Το 90% των κορυφαίων Internet sites(βάση της λίστας της Alexa) που χρησιμοποιούν το πρωτόκολλο HTTPS είναι ευάλωτα σε γνωστές απειλές εναντίον του SSL(Secure Socket Layer), σύμφωνα με έκθεση που δημοσιεύτηκε από τον μη κερδοσκοπικό οργανισμό Trustworthy Internet Movement (TIM) που ειδικεύεται στην επίλυση θεμάτων ασφαλείας και ιδιωτικότητας στο Internet.Η έκθεση βασίστηκε σε στοιχεία ενός project της TIM με την ονομασία SSL Pulse, που με αυτοματοποιημένη τεχνολογία σκαναρίσματος της εταιρίας ασφαλείας Qualys, ....ανέλυσε την ισχύ της HTTPS υλοποίησης στα ανωτέρω sites.Το SSL Pulse ελέγχει ποιό πρωτόκολλο χρησιμοποιεί το υπό έλεγχο site (SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, κλπ), το μήκος του κλειδιού (512 bits, 1,024 bits, 2,048 bits, κλπ) και την ισχύ της κωδικοποίησης του (256 bits, 128 bits ή παρακάτω).
Στην συνέχεια αυτόματα αποδίδει βαθμολογία μεταξύ του 0-100 για κάθε χαρακτηριστικό ασφαλείας που ελέγχει.
Αν και τα μισά από τα 200.000 HTTPS enabled sites που ελέγχθησαν πήραν βαθμολογία Α (πάνω από 80 βαθμούς), μόλις το 10% χαρακτηρίστηκαν απόλυτα ασφαλή.
Το 75% από τα υπόλοιπα βρέθηκαν ευάλωτα σε ένα είδος επίθεσης που ονομάζεται BEAST (Browser Exploit Against SSL/TLS), με την οποία μπορεί να γίνει αποκρυπτογράφηση των authentication tokens και των cookies που χρησιποιούνται στο HTTPS.
Οι τελευταίες εκδόσεις των σύγχρονων browser έχουν προβλέψει αυτού του είδους την επίθεση και είναι ασφαλείς, αλλά πολλοί υπολογιστές
κυρίως σε εταιρικά περιβάλλοντα με παλιότερα λειτουργικά και browsers είναι εκτεθειμένοι.
Εκτός των παραπάνω ένα ποσοστό 13% χρησιμοποιεί το ανασφαλές SSL renegotiation που μπορεί να οδηγήσει σε man-in-the-middle επιθέσεις.
Η TIM ανακοίνωσε την δημιουργία μιας SSL Internet Taskforce με μέλη όπως ο Michael Barrett, chief information security officer του PayPal,
Taher Elgamal εκ των δημιουργών του SSL, Adam Langley από την Google υπεύθυνος για το SSL implementation του Chrome και άλλους, και σκοπεύει να επαναλαμβάνει τα SSL Pulse scans σε μηνιαία βάση.
Πηγή : infoworld
http://www.adslgr.com/