Belgische onderzoekers van de KU Leuven hebben tijdens de Black Hat-conferentie in Las Vegas een nieuwe aanval op versleutelde internetverbindingen gedemonstreerd, die alleen in de browser van het slachtoffer wordt uitgevoerd, en het onderscheppen van gevoelige informatie mogelijk maakt.

Tom Van Goethem en Mathy Vanhoef noemen hun aanval HEIST, wat staat voor "HTTP Encrypted Information can be Stolen through TCP-windows". Bij veel aanvallen op een versleutelde verbinding moet een aanvaller in staat zijn om het internetverkeer van het slachtoffer te observeren of manipuleren, vaak door zich tussen het slachtoffer en het internet te bevinden. Daardoor zijn veel aanvallen op ssl/tls en andere beveiligde kanalen in de praktijk niet op grote schaal mogelijk.

HEIST verandert dit, aangezien de aanvallen tegen ssl/tls alleen in de browser van het slachtoffer worden uitgevoerd. De onderzoekers maken hiervoor misbruik van zwakheden in de browser en de onderliggende http-, ssl/tls- en tcp-lagen. Zo ontdekten ze een side-channel-aanval die het mogelijk maakt om eerder ontdekte aanvalsmethodes op ssl/tls, zoals CRIME en BREACH, in de browser van de gebruiker uit te voeren, zonder dat hiervoor een man-in-the-middle-aanval is vereist. Het bezoeken van een kwaadaardige of gehackte website of het te zien krijgen van een gemanipuleerde advertentie met JavaScript is in dit geval voldoende.

Door HEIST met een aanval zoals BREACH te combineren is het mogelijk om uit het versleutelde verkeer van het slachtoffer e-mailadressen, gebruikersnamen en andere (statische) persoonlijke identificeerbare informatie te achterhalen. De onderzoekers stellen dat het lastig is om tegen hun aanvallen te beschermen. De enige oplossing vooralsnog is het uitschakelen van cookies van derde partijen. Het onderzoek (pdf) en de presentatie (pdf) zijn nu te downloaden.