Bezbednosni propust iz devedesetih ugrožava bezbednost Appleovih i Googleovih korisnika

Vesti, 05.03.2015, 01:00 AM

Apple i Google užurbano rade na ispravkama za bezbednosni propust koji je star više od jedne decenije a zbog koga su mobilni web browseri miliona korisnika uređaja koji proizvode dva tehnološka giganta podložni hakerskim napadima kada korisnici posećuju navodno sigurne web sajtove, uključujući i sajtove Whitehouse.gov, NSA.gov i FBI.gov. Propust utiče na mobilne uređaje i Mac OS X računare.

Propust nazvan FREAK (Factoring Attack on RSA-EXPORT Keys ili CVE-2015-0204) otkrili su istraživači Instituta INRIA u Parizu, Microsofta i IMDEA Software u Appleovom browseru Safari i Googleovim Android browserima. On je više od jedne decenije ostao neprimećen, zbog čega su komunikacije korisnika ovih browsera bile podložne presretanju prilikom posete stotinama hiljada navodno sigurnih web sajtova.

Istraživači kažu da do sada nisu pronašli dokaze da su hakeri ikada koristili ovu ranjivost, za koju oni krive nekadašnju američku politiku koja je zabranjivala američkim tehnološkim kompanijama izvoz dostupnih jakih enkripcijskih standarda u druge zemlje. Ova zabrana ukinuta je krajem devedesetih, ali je slabija enkripcija već bila deo softvera koji se koristio širom sveta pa i u SAD, gde je ostala neprimećena sve do ove godine.

Apple i Google sada rade na softverskim ažuriranjima kako bi rešili problem sa ovom ranjivosšću. Apple je ispravku najavio za sledeću nedelju, dok su iz Googlea rekli da će proizvođačima uređaja i mobilnim operaterima obezbediti ispravku.

Propust je otkriven pre nekoliko nedelja kada je grupa istraživača otkrila da mogu da nateraju web browsere da koriste enkripciju koja je namerno oslabljena u skladu sa nekadašnjim propisima američke vlade. Kada nateraju sajt da koristi slabiju enkripciju, napadačima je potrebno samo nekoliko sati da razbiju enkripciju. To može omogućiti hakerima da ukradu lozinke i druge lične podatke, ali i da pokrenu širi napad na web sajt preuzimanjem elemenata na stranici, kao što je Facebookovo “Like” dugme.

Ovaj bezbednosni propust ukazuje na opasnost od neželjenih bezbednosnih posledica baš u vreme kada vodeći američki zvaničnici, nezadovoljni zbog sve jače enkripcije na smart telefonima, pozivaju tehnološke kompanije da omoguće “ulaz” u sisteme kako bi im omogućile špijuniranje.

Istraživači su nekoliko nedelja upozoravali web sajtove koji su pogođeni ovim propustom ne bi li bile preduzete adekvatne mere pre nego što detalji o ranjivosti budu javno objavljeni. Whitehouse.gov i FBI.gov ispravili su propust, dok je sajt NSA.gov ostao ranjiv.

Google Chrome nije podložan FREAK napadima, ali jeste browser koji je ugrađen u većinu Android uređaja.