Krytyczna luka bezpieczeństwa w protokole HTTP

Badacze z firmy Proactive Risk podczas nadchodzącej konferencji o bezpieczeństwie aplikacji OWASP 2010, mają pokazać światu swoje odkrycie – krytyczną lukę bezpieczeństwa w protokole HTTP, która można być w łatwy sposób wykorzystana do przeprowadzania ataków typu DDOS (Distributed Denial-of-Service), czyli jednoczesnych ataków na ofiarę z wielu komputerów, poprzez granie online czy inne sieciowe aktywności. Nawet przy zabezpieczonych połączeniach, luka pozwala na ataki, którym notabene jest ciężko zapobiec.
HTTP nie tak bezpieczne, jak mogłoby się wydawać
HTTP nie tak bezpieczne, jak mogłoby się wydawać

Demonstracja odbędzie się 8 listopada w Waszyngtonie, a poprowadzi ją Wong Onn Chee, który jako pierwszy odkrył tego typu atak, przeprowadzony w Singapurze w zeszłym roku. Odpowiednio wykorzystana luka bezpieczeństwa może prowadzić do skutecznego ataku na serwery IIS oraz Apache używając do tego celu zarówno protokołów HTTP, jak i HTTPS, a co za tym idzie – możliwe będzie zaatakowanie niemal każdego rodzaju połączenia, jak SSL, VPN czy nawet bardziej zabezpieczone systemy.

Onn Chee wraz z założycielem firmy Proactive Risk, Tomem Brennanem, zaprezentują obecnym na konferencji gościom technikę ataku, wykorzystując do tego aplety Java uruchamiające jedną z gier.

Więcej:luki