Веб-приложения компрометируют личные данные даже при работе через SSL

24.03.2010

Вернуться к списку новостей Установить наличие утечек ученым помог анализ параметров обмена данными между пользователем и веб-сайтом. Более того, эксперты с помощью MITM-атак смогли перехватывать передаваемую информацию даже в том случае, когда она транслировалась через зашифрованный протокол SSL или WPA.

Проделанная исследователями работа позволила доказать возможность надежного извлечения весьма детализированной личной информации из трафика, генерируемого веб-приложениями от Google, Yahoo и Bing, а также сайтами налоговых, медицинских и финансовых служб даже в том случае, если они защищены HTTPS.

Кроме того, специалисты доказали возможность перехвата поисковых запросов офисных служащих за пределами корпоративных строений, несмотря на наличие шифрования WPA/WPA2 в сетях Wi-Fi.

Суть метода кроется в определении параметров автозаполнения и автоподсказок при вводе пользователем данных в различных разделах веб-форм. Передаваемые при этом пакеты могут быть достаточно легко определены с помощью специальных шаблонов, что позволяет установить содержание вводимого пользователем текста.