IPImen ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

Flag

کلمات رایج امنیت شبکه و فناوری اطلاعات IPImen

آسیب پذیری امنیتی شدید OpenSSL و ارائه دو به روزرسانی

takian.ir openssl

 

تیم ارائه خدمات و نگهداری OpenSSL برای دو نقص امنیتی بزرگ در نرم افزار خود به روزرسانی هایی را برای رفع مشکل ارائه کرده اند که این آسیب پذیری ها می توانند برای انجام حملات Denial of Service (DoS) و تأیید گواهی های bypass مورد استفاده قرار گیرند.

دو مورد با عنوان CVE-2021-3449 و CVE-2021-3450 مطرح شده اند، که این دو آسیب پذیری در به روزرسانی (نسخه OpenSSL 1.1.1k) که روز پنجشنبه گذشته منتشر شد، برطرف شده اند. در حالی که CVE-2021-3449 بر تمام نسخه های OpenSSL 1.1.1 تأثیر می گذارد، CVE-2021-3450 بر نسخه های OpenSSL 1.1.1h و جدیدتر موثر است.

OpenSSL یک مجموعه نرم افزاری متشکل از توابع رمزنگاری است که پروتکل Transport Layer Security را با هدف ایمن سازی ارتباطات ارسال شده از طریق شبکه رایانه ای پیاده سازی می کند.

طبق یک متن مشاوره ای که توسط OpenSSL منتشر شده است، CVE-2021-3449 مربوط به یک آسیب پذیری احتمالی DoS ناشی از بازگشت مجدد پوینتر NULL است که می تواند اگر در جریان تبادل مجدد کاربر پیام مخرب "ClientHello" در طول پیام بین کاربر و سرور انتقال داده شود، باعث خراب شدن سرور OpenSSL TLS شود. این معزل به عنوان بخشی از تغییرات مربوط به ژانویه 2018 معرفی شده است.

در متن مشاوره گفته شده است که: "اگر یک TLSv1.2 در طی ارسال پیام مجدد ClientHello پسوند signature_algorithms را حذف کند (در حالی که در ClientHello اولیه وجود داشته است)، اما شامل یک پسوند signature_algorithms_cert باشد که نتیجه آن به یک بازگشت مجدد پوینتر NULL منجر شود، نتیجتا این پدیده منجر به خرابی و حمله DoS می شود".

کمپانی نوکیا که گفته میشود این آسیب پذیری و نقص را در 17 ماه مارس سال 2021 گزارش کرده است ، با تغییر کد یک خطی، مشکل DoS را برطرف کرده است.

از طرفی دیگر، CVE-2021-3450 مربوط به یک فلگ X509_V_FLAG_X509_STRICT است که امکان بررسی مجدد امنیت certificate های موجود در یک زنجیره certificate را فراهم می کند. در حالی که این فلگ به طور پیش فرض تنظیم نشده است، اما یک خطا در پیاده سازی بدین معناست که OpenSSL نتوانسته است آنرا بررسی کند (گواهی های غیر CA نباید توانایی صدور سایر گواهی ها را داشته باشند) و در نتیجه باعث ایجاد با‌ی‌پس certificate می شود.

در نتیجه ، این نقص مانع مسدودسازی گواهی های TLS صادر شده که توسط CA های معتبر مرورگر تایید نشده اند، می شود.

OpenSSL اعلام کرده است که: "برای اینکه OpenSSL تحت تأثیر این آسیب پذیری قرار گیرد، یک برنامه باید مستقیما فلگ تأیید X509_V_FLAG_X509_STRICT را تنظیم کند و همچنین یا مقصدی برای تأیید گواهی تعیین نکند یا در مورد کاربر TLS یا استفاده از سرور، مقصد پیش فرض نادیده گرفته شود".

گفته می شود که بنیامین کادوک از آکامای این موضوع را در تاریخ هجدهم ماه مارس سال جاری به تیم خدمات و نگهداری OpenSSL گزارش داده است. این آسیب پذیری توسط شیانگ دینگ و همکاران وی در آکامای کشف شده و همچنین توسط مهندس اصلی نرم افزار سابق رِدهَت و توسعه دهندهOpenSSL ، توماش مراز، یک اصلاحیه نیز ارائه گردیده است.

اگرچه هیچ یک از این دو نقص و آسیب پذیری بر OpenSSL 1.0.2 تأثیر نمی گذارد، اما همچنین لازم به ذکر است که پشتیبانی این نسخه، از 1 ژانویه 2020 پایان یافته است و دیگر به روزرسانی نمی شود. شرکت تاکیان به کاربران نرم افزارهایی که به نسخه آسیب پذیر OpenSSL متکی هستند توصیه میکند که به روزرسانی ها را در راستای کاهش خطرات مرتبط با این نقایص و آسیب پذیری ها، در اسرع وقت نصب و اعمال نمایند.

کروم به زودی استفاده از HTTPS را در اولویت قرار میدهد

 

اگر کاربران آدرسی را تایپ کرده و فراموش کنند که پیشوند HTTP یا HTTPS را درج نمایند، گوگل کروم به طور پیش‌فرض از HTTPS استفاده خواهد کرد.

مهندسان گوگل در طی چند سال گذشته جز سرسخت ترین ترویج کنندگان و عرضه کنندگان بسته های امنیتی در بین سایر مرورگرها بوده اند و همراه با تیم های پشتیبان مرورگرهای Firefox و Tor، اغلب در پشت پرده بسیاری از تغییراتی بوده اند که باعث شکل دادن مرورگرها به آنچه که امروز هستند، شده اند.

از ویژگی های پیشگامانه و آوانگارد آن مانند ایزولاسیون سایت و کار در پشت صحنه در فروم CA/B تا بهبود وضعیت گواهینامه تجاری TLS، همه ما مدیون تلاش های تیم کروم هستیم.

اما یکی از بزرگترین موارد مورد علاقه مهندسین کروم طی چند سال گذشته، تلاش برای ترویج استفاده از HTTPS، چه در درون مرورگر کروم، و چه در بین گردانندگان و صاحبین وبسایت ها بوده است.

به عنوان بخشی از این تلاش ها، کروم اکنون تلاش می کند تا در صورت در دسترس بودن HTTPS، سایت ها را از HTTP به HTTPS بروزرسانی کرده و ارتقا دهد.

کروم همچنین به کاربرانی که می خواهند رمز عبور یا اطلاعات کارت بانکی خود را در صفحات HTTP نا ایمن وارد کنند، از آنجا که ممکن است درون شبکه به شکل متن ساده ارسال شوند، اخطار و هشدار می دهد.

اگر نشانی اینترنتی صفحه HTTPS باشد، کروم بارگیری از منابع HTTP را نیز، برای جلوگیری از فریب کاربران در مورد ایمنی ظاهری دانلود از آن نشانی ها که در اصل امن نیستند، مسدود می کند.

تغییراتی درOMNIBOX کروم که در نسخهV90 میشوند

اما حتی اگر حدود 82٪ از کل سایت های اینترنتی با HTTPS کار کنند، این تعداد تا زمانی که بتوان ادعای امنیت اکثریت را مطرح کرد، فاصله زیادی دارد. جدیدترین تغییرات اولیه HTTPS در کروم نسخه 90 برقرار میشود که برنامه ریزی شده است تا در اواسط آوریل سال جاری منتشر شود.

این تغییر بر کروم Omnibox تأثیر بسزایی میگذارد (نامی که گوگل از آن برای توصیف نوار آدرس کروم (URL) استفاده می کند).

در نسخه های فعلی، وقتی کاربران آدرسی را در Omnibox تایپ می کنند، کروم آدرس تایپ شده را صرف نظر از پروتکل آن، بارگیری می کند. اما اگر کاربران فراموش کنند پروتکل را (HTTP یا HTTPS) تایپ کنند، کروم "http://" را جلوی متن اضافه می کند و سعی می کند دامنه را از طریق HTTP بارگیری نماید.

به عنوان مثال، تایپ چیزی مانند "domain.com" در نسخه فعلی کروم، "http://domain.com" را بارگیری می کند.

طبق گفته مهندس امنیتی کروم، امیلی استارک، این ویژگی در کروم نسخه 90 تغییر خواهد کرد. با شروع عرضه نسخه 90، Omnibox تمام دامنه هایی که بر مبنای HTTP باشند، به جای "http://"، با HTTPS بارگیری و لود خواهد کرد.

استارک این هفته در توییتر خود توضیح داد: "در حال حاضر، این طرح به صورت آزمایشی برای درصد كمی از كاربران کروم با نسخه 89 اجرا می شود و اگر کاملا طبق برنامه پیش برود، در نسخه کروم 90 به طور کامل راه اندازی خواهد شد".

کاربرانی که مایل به آزمایش این ساز و کار جدید هستند، می توانند این کار را در حال حاضر از طریق Chrome Canary انجام دهند. آنها می توانند از طریق آدرس زیر به قسمت Flag کروم مراجعه کرده و این ویژگی را فعال نمایند:

chrome://flags/#omnibox-default-typed-navigations-to-https

takian.ir chrome flags entry