Как удалось выяснить двум экспертам, веб-сайты, использующие расширенную
форму цифровой аутентификации, практически также уязвимы к типичной спуфинговой
атаке как и те ресурсы, что пользуются более дешевой формой подтверждения
аутентичности.
Ранее SSL-сертификаты с расширенной ратификацией (EV-SSL) считались
неуязвимыми к атакам "man-in-the-middle" (MITM), однако независимые
исследователи Алекс Сотиров и Майк Зусман доказали, что это не так.
Из-за наличия уязвимостей в архитектуре большинства браузеров все еще
возможно провести MITM-атаку и сохранить при этом в адресной строке браузера
жертвы зеленый цвет адресной строки, подтверждающий, что сайт защищен
сертификатом EV SSL. Специалисты представили результаты своей работы на прошлой
неделе в рамках проходившей в Ванкувере конференции CanSecWest.
Описанный ими метод по-прежнему требует наличия поддельного SSL-сертификата,
но как показывает практика, получить его не очень-то сложно. После того, как
такой сертификат приобретен, атакующий позволяет жертве зайти на законопослушный
сайт, защищенный сертификатом EV-SSL. А затем он использует свой (более простой)
сертификат для того, чтобы внедрить в нужную страницу код javascript или другой
контент. И поскольку браузеры не делают различий между двумя этими типами
SSL-сертификатов, они продолжают высвечивать зеленую полосу.
Алекс Сотиров пояснил, что после того, как код javascript внедрен на целевую
страницу, над ней можно получить полный контроль. Становится возможным
модифицировать страницу, перехватывать информацию, пересылаемую при нажатии
кнопки "Вход", а также перехватывать нажатия клавиш, которые пользователь
осуществляет во время посещения страницы.
Впрочем, Сотиров продолжает считать сертификаты EV более ценными, поскольку
они обеспечивают еще один дополнительный уровень проверки данных. Но до тех пор,
пока браузеры не научатся различать два типа сертификатов, не будет никакой
гарантии того, что маленькая зеленая полоска в адресной строке действительно
указывает на то, что никто не подделал сайт, который ты посещаешь.
