Bezpieczeństwo ASP.NET: Ujawniamy poważne luki w szyfrowaniu!
Bezpieczeństwo ASP.NET: Ujawniamy poważne luki w szyfrowaniu!
Webaplikacje oparte na ASP.NET mogą być w poważnym niebezpieczeństwie. Ostatnie badania ujawniają, że szyfrowanie ciastka w tym frameworku nie jest wystarczająco bezpieczne, co stawia pod znakiem zapytania prywatność użytkowników. Szacuje się, że 25% wszystkich aplikacji internetowych na świecie może być narażonych na ataki.
Problem tkwi w niepoprawnej implementacji AES-a w trybie CBC (Cipher Block Chaining). Atak znany jako Padding Oracle umożliwia atakującym odszyfrowanie danych bez posiadania klucza. Metoda ta polega na modyfikacjach w paddingu oraz wielokrotnym wysyłaniu żądań do serwera, a następnie badaniu odpowiedzi.
Według badaczy, takich jak Rizzo i Duong, możliwe jest rozszyfrowanie ciasteczek, co z kolei pozwala na podglądanie stanów, ticketów służących do uwierzytelniania formularzy oraz prywatnych danych użytkowników. To poważne ostrzeżenie dla twórców aplikacji, którzy powinni natychmiast zająć się poprawą bezpieczeństwa swoich projektów.
Na podstawie: Źródła
