Российская Информационная Сеть
English   Контакты
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ
ТОП-дайджест  Хроника  Эксклюзив  Фоторепортажи  Личное мнение  Погода  Комментарии  Поиск  RSS  Интернет-радио  
 Топ 20 сегодня Топ 20 сегодня 
В Италии мать забыла девочку в машинеВ Италии мать забыла девочку в машине
Google теряет рекламодателей из-за экстремистского видеоGoogle теряет рекламодателей из-за экстремистского видео
Катар продолжает импортировать газ своим соседямКатар продолжает импортировать газ своим соседям
далее топ дня...
 Фотожурнал: фото-топ за месяц, галерея всех фото Фотожурнал 
 Новости партнеров
 Топ новости разделов сегодня Топ новости разделов 
В Астане проходит саммит ШОСВ Астане проходит саммит ШОС
Катар продолжает импортировать газ своим соседямКатар продолжает импортировать газ своим соседям
В Марокко были найдены самые старые останки Homo sapiensВ Марокко были найдены самые старые останки Homo sapiens
Шельфовый ледник в Антарктиде трещит по швамШельфовый ледник в Антарктиде трещит по швам
Apple представила новые умные колонки HomePodApple представила новые умные колонки HomePod
В Италии мать забыла девочку в машинеВ Италии мать забыла девочку в машине
В Индии вспыхнули беспорядки из-за убийства фермеровВ Индии вспыхнули беспорядки из-за убийства фермеров
Google теряет рекламодателей из-за экстремистского видеоGoogle теряет рекламодателей из-за экстремистского видео
Дружба с экс-возлюбленными вызывает психические расстройстваДружба с экс-возлюбленными вызывает психические расстройства
Ариана Гранде и другие звезды выступили в МанчестереАриана Гранде и другие звезды выступили в Манчестере
далее...
 Личное мнение Личное мнение 

 Новости о знаменитостях Знаменитости 
Новость: 18 августа 14:54: Слухи о закрытии передачи «Давай поженимся»Слухи о закрытии передачи «Давай поженимся»

Новость: 19 августа 17:35: Муз-ТВ спровоцировало флэшмоб среди популярных поп-исполнителей и актёровМуз-ТВ спровоцировало флэшмоб среди популярных поп-исполнителей и актёров


 Заплатим за ваше мнение!
Получайте до 1,5 долларов за каждую заполненную анкету!



 Новости Hi-Tech Новости Hi-Tech 
27 ноября, 11:16

На Яндексе возможен перехват логинов и паролей

Новости Hi-Tech: На Яндексе возможен перехват логинов и паролей
Новости по теме: Самолет США был перехвачен двумя китайскими J-10
Система авторизации Яндекса подвержена MITM (Man-In-The-Middle)-атаке: можно заставить Яндекс передавать логины и пароли в открытом виде, что влечет за собой угрозу их перехвата.

Для тех, кто не в курсе, что такое MITM (цитата из Википедии):

Атака "человек посередине" (англ. Man in the middle, MitM-атака) - термин в криптографии, обозначающий ситуацию, когда атакующий способен читать и видоизменять по своей воле сообщения, которыми обмениваются корреспонденты, причём ни один из последних не может догадаться о его присутствии в канале.

Применительно к сетям, возможность перехватывать и в отдельных случаях изменять передаваемый трафик. Это грозит раскрытием логинов и паролей к сайтам. Для защиты от этого применяется SSL.

MITM на Яндексе

При входе на Яндекс логин и пароль честно передаются по SSL-протоколу. Но взглянем на часть исходного кода страницы авторизации с описание формы:





Изначально в форме указано, что данные должны передаваться по нешифровнному каналу:

action="http://passport.yandex.ru/passport?mode=auth"

Передавать данные по SSL заставляет скрипт forcehttps.js, который у всех форм меняет в свойстве action "http" на "https":

// Force HTTPS javascript
//
// $Id: forcehttps.js,v 1.3 2006-12-12 14:05:01 shurukhin Exp $

(function(){
var frm = document.forms.MainLogin;
if(frm) {
frm.action=frm.action.replace(/^http:/i, `https:`)
frm.action=frm.action.replace(/^//,`https://`+document.domain+`/`)
}
})();


Если же этот скрипт не выполнится, то логин и пароль будут пересылаться в открытом виде.

Вывод

Если у атакующего есть возможность подменить или заблокировать скачивание forcehttps.js, то логин и пароль передадутся на сервер в открытую. Например, админ в офисе просто заблокировал скачивание forcehttps.js на прокси-сервере (офис ходит в инет через него), то он легко может перехватить логин и пароль от аккаунта на яндексе, принадлежащие сотрудникам офиса.
[Читать все комментарии] [Напечатать новость]
http://www.securitylab.ru
  Комментарии к новости 
[Добавить комментарий]

Комментариев к этой новости пока нет. Добавьте первым свой комментарий!
[Добавить комментарий]
 Хроника новостей: Новости Hi-Tech Хроника новостей 
Айфон бьет рекорды популярности

18 августа 15:23
Несколько фактов о новом iPhone 7s

16 августа 15:18
Новый вид спама через сотовую связь

16 августа 15:03
В Viber появилась новая удобная функция

11 августа 14:36
В России появились сверхдешевые индийские смартфоны

10 августа 15:25
Были отозваны 275 тыс "жидких" чехлов для iPhone

2 августа 15:29
Microsoft отказался от приложения Paint

25 июля 14:39
В России нашли способ остановить распространение нового вируса "Петя"

28 июня 15:40
Вирус WannaCry проник в компьютеры автопроизводителя Honda

22 июня 12:33
Apple представила новые умные колонки HomePod

6 июня 12:38
Мир подвергся массовым кибератакам

15 мая 11:36
Galaxy S8 покорил Южную Корею

20 апреля 12:43
СМИ: популярные мессенджеры будут работать под законом

24 января 10:26
Программиста Станислава Лисова перевели в другую испанскую тюрьму

23 января 13:56
Компания Nintendo выпустила новую игровую консоль

13 января 11:55
В Китае разрабатывают технологию распознавания лиц

17 ноября 13:33
Apple представляет iPhone 7

8 сентября 10:05
Google запустил новый видеосервис Duo

16 августа 13:16
Новая технология защитит телефоны от robocall

4 августа 13:05
Apple заменит смайлик изображающий пистолет

2 августа 15:15
Спецслужбы вскрыли iPhone террориста

29 марта 16:08
Директор ФБР рассказал о конфликте с Apple

26 февраля 11:57
Американцы разработали удочку с Wi-Fi

12 февраля 10:48
Инженеры трудятся над виртуальной реальностью

9 февраля 12:54
Роскомнадзор закрыл самый крупный пиратский ресурс "Rutracker"

5 февраля 10:56
Российские инженеры создали робота-патрульного

20 января 11:41
Samsung официально представила Galaxy A9

25 декабря 11:36
В консольную World of Tanks временно добавили режим "Танчики"

24 декабря 17:10
Facebook выучится обновлять ленту новостей в оффлайне

11 декабря 11:54
Список самых надежных ноутбуков во всем мире

4 декабря 11:57
 1  2  3  4  5  6  7  8  9  10  11  12  13  14  15  16  17  18  19  20  21  22  23  24  25 >> 470
 Главная новость дня Главная новость дня 
Слухи о закрытии передачи «Давай поженимся» Слухи о закрытии передачи «Давай поженимся»
 
 Эксклюзив Эксклюзив 
Пора ли продавать акции Apple? Пора ли продавать акции Apple?
 
  Топ новостей Опросы 
 Фоторепортажи: новости с подборкой фотографий Фоторепортажи 
Наталья Штурм разделась на море (фото)
Наталья Штурм разделась на море (фото)
Киноманов ждет неделя супергероев
Кристен Стюарт встречается с женщиной
В Кёльне около 100 человек застряли на канатной дороге (фото)
 Новости партнеров
 Новости дня Новости дня 
 
  Copyright © RIN 2000-
* Обратная связь
Контактная информация  
Политика  Общество  Экономика  Деловые  Наука  Hi-Tech  Культура  Шоу-бизнес  Спорт  Происшествия  Криминал  Скандалы  Пикантные  Зарубежные  ИноСМИ