用BREACH(Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext)攻擊手段30秒就能從加密通信提取信息，在周四的拉斯維加斯黑帽安全大會上得到了演示。在演示過程中黑客破解了網(wǎng)上銀行和電子商務(wù)網(wǎng)站使用SSL和TLS協(xié)議加密的響應(yīng)信息。

大家都知道HTTPS加密協(xié)議保護(hù)著世界上數(shù)百萬計的網(wǎng)站，然而BREACH攻擊手段的出現(xiàn)，可以讓黑客從加密的頁面中提取出郵件地址、某種類型的身份信息(credentials)，這一過程通常只需短短的30秒。整個攻擊過程提取到了像社會安全號、郵件地址、安全token以及密碼重置連接等特定的敏感數(shù)據(jù)，BREACH攻擊方法對所有版本的TLS和SSL都有效，不論使用什么樣的加密算法或密鑰(cipher)。

BREACH要求攻擊者能監(jiān)聽用戶和網(wǎng)站之間的流量，并且攻擊者也需要誘導(dǎo)受害人訪問一個惡意鏈接?？梢酝ㄟ^在網(wǎng)站上注入iframe標(biāo)簽讓受害者訪問或引導(dǎo)受害人查看郵件，而其中的隱藏圖片在加載時就會生成HTTPS請求。惡意鏈接會讓受害者的計算機(jī)向目標(biāo)服務(wù)器發(fā)送多個請求從而進(jìn)行消息刺探。

“我們不會破解整個通信過程，只是提取了一些我們感興趣的機(jī)密信息”發(fā)明這種攻擊的3位研究員之一的Yoel Gluck如是說“這屬于一種定向攻擊。我們只需在網(wǎng)站上找到一個需要進(jìn)行口令或密碼交換的地方，我們就可以在那個頁面上提取到機(jī)密了。一般情況下，無論網(wǎng)頁還是Ajax響應(yīng)中的機(jī)密我們都可以在30s內(nèi)提取出來。”

BREACH攻擊讓那些用HTTPS加以保護(hù)的Web、email以及其他的網(wǎng)絡(luò)服務(wù)的安全性蕩然無存。同時BREACH攻擊方法也成為了眾黑客們?nèi)f分追捧的新技術(shù)之一。然而目前還沒有任何攻擊者能完全突破HTTPS的安全防線。

admin

收藏 海報分享