研究人员展示以SSL漏洞入侵Twitter

　　上周两名来自PhoneFactor的研究人员在揭露了SSL协议的安全漏洞，并指出该漏洞可能导致ddos攻击。随后另一研究人员Anil Kurmus就展示如何藉由Twitter的相关漏洞窃取该网站使用者的登入信息。

　　根据PhoneFactor的说明，SSL拥有一个凭证缺口(SSL Authentication Gap)漏洞，该漏洞允许骇客将自己注入验证SSL的通讯路径并执行命令，以发动ddos攻击。SSL(Secure Sockets Layer)是目前最普及的安全协议，而TLS(Transport Layer Security)则是IETF将SSL标准化后的名称，双方仅有细微的差距，并成为一互通的名词。

　　根据Educated Guesswork的解释，骇客首先要连结到TLS服务器，透过TLS的重新协商(renegotiation)功能，他可随心所欲地与该服务器通讯，服务器会将不同的协商都视为来自原本的使用者，并藉以挟持客户端与服务器端的连结。

　　TLS只是一个安全协议，因此相关攻击的影响来自于采用TLS的应用程序协议，最重要的就是HTTPS，几乎所有的网络应用程序都是透过使用者名称及密码进行初期的验证，并以HTTP cookie来持续验证状态。因此，骇客可以请求服务器传送使用者原本的请求给他，如果该请求包含使用者的cookie或密码，就会让使用者的机密信息外泄。

　　原本认为只要部署跨站伪造请求(CSRF)保护机制的网站就可避免该TLS漏洞的IBM研究人员Tom Cross，在看过Kurmus的展示后便坦承事态比他当初想的还要严重。

　　Cross说，有很多网络应用程序允许使用者储存或传送任意资料，最明显的例子就是网络电子邮件服务，骇客可以将受害者的cookie邮寄一份给自己，未来可能还会发现该漏洞的各种角度，HTTPS并不是唯一使用SSL的协议。

　　Cross指出，幸好可关闭重新协商功能的OpenSSL新版本已出炉，该版本可适用于大多数的应用程序，其中Twitter就已部署完成。

　　Educated Guesswork认为99%以上的网站都能透过关闭重新协商功能减轻此一威胁，但这并非长久之计，应该要自根本上解决服务器端及客户端对重新协商认知不一致的问题。