FREAK trekt opnieuw beveiliging internet open

De basis van de problemen in FREAK, een afkorting van Factoring attack on RSA-EXPORT Keys. Het gaat om een probleem dat de Amerikaanse regering in de jaren 90 in het leven heeft geroepen. Alle Amerikaanse encryptieproducten bestemd voor het buitenland, mochten van de Clinton-regering niet zijn voorzien van sleutels met een lengte langer dan 512K. Destijds was dat een matige versleuteling die echter nog voldoende bescherming bood.

Redactie AG ConnectMeer van deze auteur

Inmiddels is voor het kraken ervan nog maar 100 dollar en een paar uur werk nodig.

De zwakke sleutels zijn in veel gevallen door de producenten vervangen door zwaardere toen de restrictie op de export van encryptie werd opgeheven. Toch zijn er nog talloze servers en apparaten voor eindgebruikers waar de 512 K-sleutels nogin verwerkt zijn.

Microsoft en het Franse INRIA Paris-Rocquencourt onderzochten het probleem en vonden dat 36 procent van de onderzochte 14 miljoen websites gevoelig zijn, waaronder prominente sites als AmericanExpress.com, Bloomberg.com, NSA.gov en FBI.gov. Apple's Safari-browser op iOS en Mac OSX en vrijwel alle versies van browser die Google standaard meelevert met Android zijn kwetsbaar.

De kwetsbaarheid stelt hackers in staat websites te dwingen de zwakke encryptie toe te passen op SSL- en TLS-beveiligde verbindingen.. Nadat de sleutel is gekraakt, kunnen de hackers elementen op de pagina overnemen en de beveiligde communicatie met gevoelige eindgebruikersapparatuur afluisteren.

Apple heeft al laten weten dat iOS en OS X volgende week worden gepatched. Google heeft al een patch gestuurd naar zijn hardwarepartners, die deze echter zelf moeten verwerken in hun versie van het besturingssysteem. Een speciale site genaamd freakattack heeft een lijst met kwetsbare websites gepubliceerd en adviezen voor de eigenaren van kwetsbare servers.