MD5 알고리즘의 결함을 악용하여 피싱 공격을 탐지 할 수있는 방법을 발견했습니다.

웹 사이트가 자신이 주장하는 사람임을 증명하기 위해 사용하는 디지털 인증서. 이 인증서 중 일부를 작성하는 데 사용 된 MD5 해시 알고리즘의 알려진 결함을 활용하여 연구원은 Verisign의 RapidSSL.com 인증 기관을 해킹하고 인터넷상의 모든 웹 사이트에 대해 가짜 디지털 인증서를 만들 수있었습니다.

해시가 사용되었습니다 주어진 문서를 고유하게 식별하고 문서가 전송 중에 수정되지 않았 음을 확인하기 위해 쉽게 계산되는 번호 인 문서에 대한 "지문"을 생성합니다. 그러나 MD5 해시 알고리즘에는 결함이있어 동일한 해시 값을 가진 두 개의 서로 다른 문서를 만들 수 있습니다. 이것은 실제 사이트의 인증서와 동일한 지문을 가진 피싱 사이트에 대한 인증서를 만들 수있는 방법입니다.

[추가 정보: Windows PC에서 맬웨어를 제거하는 방법]

Playstation 3 컴퓨터 팜 사용, 연구원은 사실상 모든 브라우저에서 신뢰할 수있는 가짜 인증서를 발행 할 수있는 "가짜 인증 기관"을 만들었습니다. 플레이 스테이션의 셀 프로세서는 코드 기능을 잘 수행 할 수 있기 때문에 코드 차단기에 많이 사용된다.

그들은 화요일 베를린에서 개최 된 카오스 커뮤니케이션 콩그레스 해커 컨퍼런스에서 발견 한 내용을 발표 할 계획이다. 이 연구는 독립 연구원 Jacob Appelbaum과 Alexander Sotirov가 포함 된 국제 팀과 Centrum Wiskunde & Informatica, Ecole Polytechnique Federale de Lausanne의 컴퓨터 과학자들에 의해 수행되었습니다. 아인 트 호벤 대학교 (University of California), 버클리 대학교 (University of California, Berkeley)와 같은 과학 기술자들에 의해 개발되었습니다.

연구자들은 그들의 기술을 이용한 실제 공격은 거의 없다고 생각하지만 MD5 해싱 알고리즘은 더 이상 디지털 인증서를 발급하는 인증 기관 회사. "이것은 MD5를 여전히 사용하는 사람들에게 일어난 일입니다."프로젝트에 참여한 Berkeley 대학원생 David Molnar는 말했습니다.

Rapidssl.com, TC TrustCenter AG, RSA Data Security, Thawte 및 Verisign.co 외에도. 연구원들은 MD5가 MD5를 사용하여 인증서를 생성한다고 말하고있다.

공격을 시작하는 것은 어렵다. 왜냐하면 악의적 인 사람들은 먼저 가짜 디지털 인증서를 호스팅하는 악성 웹 사이트를 방문하도록 피해자를 속여야하기 때문이다. 그러나 이것은 man-in-the-middle 공격이라고 불리는 것을 사용하여 수행 할 수 있습니다. 지난 8 월, 보안 연구원 댄 카민스키 (Dan Kaminsky)는 인터넷의 도메인 네임 시스템 (Domain Name System)의 중대한 결함이 맨 - 인 - 더 - 미들 (man-in-the-middle) 공격을 발사하는데 어떻게 사용될 수 있는지를 보여 주었다. 이 최신 연구 결과에 따라 신뢰할 수있는 디지털 인증서를 사용하는 SSL (Secure Sockets Layer) 암호화를 사용하여 웹 사이트에 대한 이러한 유형의 공격을보다 쉽게 ​​시작할 수 있습니다.

"kaminsky의 DNS 버그를 실제로 피할 수없는 피싱을받을 수 있습니다. "

이를 증명할 수있는 결과 "라고 BreakingPoint Systems의 보안 연구 책임자 인 HD Moore가 블로그에 게시했습니다.

산동이 팀을 이끄는 2004 년 이후 MD5의 보안에 대해 암호 전문가가 점차적으로 사라지고 있습니다. 대학의 왕 샤오윤 (Wang Xiaoyun)은 알고리즘의 결함을 시연했다.

암호화 전문가이자 BT의 수석 보안 기술 책임자 인 브루스 슈나이어 (Bruce Schneier)는 MD5에 대한 연구 현황을 감안할 때 인증 기관은 SHA-1 (Secure Hash Algorithm-1)과 같은보다 안전한 알고리즘으로 업그레이드해야한다고 말했다. RapidSSL.com은 1 월 말까지 MD5 인증서 발급을 중단하고 그 이후 고객들이 새로운 디지털 인증서로 이동하도록 유도하는 방법을 모색 중이라고 Verisign의 제품 마케팅 부사장 인 Tim Callan은 전했다.

그러나 먼저,이 회사는이 최신 연구를 잘보고 싶어합니다. Molnar와 그의 팀은 Microsoft를 통해 간접적으로 Verisign에 결과를 전달했지만 Verisign과 직접 이야기하지는 않았지만 회사가 자신의 대화를 청산하기 위해 법적 조치를 취할 수도 있습니다. 과거에는 기업들이 해킹 컨퍼런스에서 말하지 못하도록 법원 명령을 얻는 경우가있었습니다.

Callan은 Verisign에 더 많은 정보가 제공되기를 바랬다 고 말했습니다. "나는 블로거와 언론인들에게이 일에 대해 브리핑을 받고있는 것이 얼마나 실망 스러운지를 표현할 수는 없지만 실제로 응답해야하는 사람들이라는 점을 감안할 때 우리는 그렇지 않다"고 말했다.

슈나이어 (Schneier)는 이 최신 연구의 배경에는 인터넷에있어 훨씬 더 중요한 보안 문제가 있습니다. 예를 들어 민감한 정보의 대용량 데이터베이스를 노출하는 약점이 있습니다.

"가짜 MD5 인증서를받는다면 중요하지 않습니다. 어쨌든 당신의 인증서를 결코 확인하지 않기 때문에, "그는 말했다. "가짜를 만드는 방법은 수십 가지가 있으며 이것은 또 다른 방법입니다."