Poet jest efektem pracy badaczy Juliano Rizzo i Thai Duonga. W lutym br. opublikowali oni artykuł (plik PDF, 744 KB) poświęcony technice uzyskania dostępu do prywatnych danych klientów w serwisach zbudowanych na Faces. Wykorzystuje ona błędy w implementacji algorytmów AES/DES i podatność systemów przechowywania zaszyfrowanego tekstu, przechowywanego w ciasteczka, ukrytych polach formularzy HTML i parametrach żądań.

Tekst taki jest wykorzystywany głównie do przechowywania preferencji użytkownika, czy danych o transakcjach – i powinien zapewniać odpowiednią ochronę danych internautów. Jednak przygotowane przez badaczy ataki pozwalają na zmodyfikowanie zaszyfrowanej informacji i odesłanie jej z powrotem do serwera, tak że dla niewielkich fragmentów danych udaje się odzyskać tekst w jawnej postaci, ujawniając hasła i inne poufne dane.

Rizzo wyjaśnił, że Poet exploituje bardzo popularny błąd, czyli ufanie samemu szyfrowaniu, podczas gdy powinno się stosować jednocześnie szyfrowanie i ochronę procesu uwierzytelnienia. Dzięki temu można uzyskać informacje o jawnej postaci tekstu z reakcji serwera.

Atak polega na przeszukaniu zaatakowanej witryny pod kątem zaszyfrowanych ciągów i zmodyfikowaniu ostatniego bloku ich szyfrowanej postaci, a następnie odesłaniu całości do serwera. Uzyskane w odpowiedzi komunikaty o błędzie są używane do odszyfrowania tekstu, co finalnie pozwala napastnikowi na przekazywanie dowolnych danych do serwera, włącznie ze złośliwym kodem. Technika ta umożliwia złamanie całego kryptosystemu witryny – odwzorowanie wszystkich zaszyfrowanych ciągów na ich jawne formy. Więcej można dowiedzieć się z tego filmu, pokazującego atak na implementację Apache frameworka MyFaces.

Witryny podatne na ten atak można znaleźć dzięki Google – wystarczy poszukiwać fraz takich jak javax.crypto .BadPaddingException czy Given final block not properly padded. Na atak podatna jest większość javowych serwerów, w tym produkty Apache'a i Suna.

Poet w wersji dla Linuksa, Mac OS X-a i Windows dostępny jest na stronie netifera.com/research/.

Źródło: TheRegister.co.uk