Viestintäviraston CERT-FI -tietoturvallisuusyksikön mukaan useista eri TLS- ja SSL-protokollatoteutuksista on löydetty useita erilaisia haavoittuvuuksia. TLS-(Trasnport Layer Security) ja SSL-(Secure Socket Layer) ovat yleisesti käytettyjä verkkoliikenteen salaamiseen tarkoitettuja protokollia.
SSL-protokollaa käytetään laajasti erityisesti asiakkaan ja palvelimen välisen WWW-liikenteen salaamiseen muun muassa pankkiyhteyksissä.
Löydetyt haavoittuvuudet liittyvät asiakkaan todentamisessa käytetyn varmenteen käsittelyyn TLS- tai SSL-yhteyden muodostusvaiheessa. Haavoittuvuuksien hyväksikäyttö on mahdollista lähettämällä palvelimelle tietyllä tavalla muokattu varmenne.
Haavoittuvuuksia hyväksikäyttämällä hyökkääjä voi kohdistaa kohdetietojärjestelmään palvelunestohyökkäyksen. Hyökkääjän voi olla mahdollista myös suorittaa kohdetietojärjestelmässä omia komentojaan.
Haavoittuvuudelle alttiit järjestelmät:
Useat TLS- ja SSL-protokollatoteutukset. Valmistajakohtainen luettelo on saatavilla osoitteessa:
http://www.uniras.gov.uk/vuls/2003/006489/tls.htm
Ratkaisu:
Päivitä haavoittuvuuksille alttiit ohjelmistot korjaustiedostolla tai uudella ohjelmistoversiolla. Mikäli varmenteiden käyttö ei ole tarkoituksen mukaista asiakkaan tunnistamisessa, voidaan haavoittuvuuden hyväksikäyttöä rajoittaa poistamalla palvelimelta käytöstä kyseinen ominaisuus.