Техника успешного внедрения в SSL соединение

[p2u 824]

На конференции Black Hat показали как можно незаметно и успешно атаковать (перехватывать) защищённую SSL сессию для сайтов на которых присутствует как защищённый, так и не защищённый контент...

Источники:

Man-in-the-middle attack sidesteps SSL

New SSL Web site hack revealed

Добыча:

To prove the usefulness of the attack to a hypothetical criminal, he claimed the hack had given him access to 117 e-mail accounts, 16 credit card numbers, 7 PayPal log-ins, and over 300 other "miscellaneous secure log-ins" in a 24-hour period. Sites involved included Ticketmaster, Paypal, LinkedIn, Hotmail, and Gmail.

Paul

[alexgr 556]

Спасибо! Вовремя и очень в тему - для моей работы очень поможет!

[p2u 824]

@ alexgr

Хорошо осознать, что производители браузеров сами провоцируют такие атаки в своём стремлении делать всё как можно 'удобно' для пользователей. Удобство, как практика показывает, не лучший советчик в вопросах безопасности. У меня в Firefox такое не пройдёт (Не настройки по умолчанию!): Tools - Options - Security - Warning messages (Settings...):

Paul

[p2u 824]

Презентация техники успешного внедрения в SSL соединение в формате .pdf: Marlin Spike Defeating SSL (2.33 MB)

Paul

[alexgr 556]

Презентация техники успешного внедрения в SSL соединение в формате .pdf: Marlin Spike Defeating SSL (2.33 MB)

Paul

Спасибо! очень кстати, к сегодняшнему эвенту в одном из банков

[dav 5]

Уже появился вроде PoC

На конференции Black Hat показали как можно незаметно и успешно атаковать (перехватывать) защищённую SSL сессию для сайтов на которых присутствует как защищённый, так и не защищённый контент...

Источники:

Man-in-the-middle attack sidesteps SSL

New SSL Web site hack revealed

Добыча:

Paul