Российская Информационная Сеть
English   Контакты
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ
ТОП-дайджест  Хроника  Эксклюзив  Фоторепортажи  Личное мнение  Погода  Комментарии  Поиск  RSS  Интернет-радио  
 Топ 20 сегодня Топ 20 сегодня 
Будущее онлайн-конфиденциальности находится в руках ТрампаБудущее онлайн-конфиденциальности находится в руках Трампа
Тереза Мэй подписала письмо в ЕС о запуске "Брексита"Тереза Мэй подписала письмо в ЕС о запуске "Брексита"
далее топ дня...
 Фотожурнал: фото-топ за месяц, галерея всех фото Фотожурнал 
 Новости партнеров
 Топ новости разделов сегодня Топ новости разделов 
Будущее онлайн-конфиденциальности находится в руках ТрампаБудущее онлайн-конфиденциальности находится в руках Трампа
Российский Сбербанк продал свой бизнес на УкраинеРоссийский Сбербанк продал свой бизнес на Украине
Приморский океанариум вновь открывает двери для посетителейПриморский океанариум вновь открывает двери для посетителей
В Петрозаводске возобновились испытания новейшего экранопланаВ Петрозаводске возобновились испытания новейшего экраноплана
СМИ: популярные мессенджеры будут работать под закономСМИ: популярные мессенджеры будут работать под законом
В Ростовской области устраняют последствия мощного ураганаВ Ростовской области устраняют последствия мощного урагана
В Южной Корее прокуроры требуют ордер на арест Пак Кын ХеВ Южной Корее прокуроры требуют ордер на арест Пак Кын Хе
Тереза Мэй подписала письмо в ЕС о запуске "Брексита"Тереза Мэй подписала письмо в ЕС о запуске "Брексита"
Дружба с экс-возлюбленными вызывает психические расстройстваДружба с экс-возлюбленными вызывает психические расстройства
Вуди Харрельсон бросил курить травуВуди Харрельсон бросил курить траву
далее...
 Личное мнение Личное мнение 

 Новости о знаменитостях Знаменитости 
Новость: 22 июля 09:00: Родион Газманов устроил "Самый яркий день"Родион Газманов устроил "Самый яркий день"

Новость: 21 июля 08:55: John MartinJohn Martin


 Заплатим за ваше мнение!
Получайте до 1,5 долларов за каждую заполненную анкету!



 Новости Hi-Tech Новости Hi-Tech 
27 ноября, 11:16

На Яндексе возможен перехват логинов и паролей

Новости Hi-Tech: На Яндексе возможен перехват логинов и паролей
Система авторизации Яндекса подвержена MITM (Man-In-The-Middle)-атаке: можно заставить Яндекс передавать логины и пароли в открытом виде, что влечет за собой угрозу их перехвата.

Для тех, кто не в курсе, что такое MITM (цитата из Википедии):

Атака "человек посередине" (англ. Man in the middle, MitM-атака) - термин в криптографии, обозначающий ситуацию, когда атакующий способен читать и видоизменять по своей воле сообщения, которыми обмениваются корреспонденты, причём ни один из последних не может догадаться о его присутствии в канале.

Применительно к сетям, возможность перехватывать и в отдельных случаях изменять передаваемый трафик. Это грозит раскрытием логинов и паролей к сайтам. Для защиты от этого применяется SSL.

MITM на Яндексе

При входе на Яндекс логин и пароль честно передаются по SSL-протоколу. Но взглянем на часть исходного кода страницы авторизации с описание формы:





Изначально в форме указано, что данные должны передаваться по нешифровнному каналу:

action="http://passport.yandex.ru/passport?mode=auth"

Передавать данные по SSL заставляет скрипт forcehttps.js, который у всех форм меняет в свойстве action "http" на "https":

// Force HTTPS javascript
//
// $Id: forcehttps.js,v 1.3 2006-12-12 14:05:01 shurukhin Exp $

(function(){
var frm = document.forms.MainLogin;
if(frm) {
frm.action=frm.action.replace(/^http:/i, `https:`)
frm.action=frm.action.replace(/^//,`https://`+document.domain+`/`)
}
})();


Если же этот скрипт не выполнится, то логин и пароль будут пересылаться в открытом виде.

Вывод

Если у атакующего есть возможность подменить или заблокировать скачивание forcehttps.js, то логин и пароль передадутся на сервер в открытую. Например, админ в офисе просто заблокировал скачивание forcehttps.js на прокси-сервере (офис ходит в инет через него), то он легко может перехватить логин и пароль от аккаунта на яндексе, принадлежащие сотрудникам офиса.
[Читать все комментарии] [Напечатать новость]
http://www.securitylab.ru
  Комментарии к новости 
[Добавить комментарий]

Комментариев к этой новости пока нет. Добавьте первым свой комментарий!
[Добавить комментарий]
 Хроника новостей: Новости Hi-Tech Хроника новостей 
СМИ: популярные мессенджеры будут работать под законом

24 января 10:26
Программиста Станислава Лисова перевели в другую испанскую тюрьму

23 января 13:56
Компания Nintendo выпустила новую игровую консоль

13 января 11:55
В Китае разрабатывают технологию распознавания лиц

17 ноября 13:33
Apple представляет iPhone 7

8 сентября 10:05
Google запустил новый видеосервис Duo

16 августа 13:16
Новая технология защитит телефоны от robocall

4 августа 13:05
Apple заменит смайлик изображающий пистолет

2 августа 15:15
Спецслужбы вскрыли iPhone террориста

29 марта 16:08
Директор ФБР рассказал о конфликте с Apple

26 февраля 11:57
Американцы разработали удочку с Wi-Fi

12 февраля 10:48
Инженеры трудятся над виртуальной реальностью

9 февраля 12:54
Роскомнадзор закрыл самый крупный пиратский ресурс "Rutracker"

5 февраля 10:56
Российские инженеры создали робота-патрульного

20 января 11:41
Samsung официально представила Galaxy A9

25 декабря 11:36
В консольную World of Tanks временно добавили режим "Танчики"

24 декабря 17:10
Facebook выучится обновлять ленту новостей в оффлайне

11 декабря 11:54
Список самых надежных ноутбуков во всем мире

4 декабря 11:57
Японцы разработали моющийся смартфон (видео)

3 декабря 15:18
Apple тестирует iPhone 7 без кнопок

2 декабря 14:35
В работе Viber случился масштабный сбой

27 ноября 16:23
Wi-Fi может выдавать электроэнергию

26 ноября 14:58
Google Glass трудится над 3-мя новыми приспособлениями

19 ноября 11:19
В Fallout 4 воссоздали героев Tomb Raider и "Во все тяжкие"

11 ноября 11:59
Открытость Facebook беспокоит пользователей

10 ноября 12:17
Facebook отправит пользователей в виртуальный мир

5 ноября 11:19
Шутер Halo 5: Guardians поступил в продажу

27 октября 14:18
Assassin`s Creed: Syndicate поступил в продажу

23 октября 12:56
Twitter объявил о запуске новой функции

22 октября 12:18
В России стартовали продажи iPhone 6s

9 октября 09:35
 1  2  3  4  5  6  7  8  9  10  11  12  13  14  15  16  17  18  19  20  21  22  23  24  25 >> 470
 Главная новость дня Главная новость дня 
Тереза Мэй подписала письмо в ЕС о запуске "Брексита" Тереза Мэй подписала письмо в ЕС о запуске "Брексита"
 
 Эксклюзив Эксклюзив 
Пора ли продавать акции Apple? Пора ли продавать акции Apple?
 
  Топ новостей Опросы 
 Фоторепортажи: новости с подборкой фотографий Фоторепортажи 
Галустян объяснил причину сорванных спектаклей
Крис Кельми упал со 2 этажа
Канье Уэст принял на себя роль визуального художника
Звезды скорбят по Алану Рикману
Звезды скорбят по Алану Рикману
 Новости партнеров
 Новости дня Новости дня 
 
Новость: В Ростовской области устраняют последствия мощного ураганаВ Ростовской области устраняют последствия мощного урагана
 
Новость: Приморский океанариум вновь открывает двери для посетителейПриморский океанариум вновь открывает двери для посетителей
 
Новость: Индия закроет свои границы с Пакистаном и БангладешИндия закроет свои границы с Пакистаном и Бангладеш
 
Новость: В России началась подготовка к шествию "Бессмертного полка"В России началась подготовка к шествию "Бессмертного полка"
 
Новость: Китай укрепляет военное превосходство в Южно-Китайском мореКитай укрепляет военное превосходство в Южно-Китайском море
 
Новость: Паром "Севол" будет возвращен в порт ШинПаром "Севол" будет возвращен в порт Шин
 
  Copyright © RIN 2000-
* Обратная связь
Контактная информация  
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ