Веб-приложения компрометируют личные данные даже при работе через SSL
24.03.2010
Исследователи из Microsoft и Индианского университета выяснили, что такие популярные сайты, как Google, Yahoo, Bing и другие известные ресурсы допускают утечки важной личной информации, среди которой медицинские записи, сведения о семейных доходах, поисковые запросы и прочие.
Установить наличие утечек ученым помог анализ параметров обмена данными между пользователем и веб-сайтом. Более того, эксперты с помощью MITM-атак смогли перехватывать передаваемую информацию даже в том случае, когда она транслировалась через зашифрованный протокол SSL или WPA.
Проделанная исследователями работа позволила доказать возможность надежного извлечения весьма детализированной личной информации из трафика, генерируемого веб-приложениями от Google, Yahoo и Bing, а также сайтами налоговых, медицинских и финансовых служб даже в том случае, если они защищены HTTPS.
Кроме того, специалисты доказали возможность перехвата поисковых запросов офисных служащих за пределами корпоративных строений, несмотря на наличие шифрования WPA/WPA2 в сетях Wi-Fi.
Суть метода кроется в определении параметров автозаполнения и автоподсказок при вводе пользователем данных в различных разделах веб-форм. Передаваемые при этом пакеты могут быть достаточно легко определены с помощью специальных шаблонов, что позволяет установить содержание вводимого пользователем текста.
