Author

Topic: Сломали TLS 1.0 (Read 1865 times)

legendary
Activity: 1120
Merit: 1069
September 22, 2011, 03:47:37 PM
#4
Или даже поставить что-то вроде Splashtop OS.
Не поможет, там кастрированный firefox, даже noscript не поставить.

Вся беда, что данная уязвимость - у протокола и практически все браузеры, или вернее говорить сервера - уязвимы!
Хотя, как мне кажется, достаточно во всех браузерах (выпустить срочное обновление) разделить ssl сессии для разных вкладок... хотя бы с возможностью отключить, если вдруг какой кривой софт требует многооконность и одну сессию.

p.s. не забываем, параллельно с этой уязвимостью, недавно было обнаружено, что большое количество ssl-сертификатов были скомпрометированы (украдены у выдающего центра, кажется DigiNotar), причем их пользователи - крупные веб-сервисы, такие как google, facebook, tiwter.. в общем как страшно жить.
LZ
legendary
Activity: 1722
Merit: 1072
P2P Cryptocurrency
September 22, 2011, 03:08:57 PM
#3
Или даже поставить что-то вроде Splashtop OS.
legendary
Activity: 1120
Merit: 1069
September 21, 2011, 02:55:06 AM
#2
Тут гораздо понятнее http://www.opennet.ru/opennews/art.shtml?num=31797

Условия для взлома конечно не простые: нужна возможность снифать трафик (домашние и локальные сети, сети wifi, слабо-защищенные сети провайдеров или взломанные домашний роутер) + на момент атаки у пользователя в соседней вкладке браузера должна быть открыта страничка со скриптами javascript атакующего (javascript иньекции не такая уж и проблема, как пример недавно этот форум был взломан с возможностью размещения своего кода в шаблонах)

p.s. считаю данную уязвимость чуть ли не самой значимой... опубликованной за последнее время.
Уровень параноидальности у пользователя, который желает защититься, должен быть сильно повышен - например первая же рекомендация, для критичных к анонимности операций (например онлайн-банкинг) придется запускать отдельный браузер (или закрывать все не нужные вкладки) или возня с noscript.
legendary
Activity: 1386
Merit: 1000
September 21, 2011, 12:25:46 AM
#1
Атакующий может расшифровывать соединения на основе TLS 1.0

http://www.theregister.co.uk/2011/09/19/beast_exploits_paypal_ssl

TLS это такой модный  протокол, который используют вместе с SSL 3.0

В природе еще есть TLS 1.1 и 1.2, но на практике его не умеют браузеры

Jump to: