Некорректная реализация SSL позволяет производить атаки на платежные системы

Толковый словарь

Основной задачей криптографического протокола SSL является предоставление механизмов защиты конечного пользователя от MitM-атаки. Даже в случае полностью скомпрометированной сети протокол обязан гарантировать конфиденциальность, аутентичность и целостность передаваемых данных между клиентом и сервером.

Результаты исследования продемонстрировали, что программное обеспечение и библиотеки различных крупных производителей содержат бреши, позволяющие успешно произвести атаку. В списке программного обеспечения, которое использует уязвимую реализацию SSL, содержатся популярные программы от известных производителей, первоочередная задача которых состоит именно в предоставлении надежных механизмов шифрования для передачи критически важных данных: ПО для хранения и осуществления вычислений в облаках, например, Amazon EC2 Java client library и все клиенты, основанные на этой библиотеке; ПО, основанное на SDK от Amazon и PayPal (Amazon Flexible Payments Service версии для Java и PHP, PayPal Payments Standard и PayPal Invoicing, PayPal Payments Pro, Mass Pay и Transactional Information SOAP), использующееся для осуществления денежных транзакций; интегрированные решения для интернет-магазинов, например osCommerce, ZenCart, Ubercart и PrestaShop; ПО для мобильных приложений AdMob; Apache Axis, Axis 2, Codehaus XFire и Pusher library для Android; популярный клиент мгновенных сообщений Trillian.

Основной причиной возможности проведения подобной атаки является некорректный дизайн API в реализации SSL (в случае с JSSE, OpenSSL и GnuTLS), а также транспортные библиотеки (например, cURL), которые содержат сложные настройки и опции, не всегда понятные разработчикам.

Ознакомиться с другими новостями по данной тематике Вы можете в рубрике Безопасность.

 По материалам SecurityLab