Firefox a Chrome nemajú žiadnu bezpečnosť, akceptujú falošné certifikáty. Aktualizujte

Značky: FirefoxbezpečnosťInternetSSL / TLS

DSL.sk, 25.9.2014

Vo webových prehliadačoch Firefox a Chrome sa nachádza kritická bezpečnostná zraniteľnosť, ktorá umožňuje útočníkovi úspešne podvrhnúť falošný SSL / TLS certifikát pre ľubovoľnú doménu.

Mozilla na prítomnosť zraniteľnosti vo Firefoxe upozornila v noci na dnes spolu s vydaním opravených verzií Firefoxu a vydaním opravenej verzie Chrome spoločnosťou Google.

Bezpečnostná chyba sa nachádza v implementácii SSL od Mozilly, NSS, ktorú používa okrem Firefoxu okrem iných aj Chrome na Windows a OS X. Spočíva v nesprávnom parsovaní ASN.1 hodnôt v podpise certifikátu, čo umožňuje vytvoriť falošný certifikát s RSA kľúčom.

Podľa spoločnosti McAfee, ktorá chybu objavila nezávisle spolu s Antoine Delignat-Lavaudom, chyba umožňuje vytvoriť falošný certifikát pre ľubovoľnú doménu. To umožňuje útočníkovi, ktorý dokáže napríklad zmeniť nastavenia DNS serverov na routeri užívateľa, poskytovať užívateľovi podvrhnuté zabezpečené stránky tváriace sa v prehliadači ako plne legitímne bez možnosti ich odlíšenia.

Užívateľ tak ani pri dodržiavaní všetkých štandardných bezpečnostných odporúčaní nedokáže detekovať útok a môže útočníkovi poskytnúť napríklad prihlasovacie údaje do Internet bankingu a ďalších služieb.

Firefox a Chrome sa vďaka používaniu implementácie NSS síce v apríli vyhli vážnej chybe Heartbleed v OpenSSL, aktuálne objavená chyba je na klientských zariadeniach ešte vážnejšia a má rovnaký dopad ako známa goto chyba Apple.

V prípade NSS od Mozilly je zahanbujúce, že podľa spoločnosti bola prakticky rovnaká chyba v iných implementáciách podpisovania RSA objavená a publikovaná už v roku 2006 Danielom Bleichenbacherom.

Vzhľadom na závažnosť chyby je užívateľom odporúčané okamžite aktualizovať svoj prehliadač, novými aktuálnymi verziami sú Firefox 32.0.3 a Chrome 37.0.2062.124. Rovnako zraniteľné sú aj Firefox pre Android, Firefox ESR, Thunderbird a SeaMonkey, pre ktoré Mozilla rovnako vydala nové verzie. Zraniteľné sú aj ďalšie softvéry využívajúce knižnicu NSS, ktorú je potrebné upgradovať na verzie NSS 3.16.2.1, NSS 3.16.5 alebo NSS 3.17.1.




Najnovšie články:



Diskusia:

Firefox Od: karolkok | Pridané: 25.9.2014 10:36 jj tato aktualizacia mi vyskocila este vcera. Odpovedať Známka: 5.4 Hodnotiť:

Re: Firefox Od: opera je v pohode | Pridané: 25.9.2014 14:47 tak opera je v pohode Odpovedať Známka: 1.7 Hodnotiť:

Re: Firefox Od: hmm. | Pridané: 25.9.2014 15:06 Nevidim zlo, nepocujem zlo, vnimam len prijemny zazitok z opery... Odpovedať Známka: -3.3 Hodnotiť:

Re: Firefox Od: kinder garden cop | Pridané: 25.9.2014 18:41 ja ma kartu a citacku od TB a imac od applu + novy iphone 6m tak mam hlboko v pici. dovi dopo socky Odpovedať Známka: -8.5 Hodnotiť:

Re: Firefox Od: nodop. | Pridané: 25.9.2014 19:11 ...a spavas so sefom NSA? Odpovedať Známka: 10.0 Hodnotiť:

Re: Firefox Od: Co? | Pridané: 25.9.2014 21:21 Šéf NSA spáva (raňajkuje, obeduje...) s ním, len o tom tuto pán nevie.. Odpovedať Hodnotiť:

Re: Firefox Od reg.: stalinkovic | Pridané: 26.9.2014 8:31 ticho socky, zavidite mi moj iphone lebo si ho nemozete dovolit luzy, ja som makacisko Odpovedať Známka: -10.0 Hodnotiť:

Re: Firefox Od reg.: roob_ | Pridané: 26.9.2014 10:06 ano, zavidime ti ako sa ohol ked si si ho strcil do vrecka na nohaviciach. Odpovedať Hodnotiť:

Re: Firefox Od: Ritmus for president | Pridané: 26.9.2014 10:13 Ty si pako. Ja mu zavidim celkom uprimne. Odpovedať Hodnotiť:

Re: Firefox Od: kinder garden cop | Pridané: 26.9.2014 18:14 dik ritmaus, byw ja ho zasadne nodim v ruke aby vsetci videli ze som neni socka Odpovedať Hodnotiť:

Re: Firefox Od: MicrosoftGuru | Pridané: 25.9.2014 16:33 aj internet explorer je v pohode Odpovedať Známka: 4.3 Hodnotiť:

Re: Firefox Od: zajacik lol | Pridané: 25.9.2014 17:00 Hlavne stare verzie, cim starsie tym lepsie. ;-) Odpovedať Známka: 10.0 Hodnotiť:

asdff Od: chuj | Pridané: 25.9.2014 10:38 zeby chceli aby kazdy aktualizoval na tu novu sracku ? Tak vymyslia nejaky hoax. Mam 27.0 a nebudem to aktualizovat, bud prejdem k chrome alebo k inemu. Neviem co to maju za maniere ale aj Skype zakazal vsetky stare verzie pre pc/android/ios len aby si kazdy nainstaloval tu novu aj s reklamov ktora pomocou AdBlock nezmizne ... Odpovedať Známka: -5.7 Hodnotiť:

Re: asdff Od: mif | Pridané: 25.9.2014 10:44 Tiez mam verziu 28. Na tu 29 s Australia vzhladom ci ako sa to vola im serem. Na IB aj tak pouzivam Chrome. Pri browsovani je mi to u prdele Odpovedať Známka: -9.2 Hodnotiť:

Re: asdff Od: xXmann | Pridané: 25.9.2014 11:10 A čo majú hovoriť títo? http://dopice.sk/aFB Odpovedať Známka: 5.0 Hodnotiť:

Re: asdff Od: 4A7FB98 | Pridané: 25.9.2014 11:37 Uz zacali tocit Ramba 5? Odpovedať Známka: 6.4 Hodnotiť:

Re: asdff Od: quix_ | Pridané: 25.9.2014 14:06 fuj do pice moja odpoved http://youtu.be/Nr5nMSIBecU?t=5s Odpovedať Známka: 6.7 Hodnotiť:

Re: asdff Od: 5eter | Pridané: 25.9.2014 12:23 Tiez ma nasrali tym tlacitkom Refresh, na 29 to neaktualizujem ani pici. Pri 28 zostanem, dokym sa neuvedomia. Odpovedať Známka: -7.1 Hodnotiť:

Re: asdff Od: firefoxf | Pridané: 25.9.2014 15:08 firefox mam najnovsi a takto pekne vyzera: http://img.imgur.com/u9pdsLL.png Odpovedať Známka: 7.1 Hodnotiť:

Re: asdff Od reg.: wollo | Pridané: 25.9.2014 15:40 ja by som ku tomu pribalil este aj "colorful tabs" Odpovedať Známka: 5.0 Hodnotiť:

Go Space Captain Katsura, Go! Od: Hele von der Vole | Pridané: 25.9.2014 10:47 A co je s Chrome pre linux Version 37.0.2062.120 (64-bit)? Lebo update zatial nie je a aj v clanku pisu len o Win a OS X... Odpovedať Známka: 3.3 Hodnotiť:

Re: Go Space Captain Katsura, Go! Od: kidos | Pridané: 25.9.2014 11:15 "Bezpečnostná chyba sa nachádza v implementácii SSL od Mozilly, NSS, ktorú používa okrem Firefoxu okrem iných aj Chrome na Windows a OS X." predpokladajme, ze tam pouzivaju nieco ine... Odpovedať Známka: 10.0 Hodnotiť:

Re: Go Space Captain Katsura, Go! Od: chromium | Pridané: 25.9.2014 15:35 chromium Odpovedať Hodnotiť:

firefox Od: XMen | Pridané: 25.9.2014 10:51 a ja ze preco sa mi dnes updatoval firefox Odpovedať Známka: -1.4 Hodnotiť:

hehe23 Od: josinko12 | Pridané: 25.9.2014 11:33 no tak tu mame dalsi fail open surce. zlaty dobry windows. Odpovedať Známka: -3.1 Hodnotiť:

Re: hehe23 Od: Wil | Pridané: 25.9.2014 12:00 Ty jeden stých magorov čo sa vie ozvať len teraz, ale keď sa ukáže 17 ročná chyba vo win tak je ticho dsl.sk/article.php?id=8620 Odpovedať Známka: 1.4 Hodnotiť:

Re: hehe23 Od: level III | Pridané: 25.9.2014 13:02 to nie je chyba, curak, to je elegantny sposob, ako instalovat hry na firemne pc. Odpovedať Známka: 7.3 Hodnotiť:

Re: hehe23 Od: MicrosoftGuru | Pridané: 25.9.2014 16:35 Taku 17 rocnu by som si hned dal. A ona by dala mne lebo mam doma windows nie linuxy ako jebacikovi chlapci Odpovedať Známka: -3.3 Hodnotiť:

Novy Cas Rulezz Od reg.: gunko | Pridané: 25.9.2014 12:08 Nadpis ako z nového času, žiadna bezpečnosť, zničme všetky počítače, vypnime internet a zbúrajme serverovne ... Odpovedať Známka: 5.3 Hodnotiť:

Re: Novy Cas Rulezz Od: prdlajs | Pridané: 25.9.2014 20:57 Ani nie, len treba v praci zasadit ranu nasledujucemu IT sekuritakovi, ktory bude onanovat s tym, ze nestaci pouzit "len obycajny" SSL certifikat, ale musi byt megaovereny 10. typu zabezpecenia od Verisign s 3-nasobnym overovanim odtlacku ritneho venca a 5-faktorovou autentizaciou pomocou smartfonu a vzorku vetra z dveri od Voyageru 2. Odpovedať Známka: 10.0 Hodnotiť:

Re: Novy Cas Rulezz Od: trololo | Pridané: 25.9.2014 22:12 kazdy zacnime svojim faogjsgbsdhb vupsnhvvnbs&i s rg hwa uey y Odpovedať Hodnotiť:

hm... Od: ... | Pridané: 25.9.2014 12:32 Nediskriminujte. Napíšte už konečne o nejakej kritickej chybe vo WP. Všade samé Chromy, Firefoxy, Androidy, Apple, OpenSSL, a kde je Windows? A pochybujem o tom že nemá žiadne chyby. A ja chcem vedieť na čo si mám dať pozor :) Odpovedať Známka: -6.0 Hodnotiť:

Re: hm... Od: efrtzui | Pridané: 25.9.2014 12:46 ono ked si jediny pouzivatel tak si tie chyby musis najst sam... Odpovedať Známka: 2.3 Hodnotiť:

Re: hm... Od: om nom nom... | Pridané: 25.9.2014 13:07 windows nema vela chyb - ma ho na starosti jedna firma, ktora ho zabezpecuje. z casu na cas sa jedna-dve najdu, ale vacsinou nie su zavazne. to iste mas s unixom - teraz sa prekokotila po par rokoch jedna. v linuxe, na druhu stranu, chyba za chybou sa vali. lebo sa do neho jebu stovky ludi, nikto nenesie ziadnu zodpovednost, a kontrola tam nevladne skoro ziadna... Odpovedať Známka: 0.0 Hodnotiť:

Re: hm... Od reg.: wollo | Pridané: 25.9.2014 13:37 LOL, jedna spolocnost jedinym updatom sposoby BSOD :D (nastastie sa to nestalo kazdemu a tak casto) vsak ano. ber to z druhej strany takto :P o win chybach sa tak casto nevravi, pretoze M$ ututlava a vsetko robi za zavretymi dverami, takze v podstate ani nevies co vsetko je doj*bane. kdez to v open source sa v tom vrta viac ludi tak sa chyba najde a aj opravi rychlejsie. (cest vynimkam ktr boli najdene s velkym odstupom casu, ale ked sa o nich uz vedelo tak boli opravene pomerne rychlo) samozrejme ze ja ako bezny uzivatel na tom nie som technicky na takej urovni, aby som vedel co vsetko a kde je doj*bane ale aj tak viem povedat to, ze win je na tom horsie ako LX. Odpovedať Známka: -2.5 Hodnotiť:

Re: hm... Od: 4Maniak. | Pridané: 25.9.2014 14:21 Akých viac ľudí? Myslíš tých 5 či všetkých 6? Odpovedať Známka: -7.1 Hodnotiť:

Re: hm... Od: 234242 | Pridané: 25.9.2014 16:17 Skoda ze si nikdy nepouzil linux Odpovedať Známka: 3.3 Hodnotiť:

Re: hm... Od: non4blondes | Pridané: 25.9.2014 16:37 maniak je taky king, ze by vam hned zdvihol podiel aspon o styri percenta :D Odpovedať Hodnotiť:

Re: hm... Od: 4Maniak. | Pridané: 26.9.2014 8:39 A nie raz a nie jednu verziu... A možno skôr ako si sa Ty narodil... Odpovedať Hodnotiť:

Re: hm... Od: wc dekel | Pridané: 25.9.2014 14:42 ano, stalo sa az pri neuveritelnom mnozstve strojov - celych 100 kusov z 1.000.000. co sa chyb tyka, nie je chyba ako chyba. existuje zavaznost chyby, ktora sa rata cca takto: urcis si: vyznam chyby 1-10 (10 - ujma na zdravi, 9 - 8 nepouzitelnost, 1 -otrava) vyskyt chyby 1-10 (10 - cca 1 zo 10 jednotiek a viac, 1 - cca 1 z 10.000 jednotiek) a moznost odhalenia/zabranenia 1-10 (ako dobre vies chybu detegovat a/alebo zabranit jej - 10 - nevies/nedetegujes/spoliehas a, ze je gut, 1 - paranoid). toto medzi sebou vynasobis a ak dostanes cislo nad 100, tak si uplne v pici. do 50 je chyba temer nepodstatna, nad 50 vazna... pr.: win chyba: 9x1x10= 90, teda vazna a treba sa jej venovat. ff bezpecnost: 9x10x10, teda kriticka a si v pici. nehovoriac o tom, ze je tato zranitelnost verejne znama uz od 2006. Odpovedať Známka: 6.0 Hodnotiť:

Re: hm... Od: ASD_ | Pridané: 26.9.2014 7:41 Bezpecnost Linuxu tazi z maleho zastupenia na trhu. Nevravim, ze je to na skodu. Ja si preto drzim Operu 12.xx ale nebudem tu niekoho presviecat, ze ja naj. K MS updatom je vzdy popis, takze tam nic netutlaju. No a hovorit o rychlosti oprav je relativne, kedze nevies, kedy sa im dostali informacie o chybe. Ale najviac pobavila to posledna veta. Ja som po LX nejaky cas programoval a v blizkej dobe asi zas budem. Ale o systeme kde sa s odstupom asi piatich rokov objavila v kernel implementacii UARTu velmi podobna chyba si myslim svoje. A nepoukazuje to na konzistetny vyvoj. Odpovedať Známka: -2.0 Hodnotiť:

Re: hm... Od reg.: wollo | Pridané: 26.9.2014 8:22 S tou bezpecnostou s tebou suhlasim, to, ze LX nie je tak rozsireny (na domacich PC) je jeden z faktorov preco je linux bezpecnejsi ako Win. :) Co sa tyka tej mojej poslednej vety :) len som tym chcel povedat, ze na rozdiel od win, ma na nom skoro nic neprivadza do zurivosti, ako to je s win. LX pousivam uz asi 3 roky a musim povedat hocico na nom robim, vsetko funguje plynulejsie a stabilnejsie ako na win. napr taky firefox a flash player :D na win to nie je nic ine len neustale zamrzania a cakanie kym sa FF spamata (v poslednej dobe to je uz ale lepsie). V LX ked robim v blendry mam 90% menej crash-ov ako ked s nim robim vo win. Odpovedať Hodnotiť:

Re: hm... Od: 4Maniak. | Pridané: 26.9.2014 9:11 Stačí nebyť Matelko a všetko pod Win krásne funguje. A Lunex vôbec nie je bezpečnejší. Programujú ho väčší Matelkovia ako softvéristi v Microsofte. A tiež sú to len ľudia... Takže nebude ten ich systém o nič lepší a už vôbec nie bezpečnejší... Už len z toho pohľadu, že sa do neho vŕta množstvo všakovakých odkundesov. Odpovedať Hodnotiť:

Re: hm... Od: aasami | Pridané: 25.9.2014 13:07 Na to by potrebovali aspon zdvojansobit pocet redaktorov aby to pokryli. :-) Odpovedať Známka: 10.0 Hodnotiť:

Re: hm... Od: borat | Pridané: 26.9.2014 13:12 No ved zadne chyby niesu. Windows update po cistej instalacii w8 1,7GB Odpovedať Hodnotiť:

a opera? Od: knjiCdo | Pridané: 25.9.2014 17:03 Používam Operu, je táto chyba prítomná aj v prehliadači opera? resp. Bolo potvrdené, že sa tam táto chyba nenachádza? Pýtam sa viacmenej so zvedavosti než z obáv. Odpovedať Známka: 3.3 Hodnotiť:

Re: a opera? Od: knjiCdo | Pridané: 25.9.2014 17:04 "so" -> "zo" ^^; preklep Odpovedať Hodnotiť:

Re: a opera? Od: ASD_ | Pridané: 26.9.2014 7:49 Verzia od 15 vyssie tiez vyuziva NSS. Pri verziach do 12 si nie som isty. Odpovedať Hodnotiť:

firefox Od: matkooooo | Pridané: 25.9.2014 22:50 Firefox aktualizujem až potom ako do neho vrátia vzhľad ako bol pred verziou 28 a aj s možnosťou mať karty okien dolu pod záložkami, tam kde odjakživa patria a nie niekde kde si to niekto zmyslel Odpovedať Hodnotiť:

Re: firefox Od: Murkojeb | Pridané: 26.9.2014 10:17 Radsej nech vratia sync ako to bolo pred tym aby sa dalo jednoduch synchronizovat na vlastny server. Odpovedať Hodnotiť:

Re: firefox Od: matkooooo | Pridané: 26.9.2014 22:51 ani nespomínaj, ten Sync ma naštval neskutočne. Odpovedať Hodnotiť:

xxxxx Od: niktos | Pridané: 28.9.2014 2:41 no firefox nedobehnu prehliadace a ani ked im bude bezat oproti, pouzivam sice aj chrome aj operu obcas, ale ff a jeho pluginy co ma su neskotocne a bezkonkurencne, to akoze by mal pouzivatel pouzit explorer? ten uz je teda bezpecny, ten ich bezpecny rezim roby viac problemov ako uzitku a furt sa na neho nieco zo stranok nalepi, proste FF je FF to co tie pluginy dokazu to nedokaze ani jeden tolko toho. Odpovedať Hodnotiť:

Pridať komentár