Prawie niewykrywalny atak phishingowy

W przeprowadzonym eksperymencie wykorzystana została luka w algorytmie MD5, który służy do nadawania plikom indywidualnych identyfikatorów. Są one wykorzystywane m.in. w celu sprawdzenia, czy taki plik nie został zmodyfikowany podczas jego pobierania. Jednak luka w algorytmie MD5 sprawia, że teoretycznie idealny system pozwala na stworzenie dwóch takich samych sum kontrolnych dla różnych plików. Zostało to wykorzystane do sfałszowania takich właśnie sum certyfikatów bezpieczeństwa wykorzystywanych na stronach WWW.

Naukowcom udało się stworzyć fałszywy certyfikat, który przez przeglądarki identyfikowany był jako prawdziwy. Do tego celu zostało wykorzystane 200 konsol Sony Playstation 3, których procesory charakteryzują się bardzo dużą mocą obliczeniową.

Aby dokonać ataku, haker musi zachęcić ofiarę do odwiedzenia specjalnie przygotowanej w tym celu strony, która zawiera fałszywy certyfikat. Można tego dokonać m.in. za pomocą luki w DNS którą odkrył Dan Kaminsky, o czym niedawno informowaliśmy - http://www.idg.pl/news/159892/luka.w.dns.ujawniona.wkrotce.ataki.html. Połączenie błędu w algorytmie MD5 oraz luki odkrytej przez Kaminskiego możliwe jest przeprowadzenie praktycznie niezauważalnego ataku phishingowego.

Chociaż zastosowanie tego typu ataku w praktyce oznacza spore kłopoty natury organizacyjnej, to jednak naukowcy są zdania, że algorytmy MD5 nie powinny być już używane przez firmy wydające certyfikaty cyfrowe.

Informacja o ataku została przedstawiona na wtorkowej konferencji Chaos Communication Congress, która odbyła się w Berlinie.

więcej w serwisie IDG.pl »