THC SSL DOS

Hari ini kelompok hacker Jerman " Choice Hacker "resmi merilis tool DDoS baru. Alat ini memanfaatkan kelemahan dalam SSL untuk menendang server dari Internet.

Rincian teknis dapat ditemukan di http://www.thc.org/thc-ssl-dos .

"Kami memutuskan untuk membuat rilis resmi setelah menyadari bahwa alat ini bocor ke publik beberapa bulan lalu" ujar anggota dari THC yang ingin tetap anonim.

Alat ini berangkat dari alat DDoS tradisional: Itu tidak membutuhkan bandwidth apapun dan hanya sebuah komputer serangan tunggal ("bot").

Serangan THC-SSL-DOS en setara dengan sumber daya lainnya yang melelahkan serangan DDoS. Beberapa metode tersebut memainkan peran penting dalam demonstrasi melawan pemerintah yang menindas (seperti serangan DDoS terhadap pemimpin Iran) dan terhadap perusahaan yang melanggar kebebasan berbicara (seperti serangan DDoS terhadap Mastercard untuk menutup nirlaba rekening sumbangan Wikileak karena sebuah dugaan ketik / kesalahan ejaan di formulir aplikasi).

"Di sini, di THC hak-hak warga negara dan kebebasan berbicara adalah inti dari penelitian kami", kata seorang anggota dari THC dalam sebuah wawancara pribadi pagi ini.

"Kami berharap bahwa keamanan mencurigakan dalam SSL tidak pergi tak ketahuan. Industri harus langkah untuk memperbaiki masalah sehingga warga yang aman dan aman lagi. SSL menggunakan metode penuaan melindungi data pribadi yang kompleks, tidak perlu dan tidak cocok untuk abad ke-21. ", Kata seorang anggota THC, mengacu pada 3 kerentanan utama yang diungkapkan dalam SSL selama 3 tahun terakhir.

Untuk daftar 3 kerentanan utama di sini THC menjelaskan: "Pada tahun 2009 kerentanan diungkapkan bahwa memecahkan enkripsi SSL. De-facto membuat semua lalu lintas SSL aman. Pada tahun 2011 berbagai Otoritas Sertifikasi punya hack. De-facto membuat semua _again_ lalu lintas SSL aman. "

"Kami memperingatkan pada tahun 2002 tentang memberi ratusan perusahaan komersial (disebut Otoritas Sertifikasi) master kunci untuk SEMUA lalu lintas SSL.", Kata Fred Mauer, ahli kriptografi senior di THC. "Hanya seorang jenius nyata dapat datang dengan ide seperti itu!".

"Dan terakhir, namun tidak sedikit kompleksitas yang sangat besar Negosiasi ulang SSL beraksi lagi pada tahun 2011 dengan rilis dari THC-SSL-DOS.".

"Ini saatnya untuk model keamanan baru yang cukup melindungi warga negara.".

Alat THC-SSL-DOS adalah alat Bukti Dari Konsep untuk mengungkapkan keamanan amis dalam SSL. Ia bekerja besar jika server mendukung Negosiasi ulang SSL. Masih bekerja jika Negosiasi ulang SSL tidak didukung, tetapi memerlukan beberapa modifikasi dan bot lagi sebelum efek dapat dilihat.

Pengujian kami menunjukkan bahwa rata-rata server dapat diturunkan dari sebuah laptop IBM tunggal melalui koneksi DSL standar.

Mengambil peternakan server yang lebih besar yang memanfaatkan penyeimbang beban SSL diperlukan 20 laptop ukuran rata-rata dan sekitar 120kbit/sec lalu lintas.

Semua dalam semua hasil yang luar biasa.

Menarik di sini adalah bahwa fitur keamanan yang seharusnya membuat lebih aman SSL membuatnya memang lebih rentan terhadap serangan ini:

Negosiasi ulang SSL diciptakan untuk menegosiasi ulang bahan utama dari koneksi SSL. Fitur ini jarang digunakan. Bahkan kita tidak dapat menemukan perangkat lunak yang menggunakan SSL Negosiasi ulang. Namun itu diaktifkan secara default oleh kebanyakan server.

Sebuah pepatah lama menjadi kenyataan lagi: Kompleksitas adalah musuh keamanan.

"Negosiasi ulang materi Kunci adalah ide bodoh dari sudut pandang kriptografi. Jika Anda tidak puas dengan bahan utama dinegosiasikan pada awal sesi maka sesi harus didirikan kembali dan tidak melakukan negosiasi ulang ", kata THC.

1. THC-SSL-DOS: http://www.thc.org/thc-ssl-dos
2. Reverse SSL: http://eprint.iacr.org/2006/212.pdf
3. DDoS explained: http://en.wikipedia.org/wiki/Denial-of-service_attack
4. http://www.ietf.org/mail-archive/web/tls/current/msg07553.html