Badacze bezpieczeństwa odkryli lukę zwaną Logjam w algorytmach szyfrowania używanych do bezpiecznych połączeń internetowych, takich jak HTTPS, SSH i VPN. Jak donosi Trend Micro, osoba atakująca może przeprowadzić atak typu man-in-the-middle, a tym samym osłabić lub złamać szyfrowanie w celu odczytania ruchu danych.

Logjam jest podobny do Freak Gap, ponieważ wynika to również z zakazu stosowania silnych technologii szyfrowania w produktach przeznaczonych na eksport. Według Trend Micro, prawdziwa luka tkwi w wymianie kluczy Diffie-Hellman. Logjam może osłabić siłę przyjętego algorytmu. Odpowiadałoby wtedy jedynie sile algorytmu opartego na 512-bitowych liczbach pierwszych. Badacze Logjam znaleźli również inne luki w zabezpieczeniach systemów, które używają 768-bitowych lub 1024-bitowych liczb pierwszych.

Dotyczy to każdego protokołu korzystającego z wymiany kluczy Diffie-Hellman, kontynuuje Trend Micro. Aby jednak móc wykorzystać tę lukę, osoba atakująca musi być w stanie przechwycić ruch danych między bezpiecznym serwerem a klientem. Ponadto wymaga znacznych zasobów komputerowych do odszyfrowania, które są dostępne na przykład dla państw narodowych.

Logjam jest oparty na luce projektowej w Transport Layer Security (TLS), która z kolei jest wykorzystywana przez przeglądarki internetowe i niektóre serwery pocztowe. Co gorsza, atakujący może udawać przeglądarce, że używa zwykłego klucza, a nie słabszej wersji eksportowej.

Logjam został odkryty przez informatyków z francuskich instytutów badawczych Inria i CNRS, Johns Hopkins University, University of Michigan i University of Pennsylvania oraz pracowników Microsoft Research. Według nich 8,4 procent z 1 miliona najpopularniejszych witryn zabezpieczonych protokołem HTTPS jest podatnych na ataki. W przypadku serwerów POP3 i IMAP z zabezpieczeniem TLS liczby te wynoszą 8,9 i 8,4 procent, a dla serwerów SMTP nawet 14,8 procent. Jednak numery serwerów e-mail odnoszą się tylko do przestrzeni adresowej IPv4.

Według Wall Street Journal większość producentów przeglądarek opublikowała lub przynajmniej ogłosiła poprawki. Dostawcy zgodzili się co do zasady odrzucać krótkie klucze. Dolna granica długości klucza była dyskutowana od dawna. Ostatecznie zgodzili się na co najmniej 1024 bity, czyli klucz o 309 cyfrach. W rezultacie jednak 0,2 procent wszystkich bezpiecznych stron internetowych nie jest już dostępnych.

Naukowcy opublikowali szczegóły dotyczące Logjamu na swojej stronie internetowej WeakDH.org (Weak Diffie-Hellman). Użytkownicy mogą tam również sprawdzić, czy ich przeglądarka jest podatna na Logjam. Testy przeprowadzone przez ZDNet pokazują, że Microsoft Internet Explorer 11 załatał już Windows 7. Wersja 43 przeglądarki Google Chrome, a także Firefox 38.0.1 i Opera 29.0.1795.60 wydane w tym tygodniu są jednak podatne na ataki. Dotyczy to również Safari na iOS i OS X.

Wskazówka: jak dobrze znasz się na przeglądarkach? Sprawdź swoją wiedzę - z quizem na silicon.de.