NSA a FBI nutí content providery sdílet jejich SSL klíče

Pavel Kolář, 25. červenec 2013 15:13 4 komentářů

Americké tajné služby a další spolupracující agentury se snaží pomocí nátlaku donutit americké provozovatele webových služeb sdílet s nimi jejich SSL klíče, tvrdí to server Cnet na základě udání pracovníka jedné také společnosti.

Přestože se velké firmy (jmenovitě Google, Microsoft a Facebook,) zaštiťují tím, že nikomu SSL klíče od svých služeb neposkytují, mnozí bezpečnostní experti tvrdí, že zde nebezpečí hrozí a to zejména od menších společností, které nejsou tak odolné vůči vnějšímu tlaku.

Pro neznalé, pokud je tady na ITbizu možné vůbec takové čtenář nalézt, SSL certifikáty slouží k zabezpečení přenosu citlivých dat uživatelů nebo firemních informací po různých internetových protokolech (HTTPS, FTPS a další). SSL podpis zabezpečuje tekoucí data mezi serverem a klientem - například uživatelovým prohlížečem či mobilním telefonem kontrolujícím firemní poštu. Vedle odposlechu znesnadňují také podvržení komunikace (například při man-in-the-middle útoku). Pokud se třetí strana dostane k privátnímu SSL klíči, který používá nějaká služba, je tato strana schopna odposlouchávat jinak šifrovaná data mezi uživatelem a serverem.

Situaci se dá ale teoreticky snadno bránit, příkladem je dnes Google, který na svých SSL spojeních vyžaduje algoritmus ECDHE-RSA-RC4-SHA. Ten kombinuje privátní SSL klíč s unikátním klíčem, který se při každém spojení vytvoří za pomocí Diffie-Hellmanova algoritmu s použitím eliptických křivek. To má mimo jiné tu výhodu, že by útočník musel pro každé spojení prolomit klíč znovu, což je přinejmenším časově dost neefektivní řešení.


Komentáře

Honza Jaroš 26. červenec 2013 08:17

Co se týče posledního odstavce - ale předpokládám, že ani to přece nijak nebrání MitM útokům, ne?

Karel Wolf 26. červenec 2013 11:26

Jistě, je to v kontextu předchozího odstavce trochu nešťastná formulace.

R #3
R 26. červenec 2013 20:05

A hlavne v pripade Googlu (a pod.) je to bezpecnost falosna. Sice ti to neodchyti sused, ale Google to posle tajnym sluzbam.

pedro #4
pedro 27. červenec 2013 09:59

... a za 3 týdny se dozvíme, že NSA a spol. nutí CA sdílet své klíče. Na druhou stranu takovéto zprávy naznačují, že NSA a spol. nejsou schopny luštit současné šifry, pokud to tedy není fake, abychom si právě toto mysleli ;)

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Útočníci se snaží zneužít fotbalovou horečku

Pavel Houser , 23. červen 2018 11:59

Nová phishingová kampaň se snaží lákat oběti ke stažení infikovaného rozpisu a výsledků fotbalového ...

Více 0 komentářů

Systém pro STK by měl za 120 mil. Kč nadále provozovat AutoCont

ČTK , 22. červen 2018 10:00

V novém smluvním období by firma měla zajistit také propojení s obdobnými systémy jednotlivých člens...

Více 0 komentářů

Divize firmy Deutsche Telekom T-Systems ruší 10 000 míst

ČTK , 22. červen 2018 09:00

Na 6000 míst z celkového počtu má být zrušeno v Německu v průběhu příštích tří let....

Více 0 komentářů

Kalendář

23. 06.

24. 06.
Maker Faire Prague 2018
04. 08.

09. 08.
Black Hat USA 2018
09. 08.

12. 08.
DEF CON 26

Starší zprávičky

Šéfovi Intelu srazil vaz vztah na pracovišti

ČTK , 22. červen 2018 08:00

Ve funkci předsedy představenstva a člena správní rady Krzaniche přechodně nahradí dosavadní finančn...

Více 0 komentářů

Musk: Favoritem pro evropskou továrnu na baterie Tesly je Německo

ČTK , 21. červen 2018 10:00

Revoluce elektrických aut zvýší do roku 2025 hodnotu evropského trhu s bateriemi na zhruba 250 milia...

Více 0 komentářů

Česko testuje komunikaci mezi auty, vlaky a MHD

ČTK , 21. červen 2018 09:00

Vozidla si budou vyměňovat informace například o tom, jak je vlak daleko od závor, nebo že tramvaj v...

Více 0 komentářů

Xiaomi chce při vstupu na burzu získat až 6,1 miliardy dolarů

ČTK , 21. červen 2018 08:00

Půjde o jednu z největších primárních nabídek akcií v technologickém sektoru za posledních několik l...

Více 0 komentářů