Dosłownie niedawno Dan Kaminsky na konferencji Confidence mówił o atakach na WWW i proponował m.in. użycie kodowania Base64, w celu rozwiązania części problemów z filtrowaniem, SQL Injection itp. Dzisiaj pojawiła się informacja o narzędziu Poet (Padding Oracle Exploit Tool). Nie jestem specjalistą od WWW, ale czy ten tool nie jest przypadkiem „rozwiązaniem problemu” kodowania Base64 jaki Kaminsky zaproponował?
Poważnie pytam? Więcej tutaj: http://www.h-online.com/security/news/item/Tool-for-cracking-encrypted-session-data-1017626.html
Blog
-
Padding Oracle Exploitation Tool (Poet)
- Data dodania:
- 08 6.10
- Kategorie:
- newsy
4 komentarze do
8 czerwca, 2010 o godzinie 21:09
Nie za bardzo rozumiem związek. Base64 u Kaminsky’ego służył tylko do transportu danych przez warstwę WWW (celem nie było szyfrowanie). Dlatego base64, że z definicji nie zawiera „niebezpiecznych znaków” (np. apostrofu, itd. ).
W przypadku POET masz zaszyfrowane dane po stronie klienta, do których jawnej postaci klient nie powinien mieć dostępu, ale on pozwala je odszyfrować (wykorzystując słabość metody, konkretniej niepodpisanie tych danych i padding). Nawet jeśli na końcu te dane są jeszcze base64encodowane, to nie base64 jest tutaj „winny”.
8 czerwca, 2010 o godzinie 21:13
A widziałeś demo tego tool’a? Dlatego pytam, nie znam się. W pierwszej chwili miałem takie skojarzenie. W końcu blog, tak? Pozdro :)
8 czerwca, 2010 o godzinie 21:14
Tak, widziałem demo. Pytasz – odpowiadam :)
8 czerwca, 2010 o godzinie 21:47
Ale tool fajny tak czy siak :)