شماره: IRCNE2014062212
تاريخ:18/03/93
محققان ژاپني حفره ديگري را در OpenSSL كشف كردند كه بيش از 16 سال است كه فعال بوده و در اختيار مجرمان سايبري قرار داشته است.
Masashi Kikuchi يكي از محققان امنيتي در Lepidum اظهار داشت كه چگونه آسيب پذيري هاي تزريق CCS قبل از سال 1998 فعال بوده است. كدهاي سوء استفاده، يك پروتكل استفاده شده در انتهاي يك ارتباط SSL با نام ChangeCipherSpec را تحت تاثير قرار مي دهند.
هكرهايي كه از وجود اين نقص باخبر بودند توانسته اند با استفاده از حملات MitM، داده هاي رمزگذاري شده بين سرورهايOpenSSL و كلاينت را ردگيري و رمزگشايي نمايند.
Kikuchi گقت: بزرگترين دليلي كه باعث شده است تا اين حفره ها پس از 16 سال شناسايي شوند آن است كه بررسي كدها ناكافي بوده است. اگر بازديد كنندگان كد از تجربه كافي برخوردار بودند، بايد با همان روشي كه كدهاي خود را بازبيني مي كنند، كد OpenSSL را مورد بازبيني قرار مي دادند.
تيم ارتقاء دهنده OpenSSL يك حفره امنيتي را در اين محصول اعلام كردند و هم چنين يك راهنمايي امنيتي را منتشر كرده و از كاربران خواسته اند تا براي اصلاح اين مشكل نرم افزار خود را ارتقاء دهند.
Adam Langley، مهندس نرم افزار گوگل اظهار داشت: خبر خوب آن است كه در اين حملات به يك موقعيت MitM نياز است. به تمامي كاربران OpenSSL توصيه مي شود تا به آخرين نسخه به روز رساني نمايند.
- 4