A HTTPS-forgalom elemző szoftverek gyengíthetik a titkosított kommunikációt

Az amerikai CERT/CC (CERT Coordination Center) elemzése szerint a HTTPS forgalom elfogása nem megfelelő tanúsítványkezelés mellett komoly biztonsági kockázatot jelenthet.

Felmerülhet annak igénye (például malware detektálás céljából), hogy a végponti titkosított kommunikációba (SSL/TLS) beékelődve a forgalmat a klienshez való beérkezés előtt elfogjuk és elemzésnek vessük alá. Erre a tevékenységre léteznek dedikált eszközök és termékek. A kliens – az ilyen architektúrában – teljesen megbízik a forgalom elemzőben, nincs lehetősége a webszerver tanúsítványának közvetlen ellenőrzésére.

A probléma abból adódik – mutatta ki a szóban forgó tanulmány -, hogy esetenként ezek a szoftverek nem ellenőrzik megfelelően a szerver által nyújtott tanúsítványt, mielőtt kititkosítanák és továbbítanák a forgalmat. Ezzel lényegében lehetőséget biztosítanak egy harmadik fél számára közbeékelődéses (MitM) támadás végrehajtására.

Az alábbi weboldal segítségül szolgálhat annak megállapítására, hogy az alkalmazott elemző szoftver érintett-e:

https://badssl.com/ 

Az alábbi hivatkozásokon pedig bővebb információt találhat a témában, köztük egy listát a potenciálisan veszélyes szoftverekről.

Hivatkozások:

https://insights.sei.cmu.edu/cert/2015/03/the-risks-of-ssl-inspection.html
https://www.us-cert.gov/ncas/alerts/TA17-075A
https://www.us-cert.gov/ncas/alerts/TA15-120A


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2014-3931 – Multi-Router Looking Glass (MRLG) Buffer Overflow sérülékenysége
CVE-2016-10033 – PHPMailer Command Injection sérülékenysége
CVE-2019-5418 – Rails Ruby on Rails Path Traversal sérülékenysége
CVE-2019-9621 – Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2016-4484 – Linux sérülékenység
CVE-2025-32463 – Linux sérülékenység
CVE-2025-32462 – Linux sérülékenység
CVE-2025-6463 – Wordpress sérülékenység
CVE-2024-51978 – Brother sérülékenység
Tovább a sérülékenységekhez »