บริษัท Intevydis เป็นบริษัทวิจัยช่องโหว่ของซอฟต์แวร์จากรัสเซีย ระบุว่าบริษัทกำลังเตรียมเผยแพร่ช่องโหว่ที่ยังไม่ได้รับการแก้ไข้จำนวนมากภายในเดือนนี้เนื่องจากหมดความอดทนที่จะทำงานร่วมกับผู้ผลิตแล้ว

โดยปรกติแล้วหลักจริยธรรมของนักวิจัยด้านความปลอดภัยทั่วโลกจะให้โอกาสผู้ผลิตในการแก้ไขช่องโหว่ก่อนที่เปิดเผยข้อมูลเหล่านั้นสู่สาธารณะ ทำให้ช่องโหว่ที่ถูกโจมตีมักเป็นเพราะลูกค้าไม่ได้อัพเดตซอฟต์แวร์อย่างถูกต้อง

รากฐานแห่งการเข้ารหัสทุกวันนี้ส่วนหนึ่งเริ่มมาจากแนวคิดง่ายๆ คือหากเราคูณเลขขนาดใหญ่มากๆ สองตัวเข้าด้วยกันนั้นมักจะไม่ยากมาก แต่การแยกตัวประกอบออกมานั้นทำได้ยากและช้ามากๆ ประเด็นสำคัญคือถ้ามีใครสักคนสามารถแยกตัวประกอบได้เร็วก็หมายถึงว่าเขาสามารถถอดรหัสได้เร็วด้วยเช่นกัน และงานวิจัยล่าสุดได้มีการแสดงให้เห็นว่า RSA-768 นั้นสามารถถอดรหัสได้ภายในเวลาเพียงสองชั่วโมงเท่านั้น

เพียงไม่กี่วันหลังจากพบบั๊กในมาตรฐาน TLS นักศึกษาจากตุรกีก็สามารถอาศัยช่องโหว่ดังกล่าวในการขโมยข้อมูล Cookie และข้อมูลการล็อกอินไปจากเจ้าของข้อมูลได้แล้ว

การโจมตีดังกล่าวอาศัยการแทรกข้อมูล HTTP GET ลงไปก่อนหน้าข้อมูลจริงของเหยื่อ ทำให้สามารถโอนข้อมูลจาก URL และค่าบัญชีผู้ใช้ของเหยื่อไปยังบัญชีผู้ใช้ของผู้โจมตีได้

รายงานดังกล่าวโจมตีเว็บที่ใช้ HTTP Basic Auth เช่น Twitter โดยผู้โจมตีสามารถขโมยทั้งชื่อผู้ใช้และรหัสผ่านไปได้แม้จะใช้ HTTPS ก็ตามที

ระหว่างนี้ยังไม่มีมาตรการใดนอกจากการยกเลิกฟังก์ชั่น Renegotiating

ชุดเครื่องมือรวบรวมหลักฐานจากคอมพิวเตอร์ ที่ชื่อว่า COFEE เป็นซอฟต์แวร์ที่ไมโครซอฟท์สร้างขึ้นเพื่อมอบให้กับหน่วยงานรักษากฏหมายทั่วโลกเพื่อใช้ในการเก็บหลักฐานจากคอมพิวเตอร์ ปัจจุบันมีตำรวจมากกว่า 15 ประเทศรวมถึง Interpol ใช้งานซอฟต์แวร์ชุดนี้อยู่ ข่าวร้ายคือคนข้างๆ คุณอาจจะใช้งานมันอยู่ เพราะว่าชุดเครื่องมือจำนวน 150 คำสั่งนี้ได้ถูกอัพโหลดเข้าไปยังบิตทอร์เรนต์แล้ว

เมื่อวันพฤหัสบดีที่ผ่านมามีการรายงานถึงปัญหาของมาตรฐาน TLS ทำให้เสี่ยงต่อการถูกโจมตี แบบ MITM (man-in-the-middle) ทำให้การเชื่อมต่อแม้จะเป็นแบบเข้ารหัสจะเสี่ยงต่อการแก้ไขข้อความที่ใช้ในการเชื่อมต่อ SSL ซึ่งสร้างความเสี่ยงอื่นๆ ตามมาในอนาคต

ปัญหานี้เกิดขึ้นจากความสามารถในการทำ Renegotiating ซึ่งมีระบุไว้ในมาตรฐาน TLS โดยกระบวนการโจมตีดังนี้