- الموجودات
- ماذا يقول الخبراء؟
- ما الذي تستطيع القيام به؟
إذا كنت تعتقد أن بياناتك آمنة ، فكر مرة أخرى. لأنه وفقًا للدراسات الأكاديمية ، تبين أنه نظرًا لضعف TLS 1.3 ، يمكن للمتسللين الآن الاستفادة من قناة آمنة ويمكنهم جمع البيانات بحثًا عن نية خبيثة.
تم نشر ورقة البحث من قبل جامعة تل أبيب وجامعة أديليد وجامعة ميشيغان وكذلك معهد وايزمان. علاوة على ذلك ، خلصت مجموعة NCC و Data61 أيضًا إلى نتائج مماثلة.
الموجودات
الهجوم هو نسخة معدلة من هجوم أوراكل Bleichenbacher الفعلي الذي كان في الماضي قادرا على فك تشفير رسالة مشفرة RSA باستخدام تشفير المفتاح العام.
ومع ذلك ، تسعى هذه الموجة الجديدة إلى العمل ضد الإصدار 1.3 من بروتوكول TLS وهو أحدث إصدار بين بروتوكولات TLS. اعتقدت السلطات أن تكون آمنة ولكن يبدو أنها ليست كذلك وهذا أمر مثير للقلق!
نظرًا لأن TLS 1.3 لا يدعم تبادل مفاتيح RSA ، اعتقد الباحثون أنه من الأفضل متابعة إصدار الرجوع إلى الإصدار السابق ، أي TLS 1.2 لغرض تقييم الهجوم.
كنتيجة للتخفيف من حدة الإجراءات مثل واحد جانب الخادم وجانب العميل الذي يتخطى الهجوم الذي تم تقليله. وخلصًا إلى أنه إذا كان هناك مفاتيح RSA أكبر ، فيمكن منع هذه الهجمات وأيضًا ، قد تقصر مهلة المصافحة.
تمت دراسة تسعة تطبيقات TLS مختلفة ؛ OpenSSL و Amazon s2n و MbedTLS و Apple CoreTLS و Mozilla NSS و WolfSSL و GnuTLS والتي كان BearSSL و Google BoringSSL آمنين فيها. كل الآخرين ظلوا ضعفاء.
ماذا يقول الخبراء؟
فيما يتعلق بعدد الهجمات ، يعتقد Broderick Perelli-Harris ، مدير الأب في Venafi أنها بدأت تتزايد منذ عام 1988 في ظل اختلافات في Bleichenbacher. لذلك ، ليس من المستغرب أن TLS 1.3 معرض للخطر أيضًا.
يرى جيك مور ، أخصائي الأمن السيبراني في ESET UK ، أن الهجوم ذي طبيعة التشفير ليس هو الهجوم الأول ولن يكون الأخير من نوعه. إنه أيضًا يرى أنه يشبه لعبة Whac-A-Mole - في كل مرة يتم فيها تطبيق إصلاح أمني ، ينبثق إصلاح آخر.
ما الذي تستطيع القيام به؟
الكل في الكل ، الخلل في التركيب الأصلي لبروتوكول تشفير TLS. ولكن في الوقت الحالي بسبب تصميم بروتوكول الترقيع هو السبيل الوحيد للمضي قدمًا.
ما يمكنك القيام به لحماية نفسك في هذه الأثناء؟ استخدم مصادقة ثنائية (2FA) ، واصل تحديث برنامجك مثل مكافحة البرامج الضارة / مكافحة الفيروسات ، وإعداد كلمات مرور أقوى ، وخدمة VPN لائقة مثل Ivacy.
