[NEWS] Timing Attack per alcuni progetti open source

[c.m.g]

pubblicato: domenica 18 luglio 2010 da Lpt on fire!



I ricercatori Nate Lawson e Taylor Nelson hanno verificato che molte funzioni che gestiscono l’autenticazione degli utenti in alcuni software open source, fra cui anche OpenID o OAuth, possono essere attaccate con un timing attack.

L’attacco consiste nel valutare i tempi di risposta del sistema in base all’input fornito e calcolare quindi la stringa corretta un carattere alla volta. I programmatori che non conoscono questo problema, purtroppo, utilizzano funzioni che tornano al chiamante al primo byte differente, aprendo la porta a questo genere di attacchi temporali.

Si tratta di una falla di sicurezza meno teorica di quello che si pensi e la cui soluzione è banale. Al momento hanno contattato i progetti che sono vulnerabili, ma non ne hanno pubblicato l’elenco.






Foto | RobotSkirts

Fonte: OssBlog Via | ComputerWorld