TIETOTURVA
Vesa Linja-aho, Tietoviikko, 6.11.2009, 9:42Verkkopankkiyhteyksien protokollassa on vakava aukko
Verkkopankkiyhteyksissäkin käytetystä ssl-protokollasta on löytynyt vika, jota hyväksikäyttämällä hyökkääjä voi siepata tietokoneiden välistä viestintää.
Vika on itse protokollassa, eikä sen jossain yksittäisessä toteutuksessa. Käytännössä tämä tarkoittaa, että korjauksia on tehtävä sekä selaimiin että palvelinohjelmistoihin.
Ssl-protokolla on jatkuvasti tarkan tietoturvatutkimuksen kohteena, koska sitä käytetään niin monessa paikassa. Turva-aukkoja on löytynyt ennenkin. Viime vuonna tutkijat löysivät tavan väärentää ssl-sertifikaatteja. Myös viime kesänä löydettiin useita tapoja vaarantaa ssl-liikennettä. Nyt löytynyt turva-aukko on erilainen, koska se ei liity sertifikaattien käsittelyyn vaan itse protokollaan. Käytännössä tämä tarkoittaa, että aukon korjaaminen on erittäin työlästä.
Tietoturvayhtiö PhoneFactor löysi aukon jo elokuussa, ja sen korjaaminen aloitettiin kaikessa hiljaisuudessa. Suunnitelmat saivat uutta vauhtia, kun joku vuoti tiedot aukosta julkisuuteen keskiviikkona. Pian yhtiö julkisti turvareiän yksityiskohdat julkisuuteen. ”Koska pahikset tietävät jo turva-aukosta, niin aukosta on syytä kertoa myös hyviksille”, kertoo PhoneFactorin markkinointijohtaja Sarah Fender.
Toistaiseksi ei ole tiedossa, että joku olisi käyttänyt turva-aukkoa hyväkseen. Aukon hyväksikäyttäminen vaatii ensin murtautumista uhrin tietoverkkoon.
IDG
Terveisin Nörttimummo, Eija Niskanen
MITM on mahdollinen, jos clientti ei tutki sertifikaattia.
http://www.ietf.org/mail-archive/web/tls/current/msg03943.html
