poradenská linka dTest 299 149 009 předplatné časopisu dTest

Prolomení bezpečnostního certifikátu hrozí i u mnoha prohlížečů

11.3.2015

Po skandálu s adware, který narušoval bezpečnostní certifikáty na noteboocích značky Lenovo, se na začátku letošního března objevila další podobná kauza, takzvaný FREAK Attack. Týká se prohlížečů na platformách Android, Mac OS, Blackberry i klasického Internet Exploreru na Windows. Bezpečnostní chyba ve schvalování certifikátu umožňuje třetí straně, aby se zmocnila odesílaných osobních dat.

Bezpečnostní problém známý jako FREAK Attack má na rozdíl od adware v noteboocích od Lenova svůj základ v implementaci zastaralých amerických bezpečnostních předpisů. Ty totiž v devadesátých letech minulého století po zařízeních určených na export vyžadovaly odesílání šifrovaných dat pouze za použití slabého šifrovacího klíče. Název FREAK Attack je tak zkratkou, která znamená Factoring Attack on RSA-EXPORT Keys. Tyto předpisy již dávno nejsou platné, na některých prohlížečích, internetových stránkách a v některých zařízeních jsou však stále využívány. Útočníkům tak umožňují prolomit bezpečnostní certifikáty a zmocnit se odesílaných dat.

Bezpečnostní chyba se konkrétně týká prohlížečů Chrome, Safari a Opera pro Mac OS, základního prohlížeče a Chrome pro Android, základního prohlížeče pro Blackberry, Opery pro Linux, Safari pro iOS a Internet Exploreru pro Windows. Naopak bezpečné by mělo být používání Firefoxu pro veškeré platformy. Vývojáři prohlížečů, u kterých zneužití chyby hrozí, také na nebezpečí reagují rychle vývojem záplat.

Uživatelé mohou snadno ověřit, jestli je jejich prohlížeč k napadení náchylný na speciálních stránkách zřízených vývojovou divizí Microsoftu a společností Inria zabývající se softwarovou bezpečností. Pokud se speciální stránka načte, hrozí uživateli na jiných webových portálech nebezpečí napadení.

Nebezpečí by uživatelům mělo hrozit pouze v případě, že s nezabezpečeným prohlížečem navštíví jednu z nebezpečných stránek.Seznam potenciálně nebezpečných stránek používajících zastaralý bezpečnostní certifikát je poměrně dlouhý, od obchodů až po stránky některých amerických vládních agentur.
 

Související články