ແຈ້ງເຕືອນແລະຂໍ້ແນະນຳຜູ້ໃຊ້ທົ່ວໄປ

ພົບ​ຊ່ອງ​ໂຫ່ວ Logjam ໃນ​ໂປ​ໂຕ​ຄອນ TLS ຜູ້​ບໍ່​ຫວັງ​ດີ​ສາມາດ​ແອບ​ດັກ​ອ່ານ​ຂໍ້​ມູນ​ໄດ້ 

ເລື່ອງ: ພົບ​ຊ່ອງ​ໂຫ່ວ Logjam ໃນ​ໂປ​ໂຕຄອນ TLS ຜູ້​ບໍ່​ຫວັງ​ດີ​ສາມາດ​ແອບ​ດັກ​ອ່ານ​ຂໍ້​ມູນ​ໄດ້

ປະເພດໄພຄຸກຄາມ: Sniffing

ຂໍ້ມູນທົ່ວໄປ

            ທີມ​ນັກ​ວິ​ໄຈ​ດ້ານ​ຄວາມໝັ້ນຄົງ​ປອດ​ໄພ​ເປີດ​ເຜີຍ​ຊ່ອງ​ໂຫ່ວ​ໃນ​ໂປ​ໂຕ​ຄອນ TLS ຊຶ່ງ​ສົ່ງ​ຜົນ​ໃຫ້​ຜູ້​ບໍ່​ຫວັງ​ດີ​ສາມາດໂຈມ​ຕີ​ໃນ​ລັກສະນະ Man-in-the-Middle ເພື່ອ​ດັກ​ອ່ານ​ຂໍ້​ມູນ​ຈາກ​ການ​ເຊື່ອມ​ຕໍ່​ທີ່​ໃຊ້ TLS ເຊັ່ນ HTTPS, SSH, IPSec, SMTPS ແລະ VPN ຊ່ອງ​ໂຫ່ວ​ນີ້​ໄດ້ຮັບ​ການ​ຕັ້ງຊື່​ວ່າ Logjam

            ບັນຫາ​ຂອງ​ຊ່ອງ​ໂຫ່ວ​ນີ້​ຢູ່​ທີ່ TLS ບໍ່​ໄດ້​ກວດ​ສອບ​ຄ່າ​ພາ​ລາ​ມິ​ເຕີ​ຂອງ​ຂັ້ນ​ຕອນ​ການ​ແລກປ່ຽນ​ກຸນ​ແຈ​ດ້ວຍ​ວິທີ Diffie-Hellman (ຊຶ່ງ​ເປັນ​ຂັ້ນ​ຕອນ​ໜຶ່ງ​ຂອງ​ການ​ເຊື່ອມ​ຕໍ່ TLS) ວ່າ​ເປັນ​ໄປ​ຕາມ​ທີ່ Client ຮ້ອງ​ຂໍຈິງ ​ຫຼື ​ບໍ່ ເປີດ​ໂອ​ກາດ​ໃຫ້​ຜູ້​ບໍ່​ຫວັງ​ດີ​ດັກ​ຈັບ ​ແລະ ​ແກ້​ໄຂ​ຄ່າ​ພາ​ລາ​ມິ​ເຕີ​ນີ້​ເພື່ອ​ຂໍ​ໃຫ້​ເຊື່ອມຕໍ່ດ້ວຍມາດຕະຖານ​ເກົ່າ​ທີ່​ຊື່ DHE_EXPORT ໃນ​ຂະນະ​ທີ່ Client ຍັງ​ເຂົ້າໃຈ​ວ່າ​ກຳ​ລັງ​ໃຊ້​ງານ​ມາດຕະຖານ​ຕາມ​ທີ່​ຮ້ອງ​ຂໍ

            DHE_EXPORT ເປັນ​ມາດຕະຖານ​ເກົ່າ​ທີ່​ຍັງມີ​ຫລາຍ Server ແລະ Client ຮອງ​ຮັບ​ຢູ່ ໂດຍ​ມາດຕະຖານ​ນີ້​ໃຊ້ງານ​ກຸນ​ແຈ​ເຂົ້າ​ລະ​ຫັດ​ລັບ​ແບບ 512 ບິດ ຊຶ່ງ​ໃນ​ປະຈຸບັນ​ຖື​ວ່າ​ງ່າຍ​ທີ່​ຈະ​ເດົາ​ສຸ່ມ​ເພື່ອ​ຫາ​ກຸນ​ແຈ​ສຳລັບ​ຖອດລະ​ຫັດ ສົ່ງ​ຜົນ​ໃຫ້​ຜູ້​ບໍ່​ຫວັງ​ດີ​ສາມາດ​ອ່ານ​ຂໍ້​ມູນ​ທີ່​ມີ​ການ​ເຂົ້າ​ລະ​ຫັດ​ໄວ້​ໃນ​ທີ່ສຸດ

ລະບົບທີ່ໄດ້ຮັບຜົນກະທົບ 

            ຊ່ອງ​ໂຫ່ວ​ນີ້​ມີ​ຜົນ​ກະທົບ​ກັບ​ໂປຣ​ແກຣມ​ເວບ​ບ​ລາວ​ເຊີ​ເກືອບ​ທັງ​ໝົດ ນອກ​ຈາກ​ນີ້​ນັກ​ວິ​ໄຈ​ຍັງ​ໄດ້​ທົດລອງສະ​ແກນເຊີເວີ​ຂອງ​ເວບ​ໄຊ 1 ລ້ານ​ໂດ​ເມນ​ທີ່​ໄດ້ຮັບ​ຄວາມ​ນິຍົມ​ສູງ​ສຸດ ທີ່​ມີ​ການ​ເຊື່ອມ​ຕໍ່​ແບບ HTTPS ພົບວ່າ​ໄດ້ຮັບ​ຜົນ​ກະທົບ​ຫຼາຍ​ເຖິງ 8.4%

ຂໍ້ແນະນຳໃນການປ້ອງກັນ ແລະ ແກ້ໄຂ 

            ສຳລັບ​ຜູ້​ເບິ່ງ​ລະບົບ​ສາມາດ​ກວດ​ສອບ​ເວບ​ໄຊ​ຂອງ​ຕົນ (ທີ່​ໃຊ້​ການ​ເຊື່ອມ​ຕໍ່​ແບບ HTTPS) ວ່າ​ມີ​ຊ່ອງ​ໂຫ່ວ Logjam ຫຼື ​ບໍ່ ໄດ້​ຈາກ​ເວບ​ໄຊ https://weakdh.org/sysadmin.html ແລະ ​ສາມາດ​ປິດ​ຊ່ອງໂຫ່ວ​ດັ່ງ​ກ່າວ​ໄດ້​ໂດຍ​ການຕັ້ງ​ຄ່າ​ບໍ່​ໃຫ້​ຮອງ​ຮັບ​ມາດຕະຖານ DHE_EXPORT ໂດຍ​ສຶກ​ສາ​ແນວ​ທາງ​ການຕັ້ງ​ຄ່າ​ໄດ້​ທີ່

https://weakdh.org/sysadmin.html ໃນ​ຂະນະ​ທີ່​ຜູ້​ໃຊ້​ທົ່ວ​ໄປ​ຕຽມ​ຕົວ​ລໍ​ຖ້າອັບ​ເດດ​ເພື່ອ​ປິດ​ຊ່ອງ​ໂຫ່ວໃນ​ບຣາວ​ເຊີ

 

ອ້າງອີງ: 

  1. https://weakdh.org/
  2. www.thaicert.or.th/newsbite/2015-05-21-02.html#2015-05-21-02