my history up until being nys emt 1998,(preceded by my run through of emergency room today)
シアトルのコンピュータセキュリティコンサルタントは、インターネット上の通信を保護するために使用されたSSLプロトコルの最近公開されたバグを悪用する新しい方法を開発したと言います。
Leviathan Security GroupのCEOであるFrank Heidt氏は、 "汎用的な" proof-of-conceptコードを使用してさまざまなWebサイトを攻撃することができると述べています。攻撃は非常に困難ですが、ハッカーは最初に被害者のネットワークを脅かすコードを実行している中間者攻撃を最初に取り除かなければなりません。これは致命的な結果につながる可能性があります。
攻撃11月5日に最初に公開されたSSL（Secure Sockets Layer）認証ギャップバグを利用しています。SSLバグの発見者の1人、PhoneFactorのMarsh Ray氏は、Heidtの攻撃のデモンストレーションを見て、彼はそれがうまくいくと確信しています。
[詳しい情報：あなたのWindows PCからマルウェアを削除する方法]SSL認証の欠陥により、攻撃者は送信されるデータを変更することができますSSLサーバーに送信しますが、戻ってくる情報を読み取る方法はまだありません。 Heidtは、SSLサーバーがリダイレクトメッセージを返してWebブラウザを別のページに送信するデータを送信します。その後、そのリダイレクトメッセージを使用して、犠牲者を安全でない場所に移動させ、HeidtのコンピュータでWebページを書き換えてから、被害者に送信します。
"Frankは、この盲目的なテキストインジェクション攻撃をインターネットの企業のコンソーシアムは、PhoneFactor開発者が数か月前に最初に発見して以来、この欠陥を修正するために取り組んでいます。バグが誤ってディスカッションリストに公開されたとき、彼らの仕事は新しい緊急性を得ました。先週、IBMの研究者であるAnil Kurmus氏は、この欠陥がどのようにしてブラウザにユーザーのパスワードを含むTwitterメッセージを送信させるのかを示していることを示しています。
この最新の攻撃は、この欠陥が安全なWebサイトからあらゆる機密情報を盗むために使用できることを示している、とHeidt氏は述べている。
SSLの下でサイトはクライアント再ネゴシエーションと呼ばれるものを実行する必要があり、特定の302リダイレクトメッセージを生成する可能性のある安全なWebページ。
多くのハイプロファイルバンキングおよび電子商取引Webサイトは、この302リダイレクトメッセージを悪用できる方法で返しませんが、膨大な数のサイトがHeidt氏によると、Heidt氏によると、多くのWebサイトがこの脆弱性の危険にさらされているため、Heidt氏は、彼のコードを直ちに公開するつもりはないと述べている。
被害者の視点から見ると、攻撃中の唯一の目立った変化は、ブラウザなしngerはSSLサイトに接続されているかのように見えます。
Leviathan Security Groupは、ウェブマスターが自分のサイトがSSL認証ギャップに脆弱であるかどうかを確認するためのツールを作成しました。この攻撃は、今年初めのセキュリティ会議でMoxie Marlinspike [cq]
G-SecのセキュリティコンサルタントであるThierry Zoller氏は、SSLとその置換規格TLSが幅広いインターネットテクノロジーで使用されているため、この欠陥はメールサーバーを攻撃するために使用される可能性があります。彼はインスタント・メッセージ・インタビューで述べています。「Leviathanのコードを見たことがないZoller氏は、「秘密の証明書で認証されていても、攻撃者は潜在的にセキュリティで保護されたSMTP [Simple Mail Transfer Protocol]攻撃が宣伝されているように働く場合、誰かがそれをどうやって行うかが分かるまでには数日しかかからないと話している。