Ďalšie slabé miesto šifrovania webových stránok odhalil nezávislý hacker Moxie Marlinspike, ktorý ukázal spôsob, ako sa dá prispieť k úniku citlivých informácií. Vďaka nástroju SSLstrip možno oklamať internetových používateľov a uviesť ich do omylu, že sa nachádzajú na zabezpečenej stránke, aj keď to tak nie je. Tým verejne preukázal, že protokol SSL nemá stále dostatočný stupeň ochrany.
Tieto skutočnosti sa nedávno preberali na bezpečnostnej konferencii Black Hat vo Washingtone. Nástroj SSLstrip funguje nielen na verejných bezdrôtových sieťach, ale všade tam, kde útok reálne možno vykonať. Internetové stránky, ktoré by bežne boli chránené protokolom Secure Socket Layer (SSL), sú prostredníctvom nástroja SSLstrip konvertované do ich nezabezpečenej verzie. Zákerné je, že používateľ má stále dojem, že sa nachádza na chránenej šifrovanej lokalite. Vďaka tomu sa vystavuje riziku úniku a zneužitia hesiel, čísel kreditných kariet a iných citlivých informácií, ktoré sa v danej chvíli cez prehliadač odosielajú.
Marlinspike sa vyjadril, že nástroj SSLstrip je schopný plniť svoju funkciu práve preto, že obrovské množstvo stránok využívajúcich SSL je najskôr načítaných v nešifrovanej podobe a ochrana je dostupná len v sekciách, kde sú citlivé informácie odosielané a spracúvané.
Nezávislý hacker úspešne dokázal oklamať používateľov pracujúcich s prehliadačmi Firefox a Safari. Aj keď zatiaľ nástroj SSLstrip netestoval pre Internet Explorer, očakáva, že jeho techniky budú fungovať aj tam. Na potvrdenie funkcionality SSLstrip spustil na serveri siete Tor (URL: http://www.torproject.org/) a v priebehu 24 hodín získal 254 hesiel používateľov, ktorí navštívili stránky portálov Yahoo, Gmail, Ticketmaster, PayPal a LinkedIn.
Najjednoduchšie protiopatrenie zo strany používateľov je priame napísanie (vloženie) celej "https" URL do prehliadača, čím nástroju SSLstrip nedajú šancu upraviť a zaznamenať nešifrovanú adresu.
Zdroj: www.theregister.co.uk