkce „kecálka“ Messenger. Při odesílání fotek přibude tlačítko...

Co kdyby Švejk velel válečné lodi? Zkuste si to ve World of Warships

11. dubna 2024

Advertorial Do oblíbené počítačové hry World of Warships vstupuje nová postava českého velitele. Tím není nikdo...

Čechy poznám podle outdoorové módy. Nosí ji bohužel i ženy, říká Kerekes

Vica Kerekes (43) si postěžovala na to, že Češi nosí outdoorové oblečení často i na místa, která k tomu nejsou vhodná...

Když se prohlížíme s manželem nazí, jsem smutná, říká herečka Želenská

Olgu Želenskou (63) znají čeští diváci především z dabingu nebo z jejího zájezdového divadla Háta. Objevila se i v...

Prosila jsem o shovívavost a žádná nepřišla, říká Anna Julie Slováčková

Anna Julie Slováčková (28) se v rozhovoru pro iDNES.cz svěřila s tím, kdo je pro ni v životě momentálně největší oporou...

Bianca Censori opět pobuřuje, ukázala prsa i klín v průsvitných šatech

Bianca Censori (29) se nahoty nebojí. Manželka rapera Kanyeho Westa (46) odhalila bujné poprsí i klín v průsvitném...

Češi potrestali Chorvatsko za drahotu, vyrazili do Itálie. Vyplatí se i exotika

Premium Zvýšení cen služeb na Jadranu mělo za následek, že tam loni vyrazilo meziročně méně Čechů. Odliv českých turistů...