Websites

A falha de SSL pode ter sido usada para hackear o Twitter

TWP385 Hackeando o Twitter com Python

TWP385 Hackeando o Twitter com Python
Anonim

Uma falha no protocolo usado para proteger comunicações pela Internet poderia ter sido usada para hackear contas do Twitter, segundo um pesquisador de segurança da IBM.

Na semana passada, Anil Kurmus demonstrou como uma falha no protocolo SSL (Secure Sockets Layer) poderia ser costumava enganar as vítimas para que enviassem mensagens do Twitter que contivessem suas informações de senha. Para que a falha seja explorada, um hacker teria primeiro que encontrar uma maneira de entrar na rede da vítima, lançando o que é conhecido como um ataque man-in-the-middle, então seria difícil afetar um grande número de usuários do Twitter com esta técnica. A questão foi logo corrigida pelo Twitter, mas especialistas em segurança imaginam quantos sites podem sofrer de um problema semelhante.

Um consórcio de empresas de Internet se esforçou para consertar a questão do SSL desde 5 de novembro, quando foi inadvertidamente público em uma lista de discussão. Mas tem havido algum debate sobre a gravidade da falha. Logo após o bug ter sido divulgado, o pesquisador da IBM Tom Cross disse que, na maior parte, os principais aplicativos da Web não seriam afetados pelo problema.

[Leitura adicional: Como remover malware do seu PC com Windows]

Mas Cross mudou de idéia, escrevendo: "Infelizmente, a situação é pior do que eu pensava".

Os aplicativos de webmail, em particular, também podem estar em risco com esse ataque. E os especialistas em segurança também se preocupam que outros aplicativos - bancos de dados, por exemplo - possam estar em risco.

O Twitter.com era suscetível ao bug porque fazia o que é chamado de renegociação de cliente sob SSL. A renegociação do cliente oferece ao site uma maneira de solicitar ao usuário do Twitter um certificado SSL depois que um usuário já estiver conectado ao site. É uma ferramenta útil para sites que permitem aos usuários fazer logon usando cartões inteligentes ou sites que restringem o acesso a um grupo seleto de internautas predefinidos, mas até que a falha seja corrigida, a renegociação do cliente também abre a porta para ataques SSL.

Provavelmente, muitos sites, como o Twitter, permitem a renegociação de clientes simplesmente porque estão embutidos no protocolo SSL e em seu sucessor, o TLS (Transport Layer Security), disse Marsh Ray, um dos desenvolvedores do PhoneFactor que descobriu o problema. "Muitas pessoas não perceberam que estavam fazendo isso", disse ele.

A boa notícia é que muitos sites podem simplesmente desativá-lo imediatamente, o que é aparentemente o que o Twitter fez. O Twitter não respondeu a uma mensagem pedindo comentários sobre essa matéria.

Segundo Ray, as pessoas devem perceber que, embora a falha no SSL não seja catastrófica, "esse é um bug sério e as pessoas precisam consertá-lo".