Антивирусы и межсетевые экраны влияют на безопасность HTTPS

Антивирусы и межсетевые экраны влияют на безопасность HTTPS

Эксперты изучили влияние антивирусных решений и различных межсетевых экранов на безопасность HTTPS-трафика. Подобное защитное оборудование перехватывает TLS-соединения для контроля сетевого трафика. При этом процедура согласования параметров соединения (TLS-рукопожатие), в ходе которой прерывается и расшифровывается инициированная клиентом сессия TLS, анализируется внутреннее текстовое содержимое HTTP и устанавливается новое TLS-соединение с нужным web-сайтом в значительном числе случаев производится некорректно.

 На основе анализа рукопожатий, связанных с браузерами, антивирусами и вредоносным ПО, исследователи разработали ряд эвристических методов, позволивших им обнаруживать перехват HTTPS-трафика и ответственный за него продукт. Созданные инструменты эксперты разместили на серверах обновлений Mozilla Firefox, нескольких популярных сайтах электронной коммерции и серверах Cloudflare CDN.

 Проанализировав 8 млрд TLS-рукопожатий, исследователи выяснили, что 4% соединений с серверами обновлений Firefox, 6,2% соединений с сайтами электронной коммерции и 10,9% соединений с Cloudflare CDN были перехвачены. После перехвата 97% соединений Firefox, 32% соединений коммерческих сайтов и 54%соединений Cloudflare стали менее безопасными. Более того, значительная часть перехваченных соединений использовала слабые криптографические алгоритмы, причем 10-40% из них демонстрировали ранее взломанные шифры, что позволяет атакующему в позиции "человек посередине" перехватить соединение, произвести его деградацию и расшифровать. Как отмечают авторы доклада, после перехвата 58% соединений стали подвержены критическим уязвимостям.

 В ходе исследования эксперты изучили работу популярных антивирусных продуктов, включая Avast для Windows и Mac, AVG, Bitdefender, Bullguard, CYBERsitter, Dr. Web, ESET, G DATA, Kaspersky, KinderGate, Net Nanny, PC Pandora и Qustodio. Из всех проанализированных решений высшей оценки удостоился только Avast, все остальные были отнесены к категории С (означает наличие известной TLS-уязвимости, такой как Logjam, CRIME и POODLE).

С полным докладом можно ознакомиться здесь.

Securitylab