Eine neue Sicherheitslücke, die eine Reihe von Produkten in Gefahr offenbart nur durch Sicherheitsforscher Jerry Decime wurde setzen können. Er hat gezeigt, schockierende Details über den Fehler, genannt FalseCONNECT. Nach Decime Analyse, Die Sicherheitsanfälligkeit kann eine Man-in-the-Middle-Angriff und Intercept HTTPS-Datenverkehr zulassen. Dies würde in der Bereitstellung von Proxy-Authentifizierungsverfahren in mehreren Produkten auf Fehler zurückzuführen sein. Etwas präziser, ein Fehler besteht darin, wie bestimmte Anwendungen reagieren auf HTTP-CONNECT-Anfragen über das HTTP / 1.0 407 Proxy-Authentifizierung erforderlich Antworten.
Ein tieferer Blick in die FalseCONNECT Vulnerability
Kurz gesagt:
Es wurden Fehler bei der Umsetzung der Proxy-Authentifizierung gemacht. Dies, im Gegenzug, führte zu zahlreichen Schwachstellen bei der Implementierung des “HTTP / 1.0 407 Proxy-Authentifizierung erforderlich” Antwort auf CONNECT-Anfragen über eine breite Palette von Betriebssystemen, Anwendungen, und Browser für jedes Gerät konfiguriert ist, einen Proxy zu verwenden und sogar einige, die nicht mit Auto-Proxy-Unterstützung standardmäßig aktiviert waren in Windows.
Es ist wichtig zu beachten, dass der Fehler nur in Netzwerkumgebungen existiert. Dies ist, wo Benutzer-Proxy-Verbindungen gelten. Die Einrichtung ist vor allem beliebt in Unternehmensnetzwerken, in denen leistungsstarke Firewalls an Ort und Stelle festgelegt werden. Wenn ein Angreifer Zugriff auf ein Netzwerk kompromittiert und Proxy Verkehr hören könnten, er könnte auch schnüffeln leicht für HTTP CONNECT-Anforderungen an den lokalen Proxy gesendet.
Sobald ein solcher Antrag von einem Angreifer abgefangen, er kann anstelle des echten Proxy-Server darauf antworten. Dann, kann der Angreifer eine Ausgabe 407 Proxy-Authentifizierung erforderlich Antwort, wenn der Benutzer nach einem Passwort gefragt auf einen Dienst zuzugreifen.
Warum ist die Verletzlichkeit Genannt FalseCONNECT? Vendors Betroffene
HTTP Verbindungsanforderungen sind unverschlüsselt und ein Angreifer würde wissen, wenn das Ziel sensible Konten zugreifen möchte. Dies kann sogar passieren, wenn die Dienste HTTPS.
Wer ist betroffen von FalseCONNECT?
In den Worten des Forschers:
Das Schlimmste dieser Sicherheitsanfälligkeiten [ist] Auswirkungen von Apple, die bis zur Veröffentlichung des iOS 9.3.3 Update manifestiert sich als ein vollständiger Ausfall von HTTPS Vertrauen in iOS, alle Versionen seit mindestens iOS 5.1.1 für OS Vertrauen Komponenten, Safari, Oper, und Anwendungen unter Verwendung von WebKit, wenn Proxies.
Außerdem, die Forscher fanden heraus, dass WebKit Software anfälliger als andere.
Was ist WebKit?
WebKit ist eine Layout-Engine-Software-Komponente für die Darstellung von Webseiten in Web-Browsern. auch Kräfte WebKit von Apple Safar, und eine Gabel des Projekts wird von Chrom-basierten Browsern verwendet, wie Google Chrome und Opera. Das US-CERT hat gewarnt, dass “WebKit-basierten Clients sind anfällig für weitere Vektoren aufgrund der Tatsache, dass HTML-Markup und JavaScript vom Client Document Object Model gerendert werden (URTEIL) in Zusammenhang mit dem ursprünglich angeforderten HTTPS Domain.”
Apfel, Microsoft, Oracle und Opera haben bereits bestätigt, ihre Produkte durch den Fehler betroffen. Andere Anbieter sind die Berechnung noch die Risiken der FalseCONNECT und die Auswirkungen kann es auf ihre Produkte. Die Liste enthält Linux-Distributionen, Cisco, HP, IBM, Google, Wacholder, Nokia, Mozilla, SAFT, Sony, etc.
Anbieter können für diese Sicherheitsanfälligkeit testen ein Abfangen Proxy wie The Fiddler mit. Es unterstützt die CONNECT Interception. Ein bisschen FiddlerScript nach der OnBeforeResponse Funktion ist alles, was benötigt wird,, der Forscher fügt.
Weitere Informationen zu diesem schwerwiegender Fehler ist auf FalseConnect des Dedicated Seite.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: