De makers van OpenSSL hebben bekendgemaakt dat een lek in het pakket kan leiden tot het uitlezen van versleutelde data. Het lek werd onlangs ontdekt door een aantal onderzoekers van de Zwitserse EPFL, die in een binnenkort te verschijnen stuk schrijven hoe de aanval uitgevoerd zou kunnen worden. OpenSSL heeft onmiddellijk een patch uitgebracht en nieuwe versies van de software beschikbaar gesteld. De aanval, die gebaseerd is op timing, gaat ervan uit dat bij iedere verbinding dezelfde plaintext-string, bijvoorbeeld een wachtwoord, wordt verzonden. Bij verschillende types errors kunnen er timing-verschillen ontstaan, waardoor een hacker achter de volledige string kan komen:
An active attacker can substitute specifically made-up ciphertext blocks for blocks sent by legitimate SSL/TLS parties and measure the time until a response arrives: SSL/TLS includes data authentication to ensure that such modified ciphertext blocks will be rejected by the peer (and the connection aborted), but the attacker may be able to use timing observations to distinguish between two different error cases, namely block cipher padding errors and MAC verification errors.
/i/1289402606.png?f=fpa)
:strip_exif()/i/1134409850.gif?f=fpa)
/u/18178/logo-60x60.png?f=community){kind=logo}
