Con FREAK traffico HTTPS a rischio anche su Windows

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/sicurez...ows_56363.html

Microsoft rende noto che anche i sistemi Windows sono vulnerabili a FREAK, quindi il traffico HTTPS scambiato tra client e server vulnerabili potrebbe essere intercettato. Al momento attuale è disponibile solo un Workaroud che risolve il problema

Click sul link per visualizzare la notizia.

[ulukaii]

Ho fatto giusto ora il test sotto Seven e Win 8.1 con Firefox e Chrome, entrambi risultano essere:

Good News! Your browser appears to be safe from the FREAK attack.

[TheQ.]

https://www.youtube.com/watch?v=DbzooE7jtiE

^_^

(PS: il sito del MIT vulnerabile!!!)

Edit: ma dov'è il test?

[ulukaii]

Basta che visiti la pagina https://freakattack.com/ e in alto ti informa già sulla situazione del browser in uso.

Altrimenti vai nella pagina specifica: https://freakattack.com/clienttest.html

Occhio che anche alcuni moduli di antivirus o internet security o apps possono essere vulnerabili.

Esempio, con Kaspersky Internet Security se si lascia attivo il modulo per controllare tutte le connessioni crittografate, allora si rimane esposti anche se si usa un browser non vulnerabile. Personalmente, usando appunto il suddetto KIS 2015 (versione 15.0.1.415(b)) ho temporaneamente disattivato la scansione delle connessioni crittografate.

[TheQ.]

sono non vulnerabile.
Dopo provo con altri browser

[bio.hazard]

IE 11.0.8 (versione 11.0.9660.1663) su Windows 8.1 risulta vulnerabile.

[Brajang]

Windows 10 preview: chrome non a rischio , explorer 11 a rischio

[nickfede]

Win 8.1 e Opera 27 tutto OK

[TheQ.]

Con avira, comodo emet malwarebytes pro
vivaldi - non vulnerabile
chromium - non vulnerabile
baidu spark - non vulnerabile
wyzo - non vulnerabile
qupzilla - vulnerabile
360browser - non vulnerabile
comodo ice dragon - è esploso il computer... (viene bloccato a livello dns perchè il browser passa per DNS comodo, il più sicuro di tutti)

[bobafetthotmail]

Originariamente inviato da dal sito di test del browser

Chrome for Windows and all versions of Firefox are known to be safe. However, even if your browser is safe, certain third-party software, including some anti-virus products and adware programs, can expose you to the attack by intercepting TLS connections from the browser. If you are using a safe browser but our client test says you’re vulnerable, this is a likely cause.

Ehehehehehehe
Ma che strano che il problema sia principalmente in IE o in una estensione...

[hek]

ma se virtualizzo Mac OS X con Vmware in Win 8 e poi navigo con Chrome sono al riparo? Cioé il traffico TLS viaggia in bare metal oppure a layer di OS? E, nel primo caso, il MITM sarebbe in grado di sniffare del traffico out of layer?

[regenesi]

Con IE 8 se tento di connettermi a https://freakattack.com/ mi da errore di connessione e non visualizzo nulla ?!?
Vuoi vedere che l'8 era così avanti da bloccare questo bug ?
Poi ovviamente hanno corretto e tutto è andato a posto (dal punto di vista NSA intendo)

[bobafetthotmail]

Originariamente inviato da hek

ma se virtualizzo Mac OS X con Vmware in Win 8 e poi navigo con Chrome sono al riparo? Cioé il traffico TLS viaggia in bare metal oppure a layer di OS? E, nel primo caso, il MITM sarebbe in grado di sniffare del traffico out of layer?

Dato che l'exploit si basa sulla comunicazione tra un browser o un programma non sicuro e un server non sicuro, la macchina virtuale non è al riparo da eventuali exploit se usa un browser non sicuro (ma chrome sembra essere sicuro), nè offre sicurezza maggiore rispetto ad un OS bare metal che fa girare un browser sicuro.

Essendo che il traffico HTTPS viene scritto/letto a livello di programma, non c'è modo per sniffare altro traffico che non viene da programmi vulnerabili.