Российская Информационная Сеть
English   Контакты
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ
ТОП-дайджест  Хроника  Эксклюзив  Фоторепортажи  Личное мнение  Погода  Комментарии  Поиск  RSS  Интернет-радио  
 Топ 20 сегодня Топ 20 сегодня 
СМИ: популярные мессенджеры будут работать под закономСМИ: популярные мессенджеры будут работать под законом
Отечественное кино становится популярным у зрителей нашей строныОтечественное кино становится популярным у зрителей нашей строны
Дефицит бензина в Магадане вызван поломкой танкераДефицит бензина в Магадане вызван поломкой танкера
Разговор Путина и Трампа по телефону может состояться уже скоро.Разговор Путина и Трампа по телефону может состояться уже скоро.
далее топ дня...
 Фотожурнал: фото-топ за месяц, галерея всех фото Фотожурнал 
 Новости партнеров
 Топ новости разделов сегодня Топ новости разделов 
Разговор Путина и Трампа по телефону может состояться уже скоро.Разговор Путина и Трампа по телефону может состояться уже скоро.
Дефицит бензина в Магадане вызван поломкой танкераДефицит бензина в Магадане вызван поломкой танкера
Испанские врачи спасают 8-летнюю российскую девочкуИспанские врачи спасают 8-летнюю российскую девочку
На дорогах России в скором времени появятся беспилотные грузовикиНа дорогах России в скором времени появятся беспилотные грузовики
СМИ: популярные мессенджеры будут работать под закономСМИ: популярные мессенджеры будут работать под законом
В Таиланде скончалась российская туристкаВ Таиланде скончалась российская туристка
Программиста Станислава Лисова перевели в другую испанскую тюрьмуПрограммиста Станислава Лисова перевели в другую испанскую тюрьму
Украинские радикалы устроили очередной марш в КиевеУкраинские радикалы устроили очередной марш в Киеве
Дружба с экс-возлюбленными вызывает психические расстройстваДружба с экс-возлюбленными вызывает психические расстройства
Джек Николсон уходит из киноДжек Николсон уходит из кино
далее...
 Личное мнение Личное мнение 

 Новости о знаменитостях Знаменитости 
Новость: 25 августа 09:35: Новый пляжный хитНовый пляжный хит

Новость: 16 июля 18:13: Новости проекта "Дом-2": один из участников расплакался из-за изменыНовости проекта "Дом-2": один из участников расплакался из-за измены


 Заплатим за ваше мнение!
Получайте до 1,5 долларов за каждую заполненную анкету!



 Новости Hi-Tech Новости Hi-Tech 
27 ноября, 11:16

На Яндексе возможен перехват логинов и паролей

Новости Hi-Tech: На Яндексе возможен перехват логинов и паролей
Новости по теме:
Система авторизации Яндекса подвержена MITM (Man-In-The-Middle)-атаке: можно заставить Яндекс передавать логины и пароли в открытом виде, что влечет за собой угрозу их перехвата.

Для тех, кто не в курсе, что такое MITM (цитата из Википедии):

Атака "человек посередине" (англ. Man in the middle, MitM-атака) - термин в криптографии, обозначающий ситуацию, когда атакующий способен читать и видоизменять по своей воле сообщения, которыми обмениваются корреспонденты, причём ни один из последних не может догадаться о его присутствии в канале.

Применительно к сетям, возможность перехватывать и в отдельных случаях изменять передаваемый трафик. Это грозит раскрытием логинов и паролей к сайтам. Для защиты от этого применяется SSL.

MITM на Яндексе

При входе на Яндекс логин и пароль честно передаются по SSL-протоколу. Но взглянем на часть исходного кода страницы авторизации с описание формы:





Изначально в форме указано, что данные должны передаваться по нешифровнному каналу:

action="http://passport.yandex.ru/passport?mode=auth"

Передавать данные по SSL заставляет скрипт forcehttps.js, который у всех форм меняет в свойстве action "http" на "https":

// Force HTTPS javascript
//
// $Id: forcehttps.js,v 1.3 2006-12-12 14:05:01 shurukhin Exp $

(function(){
var frm = document.forms.MainLogin;
if(frm) {
frm.action=frm.action.replace(/^http:/i, `https:`)
frm.action=frm.action.replace(/^//,`https://`+document.domain+`/`)
}
})();


Если же этот скрипт не выполнится, то логин и пароль будут пересылаться в открытом виде.

Вывод

Если у атакующего есть возможность подменить или заблокировать скачивание forcehttps.js, то логин и пароль передадутся на сервер в открытую. Например, админ в офисе просто заблокировал скачивание forcehttps.js на прокси-сервере (офис ходит в инет через него), то он легко может перехватить логин и пароль от аккаунта на яндексе, принадлежащие сотрудникам офиса.
[Читать все комментарии] [Напечатать новость]
http://www.securitylab.ru
  Комментарии к новости 
[Добавить комментарий]

Комментариев к этой новости пока нет. Добавьте первым свой комментарий!
[Добавить комментарий]
 Хроника новостей: Новости Hi-Tech Хроника новостей 
Программиста Станислава Лисова перевели в другую испанскую тюрьму

23 января 13:56
Компания Nintendo выпустила новую игровую консоль

13 января 11:55
В Китае разрабатывают технологию распознавания лиц

17 ноября 13:33
Apple представляет iPhone 7

8 сентября 10:05
Google запустил новый видеосервис Duo

16 августа 13:16
Новая технология защитит телефоны от robocall

4 августа 13:05
Apple заменит смайлик изображающий пистолет

2 августа 15:15
Спецслужбы вскрыли iPhone террориста

29 марта 16:08
Директор ФБР рассказал о конфликте с Apple

26 февраля 11:57
Американцы разработали удочку с Wi-Fi

12 февраля 10:48
Инженеры трудятся над виртуальной реальностью

9 февраля 12:54
Роскомнадзор закрыл самый крупный пиратский ресурс "Rutracker"

5 февраля 10:56
Российские инженеры создали робота-патрульного

20 января 11:41
Samsung официально представила Galaxy A9

25 декабря 11:36
В консольную World of Tanks временно добавили режим "Танчики"

24 декабря 17:10
Facebook выучится обновлять ленту новостей в оффлайне

11 декабря 11:54
Список самых надежных ноутбуков во всем мире

4 декабря 11:57
Японцы разработали моющийся смартфон (видео)

3 декабря 15:18
Apple тестирует iPhone 7 без кнопок

2 декабря 14:35
В работе Viber случился масштабный сбой

27 ноября 16:23
Wi-Fi может выдавать электроэнергию

26 ноября 14:58
Google Glass трудится над 3-мя новыми приспособлениями

19 ноября 11:19
В Fallout 4 воссоздали героев Tomb Raider и "Во все тяжкие"

11 ноября 11:59
Открытость Facebook беспокоит пользователей

10 ноября 12:17
Facebook отправит пользователей в виртуальный мир

5 ноября 11:19
Шутер Halo 5: Guardians поступил в продажу

27 октября 14:18
Assassin`s Creed: Syndicate поступил в продажу

23 октября 12:56
Twitter объявил о запуске новой функции

22 октября 12:18
В России стартовали продажи iPhone 6s

9 октября 09:35
Поклонники Far Cry отправятся в каменный век

7 октября 10:42
 1  2  3  4  5  6  7  8  9  10  11  12  13  14  15  16  17  18  19  20  21  22  23  24  25 >> 470
 Главная новость дня Главная новость дня 
Мутко: Россия готова к Кубку конфедераций 2017 Мутко: Россия готова к Кубку конфедераций 2017
 
 Эксклюзив Эксклюзив 
Пора ли продавать акции Apple? Пора ли продавать акции Apple?
 
  Топ новостей Опросы 
 Фоторепортажи: новости с подборкой фотографий Фоторепортажи 
Галустян объяснил причину сорванных спектаклей
Галустян объяснил причину сорванных спектаклей
Шепелева обвинили во лжи
Марго Робби стала лицом журнала Vanity Fair
Вышел новый трейлер 6 сезона Игры престолов (видео)
 Новости партнеров
 Новости дня Новости дня 
 
Новость: Актёра уволили за мат на сценеАктёра уволили за мат на сцене
 
Новость: В Таиланде скончалась российская туристкаВ Таиланде скончалась российская туристка
 
Новость: Путин предлагает врио губернаторов раскрыть свои доходыПутин предлагает врио губернаторов раскрыть свои доходы
 
Новость: Программиста Станислава Лисова перевели в другую испанскую тюрьмуПрограммиста Станислава Лисова перевели в другую испанскую тюрьму
 
Новость: Мутко: Россия готова к Кубку конфедераций 2017Мутко: Россия готова к Кубку конфедераций 2017
 
Новость: Государство оплатить треть стоимости квартиры молодой семьеГосударство оплатить треть стоимости квартиры молодой семье
 
  Copyright © RIN 2000-
* Обратная связь
Контактная информация  
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ