Представлен эксплойт, способный блокировать работу любого SSL-сервера

Дестер · 26-10-11 20:34:45

Известная немецкая хакерская группа THC представила эксплойт, реализующий DoS-атаку против любого SSL-сервера с задействованием всего одной или нескольких атакующих машин. Уязвимость присутствует во всех известных реализациях SSL и не может быть устранена без переработки принципа работы сервера.

Идея, заложенная в эксплойт, очень проста и основана на том факте, что для установки SSL-соединения серверная сторона тратит в 15 раз больше ресурсов, чем клиентская. Фактически, все что делает эксплойт, это создает бесконечный поток подключений к серверу, что в конечном итоге приводит к исчерпанию ресурсов последнего. THC уверяет, что для введения среднестатистического сервера в состояние отказа в обслуживании понадобится всего 300 SSL-подключений в секунду, которые с легкостью обеспечит стандартный ноутбук, подключенный к сети с помощью DSL-канала. Большая ферма серверов, оснащенная балансировщиком нагрузки сможет выдержать натиск не более чем 20 таких ноутбуков, пропускной канал каждого из которых которых составляет всего 120 Кбит/с.

Надежной защиты от данного способа атаки пока не существует и вряд ли появится в ближайшем будущем. Максимум, что могут сделать системные администраторы, это отключить механизм SSL-Renegotiation или установить коммерческий SSL Accelerator, благодаря которым удастся повысить производительность SSL-сервера и защититься хотя бы от атак, производимых с одной машины. Разработчики эксплойта утверждают, что производители были поставлены в известность о наличии проблемы ещё в 2003 году, но с тех пор ни один из вендоров не предпринял попыток исправления сложившейся ситуации.

Получить код эксплойта можно с домашней страницы THC, на которой опубликована урезанная версия, которая не будет работать в отношении серверов с отключенным SSL-Renegotiation. При отключении SSL-Renegotiation для совершения атаки потребуется создавать новое TCP-соединение на каждый ресурсоёмкий SSL-handshake. Упрощённую функциональность эксплойта, работающего в ситуации отключения SSL-Renegotiation, можно повторить с помощью стандартного openssl-клиента (главное отличие эксплойта THC в том, что он инициирует серию SSL-handshake в рамках одного TCP-соединения, к чему серверы не подготовлены):

   thc-ssl-dosit() {
       while :; do 
          (while :; do echo R; done) |\
          openssl s_client -connect 127.0.0.1:443 2>/dev/null;
       done
    }

Честно стырено отсюда.

Babusha · 26-10-11 20:58:03

Офигеть, это получается можно завалить любую линупс машину скриптом в пять строк?

MOP3E · 26-10-11 21:24:46

А к виндовым серверам эта новость имеет отношение?

Дестер · 26-10-11 21:27:33

MOP3E, да, эта новость имеет отношение к любому SSL-серверу, не ограничивающему количество подключений. Суть новости в том, что большинство серверов как раз количество подключений не ограничивают.

Добавлено спустя 02 мин 49 с:
Так что Ректор всё же может кого-нибудь взломать по IP. big_smile

Babusha · 26-10-11 21:38:35

Дестер, блеать, с ректором вообще ирония судьбы, прям tongue .

MOP3E · 26-10-11 21:39:19

Дестер пишет:

Так что Ректор всё же может кого-нибудь взломать по IP. big_smile

Взломать - вряд ли. DDOS - это не взлом.

Дестер · 26-10-11 21:40:27

MOP3E, это скорее DoS в духе нюков из девяностых.

mav · 26-10-11 22:26:31

Дестер пишет:

Так что Ректор всё же может кого-нибудь взломать по IP.

Он уже доказал, что может сломать что-то только физически smile

MOP3E · 26-10-11 23:03:11

mav пишет:

Он уже доказал, что может сломать что-то только физически

Ага.

mav · 27-10-11 01:17:36

Карманов написал про продиводействие THC-SSL-DOS
kb.atraining.ru/thc-ssl-dos-measures/

Отредактировано mav (27-10-11 22:43:24)

Форум StopLinux

Объявление

#1 26-10-11 20:34:45

Представлен эксплойт, способный блокировать работу любого SSL-сервера

#2 26-10-11 20:58:03

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#3 26-10-11 21:24:46

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#4 26-10-11 21:27:33

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#5 26-10-11 21:38:35

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#6 26-10-11 21:39:19

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#7 26-10-11 21:40:27

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#8 26-10-11 22:26:31

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#9 26-10-11 23:03:11

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

#10 27-10-11 01:17:36

Re: Представлен эксплойт, способный блокировать работу любого SSL-сервера

Подвал форума