RC4 NOMORE暗号単なる時間でユーザのCookieを解読するために使用されるエクスプロイト
CNET
研究者は、単なる時間でユーザデータを復号化するためのプロトコルを利用することができた後にオンラインの安全な通信チャネルをサポートするために、RC4の利用に関する新たな警告が発行されました。
ルーヴェン、ベルギー、大学の研究者マティVanhoefとフランクPiessensその他はいる弱点悪用する方法を実証し、潜在的に危険性のあるエンドユーザーに格納されたコンテンツを配置し、ウェブクッキーを復号化するために、リベスト暗号4（RC4）暗号化アルゴリズムでは。
RC4は、トランスポート層セキュリティ（TLS）、サーバーとユーザーとの間のデータ伝送時にスパイから第三者を防止するために使用されるチャネルを介してコンテンツ暗号化をサポートするためのいくつかのオプションの一つです。広く安全なデータ転送におけるウェブサイトの数によって今日使用さが、アルゴリズムは、およそ30年前に設計されており、現代のサイバー攻撃に対して脆弱ですしました。
Wensenseのブログ投稿で調査チームの発見は、最近発見された詳細RC4のNOMORE（多数の発生の監視およびRecoveryExploit）と呼ばれる悪用。RC4の弱点を使用して、前の攻撃で2000時間の平均値からは程遠い - 攻撃は、Web、わずか52時間程度でユーザーデータを格納するクッキーを解読するために暗号の欠陥を利用しています。
「意味がのman-in-the-middle（MITM）機能を備えた攻撃者が、必要なクッキーのデータを決定するために、処理に必要なデータを生成するコードにアクセスするためのユーザーを引き起こす可能性があることを、「研究者らは述べました。
「短い時間の中で、攻撃者は、その後、生成されたクッキーデータを使用して、ターゲットの代わりにウェブサイトにログオンすることができます。」
カリフォルニアのバークレー大学で国際コンピュータ科学研究所によると、約暗号スイートの13％は、世界中のウェブマスターによって使用され、まだウェブサイトの数十万人を配置するRC4暗号化アルゴリズム、使用する-とそのユーザーのデータを-危険に。
セキュリティ企業WebsenseはRC4は今、安全なデータ暗号化をサポートする「信頼できない」方法考慮されるべきであると考えています。Mozillaは、可能な場合による暗号化アルゴリズムの構造の弱点にアルゴリズムを無効にすることをお勧めします。同社はFirefoxブラウザの以前のバージョンで完全にアルゴリズムを削除しようとしましたが、プロトコルがテレメトリデータによる使用中です。マイクロソフトは、することにより、Internet Explorer 11のRC4への依存度を減らす始めたアルゴリズムを取り除く初期TLSハンドシェークから。
Websenseのの調査結果は来月ワシントンD.C.にUSENIXセキュリティシンポジウムで発表されます。カール·レナード、Websenseのでプリンシパルセキュリティアナリストは、ZDNetのに次のように語りました。
RC4 アルゴリズムで発見され、そのような根本的な弱点が公開されている場合」、企業は、座って聞くと、ほぼ30年前に設計された効果的な行動。RC4を取る必 要がある、本当の脅威にビジネスをさらす、攻撃に対して脆弱であることが示されています潜在的にわずか52時間でクッキーを復号することにより、知的財産 および財務データを公開可能性があります。
時間枠が与えられ、さらにRC4、現在感受性を支持する上面100アレクサ部位44と、RC4は、再び安全なデータ暗号化を実現するために非常に信頼性の低い方法であることが証明されています。」
トップピック
- マイル離れから匿名でのWi-Fiへのアクセス方法
- 公共のWi-Fiのハックを使用して、英国の政治家のアカウントを引き継ぐ方法
- 重度のiOSのバグは、iCloudのパスワードの盗難に促します
- チームをハッキング：私たちは、「アップしなびと離れて行く」ではないでしょうサイバー攻撃の後
- 陸軍の外骨格は、撮影する兵士を訓練します
- ハッカーは、致命的な用量を投与するための医療用ポンプを制御します
