FREAK攻击警告:苹果和谷歌的设备最容易受到攻击

2015/03/09

新发现的SSL/TLS漏洞让攻击者可将HTTPS加密降级到容易被解密的连接。允许攻击者可在浏览器和服务器之间的通信监听。此漏洞的严重程度非常高,因为攻击者可以使用它来获取登录凭据,访问敏感系统如银行网站,以进行金融欺诈。

这让人想起最近出现被利用来破坏加密通信的Heartbleed和Poodle漏洞。

该漏洞绰号为FREAK攻击,是从去年Heartbleed OpenSSL项目代码演变的。然而该影响因不同供应商浏览器而异。

苹果的Safari和安卓浏览器被确定为最脆弱的。而Chrome, IE和Firefox浏览器,却不受影响。

如何发生的呢?

在90年代,美国政府控制他们认为是“武器级”加密的传播。他们允许强大128位加密在美国使用,但联邦调查局希望美国情报部门和执法部在与国外通信是要有“后门”。被引入为“出口级”的弱40位加密要在美国以外使用,让美国当局可按需求破解。

虽然大多数的浏览器并不支持40位加密套件,但它们却存在于多达1/3 SSL库和浏览器中。如果该加密套件出现在浏览器,攻击者可安装所谓的“降级攻击”,强制使用弱密码套件。利用中间人攻击,攻击者将在浏览器和服务器之间插入进程,以截获和解密它们的信息。

不幸的是,这个功能并没有内置在众多的web服务器中。攻击者可以强逼受攻击的客户端和服务器使用HTTPS连接中的弱出口级加密,以使用中间人攻击拦截或改变消息。

您应该做什么?

这种类型攻击能成功,无论是web服务器或者是受害者的浏览器,必定是脆弱的。如果您经营着web服务器,那么您应该禁用任何出口套件,和所有的已知不安全密码支持。您也必须启用向前保密。Mozilla已经发布指南和SSL配置生成器,生成良好的配置给共有服务器。

网络用户可以点击这链接检查您的浏览器是否被影响:

https://freakattack.com/clienttest.html?key5sk1=69beb8e64da77eed87eb8587286f586776395520

苹果和谷歌都急着修复这浏览器问题,但您可以试试看使用科摩多基于Chromium浏览器的Comodo Dragon、和基于Firefox的 Comodo iceDragon。两个浏览器都具有无与伦比的隐私和安全功能,而且还是免费下载。

Write a comment

Name
Comment