Opublikowano szczegóły kolejnego groźnego ataku – DROWN (Decrypting RSA with Obsolete and Weakened eNcryption). Błąd wykorzystuje podatność szyfrowanej transmisji po TLS, gdzie na serwerze jest włączona obsługa SSLv2. Od bardzo dawne jest zalecane korzystanie jedynie z najnowszych wersji protokołu TLS, jednakże ponad 11 milionów maszyn na świecie nadal ma włączoną możliwość negocjacji takiego połączenia z klientem. Aby atak w ogóle doszedł do skutku, atakujący musi przeprowadzić atak man in the middle.
Z tego względu sama podatność będzie bardzo ciężka do wykorzystania. Największe szanse mają operatorzy lub służby monitorujące. Jednakże jeśli ktoś podoła atakowi MITM, to wystarczy krótki okres, aby rozszyfrować dane połączenie danego użytkownika.
Wygląda na to, że polski hosting wobec ataku DROWN stoi średnio…
http://hostingraport.pl/zabezpieczenie-hostingow-przed-atakiem-drown
Faktycznie, nie napawa to optymizmem :P