Ενημέρωση της Διεύθυνσης Δίωξης Ηλεκτρονικού Εγκλήματος προς τους χρήστες του διαδικτύου για τον εντοπισμό σοβαρής ευπάθειας ασφαλείας πρωτόκολλου

Η Διεύ­θυνση Δίωξης Ηλε­κτρο­νι­κού Εγκλή­μα­τος της Ελλη­νι­κής Αστυ­νο­μίας, ενη­με­ρώ­νει τους χρήστες του δια­δι­κτύου σχετικά με τον εντο­πι­σμό μίας σοβαρής ευπά­θειας στην ασφά­λεια χρήσης του πρω­το­κόλ­λου κρυ­πτο­γρά­φη­σης SSL-3, η οποία ονο­μά­στηκε Poodle (Padding Oracle On Downloaded Legacy Encryption).

Ειδι­κό­τερα, το πρω­τό­κολλο κρυ­πτο­γρά­φη­σης SSL-3 χρη­σι­μο­ποιεί­ται ευρέως για την κρυ­πτο­γρα­φη­μένη επι­κοι­νω­νία μεταξύ ενός περι­η­γητή (browser) και ενός δια­κο­μι­στή (server). Αν και το πρω­τό­κολλο SSL 3.0 είναι περίπου δεκα­πέ­ντε (15) ετών, εξα­κο­λου­θεί να χρη­σι­μο­ποιεί­ται ευρέως στα περισ­σό­τερα προ­γράμ­ματα περι­ή­γη­σης (browsers) και ως εφε­δρικό (backup) στους δια­κο­μι­στές, εάν τα σύγ­χρονα πρω­τό­κολλα κρυ­πτο­γρά­φη­σης απο­τύ­χουν να συν­δε­θούν.

Συγκε­κρι­μένα, η εν λόγω ευπά­θεια επι­τρέ­πει σε έναν κακό­βουλο χρήστη (cracker) να πραγ­μα­το­ποι­ή­σει επι­θέ­σεις, οι οποίες ονο­μά­ζο­νται ως “man-in-the-middle” και να παρα­κάμ­ψει την κρυ­πτο­γρα­φη­μένη επι­κοι­νω­νία μεταξύ ενός περι­η­γητή (browser) και ενός δια­κο­μι­στή (server) συλ­λέ­γο­ντας ευαί­σθητα προ­σω­πικά δεδο­μένα, αλλά και τα cookies των συν­δέ­σεων. Με τα στοι­χεία αυτά, στη συνέ­χεια (ο κακό­βου­λος χρήστης) μπορεί να απο­κτή­σει πρό­σβαση στους δια­δι­κτυα­κούς λογα­ρια­σμούς των χρηστών.

Επι­προ­σθέ­τως, το σημα­ντι­κό­τερο πρό­βλημα που προ­κύ­πτει από την ευπά­θεια Poodle είναι ότι εξα­να­γκά­ζει την υπο­βάθ­μιση (downgrade) σε SSL 3.0, καθι­στώ­ντας ευάλωτο ακόμα και ένα σύστημα που χρη­σι­μο­ποιεί ανώτερη μέθοδο κρυ­πτο­γρά­φη­σης, όπως το πρω­τό­κολλο TLS (Transport Layer Security).

Σημειώ­νε­ται ότι οι συν­θή­κες στις οποίες μπορεί κάποιος κακό­βου­λος χρήστης (cracker) να εκμε­ταλ­λευ­τεί την ανωτέρω ευπά­θεια με σχετική ευκολία είναι στα δημόσια δίκτυα (όπως τα public WiFi).

Καλού­νται οι χρήστες του δια­δι­κτύου να λαμ­βά­νουν τα ακό­λουθα ελά­χι­στα μέτρα προ­στα­σίας, για την αποφυγή προ­σβο­λής από την παρα­πάνω ευπά­θεια:

• Εάν ο περι­η­γη­τής (browser) τους το υπο­στη­ρί­ζει, να απε­νερ­γο­ποι­ή­σουν το πρω­τό­κολλο SSL 3.0 ή να χρη­σι­μο­ποι­ή­σουν εργα­λεία που υπο­στη­ρί­ζουν TLS_FALLBACK_SCSV (Transport Layer Security Signalling Cipher Suite Value), το οποίο θα απο­τρέ­ψει επι­θέ­σεις υπο­βάθ­μι­σης (downgrades).

• Να έχουν πάντοτε ενη­με­ρω­μένο (update) τον περι­η­γητή (browser) τους στην τελευ­ταία επίσημη έκδοση.

• Να είναι ιδιαί­τερα προ­σε­κτι­κοί στη χρήση των δημό­σιων δικτύων (public WiFi).

Υπεν­θυ­μί­ζε­ται ότι για ανάλογα περι­στα­τικά, οι πολίτες μπορούν να επι­κοι­νω­νούν με την Διεύ­θυνση Δίωξης Ηλε­κτρο­νι­κού Εγκλή­μα­τος στα ακό­λουθα στοι­χεία επι­κοι­νω­νίας:

• Τηλε­φω­νικά: 210-6476959

• Στέλ­νο­ντας e-mail στο: [email protected]

• Μέσω της εφαρ­μο­γής (application) για έξυπνα τηλέ­φωνα (smart phones), με λει­τουρ­γικό σύστημα ios – android : CYBERKID