Kuriozita: OCR jako slabé místo

Pavel Houser , 02. listopad 2016 14:00 0 komentářů

Bezpečnostní výzkumníci Florian Heinz a Martin Kluge uvedli, že služby Comodo obsahovaly nezvyklou „bezpečnostní zranitelnost“, která vyplývala z použití OCR softwaru. V důsledku toho šlo získat https certifikát k doméně, kterou žadatel nevlastnil.

Původní informace se objevila na The Register. Tak tedy, jak příslušné manipulace týkající se domén mohou probíhat? Člověka napadne, že např. firma X si zaregistruje doménu Goog1e, pak zadá žádost o certifikát ke Google; teď musí software vydavatele být nastaven tak, že nehledá Google, ale vypíše si domény ve vlastnictví firmy X, tam najde Goog1e a ten OCR software vyhodnotí jako Google; tenhle scénář ovšem nedává úplně smysl, proč by se zde vůbec mělo používat OCR?

Pátrejme tedy dál, jak to bylo. Vše má souviset s ochranou e-mailových adres před roboty. V podobě obrázku se při výpisu z WHOIS generuje kontaktní e-mailová adresa vlastníka domény. Tu pak rozpoznával OCR software. Autoři proof-of-concept triku prostě využili toho, že adresa domain.bill...@a1telekom.at byla OCR softwarem rozpoznána jako domain.bill...@altelekom.at. Sem pak přišel příslušný certifikát, respektive „potvrzovací“ e-mail s odkazem, na který bylo třeba kliknout. Firma Comodo již používání OCR pozastavila (či změnila) a přezkoumává certifikáty, které byly vydány v posledních měsících.

Samo o sobě to nepůsobí jako zvláštní bezpečnostní trhlina (jak lze zneužít? man-in-the-middle, nebo bezprostředněji?), ale současně jde určitě o chytrý a celkem kuriózní trik. V jakých jiných kontextech lze s ochranou proti robotům takto pracovat a z ochrany udělat bezpečnostní díru? A nakonec, jak to funguje v doméně CZ?

„V doméně CZ nepoužíváme obrazovky Whois, takže tento problém nastat nemůže. Z obecného pohledu je určitě nešťastné vůbec spoléhat na data z Whois. Z pohledu tzv. domain validated certifikátů, které spoléhají jen na online data o vlastníkovi domény, je aktuálně nejlepším řešením pro uživatele používat bezplatnou certifikační autoritu Let's Encrypt,“ uvádí Jaromír Talíř, technický partner sdružení CZ.NIC.


Komentáře

RSS 

Komentujeme

Sociální sítě pro B2B? Bláznovství!

Richard Jan Voigts , 17. květen 2017 07:00
Richard Jan Voigts

Agentura Ami Digital provedla průzkum ohledně využívání sociálních sítí v České republice. Ami Digit...

Více





RSS 

Zprávičky

Hodnota bitcoinu stoupla na nový rekord přes 2100 dolarů

ČTK , 22. květen 2017 18:49

Posilování napomáhají mj. spekulace, že americká Komise pro cenné papíry a burzy (SEC) by mohla změn...

Více 0 komentářů

Firewall pro koncentraci VPN

Pavel Houser , 22. květen 2017 17:29

Zyxel Communications představil hardwarový VPN firewall USG2200-VPN. Zákazníkům má toto řešení přiné...

Více 1 komentářů

ČTU hájí novelu zákona o přechodu na DVB-T2

Pavel Houser , 22. květen 2017 14:47

Přechod na nový standard bude spojen s náklady na straně spotřebitele....

Více 0 komentářů

Starší zprávičky

V Česku využívají satelitní pirátský příjem desítky tisíc lidí

ČTK , 22. květen 2017 10:53

Evropský soudní dvůr ale nedávno rozhodl, že prodávat multimediální přehrávače umožňující pirátský s...

Více 2 komentářů

Fond získal téměř 100 miliard dolarů pro technologické investice

ČTK , 22. květen 2017 08:00

Softbank Vision Fund chce investovat do oborů, jako je umělá inteligence nebo robotika. Peníze získa...

Více 0 komentářů

Apple I v Kolíně nad Rýnem vydražili za 110 000 eur

ČTK , 21. květen 2017 09:38

V podobně dobrém stavu se ve světě vyskytuje jen osm těchto přístrojů....

Více 0 komentářů

Rekordní pokuta za spam

Pavel Houser , 20. květen 2017 11:00

Na některé adresy byla obchodní sdělení doručena v řádech několika desítek obtěžujících e-mailů....

Více 2 komentářů