Szyfrowane połączenie HTTPS wykorzystywane jest do ochrony milionów stron internetowych na całym świecie a obecnie stało się przedmiotem nowego ataku hakerów na użytkowników.

Luka pozwala cyberprzestępcom na uzyskiwanie adresów e-mail oraz informacji o płatnościach bankowych z szyfrowanych stron. W niektórych przypadkach realizacja ataku trwa, zaledwie 30 sekund.

Szczegóły nowego ataku najprawdopodobniej zostaną przedstawione podczas trwającego Black Hat w Las Vegas. Autorzy twierdzą, że atak może odszyfrować prywatne dane z bankowości internetowej czy platform e-commerce, ponieważ odpowiedź dla klienta wykorzystuje protokoły TLS (Transport Layer Protocol) i SSL (Secure Sockets Layer).

Wg autorów atak może ujawnić pewne typy danych jak numer ubezpieczenia społecznego, adres e-mail, niektóre klucze elektroniczne, a także linki do resetowania haseł. Autorzy przeprowadzili ataki na wszystkich wersjach protokołów TLS i SSL bez względu na rodzaj algorytmu czy używanego szyfru.

Nowy atak wymaga aby atakujący posiadał dostęp do komunikacji między użytkownikiem a stroną internetową. Cyberprzestępca musi również nakłonić użytkownika do kliknięcia na złośliwe łącze. Można to zrobić za pomocą ukrytej ramki na stronie www czy fałszywej wiadomości e-mail.

Autorzy wykrytej luki twierdzą, że nie odszyfrowano całego połączenia szyfrowanego, ale uzyskali sporo danych.

Źródło: cybersecurity.ru