Un bug comune a Internet Explorer, Safari e Chrome mette a rischio le transazioni online.

Un cracker infatti è riuscito a sfruttare una vulnerabilità comune ai 3 browser, che permette di utilizzare un certificato SSL abilmente contraffatto facendolo passare per autentico: il cracker ha reso pubblico il codice sorgente che permette la creazione di tali certificati falsi.

In pratica l’attaccante assume due identità e si interpone tra l’utente e il server: il primo crede di connettersi al server reale, mentre invece si sta connettendo con l’attaccante. Al server succede la stessa cosa: scambia l’attaccante per il client.

Grazia a tale vulnerabilità un attaccante può far credere al browser dell’utente di essere PayPal, grazie al certificato falso e rimbalzando le connessioni verso PayPal.  PayPal cifrerà le risposte per il nostro attaccante che a sua volta, dopo averle lette, le ricifrerà per la vittima – che così non si accorgerà di nulla: l’attacante così si trova in mezzo e sarà in grado di leggere i dettagli della transazione.

L’attaco fa leva su un buco nella CryptoAPI utilizzata da Windows per effettuare il parsing degli SSL.

L’ hacker Moxie Marlinspike spiega: “Tecnicamente, dovrebbe essere più corretto affermare che sono gli utenti Windows quelli maggiormente esposti, dato che la vulnerabilità non è stata ancora risolta da Microsoft“.

In realtà il bug era stato scoperto già 9 settimane fa: Mozilla è stato il primo a metterci una pezza (grazie all’utilizzo di una propria API crittografata), seguito poi da Safari (il quale perà rimane vulnerabile nei sistemi Windows).

Internet Explorer e Chrome rimangono invece ancora molto indietro, non avendo rilasciato alcuna patch.

Nel frattempo, un portavoce di PayPal ha rassicurato gli animi, spiegando che il problema è a conoscenza degli esperti di sicurezza e che si stanno effettuando le dovute ricerche per appositi workaround.

Vuoi tutti gli aggiornamenti di IbA's Blog in tempo reale? Abbonati ai nostri Feed RSS.