28 000 nettverksrutere brukte identiske nøkler

[Computerworld]

Overraskende bieffekt av FREAK-svakheten oppdaget.

28 000 nettverksrutere brukte identiske nøkler

[nebrewfoz]

Jeg synes originalen var litt bedre skrevet: http://www.networkworld.com/article/2897773/researchers-find-same-rsa-encryption-key-used-28000-times.html

[G]

Det mest effektive hadde nok vært å flashoppgradere enhetene, dersom det var tilgjengelig utenifra. Kan man regne med at de får tuklet med router'nes innstillinger basert på svakheten?

 

Det beste ville vært å brick'et router'ne. For da ville nok flere kjøpt seg nye og bedre utgaver

[tommyb]

Er dette begrenset til et spesifikt merke?

[anon12234]

Jeg synes originalen var litt bedre skrevet: http://www.networkworld.com/article/2897773/researchers-find-same-rsa-encryption-key-used-28000-times.html

Jepp, tek.no er ikke riktig aktør til å kaste om seg med begreper som "kardinalsynd" spør du meg.

[nebrewfoz]

Det mest effektive hadde nok vært å flashoppgradere enhetene, dersom det var tilgjengelig utenifra. Kan man regne med at de får tuklet med router'nes innstillinger basert på svakheten?

Nei, denne svakheten går ut på at du kan 'avlytte' den krypterte kommunikasjonen og faktisk klare å dekryptere den. Plasser en 'boks' hos 'målets' ISP, og du kan følge med på all kryptert trafikk (som bruker TLS, i hvert fall).

 

Så du trenger egentlig ikke tukle med routerens innstillinger for å få tak i informasjon.

(Men det finnes vel nok av routere med Remote Administration aktivert, og default logon & passord.)

[nebrewfoz]

Er dette begrenset til et spesifikt merke?

Alle de som bruker samme kryptonøkkel er nok det ...

Det er nok en og annen som er villig til å betale en liten slump med penger for å slippe å få navnet sitt i overskriftene.

Og det kan hende forskerne synes det er bedre at problemet blir rettet opp først enn at alt offentliggjøres med en gang.

[Gjest Slettet-Z9Cy2AAy]

Men hvordan er det egentlig med SSL som krypteringsmetode, er ikke den blitt knekt nokså grundig (POODLE) ?

[nebrewfoz]

Det er vel derfor man anbefaler å disable støtte for SSL (i browseren) og kun tillate TLS.

[tommyb]

Ugh... Jeg er for innlært til å si noe annet enn SSL om TLS aldri så mye har erstattet det. Er redd for at jeg for alltid er låst til å tenke på "SSL" som teknologien og "TLS" som en forbedring over SSL. SSL 3.0 er SSL, TLS 1.0 er SSL 3.1 er SSL.

 

Beklager, men sånn går det noen ganger når protokoll og prinsipp heter det samme, blir bare rot.