BEAST jest na­rzę­dziem, które zostanie niedługo za­pre­zen­to­wane przez jego twórców — Thai Duong i Juliano Rizzo. Ma ono za zadanie prze­chwy­ty­wać i roz­szy­fro­wy­wać cia­steczka prze­sy­łane pro­to­ko­łem SSL 3.0 lub jego — bez­piecz­niej­szym zda­wa­łoby się — następcą, czyli TLS 1.0. Czy ataki na za­szy­fro­wane SSL-em strony to tylko kwestia czasu? Być może, choć najpierw należy obejść jedną z prze­szkód.

BEAST (Browser Exploit Against SSL/TLS) składa się z kodu Ja­va­Script, który musi zostać uru­cho­miony przez ata­ko­wa­nego oraz sniffera dzia­ła­ją­cego na cia­stecz­kach. Ich roz­szy­fro­wa­nie może dać ata­ku­ją­cemu dostęp do konta ofiary w serwisie in­ter­ne­to­wym ko­rzy­sta­ją­cym z pro­to­kołu SSL (A więc „https” w adresie — na przykład Facebook). Twórcy twierdzą, że na­rzę­dzie jest sku­teczne także wobec serwerów wy­ko­rzy­stu­ją­cych HSTS.

BEAST roz­szy­fruje średniej wielości cookie w czasie około 10 minut, choć jak twierdzą twórcy czas ten może zostać skrócony. Co prawda atak na PayPal czy inne serwisy wy­ko­rzy­stu­jące szy­fro­wa­nie SSL jest teo­re­tycz­nie możliwy, jednak najpierw ata­ku­jący musi zmusić ofiarę do uru­cho­mie­nia kodu Ja­va­Script. W tym celu źli hakerzy posłużą się zapewne atakami typu Cross Site Scrip­ting (XSS). Pre­zen­ta­cja na­rzę­dzia odbędzie się już niedługo — twórcy Bestii za­pre­zen­tują sposób, w jaki można będzie zhac­ko­wać PayPala.

Jeśli in­te­re­sują Was szcze­góły do­ty­czące BEAST i chcecie do­wie­dzieć się w jaki sposób będzie można zapobiec atakom prze­czy­taj­cie ko­niecz­nie pełny wpis do­ty­czący na­rzę­dzia na Nie­bez­piecz­niku.

[ź] niebezpiecznik.pl