"Ernstig SSL-lek vooral risico bij open wifi-netwerken"
Het ernstige lek in SSL3.0 dat deze week bekend werd gemaakt is vooral een probleem bij open wifi-netwerken, zo stellen experts. Via de kwetsbaarheid kan een aanvaller die zich tussen een gebruiker en het internet weet te plaatsen informatie uit versleutelde verbindingen stelen, zoals sessiecookies.
Met een sessiecookie kan een aanvaller vervolgens inloggen op de dienst waar het slachtoffer op dat moment is ingelogd. In tegenstelling tot bijvoorbeeld de Heartbleed-bug werkt de SSL-aanval alleen via een Man-in-the-Middle-aanval. "In andere woorden, een hacker moet de kabel tussen jou en de website die je bezoekt kunnen aftappen, wat lastig is om te doen", zegt beveiligingsexpert Robert Graham.
Volgens Graham hoeven internetgebruikers zich dan ook geen zorgen te maken over hackers die zich thuis bevinden, omdat hackers de backbone links niet kunnen aftappen. De NSA kan dit echter wel, laat de expert weten. Het is echter vooral het gebruik van open wifi-netwerken waar mensen moeten oppassen. "Als je het netwerk bij de lokale Starbucks of andere onversleutelde wifi gebruikt, loop je serieus risico om te worden gehackt door de hackers die aan de tafel naast je zitten."
Graham krijgt bijval van Ollie Whitehouse, technisch directeur van de NCC Group. Hij stelt dat misbruik voornamelijk bij kwaadaardige wifi-hotspots mogelijk is, alsmede in landen waar er een risico op door de staat gestuurde aanvallen bestaat. Meer informatie over het lek en wat gebruikers kunnen doen om zich te beschermen is te vinden in deze uitgebreide forumposting van Erik van Straten.
Aanvulling 15:31: met wat ik hieronder schrijf bedoel ik dat gerichte aanvallen vaak ook via bedrade netwerken kunnen plaatsvinden (sorry dat ik daar niet meteen duidelijk over was).
On topic: vooral bij "targeted attacks" jagen aanvallers op toegang tot beheersystemen en netwerkappartuur. Veel securityexperts wijzen erop dat het niet de vraag is of systemen binnen de door jou beheerde infrastructuur worden gehacked, maar wanneer (en daarnaast, hoe lang het duurt voordat je doorhebt dat een succesvolle aanval heeft plaatsgevonden of nog plaatsvindt).
Beheerders bij organisaties die potentieel interessant zijn voor dit type aanvallers doen er goed aan om ook hun interne netwerken te hardenen, vooral daar waar het gaat om het uitvoeren van beheertaken. Alleen de buitendeur op slot doen volstaat dan vaak niet.
In dat kader; Cisco heeft een advisory uitgebracht over de "Poodle" kwetsbaarheid: http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20141015-poodle. Achtergonden vind je in http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_Poodle_10152014.html.
Het zijn niet alleen beheerders. Bij onze organisatie gaat ook het hoger management vaak met de trein. Vaak met anderen uit het management. Als je luistert wie er in de 1e klas zit te kletsen, heb je zo een potentieel doelwit gevonden. Ze hebben ook allemaal mobiele devices die bijna constant verbinding met de thuisbasis hebben.
Peter
Aanvulling 18:21, on topic: bijna 1 jaar geleden lukte het een aanvaller om een WiFi MitM aanval uit te voeren op Europese parlementsleden, pal voor de deur van het Europees Parlement: http://matthewh.dev.intra.euractiv.com/specialreport-cybersecurity/eu-parliament-investigating-hack-news-531877
(bron: http://tweakers.net/nieuws/99080/linux-gebruikers-kwetsbaar-voor-aanval-op-https-feature.html?showReaction=7259209#r_7259209)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.