W połowie czerwca pojawiły się pierwsze relacje o luce, którą Microsoft wykrył jeszcze na początku roku. Ma ona pozwalać na ataki typu Man in the Middle wymierzone w połączenia HTTPS. W swoim czasie autorzy projektu Mozilla sklasyfikowali ryzyko w tym przypadku jako wysokie i wydali poprawioną wersję własnej przeglądarki. Okazuje się, że luka ta dotyczy również innych browserów
Problem
Specjalnie przygotowany serwer pośredniczący (proxy) może przemycić kody HTML i skrypty do teoretycznie zabezpieczonej strony. W ten sposób przy uwierzytelnianiu bazującym na plikach cookie możliwa staje się kradzież tożsamości albo też zmienianie wyświetlanych danych. Zalecenia opublikowane przed kilkoma dniami przez SecurityFocus wymieniają wśród produktów, których dotyczy ten problem, przeglądarki Chrome, Opera, Safari i Internet Explorera.
W dokumencie "Pretty-Bad-Proxy: An Overlooked Adversary in Browsers' HTTPS Deployments" pracownicy Microsoftu Shuo Chen, Ziqing Mao, Yi-Min Wang i Ming Zhang wykazują, że niebezpieczeństwa, jakie mogą wiązać się ze szkodliwymi serwerami proxy, do tej pory nie zostały wystarczająco dokładnie przeanalizowane. Opisują oni między innymi wiele sztuczek z użyciem pośredników pozwalających na manipulacje zawartością połączeń HTTPS.
Problem, który dotyczy wszystkich przeglądarek, polega na tym, że komunikaty o błędzie są wykonywane w kontekście bezpieczeństwa wywołanej strony. Na przykład Pretty-Bad-Proxy (PBP) mogłoby odpowiedzieć na żądanie CONNECT kierujące do https://myBank.com za pomocą kodu HTML i skryptu, który przeglądarka użytkownika wykonuje w kontekście strony banku. Skrypt przesłany z PBP mógłby wtedy np. załadować prawdziwą stronę banku i celowo ją zmienić, ponieważ przeglądarka pozwoliłaby mu na dostęp do obiektowego modelu dokumentu (DOM).
Podobne do opisanego problemy mogą dotyczyć ewentualnych przekierowań załadowanych skryptów i stron, które w zasadzie nie są stworzone do wyświetlania witryn zabezpieczonych przez HTTPS, chociaż są dostępne przez URL-e rozpoczynające się schematem https://.
Rozwiązanie
Według wypowiedzi autorów producenci zostali powiadomieni o wykrytych problemach i już podjęli pierwsze środki zaradcze. Wspomniany wcześniej dokument nie jest obecnie bezpośrednio osiągalny. Tutaj można znaleźć wersję HTML, w której jednak brakuje grafiki.
wydanie internetowe www.heise-online.pl
