یک آسیب‌پذیری بسیار مهم در نسخه نهایی مرورگر فایرفاکس وجود دارد که می‌تواند به مهاجمان با امکانات خوب اجازه دهد تا حملات جعل هویت مردی در میان(۱) را راه‌اندازی کرده و همچنین بر روی شبکه گمنامی(۲) Tor تأثیر بگذارند.
پروژه Tor این مشکل را در سیستم پین‌گذاری(۳) گواهی HTTPS مرورگر در روزه جمعه با انتشار نسخه ۶٫۰٫۵ مرورگر Tor برطرف کرده است، این در حالی است که موزیلا، همچنان باید این ایراد اساسی را در فایرفاکس برطرف کند.
مهاجمان می‌توانند به‌روز‌رسانی‌های قلابی افزونه فایرفاکس و Tor را ارائه دهند.
این آسیب‌پذیری می‌تواند به مهاجم MITM اجازه فراهم کردن یک گواهی جعلی برای adons.mozilla.org را بدهد تا سرورهای موزیلا را جعل هویت کرده و در نتیجه، یک به‌روزرسانی مخرب را برای NoScript ،HTTPS Everywhere یا دیگر توسعه‌دهندگان(۴) فایرفاکس که بر روی رایانه هدف نصب هستند، ارائه دهد.
مقامات Tor در یک مشاوره به صورت رسمی هشدار دادند: “این آسیب‌پذیری می‌تواند منجر به اجرای کد دلخواه شود. علاوه بر این، دیگر گواهی‌نامه‌های درونی سیستم پین‌گذاری(۵) نیز آلوده شده‌اند.”
اگرچه بدست آوردن یک گواهی جعلی برای adons.mozilla.org از بین صدها ارائه دهنده مورد اعتماد گواهی فایرفاکس چالش برانگیز است، اما توسط مهاجمان قدرتمند وابسته به دولت‌ها قابل دستیابی است.
این آسیب‌پذیری در ابتدا در روز سه‌شنبه توسط یک متخصص امنیت با نام @movrcx کشف شد، که این حملات را علیه Tor شناسایی کرده بود و تخمین زده شد که مهاجمان به ۱۰۰٫۰۰۰ دلار آمریکا نیاز دارند تا یک حمله چند-پلت‌فرم(۶) را راه‌اندازی کنند.
مشکل اصلی در طرز کار پین‌گذاری گواهی فایرفاکس وجود دارد.
اگرچه، طبق یک گزارش که توسط یک محقق امنیت مستقل به نام رایان داف(۷) در روز پنج‌شنبه ارائه شد، این مشکل بر روی نسخه‌های پایدار فایرفاکس اثر می‌گذارد، ولی نسخه ساخت شبانه(۸) که در تاریخ ۴ سپتامبر ارائه شده، به این آسیب‌پذیری حساس نیست.
داف گفت که مشکل اصلی در روش سفارشی فایرفاکس(۹) برای راه‌اندازی پین‌گذاری گواهی وجود دارد که با استاندارد IETF و تایید شده توسط(۱۰) HPKP فرق دارد.
پین‌گذاری گواهی، یک ویژگی HTTPS است که اطمینان حاصل می‌کند که مرورگر کاربر، تنها یک کلید گواهی مشخص را برای یک دامنه یا زیردامنه خاص قبول می‌کند و بقیه را رد کرده و از مورد هدف قرار گرفتن کاربر توسط جعل گواهی‌های SSL جلوگیری می‌کند.
استاندارد HPKP، در حالی که خیلی محبوب نیست، اغلب بر روی وب‌سایت‌هایی که اطلاعات حساس دارند، استفاده می‌شود.
داف میگوید: “فایرفاکس از روش پین‌گذاری کلید استاتیک خود(۱۱) به جای استفاده از HPKP برای گواهی‌های موزیلا استفاده می‌کند. به نظر می‌رسد، اجرای روش استاتیک از روش HPKP ضعیف‌تر بوده و با توجه به اینکه در این سناریوی حمله، قابل دور زدن بوده، ناقص است.”
کاربران مرورگر Tor، باید مرورگر خود را به نسخه ۶٫۰٫۵ به‌روزرسانی کنند، در حالی که کاربران فایرفاکس باید گزینه به‌روزرسانی خودکار افزونهها را غیرفعال کنند، که یک گزینه پیش فرض در مرورگر است، یا اینکه تا پیش از ارائه نسخه جدید موزیلا، از یک مرورگر دیگر استفاده کنند.
منبع
http://thehackernews.com/2016/09/firefox-tor-mitm_18.html
(۱) man-in-the-middle (MITM)
(۲) Tor anonymity network
(۳) pinning
(۴) extensions
(۵) built-in certificate pinnings
(۶) multi-platform
(۷) Ryan Duff
(۸) nightly build
(۹) Firefox’s custom method
(۱۰) HTTP Public Key Pinning
(۱۱) own static key pinning method
ثبت ديدگاه