Újfajta hackertámadást fedeztek fel, bármelyik weboldal megbénítható vele
A kiberbiztonsági szakértők szerint a túlterheléses támadás egy új fajtájánál már nem a szervereket kell megtámadni, hanam ez azokon dolgozó algoritmusokat. A hackerek előszeretettel használják a DDoS, azaz az elosztott szolgáltatásmegtagadással járó támadást akkor, ha a céljuk nem a szolgáltatás tönkretétele, csupán az, hogy azt ne lehessen elérni. A Las Vegasban zajló Black Hat kiberbiztonsági konferencián egy újfajta DDoS-sebezhetőséget mutattak be a szakemberek, akik szerint az újfajta tamádás lényegéebn a világháló összes weboldalát érintheti.
A Wired beszámolója szerint a Two Six Labs nevű cég kutatói, Nathan Hauke és David Renardy úgy vélik, az újfajta módszer ahelyett, hogy a szervereket venné célba, az algoritmusokat támadja meg. Számos weboldal és szolgátatás ugyanis algoritmusokat használ arra, hogy a beérkező adatokat feldolgozzák, és konkrét utasítássá vagy eredménnyé konvertálják azokat. Ugyanakkor egy kicsi, látszólag ártalmatlan bemeneti adat rendkívül nagy problémát tud okozni az algoritmusok működésében – így pedig a kiszolgálásban is. Hauke és Renardy három olyan szoftvernél is megtalálta azt a sebezhetőséget, amin keresztül nagy mennyégű információ ömleszthető az algoritmusra, amely megpróbálja azt feldolgozni, de mivel nem bír vele, összeomlik.
A támadás működik péládul a PDF-ek kezelését segítő szoftveren úgy, hogy egy nagy méretű PDF-fájlt töltünk fel, vagy a virtuáli számítógépek hálózatával (VCN-ekkel) is, amit nagy mennyiségű felesleges adattal lehet feltölteni addig, amíg a szerverek össze nem omlanak. De sikerült ugyanilyen hatást elérni a Dropbox által kifejlesztett, az erős jelszavak kezeléséhez használt szoftvernél is, ha a felhasználó egy több ezer karakterből álló jelszót ad meg. A kutatók a konferencián szeretnék felhívni a fejlesztők figyelmét, hogy erre a problémára is fel tudjanak készülni. A megoldáshoz még egy ACsploit nevű eszközt is készítettek, ami segíthet kivédeni a hasonló próbálkozásokat.
Forrás: HVG