US-CERT เตือน ช่องโหว่ Cookie Injection, แนะนำเว็บเปิด HSTS

By: lew
FounderJusci's WriterMEconomicsAndroid
on 25 September 2015 - 20:31 Tags:
Topics: 
Security
Browser
HTTPS
HSTS
Node Thumbnail

US CERT ออกประกาศแจ้งเตือนช่องโหว่เบราว์เซอร์ที่สามารถถูกยิงคุกกี้เข้าไปยังเว็บที่เข้ารหัสได้ และทำให้ผู้ใช้ถูกหลอกให้กรอกข้อมูลทั้งที่กำลังใช้งานอยู่ในเว็บเข้ารหัส

การยิงคุกกี้ (cookie injection) ทำได้เพราะนักพัฒนาเว็บสามารถกำหนดได้ว่าคุกกี้จะใช้งานเฉพาะ HTTPS ด้วยการต่อท้ายคุกกี้ด้วยข้อความ "secure" แต่การกำหนดนี้สามารถกำหนดขณะใช้งาน HTTP ที่ไม่เข้ารหัสก็ได้

แนวทางการโจมตี แฮกเกอร์จะต้องดักฟังการเชื่อมต่อที่ไม่เข้ารหัส และปลอมตัวเป็นเว็บโดเมนเดียวกัน ส่งข้อมูลเว็บแบบไม่เข้ารหัสไปยังเบราว์เซอร์เพื่อให้เบราว์เซอร์ตั้งค่าคุกกี้ในโดเมนที่เข้ารหัสแล้ว

การโจมตีที่เป็นไปได้ เช่น การขโมยข้อมูลค้นหา ด้วยการสมัครสมาชิกเว็บค้นหาเช่นกูเกิล แล้วยิงคุกกี้ให้เหยื่อล็อกอินด้วยบัญชีของแฮกเกอร์โดยไม่รู้ตัว แล้วมาดาวน์โหลดประวัติการค้นหาออกไปภายหลัง หรือการขโมยเงินด้วยการยิงให้บัญชีรับเงินฝากกลายเป็นบัญชีของแฮกเกอร์ไป

ทางแก้ไขในตอนนี้ต้องอาศัยเว็บให้รองรับ HSTS ที่บังคับให้เบราว์เซอร์ต้องเชื่อมต่อ HTTPS เสมอ

งานวิจัยนี้เสนอในงาน USENIX (PDF) ตั้งแต่เดือนที่แล้ว

ที่มา - US-CERT

alt="upic.me"

Get latest news from Blognone

Comments

By: Hadakung
iPhoneWindows PhoneAndroidWindows
on 25 September 2015 - 20:49 #846602

ในภาพคือ IE ไม่ได้รับผลกระทบนี้หรือครับ

By: Blacxloaf
Android
on 26 September 2015 - 16:53 #846752 Reply to:846602

ถ้าจริงนี่กลับไปซบ IE เลยนะนั่น

By: hisoft
ContributorWindows PhoneWindows
on 26 September 2015 - 20:05 #846783 Reply to:846602
hisoft's picture

Vulnerabilities in Handing Proxy Response. In [6], Chen et al. found a number of flaws in major browsers. The root problem resided in the handling of HTTPS responses. Essentially, all browsers at that time could not differentiate an HTTPS response from a proxy and an HTTPS response from the intended server. The flaws were patched after disclosure. However, we found the patches are incomplete: if a proxy replies to a HTTPS CONNECT request with an unencrypted 407 (proxy authentication required) response, all major browsers except IE accept the cookies set in 407 response. While some vulnerable browsers display a pop-up window, some accept cookies silently (Table 5).